Seminar Secrets Management – Dynamische Zugangsdaten und PKI

Langfristig gültige gemeinsame Kennwörter erschweren die Zuordnung von Zugriffen und die kontrollierte Ablösung kompromittierter Zugangsdaten. Das Seminar entwickelt technische Alternativen mit begrenzter Gültigkeit. Eine PostgreSQL-Anwendung erhält eigene dynamische Zugangsdaten; ein interner Dienst wird mit kurzlebigen Zertifikaten versorgt. Die Übungen verwenden eine vorab festgelegte OpenBao- oder Vault-Umgebung.

Im Mittelpunkt steht das Zusammenspiel zwischen ausgebendem Dienst und tatsächlichem Verbraucher. Ein abgelaufenes Token, eine beendete Lease und eine bereits geöffnete Datenbankverbindung können unterschiedliche Wirkungen haben. Ebenso genügt die Ausstellung eines neuen Zertifikats nicht, wenn die Anwendung es nicht lädt. Diese Übergänge werden bewusst getestet und in einen nachvollziehbaren Erneuerungsprozess überführt.

Inhaltsübersicht

• Dynamische und statische Zugangsdaten
• PostgreSQL-Zugänge
• Interne PKI und Zertifikatsrollen
• Erneuerung in Anwendungen
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Dynamische und statische Zugangsdaten

• Statische Secret-Versionen und dynamisch erzeugte Konten mit Lease unterscheiden.
• Maximale Laufzeit, Erneuerung und Rücknahme an den Betriebsbedarf koppeln.
• Ausgabe, Sperrung und Wirkung beim Zielsystem als getrennte Prüfschritte verstehen.

PostgreSQL-Zugänge

• Eine Datenbankverbindung mit begrenzten Verwaltungsrechten konfigurieren.
• Erzeugungs- und Rücknahmeregeln für anwendungsbezogene Datenbankrollen entwickeln.
• Datenbankanmeldung, Rechteumfang und Verhalten bestehender Verbindungen prüfen.

Interne PKI und Zertifikatsrollen

• Eine Testhierarchie aus Root- und Intermediate-CA verwenden und private Schlüssel schützen.
• Erlaubte Namen, Verwendungszwecke und Laufzeiten über Ausstellungsrollen begrenzen.
• Vertrauenskette, Ablauf, Sperrinformationen und deren tatsächliche Prüfung durch Clients einordnen.

Erneuerung in Anwendungen

• Zugangsdaten und Zertifikate mit kontrolliertem Nachladen an Verbraucher übergeben.
• Ablauf, Nichterreichbarkeit des Ausstellers und verzögerte Aktualisierung simulieren.
• Grenzen von Caching, Verbindungspools und bestehenden Sitzungen in die Betriebsplanung aufnehmen.

Praktische Übungen

1. Eine PostgreSQL-Verbindung und eine dynamische Rolle mit minimalen Anwendungsrechten einrichten.
2. Kurzlebige Testzugänge abrufen und die Datenbankrechte anhand positiver und negativer Abfragen prüfen.
3. Eine Lease beenden und neue sowie bestehende Verbindungen getrennt untersuchen.
4. Eine Intermediate-CA und eine begrenzte Zertifikatsrolle im Lab konfigurieren.
5. Ein Zertifikat ausstellen, seine Kette prüfen und einen Testdienst damit starten.
6. Den Zertifikatswechsel ausführen und Ablauf beziehungsweise Sperrprüfung aus Sicht des Clients überprüfen.

Schulungsumgebung

Die vorbereitete Umgebung enthält OpenBao oder Vault, PostgreSQL, eine kleine Datenbankanwendung, einen TLS-Testdienst und eine ausschließlich für Übungen bestimmte CA-Hierarchie.