Seminar Fulcio Private CA, Trust Roots und Enterprise-Identitäten

Seminarbeschreibung

Das Seminar richtet sich an Organisationen, die öffentliche und interne Signaturketten sauber voneinander trennen müssen. Behandelt werden Fulcio-Varianten, private Vertrauensanker, OIDC-Provider, Zertifikatsrichtlinien und die Verteilung von Verifikationsmaterial.

Inhaltsübersicht

• Enterprise-Architektur für Fulcio
• interne und öffentliche Vertrauensbereiche
• OIDC-Anbindung und Identitätsregeln
• Trust-Root-Verteilung
• Client-Konfiguration und Verifikation

Zielgruppe

• PKI-Administratoren
• IAM-Teams
• Security Architects
• Plattformteams
• DevSecOps-Verantwortliche

Voraussetzungen

Erforderlich sind gute Kenntnisse zu PKI, OIDC, Zertifikaten und grundlegender Plattformadministration.

Seminarinhalte

Kapitel 1: Einordnung von Fulcio im Enterprise-Kontext

Inhaltsverzeichnis dieses Kapitels:

• Zweck und Grenzen des Einsatzgebiets
• Rollen der beteiligten Komponenten
• Risiken klassischer Signaturprozesse

Das Kapitel ordnet Fulcio im Enterprise-Kontext in eine belastbare Software-Supply-Chain ein. Herausgearbeitet werden Identitäten, Signaturen, Transparenznachweise und Prüfregeln als zusammenhängende Sicherheitskontrolle statt als einzelnes Werkzeug.

Schrittfolge:

1. Ausgangslage und Schutzbedarf erfassen
2. Artefaktarten und Freigabepunkte bestimmen
3. benötigte Sigstore-Komponenten zuordnen
4. Prüfpunkte für Build, Release und Deployment festlegen

Kapitel 2: Werkzeuge, Vertrauensanker und Identitäten

Inhaltsverzeichnis dieses Kapitels:

• cosign als Signaturwerkzeug
• Fulcio, Rekor und Trust Root
• Identitäten für Benutzer und Maschinen

Die relevanten Bestandteile werden installiert, geprüft und für reproduzierbare Laboraufgaben vorbereitet. Der Schwerpunkt liegt auf Fulcio, OIDC, Trust Root, cosign und auf der Frage, welche Identität im späteren Betrieb tatsächlich vertrauenswürdig ist.

Schrittfolge:

1. Laborumgebung prüfen
2. cosign-Verfügbarkeit testen
3. Trust-Root-Material einordnen
4. Identitätsattribute für die Verifikation festlegen

Kapitel 3: Private Vertrauensanker und Client-Konfiguration

Inhaltsverzeichnis dieses Kapitels:

• Vertrauensbereich abgrenzen
• Identitätsquelle auswählen
• Zertifikatsattribute definieren
• Trust-Root-Material bereitstellen

Dieses Kapitel führt vom Konzept in die technische Umsetzung. Jeder Schritt wird nachvollziehbar ausgeführt, kontrolliert und auf typische Fehlerbilder geprüft.

Schrittfolge:

1. Vertrauensbereich abgrenzen
2. Identitätsquelle auswählen
3. Zertifikatsattribute definieren
4. Trust-Root-Material bereitstellen
5. Client auf privaten Vertrauensanker konfigurieren
6. Verifikation gegen private Vorgaben testen

Kapitel 4: Prüfung, Automatisierung und Betrieb

Inhaltsverzeichnis dieses Kapitels:

• Verifikationsregeln
• Automatisierte Gates
• Auditierbare Nachweise
• Betriebsgrenzen

Zum Abschluss werden Prüfungen so gestaltet, dass sie nicht nur im Labor, sondern auch in regulären Entwicklungs- und Plattformprozessen funktionieren. Im Mittelpunkt stehen wiederholbare Kontrollen, klare Fehlermeldungen und prüfbare Nachweise.

Schrittfolge:

1. Verifikation lokal ausführen
2. Policy-Regeln formulieren
3. Automatisierungspunkt in Pipeline oder Plattform bestimmen
4. Fehlerfälle dokumentieren und Betriebsnotizen erstellen

Praxisübungen und Laboraufgaben

Die Laboraufgaben simulieren eine interne Signaturumgebung ohne produktive externe Abhängigkeiten.

1. interne Identitäts- und Zertifikatsanforderungen modellieren
2. Trust-Root-Datei konzeptionell erstellen
3. cosign-Verifikation mit eigener Vertrauensbasis vorbereiten
4. akzeptierte Identitäten einschränken
5. Fehlerfall bei falschem Vertrauensanker auswerten