Seminar Bitwarden – Secrets Manager für CI/CD und Kubernetes

Secrets in Pipelinevariablen, Repositoryeinstellungen oder Kubernetes-Manifesten sind schwer zu inventarisieren und noch schwerer zuverlässig zu rotieren. Ein zentraler Speicher hilft nur, wenn Maschinenidentität, Laufzeitabruf und Fehlerverhalten sauber begrenzt sind.

Das Seminar baut einen Ende-zu-Ende-Pfad vom Projekt im Secrets Manager bis zur kurzlebigen Verwendung in Buildjob und Workload auf. Jede Übergabe wird auf Minimalberechtigung, Protokolllecks und Entzug geprüft.

Einordnung und Nutzen

Drei Tage sind notwendig, weil CI/CD und Kubernetes unterschiedliche Identitäts-, Laufzeit- und Fehlerbilder besitzen. Zwei Tage würden entweder Pipeline- oder Operatorbetrieb auf eine Demonstration reduzieren.

Zielgruppe

• DevOps-, DevSecOps- und Plattformteams
• CI/CD- und Kubernetes-Administration
• Entwickler und Site Reliability Engineering
• Informationssicherheit für technische Geheimnisse

Voraussetzungen

• Grundkenntnisse von Bitwarden Secrets Manager
• Praktische CI/CD- und Kubernetes-Kenntnisse
• Sicherer Umgang mit YAML, CLI und Service Accounts

Lernziele

• Machine Accounts und Access Tokens minimal berechtigen
• Secrets ohne Klartextablage in Pipelinejobs injizieren
• Kubernetes Operator sicher installieren und einschränken
• Rotation und Entzug über abhängige Systeme hinweg planen
• Audit, Störung und Ausfall des Secret-Dienstes kontrolliert behandeln

Seminarinhalte

Maschinenidentität und Zugriff

• Projekte, Machine Accounts und Berechtigungsscope
• Access Tokens erzeugen, verteilen, schützen und widerrufen
• Trennung von Build-, Test- und Produktionsidentitäten

CI/CD-Integration

• GitHub Actions, GitLab CI/CD und Jenkins nach Plattform auswählen
• Secrets Manager CLI oder SDK passend einsetzen
• Secrets zur Laufzeit injizieren, maskieren und nach Jobende verwerfen
• Forks, Pull Requests, geschützte Branches und untrusted Code berücksichtigen

Infrastructure as Code und Automatisierung

• Ansible-Integration und Terraform Provider nach Aufgabe abgrenzen
• Lese- und Schreibrechte für Infrastrukturjobs minimal zuschneiden
• State, Plan, Callback, Debug- und Fehlerausgaben auf Secret-Leckage prüfen

Kubernetes Operator

• Installation mit Helm und Operator-Berechtigungen
• Authentifizierung mit Service Accounts und TokenReview
• BitwardenSecret-Ressourcen, Namespaces und erzeugte Kubernetes Secrets

Rotation und Lebenszyklus

• Zeit-, Ereignis- und risikobasierte Rotation
• Versionierungs- und Rolloutreihenfolge abhängiger Anwendungen
• Entzug kompromittierter Tokens und kontrollierter Wiederanlauf

Audit und Fehlerfälle

• Abrufe, Änderungen und administrative Aktionen auswerten
• Keine Secret-Werte in Logs, Artefakten oder Caches
• Verhalten bei Nichterreichbarkeit, abgelaufenem Token und unvollständiger Synchronisation

Migration

• Statische Pipelinevariablen und Kubernetes Secrets inventarisieren
• Schrittweise Umstellung mit Parallelprüfung
• Alte Werte widerrufen und verbliebene Kopien beseitigen

Praktische Übungen

• Aufbau getrennter Machine Accounts für Test und Produktion
• Secret-Injektion in einen Pipelinejob mit Logprüfung
• Installation und Einschränkung des Kubernetes Operators
• Bereitstellung und Aktualisierung eines Ziel-Secrets
• Rotation mit kontrolliertem Anwendungsrollout
• Simulation eines widerrufenen Tokens und eines Dienstausfalls

Methodik

Pipeline und Cluster werden als getrennte Vertrauenszonen behandelt. Übungen prüfen neben dem Erfolgsfall ausdrücklich untrusted Code, Klartextprotokolle, fehlende Berechtigungen, Entzug und Nichterreichbarkeit.