Seminar Passwortmanagement – Intensivseminar PAM, Secrets und Automatisierung

Privilegierte Benutzerkonten, Workloads und AI Agents teilen ein Grundproblem: Ein kompromittierter Zugang besitzt oft weitreichende Rechte und bleibt zu lange gültig. Die Kontrollen unterscheiden sich jedoch bei Delegation, Freigabe, Nutzung, Rotation und Nachweis.

Das Intensivseminar führt PAM und Secrets Management in einem gemeinsamen Lebenszyklus zusammen. Statische Kennwörter werden dort reduziert, wo Just-in-Time-Zugriff, dynamische Zugangsdaten, Workload-Identitäten oder eng begrenzte delegierte Tokens tragfähig sind.

Einordnung und Nutzen

Fünf Tage sind erforderlich, weil Konteninventar, PAM-Workflows, technische Secrets, Pipeline- und Kubernetes-Integration, kontrollierte Agentenzugriffe sowie Incident-Tests eigene Laborphasen benötigen. Eine kürzere Verdichtung würde Sicherheitskontrollen nur demonstrieren, aber nicht belastbar prüfen.

Zielgruppe

• PAM-, IAM- und Security-Administratoren
• DevOps-, Plattform-, Kubernetes- und AI-Plattform-Teams
• Systemadministration und SRE
• Entwicklung, Architektur und Incident Response

Voraussetzungen

• Sichere Linux- oder Windows-Administrationskenntnisse
• Grundverständnis von APIs, Rollen, OAuth oder OIDC und Automatisierung
• Grundkenntnisse von CI/CD und Containern für die entsprechenden Übungen

Lernziele

• Privilegierte und nichtmenschliche Identitäten vollständig erfassen und klassifizieren
• PAM-Workflows, Rotation und Sitzungssteuerung sicher entwerfen
• Break-Glass-Verfahren verfügbar und gleichzeitig missbrauchsarm gestalten
• Secrets in CI/CD, Kubernetes und Agentenwerkzeugen ohne Klartextweitergabe bereitstellen
• Dynamische Zugänge, Delegation, Detection und Incident Response integrieren

Seminarinhalte

Inventar und Zielarchitektur

• Administrationskonten, Shared Accounts, Service Accounts, API-Schlüssel, Zertifikate und Tokens erfassen
• Eigentümer, Verbraucher, Schutzbedarf, Laufzeit und Rotation dokumentieren
• Passwortmanager, PAM, Secrets Manager, IAM und HSM funktional abgrenzen

PAM und privilegierte Sitzungen

• Tresoraufnahme, Checkout, Genehmigung und automatische Rotation
• Just-in-Time- und Just-Enough-Administration
• Sitzungsproxy, Aufzeichnung, Kommandokontrolle und Datenschutz

Break Glass und technische Konten

• Notfallkonten getrennt sichern, überwachen und regelmäßig testen
• Service-Account-Kennwörter ohne Ausfall rotieren
• Abhängigkeiten, Wartungsfenster und Rückfallpfade kontrollieren

Secrets, CI/CD, Kubernetes und AI Agents

• Zentrale und dynamische Secrets, Leasing, Ablauf und Widerruf
• OIDC-basierte Workload-Identitäten und kurzlebige Zugangsdaten
• Agenten mit eigener Identität und eng begrenzter Delegation statt mit Benutzerkennwörtern ausstatten

Automatisierung, Detection und Reaktion

• Werkzeug- und Agentenzugriffe gegen Prompt Injection, überbreite Berechtigungen und Secret-Abfluss absichern
• Repository-, Pipeline-, Image-, Agenten- und Laufzeitscans für Secret-Funde
• Rotation, Sperrung, Beweisaufnahme und Wiederanlauf nach einem Abfluss testen

Praktische Übungen

• Erstellung eines Konten-, Identitäts- und Secret-Inventars
• Aufbau eines genehmigten JIT-Zugriffs mit Rotation
• Break-Glass-Test mit Alarmierung und Nachkontrolle
• Bereitstellung kurzlebiger Zugänge an Pipeline, Kubernetes-Workload und Agent
• Simulation von Secret-Leak und Agentenmissbrauch mit Sperrung, Rotation und Wiederanlauf

Methodik

Die Laborstrecke folgt dem Lebenszyklus Entdecken, Klassifizieren, Berechtigen, Bereitstellen, Überwachen, Rotieren und Sperren. Menschliche, maschinelle und agentische Zugriffe werden getrennt getestet und anschließend in ein gemeinsames Kontrollmodell überführt.