Seminar Eigene F‑Droid Repositories betreiben: Setup, Betrieb, Hardening

Inhaltsverzeichnis

• Abstract
• Lernziele
• Zielgruppe und Voraussetzungen
• Inhalte und Agenda (Zeitplan)
• Praxisübungen
• Betriebscheckliste (Inhalte)

Abstract

Dieses technische Seminar zeigt den Aufbau und den belastbaren Betrieb eines eigenen F‑Droid‑kompatiblen Repositories. Themen sind Repository‑Struktur, Index‑Erstellung, Signatur‑ und Schlüsselmanagement, Release‑Abläufe, Spiegelung, Verfügbarkeit und Hardening. Im Praxisteil wird eine Referenzumgebung implementiert: Repository initialisieren, Pakete integrieren, Updates veröffentlichen, Clients anbinden, Monitoring‑Signale definieren und typische Betriebsrisiken minimieren.

Lernziele

• Repository‑Grundaufbau und Indexierungslogik erklären und implementieren.
• Schlüssel‑ und Signaturkonzept für Releases sicher umsetzen (Betriebsregeln).
• Release‑Prozess für Pakete definieren (Staging → Produktion).
• Verfügbarkeit und Integrität absichern (Backups, Spiegelung, Monitoring‑Indikatoren).
• Fehlerbilder im Betrieb systematisch analysieren und beheben.

Zielgruppe und Voraussetzungen

• Zielgruppe: DevOps, Plattformbetrieb, Security Engineering, IT‑Architektur für Mobile‑Verteilung.
• Voraussetzungen: Linux‑Grundlagen, Grundwissen aus F‑Droid in Organisationen: Rollout, Policies, Offline‑Betrieb empfohlen.

Inhalte und Agenda (Zeitplan)

Tag 1

• Architektur: Repository, Index, Signaturen, Client‑Abrufpfad
• Setup‑Varianten: VM, Container, dedizierter Server, isolierte Netze
• Schlüsselmanagement: Verantwortungen, Rotation, Offline‑Keys, Notfallpläne
• Initiale Inbetriebnahme: Repo‑Struktur, erste Pakete, Index, Testclient 
• Hardening‑Baselines: Zugriff, TLS‑Termination‑Muster, Minimalrechte

Tag 2

• Release‑Betrieb: Staging, Freigabe, Produktion, Rollback‑Strategien
• Spiegelung und Verfügbarkeit: Caching, Mirror‑Konzepte, Offline‑Sync
• Monitoring und Logging: Integritäts‑Signale, Index‑Checks, Fehler‑Alarme
• Betriebssimulation: Update‑Welle, Fehlerfall, Recovery‑Übung
• Dokumentation: Betriebscheckliste, Runbooks, Übergabe

Praxisübungen (Step‑by‑step)

Übung 1: Repository‑Referenzumgebung aufsetzen

• Zielumgebung wählen (VM oder Container).
• Repository‑Verzeichnisstruktur erstellen.
• Grundkonfiguration (Pfade, Ausgabe, Signaturmodus) definieren.
• Testpaket bereitstellen.
• Index erzeugen und Repository publishen (Staging).

Übung 2: Schlüssel‑ und Release‑Regeln

• Rollen festlegen (Key‑Owner, Operator, Reviewer).
• Schlüsselablage‑Modell definieren (online/offline).
• Freigabeprozess für neue Pakete erstellen (Vier‑Augen‑Prinzip).
• Rotationstest simulieren (neuer Schlüssel, Client‑Vertrauen erhalten).
• Notfallplan dokumentieren.

Übung 3: Client‑Anbindung und Integritätscheck

• Repository im Client hinzufügen.
• Installations‑ und Updatepfad testen.
• Index‑Integrität prüfen (Vergleich erwarteter Inhalte vs. Clientanzeige).
• Fehlerfall erzeugen (z. B. inkonsistenter Index) und beheben.
• Runbook‑Eintrag erstellen.

Übung 4: Spiegelung und Recovery

• Mirror‑Konzept wählen (Pull‑Mirror, Snapshot).
• Spiegel erzeugen und Clients umschalten (Test).
• Ausfall primär simulieren, Wiederanlauf durchführen.
• Monitoring‑Schwellwerte definieren.
• Backup‑Restore testen (Index und Pakete).

Betriebscheckliste (Inhalte)

• Schlüsselverwaltung und Rotation.
• Staging/Prod‑Trennung.
• Index‑Konsistenzprüfungen.
• Backup‑Frequenzen, Restore‑Tests.
• Monitoring‑Signale (Index‑Update, Signaturstatus, Download‑Fehler).
• Sicherheitsbaseline (Zugriff, Rechte, Konfig‑Drift).