Kurs · Schulung · Workshop
Secrets Management mit OpenBao
Zwei Tage Hands-on mit OpenBao für Entwickler und DevOps Engineers: authentifizieren, Policies schreiben, KV-, Database-, PKI- und Transit-Secrets-Engines nutzen, Secrets in Kubernetes injizieren und Dynamic Secrets in GitLab CI/CD beziehen – ohne Vendor Lock-in.
Gemeinsam mit Adfinis, Co-Maintainer von OpenBao und Anbieter von Secretz Enterprise (OpenBao Enterprise Subscription).
Passwörter in Umgebungsvariablen, Tokens in den CI/CD-Einstellungen, Zertifikate, die jemand von Hand erneuert: In vielen Teams liegen Secrets noch dort, wo sie nicht hingehören. OpenBao ist der Open-Source-Fork von HashiCorp Vault unter der Linux Foundation – API-kompatibel zu Vault und ohne Lizenzsorgen. In diesem Kurs lernst Du, OpenBao als Entwickler und DevOps Engineer zu nutzen: Du meldest Dich mit der passenden Auth Method an, schreibst Policies, die einer Anwendung genau das erlauben, was sie braucht, nutzt statische und dynamische Secrets, stellst Zertifikate mit PKI aus und verschlüsselst Daten mit Transit. Dann bringst Du die Secrets dorthin, wo sie gebraucht werden – mit Agent Injector, CSI Provider oder External Secrets Operator in Kubernetes-Pods, mit JWT-Authentifizierung in GitLab-Pipelines und direkt in Deine Anwendung. Der Kurs entsteht gemeinsam mit Adfinis, Co-Maintainer von OpenBao.
Stimmen unserer Teilnehmer:innen
Diese Kunden haben Kurse im gleichen Themen-Cluster bei uns gebucht.Mehr Kunden →
Inhalt
Der Kurs besteht aus den folgenden Themen. Wir wählen und gewichten sie gemeinsam mit Dir – je nach Anwendungen, Pipelines, Plattform und Vorkenntnissen der Gruppe. Wir arbeiten durchgehend in einem Kubernetes-Cluster mit OpenBao, GitLab und Beispielanwendungen in der Letsboot Labmachine.
OpenBao Grundlagen
- Welches Problem Secrets Management löst – und welches nicht
- OpenBao und HashiCorp Vault: gemeinsame Wurzeln, API-Kompatibilität, Unterschiede
- Kernkonzepte: Paths, Mounts, Tokens, Leases und TTLs
- Arbeiten mit CLI, API und Web UI
- Hands-On: erste Schritte mit einem laufenden OpenBao
Authentifizierung
- Auth Methods für Menschen, Maschinen und Workloads
- Userpass, OIDC, AppRole, Kubernetes und JWT im Vergleich
- Tokens, Token-Typen und Token-Lifecycle
- Entities, Aliases und Groups
- Hands-On: mit verschiedenen Auth Methods anmelden und die Tokens untersuchen
Policies
- Policy-Syntax, Paths, Capabilities und Templated Policies
- Least Privilege: einer Anwendung genau das erlauben, was sie braucht
- Policies testen und debuggen
- Hands-On: Policies für eine Anwendung und ein Team schreiben und testen
Secrets Engines
- KV v1 und v2: Versionierung, Metadaten, Soft Delete
- Database Secrets Engine: dynamische Credentials mit Leases und Revocation
- PKI: interne CA, kurzlebige Zertifikate ausstellen und erneuern
- Transit: Encryption as a Service, Key Rotation und Rewrapping
- Hands-On: dynamische Datenbank-User und Zertifikate für eine Beispielanwendung
Kubernetes-Integration
- Kubernetes Auth Method mit Service Account Tokens
- OpenBao Agent Injector: Secrets als Dateien im Pod
- Secrets Store CSI Driver mit dem OpenBao Provider
- External Secrets Operator: Secrets in Kubernetes Secrets synchronisieren
- Welches Pattern für welchen Anwendungsfall
- Hands-On: Secrets mit allen drei Patterns an eine Anwendung liefern
GitLab CI/CD mit JWT
- ID Tokens in GitLab und die JWT Auth Method
- Rollen und Bound Claims pro Projekt, Branch und Environment
- Dynamic Secrets in der Pipeline statt hinterlegter CI/CD-Variablen
- Hands-On: Pipeline holt für ihr Deployment ein kurzlebiges Datenbank-Credential
Application Integration
- Secrets über API und Client Libraries lesen
- OpenBao Agent und Proxy: Auto-Auth, Caching und Templating
- Leases erneuern und Rotation ohne Neustart verarbeiten
- Hands-On: Anwendung liest dynamische Credentials und übersteht eine Rotation
- Hands-On: Secrets für AI Coding Agents
Secrets im Alltag
- Secrets in Code, Repositories und Pipelines finden und entfernen
- Was tun, wenn ein Secret leakt: widerrufen, rotieren, Audit Logs prüfen
- Anwendungen von HashiCorp Vault auf OpenBao umstellen
- Self-Service für Entwicklungsteams: Zugriff beantragen, neue Anwendungen onboarden
Optionale Prüfung
- Praktische Prüfung im Lab – Aufgaben, kein Multiple Choice
- Zertifikat und Credly Badge für alle, die bestehen
Ziel ist, dass alle Entwickler und DevOps Engineers im Team OpenBao so nutzen, wie es gedacht ist: keine Secrets in Code, Pipelines oder Config-Dateien, kurzlebige Credentials und Policies, die nachvollziehbar bleiben. Du willst OpenBao selbst einführen und betreiben? Dann ist der Kurs OpenBao Operations & Architecture mit Architektur, High Availability, Audit, Backup, Upgrades und Migration von Vault das Richtige für Dich.
Der effektive Kursinhalt kann, abhängig von Trainer, Durchführung, Dauer und Konstellation der Teilnehmer:innen, von obigen Angaben abweichen.
In-House Kurs anfragen
Öffentlichen Termin anfragen
Kein passender öffentlicher Termin dabei? Trag dich unverbindlich ein – sobald genug Interesse besteht, planen wir einen neuen öffentlichen Termin und informieren dich zuerst.
Mehr über OpenBao
OpenBao ist ein community-getriebener Fork von HashiCorp Vault, der nach der Lizenzänderung von Vault entstanden ist. OpenBao bleibt vollständig Open Source unter der Mozilla Public License 2.0 und bietet eine nachhaltige Alternative für Secrets Management.Weitere Ressourcen:
Geschichte und Entwicklung
OpenBao entstand 2023 als Reaktion auf HashiCorps Entscheidung, Vault unter die Business Source License (BSL) zu stellen. Die Linux Foundation initiierte das Projekt, um eine vollständig Open-Source-Alternative zu gewährleisten, die von der Community kontrolliert wird.
Das Projekt wird von einem Governance-Board geleitet, das aus Vertretern verschiedener Unternehmen und der Community besteht. OpenBao behält die API-Kompatibilität zu Vault bei, während es gleichzeitig eine unabhängige Entwicklungsrichtung einschlägt. Die Entwicklung konzentriert sich auf Transparenz, Community-Beteiligung und nachhaltige Open-Source-Prinzipien.