Seminar Secrets Management Intensiv – DevSecOps, Kubernetes und GitOps

Das Seminar verbindet die Fachthemen Ansible Vault und SOPS, Secret Scanning, CI/CD mit OIDC, Kubernetes-Secrets sowie Infisical zu einem durchgehenden Bereitstellungsfall. Eine vorbereitete Anwendung wird vom Repository bis zum laufenden Container betrachtet. Ein Secret-Wechsel und ein künstlicher Leak ergänzen die Integration um die notwendigen Betriebs- und Reaktionsschritte.

Die fünf Tage sind auf erfahrene Teams und vorbereitete Infrastruktur ausgelegt. Je Werkzeug wird ein repräsentativer Workflow vollständig bearbeitet; zusätzliche Anbieter, Randfälle und die ausführlichen Varianten der Fachseminare werden thematisch eingeordnet. Eine CI-Plattform und ein kompatibler externer Kubernetes-Secrets-Provider werden für den Termin verbindlich festgelegt.

Inhaltsübersicht

• Verschlüsselte Konfiguration und frühe Erkennung
• CI/CD mit gebundener Identität
• Kubernetes mit External Secrets Operator
• CSI und das Verhalten der Anwendung
• Infisical und technische Verbraucher
• Rotation und Leak-Reaktion
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Verschlüsselte Konfiguration und frühe Erkennung

• Ansible-Vault-Variablen und eine SOPS-Datei in einen vorbereiteten Git-Workflow einbauen.
• Schlüsselbereitstellung und klare Trennung der Umgebungen festlegen.
• Gitleaks lokal und in der Pipeline verwenden und einen Befund gezielt bearbeiten.

CI/CD mit gebundener Identität

• Eine OIDC-Vertrauensbeziehung für einen begrenzten Job einrichten.
• Projekt, Audience und Ausführungskontext an die zugelassenen Rechte binden.
• Secret-Ausgaben, Artefakte und Runner-Dateien auf unnötige Offenlegung untersuchen.

Kubernetes mit External Secrets Operator

• Namespacebezogene Ressourcen an den externen Speicher anbinden.
• Die Workload-Identität und den erlaubten Secret-Pfad begrenzen.
• Synchronisation und fremde Zugriffsversuche praktisch überprüfen.

CSI und das Verhalten der Anwendung

• Eine Alternative über einen kompatiblen Secrets-Store-CSI-Provider aufbauen.
• Dateibereitstellung und optionale Secret-Synchronisation unterscheiden.
• Änderungen im Speicher bis zum Nachladen des Prozesses verfolgen.

Infisical und technische Verbraucher

• Ein vorbereitetes Projekt mit Umgebungen und Machine Identity strukturieren.
• Einen begrenzten Anwendungsabruf ausführen und Berechtigungen testen.
• Den Workflow mit den anderen Integrationsmustern vergleichen.

Rotation und Leak-Reaktion

• Einen Zugang im Zielsystem ersetzen und Verbraucher kontrolliert umstellen.
• Alte Zugänge, aktive Tokens und vorhandene Kopien getrennt behandeln.
• Befundbearbeitung und Wiederanlauf anhand eines zusammenhängenden Szenarios überprüfen.

Praktische Übungen

1. Verschlüsselte Anwendungswerte mit Ansible Vault und SOPS in vorbereitete Automatisierungen einbauen.
2. Einen künstlichen Leak mit Gitleaks erkennen und die Pipeline kontrolliert blockieren.
3. Einen CI-Job per OIDC authentisieren und einen nicht zugelassenen Kontext ablehnen.
4. Die Anwendung zunächst über External Secrets Operator mit einem Wert versorgen.
5. Eine CSI-Variante ergänzen und das Aktualisierungsverhalten der Anwendung vergleichen.
6. Einen Infisical-Abruf mit einer getrennten Machine Identity ausführen.
7. Einen Secret-Wechsel einschließlich Zielsystem und Verbraucher durchführen und den alten Zugang prüfen.

Schulungsumgebung

Vorbereitet sind Git-Repository, CI-Plattform und Runner, Ansible, SOPS, Kubernetes, externer Secrets-Provider, Infisical und eine gemeinsame Testanwendung. Die gewählten Editionen müssen die festgelegten Übungen unterstützen.