DevOps Artisan – DevSecOps Advanced

Cursul DevOps Artisan – DevSecOps Advanced acoperă noțiuni referitoare la securitatea infrastucturii aplicațiilor containerizate. De asemenea în cadrul cursului se oferă și noțiuni referitoare la recomandări privind bune practici pentru securizarea rețelei și aplicațiilor.

Într-un ecosistem IT în care aplicațiile sunt dezvoltate, livrate și operate din ce în ce mai mult prin intermediul containerelor și al platformelor de orchestrare, securitatea nu mai poate fi tratată ca o etapă separată, introdusă la finalul procesului de dezvoltare. Modelul DevSecOps extinde principiile DevOps prin integrarea securității în întregul ciclu de viață al aplicațiilor și infrastructurii, de la proiectare și configurare până la deployment, operare și monitorizare. Cursul DevOps Artisan – DevSecOps Advanced este orientat către securizarea infrastructurilor bazate pe containere și Kubernetes și către aplicarea unor mecanisme avansate de protecție pentru rețea, workload-uri, identitate, comunicații și secrete. Cursul are o durată de 3 zile, nivel Advanced și este disponibil în format de clasă virtuală.

Un obiectiv central al cursului este dezvoltarea unei perspective de Cloud Native Security, în care securitatea este analizată la nivelul întregului stack. Modelul celor 4C-uri – Cloud, Cluster, Container și Code – ajută la înțelegerea faptului că protecția unei aplicații moderne nu poate depinde de un singur mecanism de securitate. Fiecare nivel introduce propriile riscuri și controale, iar arhitectura finală trebuie să țină cont de relația dintre infrastructură, platforma Kubernetes, containere și aplicațiile care rulează în acestea. Cursul introduce și modelul STRIDE Threat Model, oferind un cadru pentru identificarea și analizarea amenințărilor încă din etapa de proiectare.

Securitatea nodurilor și a containerelor reprezintă o altă componentă importantă. Într-un cluster Kubernetes, compromiterea unui nod sau configurarea necorespunzătoare a unui workload poate afecta disponibilitatea, integritatea sau confidențialitatea aplicațiilor. De aceea, securizarea infrastructurii trebuie să includă atât protejarea sistemelor de bază, cât și controlul modului în care sunt construite, distribuite și executate imaginile containerelor. Cursul abordează securizarea imaginilor, instrumente de identificare a vulnerabilităților, OCI annotations, security context și bune practici pentru administrarea sigură a workload-urilor Kubernetes. Sunt incluse și laboratoare practice dedicate image security, ceea ce permite aplicarea directă a conceptelor discutate.

Controlul accesului este tratat dintr-o perspectivă avansată, pornind de la mecanismele Kubernetes RBAC. Sunt analizate obiecte precum Role, ClusterRole, RoleBinding și ClusterRoleBinding, precum și modul în care acestea pot fi utilizate pentru implementarea principiului least privilege. Cursul extinde această zonă către surse externe de autentificare, OpenID Connect, fluxuri OIDC și JWT, precum și integrarea Keycloak cu Kubernetes. Astfel, participanții pot înțelege cum poate fi construit un model coerent de identitate și acces într-un mediu distribuit, în care utilizatorii și serviciile trebuie autentificați și autorizați în mod controlat.

O atenție deosebită este acordată securității comunicațiilor dintre componentele aplicațiilor. În arhitecturile bazate pe microservicii, numărul de conexiuni dintre servicii poate crește semnificativ, iar securizarea acestora devine esențială. Cursul introduce Istio și conceptele asociate unui service mesh, analizând arhitectura și componentele sale, rutarea traficului, traffic shifting, request routing, fault injection, circuit breaking și traffic mirroring. Aceste mecanisme permit controlul mai precis al traficului dintre servicii și pot contribui atât la securitate, cât și la reziliența și observabilitatea aplicațiilor.

Un element esențial al cursului este utilizarea mTLS – mutual Transport Layer Security pentru protejarea comunicațiilor dintre workload-uri. Într-o infrastructură distribuită, simpla existență a unor servicii într-o rețea internă nu este suficientă pentru a considera comunicațiile sigure. Prin mTLS, serviciile pot fi autentificate reciproc, iar traficul poate fi criptat. Cursul abordează securizarea comunicațiilor cu Istio, authorization policies și diferențierea dintre identități autentificate și neautentificate. Laboratorul dedicat Istio mTLS și autorizării oferă participanților posibilitatea de a configura și testa aceste mecanisme într-un mediu practic.

