GSP521

Übersicht

In einem Challenge-Lab geht es um ein bestimmtes Szenario mit mehreren Aufgaben. Anders als bei einem normalen Lab erhalten Sie jedoch keine Schritt-für-Schritt-Anleitung, sondern nutzen die in den Labs des jeweiligen Kurses erlernten Fähigkeiten, um die Aufgaben selbst zu lösen. Ihre Lösungen werden automatisch bewertet. Die erzielten Punkte finden Sie rechts oben auf dieser Seite.

In Challenge-Labs werden keine neuen Grundlagen zu Google Cloud vermittelt. Sie sollen dabei Ihr Wissen erweitern und es wird erwartet, dass Sie beispielsweise Standardwerte ändern und Fehlermeldungen lesen und recherchieren, um Ihre eigenen Fehler zu beheben.

Die volle Punktzahl erreichen Sie nur, wenn Sie alle Aufgaben innerhalb der vorgegebenen Zeit lösen.

Dieses Lab wird allen empfohlen, die sich für den Kurs Sichere Softwarebereitstellung angemeldet haben. Sind Sie bereit?

Das Szenario

Sie gehören zum Team der Softwareentwicklung bei der Cymbal Bank und haben die Aufgabe, eine neue Webanwendung in der Cloud bereitzustellen und abzusichern. Die Anwendung verarbeitet vertrauliche Kundendaten, daher hat die Sicherheit oberste Priorität. Ihr Ziel ist die Implementierung einer robusten, automatisierten Pipeline, die die containerisierte Anwendung erstellt, scannt, signiert und bereitstellt, alles unter Einhaltung strenger Sicherheitsstandards. In dieser Challenge verwenden Sie Google Cloud-Dienste wie Artifact Registry, die Binärautorisierung und Cloud Build, um eine Beispielanwendung entsprechend anzupassen.

Themen

• Repositories in Artifact Registry erstellen: Sie richten Artifact Registry-Repositories ein, um Docker-Images für Scans und die Produktion zu speichern.
• Docker-Images per Push übertragen: Sie erstellen Docker-Images mit Cloud Build und übertragen sie per Push an Artifact Registry, um sie auf Sicherheitslücken zu scannen.
• Binärautorisierung einrichten: Sie konfigurieren die Binärautorisierung mit Attestierern und Schlüsseln, um Richtlinien für die Image-Signierung zu erzwingen.
• Sicherheitslückenscans auswerten: Sie untersuchen die Ergebnisse von in Artifact Registry ausgeführten Scans auf Sicherheitslücken, um potenzielle Sicherheitsrisiken zu identifizieren und zu verstehen.
• Sichere CI/CD-Pipeline erstellen: Sie erstellen eine Cloud Build-Pipeline, die das Erstellen der Images, das Scannen auf Sicherheitslücken und das Signieren der Images automatisiert.
• Überprüfen und Probleme beheben: Sie analysieren einen Build, der aufgrund kritischer Sicherheitslücken fehlgeschlagen ist, und beheben die Probleme im Anwendungscode.
• Erneut erstellen und bereitstellen: Sie führen die CI/CD-Pipeline mit dem korrigierten Code noch einmal aus und überprüfen, ob das Deployment in Cloud Run funktioniert hat.

Einrichtung und Anforderungen

Vor dem Klick auf „Start Lab“ (Lab starten)

Lesen Sie diese Anleitung. Labs sind zeitlich begrenzt und können nicht pausiert werden. Der Timer beginnt zu laufen, wenn Sie auf Lab starten klicken, und zeigt Ihnen, wie lange Google Cloud-Ressourcen für das Lab verfügbar sind.

In diesem praxisorientierten Lab können Sie die Lab-Aktivitäten in einer echten Cloud-Umgebung durchführen – nicht in einer Simulations- oder Demo-Umgebung. Dazu erhalten Sie neue, temporäre Anmeldedaten, mit denen Sie für die Dauer des Labs auf Google Cloud zugreifen können.

Für dieses Lab benötigen Sie Folgendes:

• Einen Standardbrowser (empfohlen wird Chrome)

• Zeit für die Durchführung des Labs – denken Sie daran, dass Sie ein begonnenes Lab nicht unterbrechen können.

Aufgabe 1: APIs aktivieren und Umgebung einrichten

Bevor Sie mit dem Aufbau Ihrer sicheren CI/CD-Pipeline beginnen können, müssen Sie die erforderlichen Google Cloud APIs aktivieren und Ihre Entwicklungsumgebung einrichten. Nur so haben Sie Zugriff auf alle erforderlichen Dienste und Tools.

