Seminar Sonatype Intensiv: Software Supply Chain Security mit Nexus Repository, Lifecycle und Container Security

Überblick

Dieses Intensivseminar ist der umfassendste Track und fasst die übrigen Fachseminare in maximal fünf Tagen zusammen. Behandelt werden Nexus Repository, Lifecycle, Repository Firewall, Container Security, Compliance, SBOM-nahe Prozesse, CI/CD-Gates, Waiver, Reporting und Betriebsorganisation. Es ist das geeignete Programm, wenn ein Team einen vollständigen Sonatype-Standard für sichere Software-Lieferketten aufbauen muss.

Inhaltsverzeichnis

• Überblick
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praktische Übungen

Zielgruppe

Teams aus Entwicklung, Betrieb, Security, Compliance und Architektur, die Sonatype strategisch einsetzen und mehrere Einzeldisziplinen in einem Seminar verbinden wollen.

Voraussetzungen

Grundverständnis von Software-Lieferketten, Paketmanagern, CI/CD und Containerisierung. Für den administrativen Teil sind Betriebserfahrungen mit Serverdiensten nützlich.

Seminarinhalte

1. Gesamtbild der Software-Lieferkette erstellen

1. Komponentenbezug, Artefaktverwaltung, Build, Analyse und Freigabe als zusammenhängenden Prozess beschreiben.
2. Sonatype-Bausteine den jeweiligen Kontrollpunkten zuordnen.
3. Reifegrad, Zielbild und Umsetzungsreihenfolge für Organisationen bestimmen.

2. Repository Manager als technische Basis nutzen

1. Hosted-, Proxy- und Group-Repositories für zentrale Formate planen.
2. Docker-Registry-Modelle und Zugriffskonzepte einordnen.
3. Betriebsaufgaben wie Storage, Cleanup, Backup und Migration berücksichtigen.

3. Lifecycle, Firewall und Policies verbinden

1. Policy-Landschaften für Security, Lizenz, Architektur und Qualität erstellen.
2. Repository Firewall zur vorgelagerten Komponentenkontrolle einsetzen.
3. Waiver, Quarantäne und Freigaben governancefähig dokumentieren.

4. CI/CD, Container und Entwicklerprozesse absichern

1. Build-Scans und Lifecycle-Auswertungen in Pipelines integrieren.
2. Container-Images analysieren und mit Gates absichern.
3. Developer-Feedback, Remediation und Verantwortlichkeiten in den Prozess einbauen.

5. Compliance und Betriebsmodell konsolidieren

1. Reports, SBOM-nahe Informationen und Nachweise für Audits strukturieren.
2. Regelpflege, Ausnahmeverwaltung und Eskalationswege festlegen.
3. Einführung in Wellen planen und technische Mindeststandards definieren.

Praktische Übungen

• Modellierung einer vollständigen Software-Lieferkette mit Sonatype-Kontrollpunkten.
• Aufbau eines Repository- und Policy-Beispiels mit Firewall- und Lifecycle-Verknüpfung.
• Integration eines Pipeline-Gates einschließlich Container-Image-Analyse.
• Erstellung eines governancefähigen Betriebs- und Einführungsplans.