Seminar dbt Core – Security, Berechtigungen und Secret Management

Das Seminar betrachtet dbt Core als privilegierten Automatisierungsprozess mit Zugriff auf Code, Datenbankobjekte, Credentials und Artefakte. Aus realistischen Bedrohungen werden minimale Rechte, sichere Secret-Ablage und prüfbare Betriebsregeln abgeleitet.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Angriffsflächen und Schutzbedarf eines dbt-Core-Betriebs erfassen.
• Entwicklungs-, CI- und Produktionsrollen nach Least Privilege gestalten.
• Secrets ohne Ablage im Repository bereitstellen und rotieren.
• Grants, Logs, Artefakte und temporäre Dateien sicher behandeln.
• Core-, Adapter-, Python- und Packageabhängigkeiten kontrolliert beziehen.

Schrittweise Seminarinhalte

1. Bedrohungsmodell für dbt Core

Schwerpunkt: Quellcode, Credentials, Datenbankrechte, CI-Runner, Packages, Logs, Artefakte, temporäre Dateien und Entwicklerarbeitsplätze.

1. Ausgangslage, Zielzustand und fachliche Grenzen für den Themenblock „Bedrohungsmodell für dbt Core“ anhand des Laborprojekts erfassen.
2. Relevante Dateien, Ressourcen, Rollen und Abhängigkeiten zu Quellcode, Credentials, Datenbankrechte, CI-Runner, Packages, Logs, Artefakte, temporäre Dateien und Entwicklerarbeitsplätze identifizieren und in einer Arbeitscheckliste festhalten.
3. Die erforderliche Konfiguration, den Code oder den Betriebsprozess schrittweise umsetzen und alle erzeugten Zwischenstände nachvollziehbar prüfen.
4. Funktion, Sicherheit, Wiederholbarkeit, Datenwirkung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederanlauffällen bewerten.
5. Als Arbeitsergebnis eine priorisierte Bedrohungs- und Schutzmaßnahmenliste für den dbt-Betrieb dokumentieren, fachlich abnehmen und in einen wiederverwendbaren Projekt- oder Betriebsstandard überführen.

2. Servicekonten und Least-Privilege-Berechtigungen

Schwerpunkt: Entwicklungs- und Produktionsrollen, Create- und Usage-Rechte, Select auf Sources, Grants auf Zielobjekte und Funktionstrennung.

1. Ausgangslage, Zielzustand und fachliche Grenzen für den Themenblock „Servicekonten und Least-Privilege-Berechtigungen“ anhand des Laborprojekts erfassen.
2. Relevante Dateien, Ressourcen, Rollen und Abhängigkeiten zu Entwicklungs- und Produktionsrollen, Create- und Usage-Rechte, Select auf Sources, Grants auf Zielobjekte und Funktionstrennung identifizieren und in einer Arbeitscheckliste festhalten.
3. Die erforderliche Konfiguration, den Code oder den Betriebsprozess schrittweise umsetzen und alle erzeugten Zwischenstände nachvollziehbar prüfen.
4. Funktion, Sicherheit, Wiederholbarkeit, Datenwirkung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederanlauffällen bewerten.
5. Als Arbeitsergebnis eine minimale Rechte-Matrix für Entwickler, CI und Produktionsausführung dokumentieren, fachlich abnehmen und in einen wiederverwendbaren Projekt- oder Betriebsstandard überführen.

3. Umgebungsvariablen und Secret Handling

Schwerpunkt: env_var, Secret Stores, CI-Variablen, Rotation, Maskierung, lokale Entwicklungswerte und Ausschluss sensibler Dateien aus Git.

1. Ausgangslage, Zielzustand und fachliche Grenzen für den Themenblock „Umgebungsvariablen und Secret Handling“ anhand des Laborprojekts erfassen.
2. Relevante Dateien, Ressourcen, Rollen und Abhängigkeiten zu env_var, Secret Stores, CI-Variablen, Rotation, Maskierung, lokale Entwicklungswerte und Ausschluss sensibler Dateien aus Git identifizieren und in einer Arbeitscheckliste festhalten.
3. Die erforderliche Konfiguration, den Code oder den Betriebsprozess schrittweise umsetzen und alle erzeugten Zwischenstände nachvollziehbar prüfen.
4. Funktion, Sicherheit, Wiederholbarkeit, Datenwirkung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederanlauffällen bewerten.
5. Als Arbeitsergebnis ein dokumentiertes Verfahren zur geheimnisfreien Projektablage und sicheren Laufzeitkonfiguration dokumentieren, fachlich abnehmen und in einen wiederverwendbaren Projekt- oder Betriebsstandard überführen.

