Seminar Cloud Secrets Management – AWS, Azure und Google Cloud

Verwaltete Secrets-Dienste entlasten den eigenen Plattformbetrieb, unterscheiden sich aber bei Identitäten, Berechtigungen, Versionierung und Rotation. Das Seminar macht diese Unterschiede anhand identischer Anwendungsfälle nachvollziehbar. Für jede Cloud werden ein Test-Secret, ein begrenzter Verbraucher und ein protokollierter Zugriff eingerichtet. Dadurch entsteht eine belastbare Grundlage für Projekte mit mehreren Cloud-Anbietern.

Drei Tage sind jeweils einem Dienst gewidmet; ein weiterer Tag verbindet die Ergebnisse zu einem Integrations- und Betriebskonzept. Die Rotation wird dabei als Änderung am Zielsystem, Veröffentlichung einer Secret-Version und Umstellung der Verbraucher behandelt. Die Überwachung eines Ablauftermins oder das Erstellen einer neuen Version ersetzt diese Kette nicht automatisch. Alle Konten und grundlegenden Netzwerkzugänge müssen vor Seminarbeginn einsatzbereit sein.

Inhaltsübersicht

• AWS Secrets Manager
• Azure Key Vault
• Google Secret Manager
• Identitäten und Anwendungszugriff
• Rotation und Betriebsvergleich
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

AWS Secrets Manager

• Secrets und Versionen anlegen und Zugriff über begrenzte IAM-Rollen ermöglichen.
• Verschlüsselung, KMS-Berechtigungen und protokollierte Zugriffe im Testfall überprüfen.
• Verfügbare Rotationsverfahren und einen vorbereiteten Rotationsablauf mit dem Zielsystem verbinden.

Azure Key Vault

• Secrets, Schlüssel und Zertifikate nach ihrem jeweiligen Objekttyp unterscheiden.
• Zugriffe auf Secret-Werte über Azure RBAC und eine geeignete Managed Identity einrichten.
• Versionen, Soft Delete, Wiederherstellungsoptionen und netzseitige Erreichbarkeit untersuchen.

Google Secret Manager

• Secrets und Versionen in einer getrennten Projektumgebung bereitstellen.
• Zugriffe über begrenzte IAM-Rechte und eine geeignete Workload-Identität ausführen.
• Rotationszeitplan und Benachrichtigung von der tatsächlich ausführenden Rotationslogik unterscheiden.

Identitäten und Anwendungszugriff

• Ressourceninterne Identitäten und föderierte Zugriffe aus externen Workloads vergleichen.
• Cloudübergreifend jeweils die kleinste benötigte Zugriffsrolle bestimmen.
• Versionsbindung, Caching und den Umgang mit einem vorübergehend nicht erreichbaren Dienst definieren.

Rotation und Betriebsvergleich

• Einen kontrollierten Versionswechsel mit Funktionskontrolle und geregeltem Rückfall ausführen.
• Berechtigungsverweigerung, falsche Version und fehlende Zielsystemänderung diagnostizieren.
• Regionenwahl, Betriebsabhängigkeiten, Audit und Kostenfaktoren als Entscheidungskriterien dokumentieren.

Praktische Übungen

1. In AWS ein Test-Secret und eine begrenzte IAM-Rolle anlegen und den Abruf aus einer Test-Workload prüfen.
2. In Azure einen Key Vault mit Secret und einer berechtigten Managed Identity verbinden.
3. In Google Cloud einen versionierten Secret-Wert mit einem begrenzten Anwendungszugang bereitstellen.
4. Für alle drei Dienste einen verweigerten Zugriff und den vorgesehenen Audit-Nachweis kontrollieren.
5. Einen vorbereiteten Rotationsablauf ausführen und die Änderung im Zielsystem sowie beim Verbraucher getrennt nachweisen.
6. Die drei Umsetzungen anhand einheitlicher Kriterien für ein Beispielprojekt bewerten.

Schulungsumgebung

Benötigt werden vorbereitete AWS-, Azure- und Google-Cloud-Schulungszugänge, aktivierte Dienste, begrenzte Testrollen, CLIs und Beispiel-Workloads. Kontenfreigabe, Quoten und gegebenenfalls anfallende Nutzungsentgelte werden vor Durchführung geklärt.