Seminar Sigstore Intensivseminar: Gesamtausbildung für cosign Rekor und Fulcio

Seminarbeschreibung

Das Intensivseminar bündelt die Inhalte der Einzelseminare in einem fünftägigen Gesamtformat. Behandelt werden Architektur, cosign-Grundlagen, keyless signing, Fulcio, Rekor, CI/CD-Integration, Attestations, SBOM, Kubernetes-Admission, Enterprise-Trust-Roots, Audit und Incident Response.

Inhaltsübersicht

• Sigstore-Architektur und Sicherheitsmodell
• cosign Signaturen und Verifikation
• Fulcio, OIDC und kurzlebige Zertifikate
• Rekor Transparenzlog und Audit
• CI/CD, Kubernetes Policies, Attestations und Enterprise-Betrieb

Zielgruppe

• DevSecOps Engineers
• Security Engineers
• Plattformteams
• Architekten
• Betriebsteams
• technische Projektleiter

Voraussetzungen

Erforderlich sind praktische Erfahrung mit Linux, Containern, CI/CD-Grundlagen und Sicherheitsprozessen. Kubernetes- und PKI-Kenntnisse sind für einzelne Vertiefungen hilfreich.

Seminarinhalte

Kapitel 1: Architektur, Bedrohungsbild und Einführungspfad

Inhaltsverzeichnis dieses Kapitels:

• Software-Supply-Chain-Risiken
• Sigstore-Komponenten
• Trust Root
• Einführungsstrategie

Das Kapitel legt die gemeinsame Sprache für das gesamte Intensivseminar. Es verbindet Schutzbedarf, Artefaktfluss und Komponentenmodell.

Schrittfolge:

1. Artefaktfluss erfassen
2. Risiken je Prozessschritt markieren
3. cosign, Fulcio und Rekor zuordnen
4. Pilotumfang bestimmen
5. Einführungsrisiken priorisieren

Kapitel 2: cosign, Signaturen und Verifikation

Inhaltsverzeichnis dieses Kapitels:

• Signieren
• Verifizieren
• Identitätsvorgaben
• Fehleranalyse

Die Grundpraxis wird intensiv trainiert, weil alle weiteren Themen auf korrekter Signatur- und Verifikationsarbeit aufbauen.

Schrittfolge:

1. Artefakt vorbereiten
2. Signatur erzeugen
3. Identität und Nachweise anzeigen
4. Verifikation mit erwarteter Identität durchführen
5. Fehlerfälle auswerten

Kapitel 3: Fulcio, OIDC, Rekor und Auditierbarkeit

Inhaltsverzeichnis dieses Kapitels:

• kurzlebige Zertifikate
• OIDC-Identitäten
• Transparenzlog
• Audit-Trail

Dieses Kapitel verbindet Zertifikatsausstellung, Identität und Transparenznachweise zu einer prüfbaren Aussage über ein Artefakt.

Schrittfolge:

1. Zertifikatsattribute untersuchen
2. OIDC-Identität bewerten
3. Rekor-Eintrag ermitteln
4. Nachweis mit Signatur verknüpfen
5. Prüfentscheidung dokumentieren

Kapitel 4: CI/CD, Attestations und Kubernetes-Policies

Inhaltsverzeichnis dieses Kapitels:

• Pipeline-Signaturen
• SBOM und Provenance
• Admission Control
• Policy-Regeln

Die Signaturkette wird in automatisierte Prozesse überführt. Build, Release und Laufzeitprüfung werden als zusammenhängender Kontrollfluss behandelt.

Schrittfolge:

1. Signaturschritt in Pipeline platzieren
2. Attestation erzeugen
3. Verifikations-Gate einbauen
4. Kubernetes-Policy formulieren
5. zulässige und blockierte Deployments testen

Kapitel 5: Enterprise-Betrieb, private Komponenten und Incident Response

Inhaltsverzeichnis dieses Kapitels:

• Trust Roots
• private Komponenten
• Monitoring
• Incident Response

Das letzte Kapitel fasst Betriebsentscheidungen, Vertrauensverteilung, Monitoring und Reaktion auf Abweichungen zusammen.

Schrittfolge:

1. Vertrauensdomänen definieren
2. Trust-Root-Verteilung skizzieren
3. Monitoringpunkte festlegen
4. Incident-Fall analysieren
5. Betriebscheckliste erstellen

Praxisübungen und Laboraufgaben

Die Laboraufgaben führen alle Themen zu einer durchgängigen Referenzkette vom Build-Artefakt bis zur Policy-Entscheidung zusammen.

1. Referenzarchitektur erstellen
2. Artefakt signieren und verifizieren
3. Fulcio- und Rekor-Nachweise untersuchen
4. Pipeline-Gate modellieren
5. Attestation prüfen
6. Kubernetes-Policy testen
7. Enterprise-Trust-Root-Konzept skizzieren
8. Incident-Fall technisch bewerten