Seminar Ansible Vault und SOPS – Verschlüsselte Konfiguration und GitOps

Automatisierung benötigt versionierbare Konfigurationen, ohne Zugangsdaten ungeschützt in Repositories zu verteilen. Das Seminar entwickelt dafür nachvollziehbare Arbeitsweisen mit Ansible Vault und SOPS. An einem zusammenhängenden Beispiel werden verschlüsselte Dateien erstellt, im Team geprüft und erst während der vorgesehenen Ausführung entschlüsselt.

Ein Schwerpunkt ist der Umgang mit dem Schlüsselmaterial selbst. Die geschützte Datei löst weder die sichere Bereitstellung des Entschlüsselungsschlüssels noch den Schutz des laufenden Prozesses automatisch. Deshalb werden lokale Arbeitskopien, temporäre Dateien, Build-Ausgaben und Protokolle in die Übungen einbezogen. Der Teamwechsel wird sowohl technisch als auch im Hinblick auf bereits vorhandene Kopien untersucht.

Inhaltsübersicht

• Ansible Vault im Automatisierungsablauf
• SOPS und age
• Git-Reviews und automatisierte Verarbeitung
• Schlüsselwechsel und Teamwechsel
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Ansible Vault im Automatisierungsablauf

• Dateien und einzelne Variablen passend zur Rollen- und Inventarstruktur verschlüsseln.
• Vault-IDs und getrennte Kennwörter für Umgebungen verwenden.
• Geschützte Eingabe, Dateirechte und den Umgang mit entschlüsselten Werten während der Ausführung festlegen.

SOPS und age

• Strukturierte Dateien mit SOPS bearbeiten und age-Empfänger zuordnen.
• Erstellungsregeln für unterschiedliche Pfade und Umgebungen definieren.
• Lesbare Strukturinformationen und verschlüsselte Werte hinsichtlich ihres Schutzbedarfs unterscheiden.

Git-Reviews und automatisierte Verarbeitung

• Änderungen an verschlüsselten Dateien in einem nachvollziehbaren Review bearbeiten.
• Entschlüsselung auf freigegebene Ausführungsschritte und Identitäten beschränken.
• Klartext in temporären Dateien, Protokollen und Artefakten mit konkreten Prüfungen vermeiden.

Schlüsselwechsel und Teamwechsel

• Empfängeränderung, Erneuerung des Dateischlüssels und Rotation des eigentlichen Zugangswerts unterscheiden.
• SOPS-updatekeys und rotate sowie Ansible-Vault-rekey im passenden Kontext einsetzen.
• Bestehende Kopien und Git-Historie bei einem ausgeschiedenen Teammitglied in die Maßnahmenplanung aufnehmen.

Praktische Übungen

1. Ein Ansible-Inventar mit getrennten Testumgebungen vorbereiten und vertrauliche Variablen verschlüsseln.
2. Ein Playbook mit passender Vault-ID ausführen und seine Ausgabe auf Klartext prüfen.
3. Eine SOPS-Datei mit age verschlüsseln und pfadbezogene Empfängerregeln festlegen.
4. Eine Secret-Änderung über einen Git-Branch mit Review in die Bereitstellung übernehmen.
5. Einen Empfängerwechsel und eine Dateischlüsselerneuerung ausführen und Zugriffstests wiederholen.
6. Den zugrunde liegenden Testzugang wechseln und die Auswirkungen auf alte Dateikopien beurteilen.

Schulungsumgebung

Die Umgebung umfasst Linux, Ansible, Git, SOPS, age und vorbereitete Playbooks. Für die Übungen werden ausschließlich eigens angelegte Schlüssel und Testzugangsdaten verwendet.