Seminar Skopeo Signaturen, Policies und Supply-Chain-Sicherheit

Beschreibung

Dieses Seminar behandelt Skopeo als Werkzeug im Kontext sicherer Container-Lieferketten. Im Mittelpunkt stehen Signaturen, Verifikation, Policy-Dateien und die Frage, wie technische Vertrauensregeln in Registry- und Deployment-Prozesse eingebunden werden können.

Die Schulung macht deutlich, dass Signaturen allein kein Sicherheitskonzept ersetzen. Sie sind ein Baustein, der mit klaren Herkunftsregeln, definierten Registries, nachvollziehbaren Freigabeprozessen und wiederholbaren Prüfungen verbunden werden muss. Behandelt werden deshalb sowohl die technische Bedienung als auch die betriebliche Einordnung.

Zielgruppe

• Security-Teams mit Container-Bezug
• Administratoren und DevOps-Engineers in regulierten Umgebungen
• Release-Teams mit Verantwortung für Image-Freigaben
• Plattformteams, die Image-Vertrauen technisch erzwingen wollen

Voraussetzungen

Vorausgesetzt werden Grundkenntnisse zu Container-Images und Registries sowie sichere Bedienung der Linux-Shell. Ein Grundverständnis von Signaturen, Schlüsseln und Vertrauensketten ist hilfreich, wird aber praxisnah eingeordnet.

Seminarinhalte

• Rolle von Skopeo in sicheren Image-Lieferketten
• Grundbegriffe: Signatur, Verifikation, Policy und Vertrauensanker
• Aufbau und Wirkung von Policy-Dateien
• Prüfung von Images vor Kopie oder Verwendung
• Trennung von Test-, Freigabe- und Produktionsregistries
• Umgang mit Schlüsseln, Berechtigungen und Zuständigkeiten
• Fehleranalyse bei verweigerter oder fehlgeschlagener Verifikation
• Einbindung in Release- und Betriebsprozesse

Praxisübungen

• Erstellung und Anpassung einer einfachen Trust Policy
• Prüfung von Images gegen definierte Vertrauensregeln
• Kopierprozess mit zusätzlicher Verifikationslogik
• Analyse absichtlich fehlerhafter Policy-Konfigurationen
• Entwurf eines minimalen Freigabeprozesses für signierte Images

Nutzen im Betrieb

Die Teilnehmenden können Skopeo in sicherheitsorientierte Image-Prozesse einordnen und technische Prüfungen nachvollziehbar aufbauen. Dadurch werden Freigaben belastbarer, und unsichere Ad-hoc-Transfers lassen sich besser vermeiden.