1. Aktivieren Sie die für dieses Lab erforderlichen APIs:

2. Führen Sie in der Cloud Shell den folgenden Befehl aus, um die Python-, Docker- und Cloud Build-Beispieldateien herunterzuladen:

3. Erstellen Sie zwei Artifact Registry-Repositories: eines für die Ausführung der Scans und eines für die Produktion. Nennen Sie die Repositories artifact-scanning-repo und artifact-prod-repo.

Das Scan-Repository wird zum Speichern des Docker-Images verwendet, bevor es auf Sicherheitslücken gescannt wird. Im Produktions-Repository wird das Image gespeichert, nachdem es signiert wurde und bereitgestellt werden kann.

Klicken Sie auf Fortschritt prüfen.

Aufgabe 2: Cloud Build-Pipeline erstellen

In dieser Aufgabe legen Sie den Grundstein für Ihre CI/CD-Pipeline mit einer einfachen Cloud Build-Konfiguration, über die Sie Ihr Docker-Image erstellen und per Push an Artifact Registry übertragen. Dieser erste Schritt ist die Voraussetzung, um das Image später im Lab auf Sicherheitslücken scannen zu können.

1. Fügen Sie zuerst dem Cloud Build-Dienstkonto die folgenden Rollen hinzu:

   • roles/iam.serviceAccountUser
   • roles/ondemandscanning.admin

2. Öffnen Sie im Cloud Shell-Editor die Datei sample-app/cloudbuild.yaml.

3. Füllen Sie die TODO-Punkte in der Datei aus: Ersetzen Sie die Platzhalter für den Image-Namen (<image-name>). Dabei müssen Sie das Repository artifact-scanning-repo referenzieren. Der Image-Name sollte sample-image lauten. Verwenden Sie die Region „“.

4. Senden Sie den Build.

5. Gehen Sie zum Image, das Sie per Push in das Repository artifact-scanning-repo übertragen haben. Sie sollten in den Scanergebnissen eine Reihe von Sicherheitslücken des Schweregrads Kritisch sehen.

Klicken Sie auf Fortschritt prüfen.

Aufgabe 3: Binärautorisierung einrichten

Sie müssen strenge Sicherheitsrichtlinien für Container-Deployments erzwingen. Damit das funktioniert, nutzen Sie die Binärautorisierung. Mit diesem Dienst können Sie festlegen, wer welche Images unter welchen Bedingungen bereitstellen darf. In dieser Aufgabe erstellen und konfigurieren Sie die notwendigen Komponenten der Binärautorisierung, einschließlich Attestierern, Notizen und KMS-Schlüsseln. Diese Komponenten sind die Grundlage für die Einbindung der Binärautorisierung in Ihre CI/CD-Pipeline.

Attestierer erstellen

1. Erstellen Sie in der Cloud Shell eine JSON-Datei. Diese Datei definiert eine Attestierernotiz mit dem Attestierungshinweis. Der Parameter human_readable_name des Attestierungshinweises sollte auf „Container Vulnerabilities attestation authority“ (Zertifizierungsstelle für die Attestierung von Container-Sicherheitslücken) festgelegt werden.

2. Erstellen Sie mit der Container Analysis API eine neue Notiz mit der ID vulnerability_note. Die Details der Notiz sollten in der Notizdatei definiert sein, die Sie im vorherigen Schritt erstellt haben. Achten Sie darauf, die richtige Authentifizierung und den richtigen Content-Type-Header in Ihre API-Anfrage aufzunehmen.

3. Rufen Sie mit der Container Analysis API die Details der Attestierernotiz ab, die Sie gerade erstellt haben. Achten Sie darauf, die richtige Authentifizierung in Ihre API-Anfrage aufzunehmen.

4. Erstellen Sie mit dem Befehlszeilentool gcloud einen neuen Attestierer für die Binärautorisierung. Die Attestierer-ID sollte vulnerability-attestor lauten und mit der Attestierernotiz verknüpft sein, die Sie zuvor erstellt haben.

5. Verwenden Sie das Befehlszeilentool gcloud, um alle vorhandenen Attestierer für die Binärautorisierung aufzulisten. Überprüfen Sie, ob der gerade erstellte Attestierer in der Liste enthalten ist.

6. Erstellen Sie eine IAM-Richtlinie, die dem Dienstkonto für die Binärautorisierung die Rolle roles/containeranalysis.notes.occurrences.viewer für die von Ihnen erstellte Attestierernotiz gewährt. Verwenden Sie dann die Container Analysis API, um die IAM-Richtlinie auf die Notiz anzuwenden.

KMS-Paar generieren

In diesem Abschnitt generieren Sie ein KMS-Schlüsselpaar zum Signieren von Attestierungen.

