Seminar Sonatype DevSecOps mit Nexus Repository, Lifecycle und Container Security

Überblick

Dieses viertägige Seminar verbindet Repository-Betrieb, Software Composition Analysis, Repository Firewall und Container Security zu einem geschlossenen DevSecOps-Modell. Die Dauer ist bewusst auf vier Tage angesetzt, weil neben Konzepten auch Repository-Design, Lifecycle-Policies, Pipeline-Gates, Container-Scans, Governance und Störungsanalyse praktisch umgesetzt werden.

Inhaltsverzeichnis

• Überblick
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praktische Übungen

Zielgruppe

DevOps Engineers, Plattform-Teams, Security-Verantwortliche, Build-Administratoren und technische Leitungen, die Sonatype als zentralen Baustein der Software-Lieferkette einsetzen.

Voraussetzungen

Solide Grundlagen in CI/CD, Paketmanagement, Build-Prozessen und Linux-Administration. Erfahrung mit Maven, npm, Docker oder vergleichbaren Ökosystemen ist empfehlenswert.

Seminarinhalte

1. DevSecOps-Architektur mit Sonatype entwerfen

1. Repository Manager, Firewall, Lifecycle und Container Security als Kontrollpunkte einordnen.
2. Rollen, Verantwortlichkeiten und Eskalationswege für Entwicklung, Betrieb und Security definieren.
3. Schutzpunkte vom Komponentenbezug bis zur Auslieferung strukturieren.

2. Nexus Repository als Artifact Control Plane betreiben

1. Hosted-, Proxy- und Group-Repositories für unterschiedliche Ökosysteme planen.
2. Zugriffe, Berechtigungen und Bereitstellungswege nachvollziehbar organisieren.
3. Docker- und Standard-Paketformate in ein konsistentes Repository-Design einordnen.

3. Lifecycle und Repository Firewall integrieren

1. Organisationen, Anwendungen und Stages modellieren.
2. Policy-Regeln für Security, Lizenz und Qualität aufbauen.
3. Firewall-Audit, Quarantäne und Freigabeprozesse mit Nexus Repository verbinden.

4. Pipeline- und Container-Kontrollen einrichten

1. Build-Scans, CLI-Aufrufe und CI/CD-Gates schrittweise ergänzen.
2. Container Images analysieren und Policy-Verletzungen bewerten.
3. Fehlerdiagnose und Verantwortungsübergabe an Entwicklungsteams standardisieren.

5. Governance und Betrieb stabilisieren

1. Waiver, Reports, Schwellenwerte und Regelpflege in einen Betriebsprozess überführen.
2. Monitoring-, Backup- und Update-Aufgaben zuordnen.
3. Betriebsübergabe mit Checklisten und Mindeststandards vorbereiten.

Praktische Übungen

• Aufbau eines End-to-End-Beispiels vom Repository bis zum Pipeline-Gate.
• Konfiguration einer Lifecycle-Policy mit Build-Abbruch.
• Einbindung eines Container-Image-Scans in den Lieferprozess.
• Auswertung von Policy-Verletzungen und Ableitung von Remediation-Schritten.