Seminar Project Quay und Clair DevSecOps Integration

Beschreibung

Das Seminar verbindet Registry-Betrieb, Schwachstellenscans und CI/CD-Prozesse. Behandelt werden Image-Flüsse vom Build bis zur Auslieferung, technische Zugriffe, Scan-Auswertung, Freigabekriterien, Verantwortlichkeiten und der Umgang mit Findings im Alltag.

Der Schwerpunkt liegt auf praktikablen Prozessen. Es geht nicht um möglichst viele Werkzeuge, sondern um klare Stellen im Ablauf, an denen Images geprüft, bewertet, freigegeben oder zurückgewiesen werden.

Inhaltsübersicht

• DevSecOps-Rolle von Registry und Vulnerability Scanner
• Image-Fluss von Build über Quay bis zur Plattform
• Robot Accounts und Secrets in CI/CD-Prozessen
• Scan-Zeitpunkte, Bewertungskriterien und Freigaberegeln
• Umgang mit kritischen Findings, Exceptions und Ablaufdaten
• Reporting für Teams, Security und Betrieb
• Automatisierte Policy-Prüfungen und manuelle Entscheidungspunkte
• Betriebsübergabe und Verantwortlichkeit zwischen Teams

Schrittweise Seminarinhalte

1. Schritt 1: Ein typischer Image-Lifecycle wird vom Quellcode bis zur Plattform aufgezeichnet.
2. Schritt 2: Registry-Zugriffe für Build- und Deployment-Systeme werden sicher getrennt.
3. Schritt 3: Scan-Ergebnisse werden in Pipeline-Entscheidungen übersetzt.
4. Schritt 4: Freigaberegeln für kritische und hohe Findings werden entworfen.
5. Schritt 5: Exception-Prozesse werden mit Ablaufdatum und Verantwortlichkeit beschrieben.
6. Schritt 6: Reporting-Informationen werden nach Zielgruppe aufbereitet.
7. Schritt 7: Ein Ende-zu-Ende-Prozess wird als wiederverwendbares Muster dokumentiert.

Praktische Übungen

• Modellierung eines Image-Flusses für Build, Test und Produktion
• Einrichtung eines technischen Registry-Zugriffs für eine Pipeline
• Bewertung eines Scan-Ergebnisses als Pipeline-Gate
• Definition einer Ausnahme mit Begründung und Ablaufdatum
• Erstellung einer einfachen Übersicht für Security- und Betriebsteams

Zielgruppe

DevOps- und DevSecOps-Teams, Plattformteams, Security-Verantwortliche und technische Produktteams mit CI/CD- und Container-Fokus.

Voraussetzungen

Grundlagen zu Container Images, CI/CD, Registry-Zugriffen und Schwachstellenbewertung. Erste Erfahrung mit Project Quay oder vergleichbaren Registries ist hilfreich.

Nutzen im Betrieb

• Bessere Verbindung zwischen Scan-Ergebnissen und echten Freigabeentscheidungen
• Sicherere technische Zugriffe in Pipeline- und Deployment-Prozessen
• Weniger Reibung zwischen Entwicklung, Betrieb und Security
• Nachvollziehbare Standards für Ausnahmebehandlung und Reporting