Seminar Bitwarden – Secrets Manager Grundlagen und Machine Accounts

Anwendungsgeheimnisse unterscheiden sich von persönlichen Passwörtern: Sie werden von Maschinen abgerufen, häufig in mehreren Umgebungen verwendet und müssen ohne Unterbrechung rotiert werden. Dafür ist ein klares Projekt- und Berechtigungsmodell erforderlich.

Das Seminar baut eine kleine Secrets-Manager-Organisation mit getrennten Projekten, menschlichen Verantwortlichen und Maschinenidentitäten auf. Jeder Zugriff wird auf Zweckbindung und Minimalberechtigung geprüft.

Einordnung und Nutzen

Zwei Tage sind erforderlich, um Datenmodell, menschliche Verwaltung, Maschinenzugriff, CLI und Lebenszyklus praktisch zu verbinden. Ein Tag reicht für Produktüberblick, nicht für belastbare Zugriffs- und Rotationstests.

Zielgruppe

• DevOps-, Entwicklungs- und Plattformteams
• Administratoren technischer Geheimnisse
• Informationssicherheit und Cloud Engineering
• Teams beim Einstieg in zentrales Secrets Management

Voraussetzungen

• Allgemeine Kenntnisse zu Anwendungen und Zugangsdaten
• Grundlagen von CLI und strukturierten Konfigurationsdaten
• Keine Bitwarden-Secrets-Manager-Vorkenntnisse erforderlich

Lernziele

• Password Manager und Secrets Manager korrekt abgrenzen
• Projekte und Secrets nach Anwendung und Umgebung strukturieren
• Personen und Machine Accounts minimal berechtigen
• Access Tokens sicher ausstellen, nutzen und widerrufen
• Rotation, Audit und grundlegende Betriebsprozesse einrichten

Seminarinhalte

Architektur und Begriffe

• Organisation, Projekt, Secret, Person und Machine Account
• Verschlüsselungs- und Verantwortungsgrenzen
• Password Manager, Konfigurationsmanagement und Secrets Manager abgrenzen

Projekt- und Namensmodell

• Anwendungen, Umgebungen und Verantwortungsbereiche strukturieren
• Konsistente Namen, Beschreibungen und Metadaten
• Übermäßige Sammelprojekte und Secret-Dubletten vermeiden

Menschlicher Zugriff

• Benutzer aufnehmen und Projektrechte vergeben
• Lesen, Schreiben und administrative Aufgaben trennen
• Vier-Augen-Prinzip und regelmäßige Rechteprüfung

Maschinenzugriff

• Machine Accounts zweckgebunden zuschneiden
• Access Tokens erstellen, sicher übergeben und widerrufen
• Secrets Manager CLI für Abruf und kontrollierte Änderung

Lebenszyklus

• Secret-Erstellung, Verteilung, Rotation und Stilllegung
• Import und Export mit sicherer Dateihandhabung
• Ereignisse, Inventar und Betriebschecklisten

Praktische Übungen

• Entwurf eines Projekt- und Namensmodells
• Aufbau getrennter Benutzer- und Maschinenrechte
• Abruf ausgewählter Secrets mit minimal berechtigtem Access Token
• Rotation eines Secrets mit dokumentierter Abhängigkeit
• Widerruf eines Tokens und Auswertung der Ereignisse

Methodik

Konfiguration und CLI-Übungen wechseln mit Berechtigungs- und Lebenszyklustests. Secret-Werte werden in Übungsprotokollen konsequent maskiert.