1. Richten Sie die Schlüsselverwaltung ein:

   • Erstellen Sie einen KMS-Schlüsselbund mit dem Namen binauthz-keys am Standort global, um die Schlüssel zu speichern.
   • Generieren Sie in diesem Schlüsselbund ein neues asymmetrisches Schlüsselpaar für die Signierung. Nennen Sie den Schlüssel lab-key und achten Sie darauf, dass für ihn Version 1 angegeben ist.

2. Verknüpfen Sie den Schlüssel mit dem Attestierer:

   • Verwenden Sie das Befehlszeilentool gcloud, um den Schlüssel lab-key (Version 1) mit Ihrem Attestierer für die Binärautorisierung zu verknüpfen. Achten Sie darauf, den Standort global und den Schlüsselbund binauthz-keys anzugeben, wenn Sie auf den Schlüssel verweisen.

Richtlinie für die Binärautorisierung aktualisieren

1. Ändern Sie die Richtlinie: Passen Sie die Richtlinie für die Binärautorisierung so an, dass als Standardregel Attestierungen erzwungen werden.

2. Attestierer einbinden: Nehmen Sie den zuvor erstellten Attestierer vulnerability-attestor in die Richtlinienkonfiguration auf.

Klicken Sie auf Fortschritt prüfen.

Aufgabe 4: Cloud Build-CI/CD-Pipeline mit Sicherheitslückenscans erstellen

In dieser Aufgabe bauen Sie auf der grundlegenden Pipeline aus Aufgabe 2 auf und erweitern sie um essenzielle Sicherheitsfunktionen. Dazu gehört das Scannen auf Sicherheitslücken zur Identifizierung potenzieller Schwachstellen in Ihren Container-Images ebenso wie das Signieren von Images zur Gewährleistung der Image-Integrität. Im Folgenden integrieren Sie das Scannen auf Sicherheitslücken und das Signieren von Images in Ihre CI/CD-Pipeline, um sie robuster und sicherer zu machen.

Erforderliche Rollen zum Cloud Build-Dienstkonto hinzufügen

1. Weisen Sie dem Cloud Build-Dienstkonto die folgenden IAM-Rollen in Ihrem Projekt zu:

   • roles/binaryauthorization.attestorsViewer
   • roles/cloudkms.signerVerifier
   • roles/containeranalysis.notes.attacher
   • roles/iam.serviceAccountUser
   • roles/ondemandscanning.admin

2. Zusätzlich muss das standardmäßig verwendete Compute Engine-Dienstkonto die Rolle cloudkms.signerVerifier haben.

Benutzerdefinierten Build-Schritt installieren

1. Sie verwenden einen benutzerdefinierten Build-Schritt in Cloud Build, um den Attestierungsprozess zu vereinfachen. Dieser Schritt wird von Google bereitgestellt und umfasst Hilfsfunktionen zur Optimierung des Prozesses. Bevor Sie den Schritt verwenden, muss sein Code in einen Container eingebunden und per Push an Cloud Build übertragen werden. Führen Sie hierzu den folgenden Befehl aus:

Cloud Build-Pipeline aktualisieren

In diesem Abschnitt vervollständigen Sie die Cloud Build-Pipeline mit Funktionen zum Scannen auf Sicherheitslücken, Überprüfen des Schweregrads, Signieren von Images und Bereitstellen in Cloud Run. Der unten angegebene Code ist eine Teilimplementierung der Pipeline. Sie müssen die fehlenden Teile ergänzen, um die Pipeline zu komplettieren.

1. Füllen Sie die TODO-Abschnitte in der Datei aus, um die fehlenden Teile der Pipeline zu erstellen:
   • Geben Sie den für Sicherheitslückenscans zu verwendenden Speicherort des Images in Artifact Registry an. Denken Sie daran, dass das Image im Repository artifact-scanning-repo gescannt werden soll.
   • Legen Sie einen geeigneten Schweregrad für die Sicherheitslückenscans fest: Die Pipeline sollte fehlschlagen, wenn Sicherheitslücken mit der Einstufung KRITISCH gefunden werden.
   • Konfigurieren Sie den Schritt zur Signierung der Images mit dem richtigen Attestierer und dem richtigen KMS-Schlüssel. Der Name des Attestierers ist vulnerability-attestor und die Schlüsselversion ist der vollständige Pfad zu Version 1 von lab-key.
   • Taggen Sie das für die Produktion vorgesehene Image neu und übertragen Sie es per Push in das Produktions-Repository. Als Produktions-Repository sollten Sie das Repository artifact-prod-repo verwenden.
   • Stellen Sie das Image in Cloud Run bereit. Verwenden Sie dazu das Produktions-Image aus dem Repository artifact-prod-repo.

cloudbuild.yaml

3. Lösen Sie den Build aus:

   • Senden Sie die erstellte Cloud Build-Konfiguration, um den Build-Prozess anzustoßen.
   • Berücksichtigen Sie beim Senden des Builds die Region, in der Sie arbeiten.