Securitatea nu poate fi separată de observabilitate, motiv pentru care cursul tratează și monitorizarea unui service mesh. Participanții lucrează cu Kiali pentru vizualizarea infrastructurii și generarea service graph-urilor și cu Jaeger pentru distributed tracing. Sunt analizate metrici, distributed tracers și access logs, astfel încât comportamentul aplicațiilor și al comunicațiilor dintre servicii să poată fi urmărit și investigat. Într-un mediu DevSecOps, aceste informații sunt importante nu doar pentru troubleshooting, ci și pentru identificarea unor comportamente neobișnuite sau a unor potențiale incidente de securitate.

Cursul abordează și implementarea politicilor de securitate la nivelul clusterului. Pod Security Policies și principiile de control al comportamentului workload-urilor sunt introduse în contextul securizării aplicațiilor Kubernetes. De asemenea, participanții descoperă Open Policy Agent (OPA) și modul în care acesta poate fi integrat cu Kubernetes prin OPA Gatekeeper. OPA permite separarea politicilor de mecanismele propriu-zise de execuție și oferă o modalitate flexibilă de definire și aplicare a regulilor de securitate și conformitate. Laboratorul dedicat OPA Gatekeeper transformă aceste concepte într-un exercițiu practic de policy enforcement.

Gestionarea secretelor constituie o altă zonă critică într-o infrastructură containerizată. Parolele, token-urile, certificatele, cheile și alte informații sensibile nu trebuie tratate ca simple variabile de configurare și nici stocate neprotejat în cod sau în fișiere accesibile inutil. Modulul dedicat HashiCorp Vault introduce conceptele fundamentale ale secret management-ului, riscurile asociate secretelor și metodele de protejare a acestora. Participanții analizează rularea Vault în Kubernetes și integrarea sa cu platforma, inclusiv printr-un laborator practic de secret management.

Un avantaj important al cursului este caracterul practic. Agenda include laboratoare hands-on pentru Cert-Manager, RBAC, Network Policies, image security, Istio, fault injection, mTLS și autorizare, observabilitate, politici de securitate, OPA Gatekeeper și secret management. Această abordare permite trecerea de la concepte de securitate la configurarea efectivă a mecanismelor într-un ecosistem Kubernetes.

Cursul se adresează profesioniștilor care au deja experiență cu aplicații containerizate și tehnologii de orchestrare și care doresc să ducă securitatea mediilor Kubernetes la un nivel avansat. Publicul include DevOps Engineers, administratori de sisteme Linux, system design engineers și arhitecți. Pentru participare sunt recomandate cunoștințe avansate despre containere și Kubernetes, inclusiv înțelegerea terminologiei și funcționării unui cluster. Sunt recomandate, de asemenea, cunoștințe practice despre RBAC, resource control, logging și monitoring; experiența dobândită prin cursuri precum Docker Basic, Kubernetes Basic și Kubernetes Advanced reprezintă un avantaj.

Prin urmare, DevOps Artisan – DevSecOps Advanced reprezintă o etapă naturală pentru profesioniștii care au depășit nivelul introductiv de Docker și Kubernetes și doresc să construiască infrastructuri cloud-native mai sigure. Cursul combină securitatea containerelor, controlul accesului, autentificarea externă, network policies, securizarea imaginilor, service mesh, mTLS, observabilitatea, policy enforcement și managementul secretelor într-un singur parcurs coerent. Accentul pus pe laboratoare permite participanților să înțeleagă nu doar de ce anumite controale sunt necesare, ci și cum pot fi implementate și verificate în practică.

În contextul actual al dezvoltării software, securitatea eficientă presupune integrarea controalelor în infrastructură și în procesele de livrare, nu adăugarea lor după finalizarea aplicației. Un mediu Kubernetes bine securizat trebuie să combine identitate și acces controlat, politici explicite, imagini verificate, comunicații criptate, observabilitate, protecția secretelor și mecanisme automate de aplicare a regulilor. Prin acoperirea acestor componente, cursul oferă o bază solidă pentru proiectarea și operarea unor platforme containerizate în care securitatea devine parte integrantă a modelului DevOps.

DevOps Artisan – DevSecOps Advanced este destinat profesioniștilor care doresc să transforme securitatea Kubernetes dintr-o serie de configurări izolate într-o strategie coerentă de protecție a aplicațiilor cloud-native. Prin combinarea conceptelor de Cloud Native Security cu RBAC, OIDC, Network Policies, image security, Istio, mTLS, observabilitate, OPA și HashiCorp Vault, cursul urmărește dezvoltarea competențelor necesare pentru construirea unor medii containerizate mai sigure, controlabile și reziliente. Structura de 3 zile și numeroasele exerciții hands-on îl poziționează ca un curs avansat, potrivit pentru profesioniștii care au deja experiență practică în Docker și Kubernetes și doresc să aprofundeze componenta de securitate a infrastructurilor moderne.