Seminar OpenBao – Secrets Management und Administration

Das Seminar vermittelt den kontrollierten Aufbau einer zentralen Secrets-Plattform mit OpenBao. Die Übungen beginnen mit einer vorbereiteten Linux-Umgebung und führen von der Serverkonfiguration bis zur Versorgung einer Beispielanwendung. Eine dauerhafte Serverinstallation mit TLS bildet die Grundlage; der Entwicklungsmodus wird hinsichtlich seiner Grenzen eingeordnet.

Die Administration erfolgt über Kommandozeile und API, ergänzt durch die Oberfläche, soweit sie den jeweiligen Arbeitsschritt unterstützt. Besonderes Gewicht erhalten überprüfbare Berechtigungen, die Trennung technischer Identitäten und das Verhalten bei abgelaufenen Tokens. Eine durchgängige Übung zeigt, wie sich Konfigurationsfehler diagnostizieren lassen, ohne Secrets in Protokollen oder Shell-Verläufen offenzulegen.

Inhaltsübersicht

• Serveraufbau und sichere Inbetriebnahme
• Secrets mit KV v2 verwalten
• Policies und technische Identitäten
• Anwendungsanbindung und Agent
• Audit und grundlegende Betriebsabläufe
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Serveraufbau und sichere Inbetriebnahme

• Listener, TLS-Vertrauenskette, persistente Speicherung und Dienstkonto vorbereiten.
• Initialisierung, Seal-Zustand und Umgang mit Unseal- beziehungsweise Wiederherstellungsmitteln nachvollziehen.
• Administrativen Erstzugang begrenzen und einen getrennten Zugang für den Regelbetrieb einrichten.

Secrets mit KV v2 verwalten

• Mount-Pfade und Anwendungsstruktur für getrennte Umgebungen festlegen.
• Versionen, Metadaten, Löschzustände und endgültiges Entfernen anhand von Testwerten untersuchen.
• Konkurrierende Schreibzugriffe und die Nutzung der vorgesehenen KV-v2-Pfade berücksichtigen.

Policies und technische Identitäten

• Lese-, Schreib- und Verwaltungsrechte auf konkrete Pfade begrenzen.
• Positive und negative Berechtigungstests für mehrere Rollen durchführen.
• AppRole sowie JWT/OIDC hinsichtlich Bootstrap, Vertrauensbindung und Betriebsaufwand vergleichen.

Anwendungsanbindung und Agent

• CLI- und API-Abrufe mit getrennten Anwendungsidentitäten aufbauen.
• Agent-Konfiguration und kontrollierte Ausgabe einer Konfigurationsdatei erarbeiten.
• Token-Laufzeit, Erneuerung, Dateirechte und den Umgang mit vorübergehenden Fehlern untersuchen.

Audit und grundlegende Betriebsabläufe

• Audit-Ausgabe aktivieren, Zugriffsereignisse zuordnen und sensible Daten in Diagnosen schützen.
• Typische Fehler durch Pfade, Policies, Zertifikate und abgelaufene Anmeldungen eingrenzen.
• Eine Betriebskontrolle für Erreichbarkeit, Berechtigungen und den Zugriff einer Beispielanwendung ausführen.

Praktische Übungen

1. Den OpenBao-Dienst mit TLS und persistentem Datenspeicher auf einer vorbereiteten VM konfigurieren.
2. KV v2 aktivieren und zwei getrennte Anwendungsbereiche mit versionierten Testwerten anlegen.
3. Policies für Administration und Anwendungen erstellen und unzulässige Zugriffe gezielt prüfen.
4. Eine technische Identität anbinden und einen authentisierten Secret-Abruf einrichten.
5. Einen Agenten zur geschützten Bereitstellung einer Anwendungsdatei konfigurieren.
6. Token-Ablauf und fehlerhafte Berechtigungen auslösen und die Diagnose mit Audit-Ereignissen abgleichen.

Schulungsumgebung

Verwendet werden isolierte Linux-VMs, OpenBao, vorbereitete TLS-Zertifikate und eine kleine Beispielanwendung. Ein vollständiger Clusteraufbau gehört zum weiterführenden Betriebsseminar.