Seminar HashiCorp Vault – Secrets Management und Administration

HashiCorp Vault wird als zentraler Dienst für die geschützte Ablage und Bereitstellung technischer Zugangsdaten eingerichtet. Der Schwerpunkt liegt auf einer verständlichen und überprüfbaren Grundkonfiguration, die sich im täglichen Betrieb administrieren lässt. Neben dem erfolgreichen Secret-Abruf werden verweigerte Zugriffe, abgelaufene Tokens und fehlerhafte Pfadzuordnungen systematisch untersucht.

Die Übungen verwenden die für die Basisverwaltung erforderlichen Funktionen. Zusätzliche Editionsmerkmale wie erweiterte Mandantentrennung oder Replikationsangebote werden bei der Architekturbetrachtung gekennzeichnet. Die Anwendung wird schrittweise von einem manuell hinterlegten Testkennwort auf einen authentisierten Abruf umgestellt; Rechte und Erneuerungsverhalten bleiben dabei ausdrücklich überprüfbar.

Inhaltsübersicht

• Vault-Architektur und Inbetriebnahme
• KV v2 und Datenorganisation
• Policies und Authentisierung
• Vault Agent und Anwendungen
• Audit und Fehleranalyse
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Vault-Architektur und Inbetriebnahme

• Server, Listener, Storage, TLS und administrative Zugriffspfade zu einer Basiskonfiguration verbinden.
• Initialisierung, Unseal-Verfahren und den Umgang mit dem Root-Token nachvollziehen.
• Betriebsanforderungen und verfügbare Editionsmerkmale für die spätere Produktionsplanung abgleichen.

KV v2 und Datenorganisation

• Secret-Pfade entlang von Anwendungen und Umgebungen strukturieren.
• Versionen, Wiederherstellung gelöschter Versionen und endgültiges Entfernen unterscheiden.
• Zugriff auf Daten und Metadaten sowie notwendige Rechte für CLI- und API-Nutzung ermitteln.

Policies und Authentisierung

• Token-Policies mit minimalem Umfang formulieren und anhand einer Zugriffsmatrix testen.
• AppRole mit begrenzten Anmeldemitteln für eine technische Anwendung einrichten.
• JWT/OIDC mit passenden Vertrauensbedingungen, Laufzeiten und Rollenbindungen untersuchen.

Vault Agent und Anwendungen

• Automatische Anmeldung und die Bereitstellung einer Konfigurationsdatei verbinden.
• Dateizugriffe, Token-Erneuerung und das Nachladen einer Anwendung koordinieren.
• CLI, API und Agent anhand des Betriebsmodells der Anwendung auswählen.

Audit und Fehleranalyse

• Audit-Ereignisse zu authentisierten Aktionen und verweigerten Zugriffen zuordnen.
• Fehler an TLS, Pfaden, Rollen und Token-Laufzeiten schrittweise eingrenzen.
• Eine wiederholbare Basiskontrolle für die Anwendung und ihre Berechtigungen dokumentieren.

Praktische Übungen

1. Eine TLS-gesicherte Vault-Instanz initialisieren und den administrativen Regelzugang einrichten.
2. Eine KV-v2-Struktur mit Versionswechsel und Wiederherstellung anlegen.
3. Anwendungsrechte aus einer Matrix ableiten und erlaubte sowie verbotene Zugriffe ausführen.
4. Eine technische Anmeldung konfigurieren und ein zeitlich begrenztes Token verwenden.
5. Vault Agent mit einer Beispielanwendung verbinden und die Dateiberechtigungen prüfen.
6. Einen kontrollierten Anmeldefehler analysieren und die Konfiguration anhand der Audit-Daten berichtigen.

Schulungsumgebung

Erforderlich sind vorbereitete Linux-VMs, HashiCorp Vault, eine Testanwendung und TLS-Material. Die eingesetzte Edition und die für praktische Übungen verfügbaren Funktionen werden vor Durchführung festgelegt.