Seminar Podman Build mit Sicherheit, Secrets und Compliance

Sichere Builds ohne eingebaute Geheimnislecks

Dieses Seminar konzentriert sich auf die Sicherheitsaspekte von podman build. Behandelt werden der kontrollierte Umgang mit Secrets, Authentifizierung gegenüber Registries, vertrauenswürdige Base Images, Rootless-Betrieb, Build-Parameter, Image-Metadaten und organisatorische Anforderungen an nachvollziehbare Builds. Der praktische Maßstab ist einfach: Ein Image soll funktionieren, ohne dass Zugangsdaten, interne Pfade oder historische Schnellschüsse darin verewigt werden.

Das Training zeigt, wie sensible Informationen während des Builds genutzt werden können, ohne sie dauerhaft in Layern, Shell-Historien oder Containerfiles abzulegen. Zusätzlich werden Labels, Benutzerkonzepte, Paketquellen, Build-Argumente und Registry-Zugriffe aus Sicherheits- und Compliance-Perspektive betrachtet.

Zielgruppe

• Teams mit Sicherheits- und Compliance-Anforderungen an Container-Images
• Administratoren, die Rootless-Builds und Registry-Zugriffe absichern müssen
• DevOps-Teams, die Secrets und private Abhängigkeiten in Build-Prozessen nutzen
• Entwickler, die sichere Containerfiles schreiben und prüfen sollen

Inhalte

• Sicherheitsmodell von Podman im Build-Kontext und Bedeutung rootloser Ausführung
• Verwendung von Secrets in Build-Schritten ohne dauerhafte Speicherung im Image
• Authfile, Credentials, private Registries und Trennung von Benutzer- und Pipeline-Kontext
• Kontrolle von Base Images, Tags, Digest-Bezug und Aktualisierungsstrategie
• Containerfile-Regeln für Benutzer, Paketinstallation, temporäre Dateien und Bereinigung
• Labels, Metadaten und Dokumentationspflichten für interne Nachvollziehbarkeit
• Risiken von Build-Argumenten, ENV-Anweisungen und Layer-Historie
• Prüfansätze für Images vor Veröffentlichung in Test oder Produktion

Praxisübungen

1. Ein Build mit Secret-Datei wird korrekt umgesetzt und auf Rückstände geprüft.
2. Registry-Zugriffe werden mit separater Authentifizierungsdatei durchgeführt.
3. Ein Containerfile wird auf unsichere Muster untersucht und bereinigt.
4. Ein Base Image wird über Tag und Digest bewertet.
5. Labels und Metadaten werden für interne Nachverfolgbarkeit ergänzt.

Praxisnutzen

Nach dem Training können Build-Prozesse sicherer gestaltet und typische Lecks vermieden werden. Das ist deutlich günstiger, als später in einem Incident-Call zu erklären, warum ein Token in einem Image-Layer wohnt wie Opa in seinem Ohrensessel.