Seminar Secrets Management – Grundlagen und Architektur

Technische Zugangsdaten verteilen sich häufig über Konfigurationsdateien, Skripte, Repositories und Arbeitsplätze. Das Seminar entwickelt eine gemeinsame Grundlage für ihre Erfassung, sichere Bereitstellung und kontrollierte Ablösung. Im Mittelpunkt stehen die tatsächlichen Datenflüsse zwischen Menschen, Anwendungen und Infrastruktur sowie die Frage, welche Geheimnisse überhaupt noch dauerhaft gespeichert werden müssen.

Anhand einer Beispielanwendung werden Verantwortlichkeiten, Schutzbedarf und Betriebsanforderungen in ein nachvollziehbares Architekturkonzept übersetzt. Zentrale Secrets-Dienste, verschlüsselte Konfigurationsdateien und identitätsbasierte Zugriffe werden nach ihrem Einsatzzweck eingeordnet. Die Produktauswahl berücksichtigt Betriebsaufwand, Wiederherstellbarkeit, Integrationsfähigkeit und die Möglichkeit eines späteren Anbieterwechsels.

Inhaltsübersicht

• Arten von Secrets und typische Ablageorte
• Lebenszyklus und Verantwortlichkeiten
• Zugriffsschutz und Vertrauensgrenzen
• Architektur und Produktauswahl
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Arten von Secrets und typische Ablageorte

• Passwörter, API-Schlüssel, Zugriffstokens, private Schlüssel und Zertifikate voneinander unterscheiden.
• Geheimnisse in Quellcode, Build-Artefakten, Protokollen, Backups und manuellen Übergaben erfassen.
• Persönliche Passwortverwaltung, privilegierte Administration und maschinellen Secret-Abruf abgrenzen.

Lebenszyklus und Verantwortlichkeiten

• Erzeugung, Freigabe, Nutzung, Erneuerung, Sperrung und Löschung als zusammenhängenden Prozess beschreiben.
• Eigentümer, Verbraucher, Umgebungen, Gültigkeit und Abhängigkeiten im Inventar dokumentieren.
• Kurzlebige Zugangsdaten und Workload Identity als Möglichkeiten zur Verringerung dauerhaft gespeicherter Secrets einordnen.

Zugriffsschutz und Vertrauensgrenzen

• Authentisierung und Autorisierung trennen und minimale Berechtigungen aus einem Anwendungsfall ableiten.
• Entwicklungs-, Test- und Produktionszugriffe sowie menschliche und technische Identitäten trennen.
• Erstzugang, Notfallzugriff, Protokollierung und Schutz der Wiederherstellungsmittel berücksichtigen.

Architektur und Produktauswahl

• OpenBao, HashiCorp Vault, Infisical und verwaltete Cloud-Dienste nach Betriebsmodell vergleichen.
• Ansible Vault und SOPS als Schutz gespeicherter Konfigurationen in die Gesamtarchitektur einordnen.
• Pilotumfang, Abnahmekriterien und eine schrittweise Migration aus vorhandenen Ablagen festlegen.

Praktische Übungen

1. Die Datenflüsse einer Beispielanwendung aufnehmen und alle verwendeten Secrets kennzeichnen.
2. Ein Inventar mit Eigentümer, Verbraucher, Schutzbedarf und Erneuerungsbedarf ausfüllen.
3. Eine Berechtigungsmatrix für Entwicklung, Betrieb und automatisierte Bereitstellung erstellen.
4. Zwei Architekturvarianten anhand von Ausfallverhalten und Integrationsaufwand bewerten.
5. Ein begrenztes Pilotprojekt mit technischen und organisatorischen Abnahmekriterien entwerfen.

Schulungsumgebung

Ein vorbereiteter Architekturfall, Beispieldateien und ein Inventarformular bilden die Arbeitsgrundlage. Produktzugriffe werden demonstriert; eine vollständige Plattforminstallation ist nicht Bestandteil des eintägigen Seminars.