Seminar Secrets Management Kompakt – Sichere Umsetzung in der Praxis

Das Kompaktseminar entwickelt eine überschaubare Umsetzung für eine einzelne Beispielanwendung. Es beginnt mit einem Secret-Inventar und führt über eine vorbereitete OpenBao-Instanz zum begrenzten Anwendungszugriff. Anschließend werden der Schutz einer Konfigurationsdatei, die Erkennung versehentlicher Veröffentlichungen und die kontrollierte Bereitstellung über eine vorbereitete Pipeline ergänzt.

Die dritte Phase behandelt einen Wertewechsel und den Umgang mit einer absichtlich offengelegten Testberechtigung. Damit entsteht ein zusammenhängender Einstieg in den Lebenszyklus technischer Secrets. Kubernetes und Cloud-Dienste werden zur Orientierung anhand ihrer Integrationsmuster eingeordnet. Eigenständige Kubernetes- und Mehrcloud-Labs, ein produktiver Clusteraufbau sowie eine vollständige PKI-Einführung sind den Fach- und Intensivseminaren vorbehalten.

Inhaltsübersicht

• Inventar und Pilotarchitektur
• Zentraler Abruf mit OpenBao
• Konfiguration und Repository-Schutz
• Pipeline und weitere Integrationsmuster
• Kontrollierter Wechsel und Störungsfall
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Inventar und Pilotarchitektur

• Zugangsdaten und Verbraucher einer Anwendung erfassen.
• Eigentümer, Umgebungen und minimale Zugriffsrechte festlegen.
• Einen begrenzten Pilotumfang mit eindeutigen Funktionsprüfungen bestimmen.

Zentraler Abruf mit OpenBao

• Eine vorbereitete Instanz prüfen und KV v2 für den Testfall verwenden.
• Policies und technische Identität für den Verbraucher konfigurieren.
• Erlaubten und verweigerten Zugriff praktisch unterscheiden.

Konfiguration und Repository-Schutz

• Eine Konfiguration mit SOPS und age verschlüsseln.
• Einen künstlichen Leak mit Gitleaks erkennen und bewerten.
• Schlüsselmaterial, Dateien und Protokolle in die Schutzmaßnahmen aufnehmen.

Pipeline und weitere Integrationsmuster

• Eine vorbereitete Pipeline über eine begrenzte OIDC-Vertrauensbeziehung anbinden.
• Secret-Werte ohne unnötige Veröffentlichung an den festgelegten Verbraucher übergeben.
• Kubernetes-Operator, CSI-Bereitstellung und Cloud-Identitäten vergleichend einordnen.

Kontrollierter Wechsel und Störungsfall

• Einen neuen Testzugang im Zielsystem bereitstellen und den Verbraucher umstellen.
• Die Ungültigkeit des alten Zugangs nachweisen.
• Einen Fehlerfall mit Zuständigkeit, Funktionskontrolle und geregelter Wiederaufnahme bearbeiten.

Praktische Übungen

1. Ein Inventar und eine Rollenmatrix für eine einzelne Anwendung erstellen.
2. Einen zentralen Testwert anlegen und den Zugriff durch eine begrenzte Identität konfigurieren.
3. Eine verschlüsselte Konfiguration erstellen und das Repository mit Gitleaks prüfen.
4. Einen vorbereiteten CI-Job an den Secrets-Dienst anbinden und einen unzulässigen Kontext testen.
5. Einen neuen Zugang bereitstellen und dessen Verwendung durch die Anwendung nachweisen.
6. Den alten Zugang sperren und einen simulierten Leak anhand eines kurzen Bearbeitungsablaufs abschließen.

Schulungsumgebung

Bereit stehen Linux, OpenBao mit vorbereiteter TLS-Basis, Git, SOPS, age, Gitleaks, eine geeignete CI/CD-Pipeline und eine Testanwendung. Die Infrastrukturinstallation erfolgt vor Seminarbeginn.