Information et éducation par et pour la communauté SAP

DevOps mit Open Source? Aber sicher!

Der Einsatz von Open Source unterstützt DevOps-Teams bei der agilen Software-Entwicklung. Doch im Bestreben, Code immer schneller zu produzieren, bleibt der Schutz vertraulicher und privilegierter Anmeldedaten häufig auf der Strecke.
Michael Kleist, CyberArk
9 décembre 2021
Open-Source
avatar
Ce texte a été automatiquement traduit en français de l'allemand

DevOps-Teams stehen heute unter hohem Druck, neue Anwendungen und Services schnell bereitzustellen, um die digitale Transformation im Unternehmen voranzutreiben. Dabei helfen ihnen Open-Source-Tools, die dank offener Schnittstellen und Standards gut zusammenarbeiten und eine weitgehende Automatisierung von Prozessen für Continuous Integration und Delivery (CI/CD) erlauben.

Die Tools lassen sich einfach evaluieren und einführen, ohne Unterstützung und – leider auch häufig – ohne Abstimmung mit IT- und Security-Teams. Doch der Versuch, neue Anwendungen immer schneller zu produzieren und in immer kürzeren Abständen mit Updates zu versorgen, führt oft zu unsicheren Praktiken – insbesondere im Umgang mit vertraulichen und privilegierten Anmeldedaten wie Passwörtern, API- und SSH-Schlüsseln sowie Zertifikaten.

Regelmäßig betten Entwickler beispielsweise Anmeldedaten – etwa für den Zugriff auf wichtige Datenbanken oder Cloud-Dienste – direkt in den Programmcode ein oder speichern sie in Konfigurationsdateien. Das ist ohnehin riskant, weil Code und Konfigurationen meist in zentralen Repositorys abgelegt werden, auf die viele verschiedene Anwender Zugriff haben. Im Falle von Open Source, die vom Community-Gedanken und dem Teilen von Quellcode lebt, besteht zudem die Gefahr, dass Anmeldedaten das Unternehmen ungewollt verlassen und leicht angreifbar machen. Dabei ist das Teilen von Code durchaus erwünscht und wichtig für die Weiterentwicklung von Open-Source-Software, lediglich die Anmeldedaten haben nichts im Code zu suchen.

Darüber hinaus setzen DevOps-Teams häufig Open-Source-Tools ein, ohne diese zuvor ausreichend auf Schwachstellen und einen sicheren Umgang mit Anmeldedaten zu prüfen. Oder sie verwenden Third-Party-Code, der nicht ausreichend getestet wurde oder veraltet ist. Damit stehen Sicherheitsverantwortliche vor der Herausforderung, Risiken beim Einsatz von Open Source zu minimieren, ohne DevOps-Teams in ihrer Arbeit auszubremsen.

Auf klassische Lösungen für das Security-Management können sie dabei in der Regel nicht zurückgreifen, weil diese für traditionelle Software-Anwendungen und Entwicklungsmethoden ausgelegt sind – und damit zu langsam, unflexibel und komplex für die agile Entwicklungswelt. Inzwischen gibt es jedoch moderne Lösungen für das Secrets-Management, also die Kontrolle und Verwaltung privilegierter Zugänge zu kritischen Systemen und zwischen Anwendungsteilen, und das auch auf Open-Source-Basis. Diese Lösungen schützen die Anmeldedaten sowohl von technischen Identitäten als auch menschlichen Anwendern in DevOps-Umgebungen und integrieren Sicherheit nahtlos in bestehende CI/CD-Prozesse.

Ein modernes Secrets-Management entfernt hart kodierte Anmeldedaten aus Anwendungen sowie den Skripten und Konfigurationsdateien von Automatisierungs- und Konfigurationstools entlang der gesamten CI/CD-Pipeline und verwaltet diese zentral. Es bietet richtlinien- und rollenbasierte Zugriffskontrollen, eine Rotation von Anmeldedaten und eine vollständige Dokumentation für Audits.

Ebenso überprüft es die Anfragen von Containern nach Anmeldedaten und gibt diese entsprechend den Richtlinien frei – etwas, woran althergebrachte Security-Lösungen aufgrund der kurzen Lebenszeit von Containern zumeist scheitern. Auch neue Hosts in Cloud-Umgebungen bekommen vom Secrets-Management die passenden Identitäten zugewiesen, sodass DevOps-
Teams automatische Skalierungsfunktionen nutzen können und neue Hosts nicht manuell mit Berechtigungen ausstatten müssen.

Zusammenfassend authentifiziert, kontrolliert und auditiert ein modernes Secrets-Management alle Zugriffe zentral über Tool-Stacks, Container-Plattformen und Cloud-Umgebungen hinweg und löst damit auch Security-Silos auf. Security-Teams schützen so sämtliche Anmeldedaten zuverlässig, während sich DevOps-Teams auf ihre eigentliche Aufgabe konzen-trieren können: die Entwicklung, Pflege und den Betrieb von Anwendungen.

avatar
Michael Kleist, CyberArk

Michael Kleist ist Regional Director DACH bei CyberArk in Düsseldorf.


Écrire un commentaire

Le travail sur la base SAP est essentiel pour réussir la conversion S/4. 

Ce que l'on appelle le centre de compétences prend ainsi une importance stratégique chez les clients existants de SAP. Indépendamment du modèle d'exploitation d'un S/4 Hana, les thèmes tels que Automatisation, Suivi, Sécurité, Gestion du cycle de vie des applications et Gestion des données la base de l'exploitation opérationnelle de S/4.

Pour la deuxième fois déjà, le magazine E3 organise à Salzbourg un sommet pour la communauté SAP afin de s'informer en détail sur tous les aspects du travail de base de S/4-Hana.

Lieu de la manifestation

FourSide Hôtel Salzbourg,
Trademark Collection by Wyndham
Am Messezentrum 2, 5020 Salzbourg, Autriche
+43-66-24355460

Date de l'événement

mercredi 10 juin, et
Jeudi 11 juin 2026

Billet d'entrée anticipé

Billet régulier

EUR 390 hors TVA
disponible jusqu'au 1.10.2025
EUR 590 hors TVA

Lieu de la manifestation

Hôtel Hilton Heidelberg
Kurfürstenanlage 1
D-69115 Heidelberg

Date de l'événement

mercredi 22 avril et
Jeudi 23 avril 2026

Billets

Billet régulier
EUR 590 hors TVA
Abonnés au magazine E3
à prix réduit avec le Promocode STAbo26
EUR 390 hors TVA
Étudiants*
à prix réduit avec le Promocode STStud26.
Veuillez envoyer votre certificat d'études par e-mail à office@b4bmedia.net.
EUR 290 hors TVA
*Les 10 premiers billets sont gratuits pour les étudiants. Tentez votre chance ! 🍀
L'organisateur est le magazine E3 de la maison d'édition B4Bmedia.net AG. Les conférences seront accompagnées d'une exposition de partenaires SAP sélectionnés. Le prix du billet comprend la participation à toutes les conférences du Steampunk and BTP Summit 2026, la visite de l'espace d'exposition, la participation à la soirée et les repas pendant le programme officiel. Le programme des conférences et la liste des exposants et des sponsors (partenaires SAP) seront publiés en temps utile sur ce site.