Dokumentation
Fachliche und technische Dokumentation aller Seiten, Felder und Funktionen
Backstage als Developer Portal und CMDB
Backstage wird zur zentralen technischen CMDB der HERMOS-Softwarelandschaft. SonarCloud und Azure DevOps Spaces werden als eigene Governance-Domänen angebunden, Security-Nachweise werden strukturiert gepflegt und Software Templates standardisieren neue Projekte.
Backstage als Developer Portal
Jede Service-Seite bündelt Metadaten, Qualität, Betrieb, Security und Dokumentation in einem konsistenten Layout. Entwickler, Architekten, Ops und Auditoren arbeiten auf der gleichen Informationsbasis.
Anatomie einer Entity-Seite mit About, Quality, CI/CD, Security und TechDocs.
- •Einheitliches Header-Band für Owner, Tenant, Kritikalität und Lifecycle.
- •Pluginbasierte Cards pro Domäne (Quality, CI/CD, Security, Access, Docs).
- •Globale Suche über Catalog, TechDocs und AccessHub-Feed.
- •Permission Framework steuert Sichtbarkeit von Admin-/Audit-Inhalten.
Backstage als CMDB
Backstage ist die führende technische CMDB der HERMOS-Softwarelandschaft. Entities werden über Provider aus Repos, AccessHub und SonarCloud gespeist und aktiv auf Datenqualität geprüft.
Kernbeziehungen Domain → System → Component/API/Resource mit Ownership, Quality und Entitlement-Bezug.
- •Pflichtfelder: Owner, Tenant, Kritikalität, Lifecycle, Repo, SonarCloud-Key oder dokumentierte Ausnahme.
- •Datenqualitäts-Score je Entity mit Gap-Status und Verantwortlichem.
- •Mindestabnahme-Checkliste pro Service vor Aufnahme in die CMDB.
- •Ownership-Edges gehen an Group-Entities, nicht an Personen.
Backstage als CMDB
Backstage führt Services, APIs, Systeme, Komponenten, Ressourcen, Teams, Qualitäts- und Dokumentationsobjekte. Dynamische Daten werden über Entity Provider, Feeds und Plugins angebunden.
Datenqualität
Pflichtfelder wie Owner, Tenant, Kritikalität, SonarCloud-Key und Security-Doc-Ref werden aktiv überwacht. Lücken dürfen existieren, müssen aber dokumentiert und genehmigt werden.
Mindestabnahme pro Service
Ein Service gilt erst als sauber aufgenommen, wenn Entity, Owner, Tenant, Repo, SonarCloud-Link oder Ausnahme, Security-Dokumentation, AccessHub-Mapping, TechDocs, Kritikalität und Lifecycle vorhanden sind.
Integrationen: SonarCloud, Azure DevOps, Security Evidence
Governance-Domänen werden als eigenständige Subsysteme modelliert und in die Entity-Seiten eingebettet. Rechtevergabe bleibt strikt bei AccessHub, Backstage liefert Sicht und Kontext.
Backstage konsumiert Read-Modelle aus SonarCloud, Azure DevOps und Security Evidence; AccessHub bleibt Source of Truth für Rechte.
- •SonarCloud: Quality Gate, Issues, Hotspots und Coverage als Card pro Component.
- •Azure DevOps: getrennte Spaces für TNT und FIS, keine Cross-Space-Rechte.
- •Security Evidence: blockiert Prod-Gates bei offenen Critical- oder KEV-Findings.
- •Alle Write-Operationen gehen ausschließlich über AccessHub-Connectoren.
SonarCloud-Integration
Quality Gates, Issues und Webhooks werden servicebezogen angezeigt. Rollenpakete wie SONAR_PROJECT_ADMIN oder SONAR_EXECUTE_ANALYSIS laufen ausschließlich über AccessHub.
Azure DevOps Spaces TNT & FIS
Jeder Space bekommt getrennte Rollenpakete. Ein TNT-Recht erlaubt nie FIS-Zugriff. Pipeline-Operator und Project-Admin sind restriktiv, temporär und auditiert.
Security Evidence
OWASP Dependency-Check, ZAP, SAST, SBOM und Risikoakzeptanzen werden als CMDB-Objekte servicebezogen geführt und in Backstage über Cards sichtbar.
Software Templates
Templates sind der einheitliche Startpunkt für neue Services. Sie erzeugen nicht nur Code, sondern verankern den Service gleichzeitig in CMDB, CI/CD, Quality und Access Governance.
