Seminar CrateDB – Security, Benutzer, Rollen, JWT und TLS

Datenbanksicherheit entsteht aus Identitäten, minimalen Rechten, geschützten Verbindungen, sicherer Konfiguration und überprüfbaren Betriebsprozessen. Das Seminar entwickelt daraus eine mehrschichtige Härtung für Anwendung, Datenbank, Netzwerk und Notfallbetrieb.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele und fachliche Einordnung

• Schutzbedarf, Bedrohungen und Vertrauensgrenzen für CrateDB bestimmen
• Benutzer, Rollen, Privilegien, HBA und Anwendungsidentitäten nach Minimalprinzip umsetzen
• TLS und JWT-basierte Authentifizierung sicher konfigurieren und betreiben
• Härtung, Geheimnisrotation, Prüfung und Incident-Verfahren dauerhaft verankern

Schrittweise Seminarinhalte

1. Schritt 1: Schutzbedarf und Bedrohungsmodell erstellen

   Datenarten, Mandanten, Angreifer, Vertrauenszonen, administrative Wege und Auswirkungen werden nach Vertraulichkeit, Integrität und Verfügbarkeit bewertet.

2. Schritt 2: Identitätsklassen festlegen

   Menschen, Anwendungen, Pipelines, BI, Administration und Notfallzugänge erhalten getrennte Lebenszyklen und Verantwortlichkeiten.

3. Schritt 3: Benutzer und Rollen strukturieren

   Fachrollen, technische Rollen, Gruppenprinzip, Namenskonvention und Trennung privilegierter Aufgaben werden in ein wartbares Modell übersetzt.

4. Schritt 4: Privilegien minimal vergeben

   Cluster-, Schema- und Tabellenrechte werden nach konkreten Aufgaben erteilt, getestet und regelmäßig rezertifiziert.

5. Schritt 5: HBA-Regeln planen

   Protokoll, Quellnetz, Benutzer, Authentifizierungsart, Reihenfolge und sichere Standardverweigerung werden kontrolliert aufgebaut.

6. Schritt 6: Passwort- und Servicezugänge absichern

   Starke Geheimnisse, getrennte Konten, Rotation, Sperrung, Vault-Integration und Vermeidung statischer Zugangsdaten werden umgesetzt.

7. Schritt 7: JWT-Authentifizierung integrieren

   Issuer, Audience, Benutzerzuordnung, Schlüsselrotation, Zeitprüfung und Fehlerbehandlung werden für zentrale Identitätsanbieter eingeordnet.

8. Schritt 8: TLS für Client-Verbindungen einrichten

   Zertifikatskette, Hostnamen, Protokollversion, Cipher-Auswahl, Clientprüfung und Treiberkonfiguration werden reproduzierbar getestet.

9. Schritt 9: Interne und administrative Verbindungen schützen

   Clusterkommunikation, Managementzugriffe, Bastion, Netzwerksegmentierung und Wartungswege werden in die Sicherheitsarchitektur integriert.

10. Schritt 10: Zertifikatslebenszyklus organisieren

    Ausstellung, Verteilung, Ablaufüberwachung, Rotation, Widerruf und Notfallwechsel werden ohne ungeplanten Ausfall geprobt.

11. Schritt 11: Secrets und Konfiguration trennen

    Schlüssel, Passwörter und Token werden nicht in Images, Skripten oder Repositories abgelegt, sondern kontrolliert injiziert und protokolliert.

12. Schritt 12: Protokollierung und Erkennung gestalten

    Anmeldefehler, Berechtigungsverstöße, Konfigurationsänderungen, auffällige Abfragen und administrative Aktionen werden mit Alarmwegen verbunden.

13. Schritt 13: Backups und Notfallzugänge schützen

    Repository-Rechte, Verschlüsselung, getrennte Zugangsdaten, Break-Glass-Verfahren und nachträgliche Kontrolle werden abgestimmt.

14. Schritt 14: Härtungsprüfung durchführen

    Netzwerk, Ports, Benutzer, Rollen, TLS, HBA, Dateiberechtigungen, Versionen und Betriebsdokumentation werden anhand einer priorisierten Checkliste geprüft.

15. Schritt 15: Security Incident bearbeiten

    Erkennung, Eindämmung, Beweissicherung, Credential-Rotation, Wiederherstellung, Kommunikation und Nachkontrolle werden in einem Szenario durchgespielt.

Praxisübungen und Laborszenarien

• Aufbau eines Rollen- und Privilegienmodells für Anwendung, Analysten und Administration
• Konfiguration und Test von HBA-Regeln mit erlaubten und verweigerten Verbindungen
• Einrichtung einer TLS-geschützten Client-Verbindung mit Zertifikatsprüfung
• Entwurf eines JWT- und Zertifikatsrotationsverfahrens
• Bearbeitung eines kompromittierten Servicekontos mit dokumentierter Eindämmung

Zielgruppe und Voraussetzungen

Zielgruppe: Datenbankadministration, Informationssicherheit, IAM, Plattformbetrieb, DevSecOps, Anwendungsarchitektur und Datenschutz-nahe technische Rollen.

Voraussetzungen: Grundkenntnisse der CrateDB-Architektur, Netzwerke, TLS, Identitäts- und Berechtigungskonzepte sowie administrative Laborzugänge.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Live-Demonstrationen, strukturierte Konfigurations- und SQL-Schritte, praktische Übungen sowie kontrollierte Fehlerfälle vertieft. Jede Übung arbeitet mit definierten Ausgangsdaten, Prüfpunkten und einer knappen technischen Dokumentation, damit die erarbeiteten Verfahren wiederholbar bleiben.