Seminar NeoNephos: Open Component Model – Sichere Softwareauslieferung

Seminarbeschreibung

Verlässliche Softwareauslieferung benötigt zusammengehörige Artefakte, eindeutige Versionen und prüfbare Herkunft. Das Seminar zeigt, wie das Open Component Model diese Informationen verbindet und den Transport zwischen Umgebungen unterstützt. Der praktische Ablauf reicht von der Komponentendefinition über Signierung und Prüfung bis zur Verwendung in einer Kubernetes-Testumgebung.

Die Übungen basieren auf einem abgestimmten Stand der OCM-v2-Werkzeuge. Das Komponentenmodell und die Version des eingesetzten Toolings werden getrennt betrachtet. Ein durchgängiges Beispiel kombiniert ein Container-Image mit einem Deployment-Artefakt und verdeutlicht, wie Freigabe, Transport und erneute Prüfung zusammenwirken.

Inhaltsübersicht

• Komponenten und Versionen
• Artefakte paketieren
• Signieren und verifizieren
• Registry und Transport
• Kubernetes und Automatisierung
• Freigabe und Diagnose

Komponenten und Versionen

• Komponentenidentität, Version, Ressourcen, Quellen und Abhängigkeiten zu einer verständlichen Beschreibung verbinden.
• Die Spezifikation des Komponentenmodells von CLI-, Controller- und Bibliotheksversionen unterscheiden.
• Eine unveränderliche Freigabeversion von Entwicklungsständen trennen und ihre enthaltenen Artefakte eindeutig festhalten.

Artefakte paketieren

• Container-Image und Deployment-Artefakt einer Beispielanwendung einer Komponentenversion zuordnen.
• Metadaten auf Vollständigkeit prüfen und die Komponente mit den vereinbarten OCM-v2-Werkzeugen erzeugen.
• Prüfen, ob eine Komponente alle benötigten Laufzeit- und Deployment-Artefakte vollständig referenziert.

Signieren und verifizieren

• Signaturschlüssel, Vertrauensannahmen und Prüfregeln für einen Auslieferungsprozess festlegen.
• Eine Signatur erstellen und prüfen; das Verhalten bei veränderten oder unvollständigen Artefakten untersuchen.
• Die Gültigkeit einer Signatur getrennt von der fachlichen Freigabe des enthaltenen Softwarestands bewerten.

Registry und Transport

• Komponenten in einer OCI-Registry ablegen und mit ihren abhängigen Artefakten in eine zweite Umgebung übertragen.
• Einen Offline-Transport mit vorbereiteten Transfermedien simulieren und nach dem Import erneut prüfen.
• Nach dem Transport die Verfügbarkeit sämtlicher Abhängigkeiten überprüfen und nicht allein den Komponenteneintrag betrachten.

Kubernetes und Automatisierung

• Die Aufgaben der OCM-Controller und deren Zusammenspiel mit dem vereinbarten GitOps-Ablauf erläutern.
• Eine freigegebene Komponentenversion in der Testumgebung verarbeiten und den Auslieferungszustand beobachten.
• Eine erfolgreiche Verarbeitung des Pakets durch einen Funktionstest der bereitgestellten Beispielanwendung ergänzen.

Freigabe und Diagnose

• Prüfpunkte für Identität, Vollständigkeit, Signatur und Zielumgebung als Freigabekette formulieren.
• Registry-, Berechtigungs- und Abhängigkeitsfehler anhand vorbereiteter Fälle eingrenzen.
• Für eine abgewiesene Lieferung den fehlgeschlagenen Prüfschritt und die notwendige Korrektur dokumentieren.

Praxisübungen

1. Eine Beispielanwendung in Komponentenressourcen gliedern und eine nachvollziehbar versionierte Komponente erzeugen.
2. Die Komponente mit einem Laborschlüssel signieren und die Prüfung mit dem zugehörigen Vertrauensmaterial durchführen.
3. Alle erforderlichen Artefakte in eine getrennte Registry übertragen und einen Offline-Transport als eigenen Testfall nachvollziehen.
4. Eine gültige Version ausliefern, eine manipulierte Variante zurückweisen und die einzelnen Freigabeprüfungen dokumentieren.

Schulungsumgebung

Der Kunde stellt OCM-v2-Werkzeuge, zwei getrennte OCI-Testregistries, einen Kubernetes-Testcluster und geeignete Labor-Schlüssel. Externe Registry-Abhängigkeiten werden vorab gespiegelt; Offline-Transfers erfolgen zwischen isolierten Testbereichen.