Seminar Secrets Management Intensiv – Cloud und Workload Identity

Dieses fünftägige Intensivseminar verbindet Cloud Secrets Management mit CI/CD-Identitäten und operativen Rotationsverfahren. AWS Secrets Manager, Azure Key Vault und Google Secret Manager werden mit vergleichbaren Aufgaben praktisch bearbeitet. Anschließend wird eine ausgewählte Pipeline über föderierte Identität angebunden und ein gemeinsamer Secret-Wechsel mit den betroffenen Verbrauchern ausgeführt.

Die in den Fachseminaren getrennt behandelten Themen Cloud-Zugriff, technische Identität und Reaktion auf offengelegte Zugangsdaten greifen hier direkt ineinander. Die Vertiefung konzentriert sich auf einen durchgängigen Anwendungsfall. Zusätzliche Cloud-Architekturen und die vollständigen Incident-Response-Varianten der Fachseminare werden nicht praktisch wiederholt. Konten, Grundnetzwerke und Test-Workloads sind vorab vorbereitet.

Inhaltsübersicht

• AWS Secrets Manager und Rollen
• Azure Key Vault und Managed Identity
• Google Secret Manager und IAM
• Föderation und CI/CD
• Rotation, Notfallfall und Wiederanlauf
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

AWS Secrets Manager und Rollen

• Einen versionierten Secret-Wert und einen begrenzten IAM-Zugriff einrichten.
• Zugriff aus einer Test-Workload und seine Protokollierung überprüfen.
• Ein geeignetes Rotationsverfahren mit einem vorbereiteten Zielsystem verbinden.

Azure Key Vault und Managed Identity

• Secret-Objekte und Versionen im vorgesehenen Vault organisieren.
• Eine Workload über Managed Identity und passende Datenzugriffsrechte anbinden.
• Wiederherstellungsfunktionen und Netzwerkabhängigkeiten in die Betriebsplanung aufnehmen.

Google Secret Manager und IAM

• Einen versionsgebundenen Abruf mit begrenzten IAM-Rechten implementieren.
• Secret-Version, Rotationsbenachrichtigung und Änderungsprozess im Zielsystem unterscheiden.
• Fehler bei Identität und Versionsauswahl gezielt prüfen.

Föderation und CI/CD

• Issuer, Audience und Kontextbindung für eine ausgewählte Cloud-Integration festlegen.
• Einen Pipeline-Job ohne dort hinterlegten langfristigen Cloud-Schlüssel anbinden.
• Die entsprechenden Vertrauensmodelle der weiteren Clouds anhand der produktbezogenen Labs vergleichen.

Rotation, Notfallfall und Wiederanlauf

• Verbraucher und Abhängigkeiten in eine kontrollierte Wechselreihenfolge bringen.
• Ein Fehlerszenario mit ungültigem Zugang oder einer falsch bereitgestellten Version bearbeiten.
• Sperrung, Funktionsprüfung und Rückkehr zu regulären Rechten dokumentieren.

Praktische Übungen

1. Den gleichen lesenden Secret-Zugriff in AWS, Azure und Google Cloud mit jeweils begrenzter Identität aufbauen.
2. Für jede Umsetzung einen nicht erlaubten Zugriff ausführen und den passenden Nachweis suchen.
3. Eine föderierte Anmeldung aus einer vorbereiteten Pipeline in einer ausgewählten Cloud einrichten.
4. Eine abweichende Token-Eigenschaft prüfen und die Zugriffsverweigerung kontrollieren.
5. Einen vorbereiteten Rotationsprozess ausführen und den neuen Wert in den Verbrauchern nachweisen.
6. Einen kontrollierten Fehler beheben und anschließend alte Zugänge beziehungsweise Notfallberechtigungen zurücknehmen.

Schulungsumgebung

Die Umgebung umfasst drei vorbereitete Cloud-Schulungszugänge, aktivierte Secrets-Dienste, Test-Workloads, eine CI/CD-Plattform und einen vorbereiteten Rotationsfall. Quoten, Berechtigungen und nutzungsabhängige Entgelte werden vor Durchführung abgestimmt.