Seminar Sonatype Lifecycle Developer Integration und Remediation

Überblick

Dieses Seminar richtet Sonatype Lifecycle auf Entwicklungsteams aus. Behandelt werden Scans, Entwickler-Feedback, Build-Integration, Policy-Verletzungen, Priorisierung und Remediation. Zwei Tage reichen aus, weil die Administration nur soweit betrachtet wird, wie sie für die tägliche Entwicklung und Pipeline-Nutzung erforderlich ist.

Inhaltsverzeichnis

• Überblick
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praktische Übungen

Zielgruppe

Entwicklungsteams, DevOps Engineers, Build-Verantwortliche und technische Leads, die Lifecycle-Ergebnisse im Entwicklungsalltag nutzen.

Voraussetzungen

Praxis mit Build-Werkzeugen, Abhängigkeitsdateien und CI/CD-Grundlagen. Grundlagen zu Open-Source-Risiken sind hilfreich.

Seminarinhalte

1. Lifecycle aus Entwicklersicht verstehen

1. Applikationsbewertung, Stages und Policy-Verletzungen einordnen.
2. Unterschied zwischen Build-Abbruch, Warnung und manueller Prüfung verstehen.
3. Informationsbedarf für Entwicklerteams festlegen.

2. Scans in Arbeitsabläufe integrieren

1. Projektzuordnung und Applikationskennung vorbereiten.
2. Build- oder CLI-Scan in eine Pipeline einfügen.
3. Scanergebnisse im Pull-Request- oder Build-Kontext bewerten.

3. Remediation durchführen

1. Betroffene Komponenten und transitive Abhängigkeiten identifizieren.
2. Empfohlene Versionen, Austauschoptionen und Risikoakzeptanz bewerten.
3. Änderungen kontrolliert testen und erneut scannen.

4. Teamprozess stabilisieren

1. Definition of Done um Security- und Lizenzprüfungen ergänzen.
2. Waiver-Anfragen strukturiert vorbereiten.
3. Regelmäßige Pflege von Abhängigkeiten in Sprint- oder Release-Prozesse einbauen.

Praktische Übungen

• Analyse eines Beispielprojekts mit riskanten Abhängigkeiten.
• Einbau eines Lifecycle-Scans in einen Build-Ablauf.
• Durchführung einer Remediation mit erneutem Scan.
• Erstellung einer teamfähigen Checkliste für Dependency-Updates.