4. Beobachten Sie, wie der Build fehlschlägt:

   • Rufen Sie in der Google Cloud Console die Seite „Cloud Build-Verlauf“ auf.
   • Suchen Sie nach dem Build, den Sie gerade ausgelöst haben, und überprüfen Sie seinen Status.
   • Vergewissern Sie sich, dass der Build aufgrund einer Sicherheitslücke mit dem Schweregrad KRITISCH fehlgeschlagen ist.

Klicken Sie auf Fortschritt prüfen.

Aufgabe 5: Sicherheitslücke beheben und CI/CD-Pipeline erneut bereitstellen

In der Praxis decken Scans auf Sicherheitslücken oft Probleme auf, die behoben werden müssen. In dieser Aufgabe wird ein solches Szenario simuliert: Ihr Build schlägt aufgrund einer kritischen Sicherheitslücke fehl. Nun müssen Sie analysieren, warum der Build fehlgeschlagen ist, die Sicherheitslücke identifizieren und die Abhängigkeiten Ihrer Anwendung aktualisieren, um sie zu beheben. Anschließend lösen Sie die Cloud Build-Pipeline noch einmal aus, um sicherzustellen, dass der Build ohne kritische Sicherheitslücken abgeschlossen wird.

1. Aktualisieren Sie das Dockerfile: Ändern Sie Ihr Dockerfile so, dass das Basis-Image python:3.8-alpine verwendet wird. Aktualisieren Sie die Abhängigkeiten Flask, Gunicorn und Werkzeug auf die folgenden Versionen:

   • Flask: 3.0.3
   • Gunicorn: 23.0.0
   • Werkzeug: 3.0.4

2. Lösen Sie den Build erneut aus: Senden Sie Ihre aktualisierte Cloud Build-Konfiguration, um einen neuen Build anzustoßen.

3. Überprüfen Sie den Erfolg des Build-Prozesses: Rufen Sie die Seite „Cloud Build-Verlauf“ auf und vergewissern Sie sich, dass der Build erfolgreich und ohne Sicherheitslücken vom Typ KRITISCH abgeschlossen wurde.

4. Führen Sie zum Testen den nachfolgenden Befehl aus, um nicht authentifizierten Zugriff auf den Cloud Run-Dienst zu ermöglichen und das Deployment zu validieren. Ersetzen Sie dabei <your-region> durch die Region, in der Sie den Dienst bereitgestellt haben.

5. Validieren Sie das Deployment: Rufen Sie die URL des Cloud Run-Dienstes auf, um zu überprüfen, ob Ihre Anwendung bereitgestellt wurde und ordnungsgemäß funktioniert.

Klicken Sie auf Fortschritt prüfen.

Geschafft!

Damit haben Sie das Lab erfolgreich absolviert. Sie haben eine sichere CI/CD-Pipeline implementiert, die eine Webanwendung erstellt, scannt, signiert und in der Cloud bereitstellt. Durch diese praktische Übung haben Sie essenzielle Fähigkeiten erworben: Sie können jetzt sichere Anwendungen entwickeln und in der Cloud bereitstellen, Best Practices für die Sicherheit in Ihre Entwicklungs-Workflows einbinden und die Integrität Ihres Softwarebereitstellungsprozesses gewährleisten.

Weitere Informationen

In den folgenden Ressourcen finden Sie weitere Informationen zu den in diesem Lab behandelten Themen:

• Dokumentation für die Binärautorisierung
• Kurzanleitung: Richtlinie zur Binärautorisierung mit GKE konfigurieren
• Artefaktanalyse und Scannen auf Sicherheitslücken

Google Cloud-Schulungen und -Zertifizierungen

In unseren Schulungen erfahren Sie alles zum optimalen Einsatz unserer Google Cloud-Technologien und können sich entsprechend zertifizieren lassen. Unsere Kurse vermitteln technische Fähigkeiten und Best Practices, damit Sie möglichst schnell mit Google Cloud loslegen und Ihr Wissen fortlaufend erweitern können. Wir bieten On-Demand-, Präsenz- und virtuelle Schulungen für Anfänger wie Fortgeschrittene an, die Sie individuell in Ihrem eigenen Zeitplan absolvieren können. Mit unseren Zertifizierungen weisen Sie nach, dass Sie Experte im Bereich Google Cloud-Technologien sind.

Anleitung zuletzt am 10. Dezember 2025 aktualisiert

Lab zuletzt getestet am 4. September 2024

© 2026 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.