Template-Auswahl bis Live-Service: Scaffold, Catalog-Entity, CI/CD, Quality-Bind und Access-Mapping in einem Schritt.
- •Standardisierte Templates: .NET, React, Worker, Library, Fullstack.
- •Jedes Template erzeugt Catalog-Entity, TechDocs-Skeleton und Pipeline.
- •SonarCloud-Projektanlage mit vordefiniertem Quality Profile.
- •AccessHub-Role-Bundle-Mapping wird automatisch registriert.
Software Templates
.NET-, React-, Worker-, Library- und Full-Stack-Templates erzeugen Code plus Catalog-Entity, TechDocs, CI/CD, SonarCloud-Mapping und AccessHub-Rollenmapping.
Erweitertes API-Zielbild
AccessHub stellt Backstage zusätzliche Domänen-APIs zur Verfügung. Jede Schreiboperation ist idempotent, auditiert und korrelierbar.
- •/cmdb · Entities, Relations, Data-Quality-Scores.
- •/connectors/sonarcloud · Projekte, Quality Gates, Webhooks.
- •/connectors/azure-devops · Spaces, Pipelines, Environments.
- •/backstage · kuratierte Read-Models für Entity Provider und Search Collator.
- •/reports · KPIs, Rezertifizierung, Compliance-Exporte.
Erweitertes API-Zielbild
AccessHub stellt zusätzliche Domänen /cmdb, /connectors/sonarcloud, /connectors/azure-devops, /backstage und /reports bereit. Jede Schreiboperation nutzt Idempotency Keys und wird auditiert.
Governance, Rollen und Kontrollen
Verbindliche Rollen und Boards sichern Architektur- und Datenqualität. Risiken aus unvollständigen CMDB-Daten, gemischten ADO-Spaces oder Template-Drift werden aktiv adressiert.
- •Rollen: Platform Owner, CMDB Steward, AccessHub PO, Security Owner, Tenant Owner, ADO Owner, SonarCloud Owner.
- •Architektur-Board entscheidet über Entity-Modell, Templates und API-Zuschnitt.
- •Operations-Board überwacht Datenqualität, Evidence-Coverage und SLA-Einhaltung.
- •Kontrollen: strikte Space-Trennung, Pipeline-Reviews, Template-Freigabeprozess.
Betriebs- und Governance-Modell
Rollen wie Platform Owner, CMDB Steward, AccessHub PO, Security Owner, Tenant Owner, ADO Owner und SonarCloud Owner sind verbindlich. Zwei Boards steuern Architektur und operative Qualität.
Erweiterte Risiken und Kontrollen
V3 adressiert zusätzliche Risiken: unvollständige CMDB, fehlende Security-Nachweise, gemischte ADO-Spaces, unkontrollierte Service Connections, Template-Drift. Gegenmaßnahmen: Datenqualitäts-KPIs, Evidence-Coverage, strikte Space-Trennung, Pipeline-Reviews und Template-Freigabeprozess.
Rollout-Roadmap
Die Einführung erfolgt in sechs Phasen. Jede Phase hat definierte Abnahmekriterien und KPI-Ziele, bevor die nächste Stufe freigegeben wird.
P0 Foundation bis P5 Compliance Scale als verbindlicher Phasenplan mit Go/No-Go pro Phase.
- •P0 Foundation: Backstage-Core, SSO, Permission Framework.
- •P1 CMDB-Onboarding: Top-20-Services mit Pflichtfeldern und TechDocs.
- •P2 Read-Only Integrationen: SonarCloud-, ADO- und Security-Cards.
- •P3 Rechteanträge: AccessHub-Requests aus Entity-Kontext.
- •P4 ADO Fulfillment: kontrollierte Write-Pfade in TNT/FIS.
- •P5 Compliance Scale: KPIs, Rezertifizierung, Audit-Exporte.
Rollout-Roadmap
P0 Foundation, P1 CMDB-Onboarding, P2 Read-only Integrationen, P3 Rechteanträge, P4 Azure DevOps Fulfillment, P5 Compliance Scale mit KPIs und Rezertifizierung.
V3-Anhang: Beispiele und Quellen
Der V3-Anhang enthält Beispiel-Entities, API-Objekte fuer /cmdb, /connectors/sonarcloud und /connectors/azure-devops, Role-Bundle-Blaupausen sowie die Quellenbasis zu Backstage-Catalog, TechDocs, SonarCloud-API, Azure-DevOps-REST und OWASP-Standards.