4. Secret-Lebenszyklus und Credential Rotation

Schwerpunkt: Erzeugung, Ablage, Zugriff, Maskierung, Rotation, Widerruf, Notfallwechsel und Nachweisführung.

1. Ausgangslage, Zielzustand und fachliche Grenzen für den Themenblock „Secret-Lebenszyklus und Credential Rotation“ anhand des Laborprojekts erfassen.
2. Relevante Dateien, Ressourcen, Rollen und Abhängigkeiten zu Erzeugung, Ablage, Zugriff, Maskierung, Rotation, Widerruf, Notfallwechsel und Nachweisführung identifizieren und in einer Arbeitscheckliste festhalten.
3. Die erforderliche Konfiguration, den Code oder den Betriebsprozess schrittweise umsetzen und alle erzeugten Zwischenstände nachvollziehbar prüfen.
4. Funktion, Sicherheit, Wiederholbarkeit, Datenwirkung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederanlauffällen bewerten.
5. Als Arbeitsergebnis ein ausführbares Verfahren für reguläre und außerplanmäßige Credential-Wechsel dokumentieren, fachlich abnehmen und in einen wiederverwendbaren Projekt- oder Betriebsstandard überführen.

5. Grants und Bereitstellung von Datenbankrechten

Schwerpunkt: Ressourcen-Grants, Rollen, Revoke-Verhalten, Schema- und Objektprivilegien, Ownership, Adapterunterschiede und Abnahme.

1. Ausgangslage, Zielzustand und fachliche Grenzen für den Themenblock „Grants und Bereitstellung von Datenbankrechten“ anhand des Laborprojekts erfassen.
2. Relevante Dateien, Ressourcen, Rollen und Abhängigkeiten zu Ressourcen-Grants, Rollen, Revoke-Verhalten, Schema- und Objektprivilegien, Ownership, Adapterunterschiede und Abnahme identifizieren und in einer Arbeitscheckliste festhalten.
3. Die erforderliche Konfiguration, den Code oder den Betriebsprozess schrittweise umsetzen und alle erzeugten Zwischenstände nachvollziehbar prüfen.
4. Funktion, Sicherheit, Wiederholbarkeit, Datenwirkung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederanlauffällen bewerten.
5. Als Arbeitsergebnis ein nachvollziehbares Berechtigungsmodell für erzeugte Datenbankobjekte dokumentieren, fachlich abnehmen und in einen wiederverwendbaren Projekt- oder Betriebsstandard überführen.

6. Package-, Python- und Supply-Chain-Sicherheit

Schwerpunkt: Paketquellen, Versionsbindung, Hashes, interne Mirrors, Abhängigkeitsprüfung, Build-Umgebung und Freigabe externer Komponenten.

1. Ausgangslage, Zielzustand und fachliche Grenzen für den Themenblock „Package-, Python- und Supply-Chain-Sicherheit“ anhand des Laborprojekts erfassen.
2. Relevante Dateien, Ressourcen, Rollen und Abhängigkeiten zu Paketquellen, Versionsbindung, Hashes, interne Mirrors, Abhängigkeitsprüfung, Build-Umgebung und Freigabe externer Komponenten identifizieren und in einer Arbeitscheckliste festhalten.
3. Die erforderliche Konfiguration, den Code oder den Betriebsprozess schrittweise umsetzen und alle erzeugten Zwischenstände nachvollziehbar prüfen.
4. Funktion, Sicherheit, Wiederholbarkeit, Datenwirkung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederanlauffällen bewerten.
5. Als Arbeitsergebnis eine kontrollierte Lieferkette für dbt-, Adapter- und Python-Abhängigkeiten dokumentieren, fachlich abnehmen und in einen wiederverwendbaren Projekt- oder Betriebsstandard überführen.

Praxisübungen und Laborszenarien

• Erstellung einer Rechte-Matrix für Entwickler, CI und Produktion.
• Analyse eines Repositories auf Credential-, Log- und Artefaktrisiken.
• Entwurf eines regulären und außerplanmäßigen Secret-Rotationsverfahrens.

Zielgruppe und Voraussetzungen

Zielgruppe: Informationssicherheit, Data Platform Administration, DevOps, Analytics Engineering und technische Betriebsverantwortung.

Voraussetzungen: Grundkenntnisse in dbt Core, Datenbankrollen, CI-Laufzeiten und Secret Stores.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, geführte Konfigurationsschritte, Code-Reviews und kontrollierte Fehlerfälle vertieft. Jede Übung arbeitet mit einem versionierten Laborprojekt, definierten Prüfpunkten und einer nachvollziehbaren Dokumentation.