Seminar CI/CD – Secrets Management mit OIDC und Workload Identity

Build- und Deployment-Jobs benötigen definierte Zugriffe auf technische Geheimnisse. Ein dauerhaft gespeichertes Administrations-Token vergrößert dabei die Folgen eines kompromittierten Jobs erheblich. Das Seminar entwickelt einen authentisierten Abruf, dessen Berechtigung an den konkreten Ausführungskontext gebunden ist. Eine vorbereitete Pipeline bildet den roten Faden von der Identitätsausstellung bis zum geprüften Zugriff auf die Zielanwendung.

Praktisch gearbeitet wird mit einer vorab ausgewählten Plattform, GitLab CI/CD oder GitHub Actions. Die Übertragung auf die zweite Plattform wird vergleichend behandelt. Native Integrationen und ein manueller JWT-basierter Abruf werden hinsichtlich Funktionsumfang und Betriebsanforderungen eingeordnet. Auch beim Wegfall langfristiger Schlüssel bleibt der Schutz des Runners und der kurzzeitig verfügbaren Secrets Bestandteil des Sicherheitskonzepts.

Inhaltsübersicht

• Identitätsmodell für Pipelines
• Vertrauensbeziehung und Rollenbindung
• Secret-Abruf und Verwendung
• Runner-Sicherheit und Fehlertests
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Identitätsmodell für Pipelines

• OIDC-Aussteller, JWT, Audience, Subject und Laufzeit in einem vollständigen Datenfluss zuordnen.
• Job-Identität und daraus abgeleitete Zugriffsberechtigung unterscheiden.
• Dauerhafte Schlüssel, kurzlebige Tokens und verbleibende Vertrauensanker erfassen.

Vertrauensbeziehung und Rollenbindung

• Issuer, Audience und zulässigen Projekt- beziehungsweise Repository-Kontext begrenzen.
• Geschützte Branches und Umgebungen mit den verfügbaren Claims verbinden.
• Änderbare Workflow-Dateien und untrusted Pull-Request- beziehungsweise Merge-Request-Kontexte berücksichtigen.

Secret-Abruf und Verwendung

• Den ausgewählten Secrets-Dienst über einen begrenzten Job-Zugang ansprechen.
• Abruf, Verarbeitung und Bereinigung ohne unnötige Ausgabe des Werts implementieren.
• Native Funktionen und API- beziehungsweise CLI-Abruf passend zur eingesetzten Edition vergleichen.

Runner-Sicherheit und Fehlertests

• Runner-Isolation, temporäre Dateien, Debug-Ausgaben, Caches und Artefakte untersuchen.
• Ablauf und abweichende Token-Eigenschaften mit negativen Zugriffstests prüfen.
• Erneuerung, Fehlerbehandlung und einen geregelten Abbruch der Bereitstellung festlegen.

Praktische Übungen

1. Den Identitätsfluss einer vorbereiteten Pipeline mit den benötigten Secret-Pfaden dokumentieren.
2. Eine begrenzte JWT/OIDC-Vertrauensbeziehung im ausgewählten Secrets-Dienst einrichten.
3. Den authentisierten Secret-Abruf in einen freigegebenen Job integrieren.
4. Zugriffe mit unpassender Audience, nicht freigegebenem Projekt oder abgelaufenem Token prüfen.
5. Job-Protokolle, Artefakte und temporäre Dateien auf unbeabsichtigte Offenlegung kontrollieren.
6. Eine Secret-Änderung ausrollen und den Erfolg ohne Ausgabe des geheimen Werts nachweisen.

Schulungsumgebung

Erforderlich sind eine vorbereitete CI/CD-Instanz mit OIDC-Unterstützung, isolierte Runner, ein Test-Repository, ein kompatibler Secrets-Dienst und eine Testanwendung. Editionsabhängige Integrationen werden vor dem Termin abgeglichen.