Mitglied werden – KI-Tutor mit vollen Antworten

Training Module

Vault Fortgeschritten: Dynamic Secrets, PKI & Produktionsbetrieb

In diesem 3-Stunden-Aufbaumodul verlasst ihr das statische Secret. Statt ein Passwort in der KV-Engine zu lesen und zu rotieren, holt ihr euch über die Database Secrets Engine live gegen einen lokalen Postgres-Container ein On-Demand-Credential mit begrenzter TTL und seht zu, wie Vault es nach Ablauf automatisch widerruft. Mit der PKI Secrets Engine baut ihr eine eigene Root-CA in Vault auf, stellt ein kurzlebiges Leaf-Zertifikat aus und führt ein Renewal durch, bevor das Zertifikat abläuft. Danach bringt ihr Vault in einen echten Kubernetes-Cluster (kind oder Minikube): Der Vault Agent Injector liest eine Pod-Annotation und injiziert das Secret zur Laufzeit als Sidecar, ohne dass die Anwendung selbst die Vault-API anspricht. Ein Konzept- und Demoblock ordnet Integrated Storage/Raft als produktionstaugliches Storage-Backend ein und vergleicht Shamir Unseal gegen Auto-Unseal über einen Cloud-KMS, konzeptionell und simuliert, ohne dass dafür ein echter Cloud-Account nötig ist. Zum Abschluss führt ihr in einer Abschlussübung beide Hands-on-Linien zusammen: eine Beispiel-App bezieht ihre DB-Credentials dynamisch und ihr TLS-Zertifikat aus der PKI-Engine, das Ergebnis wird im Review gegen eine Musterlösung abgeglichen.

Academy Briefing vereinbaren

Oder sofort per Mail an mail@mhm-dl.de

Format

3 Stunden, live (remote oder vor Ort), Input, Live-Demo und Hands-on; Hands-on-Anteil über 70 Prozent der Zeit

Teilnehmende

DevOps-/Platform-/Security-Engineers, die Vault bereits für statische Secrets nutzen und auf Dynamic Secrets, PKI und Produktionsbetrieb erweitern wollen

Voraussetzungen

Abgeschlossenes Modul “HashiCorp Vault: Secrets Management Grundlagen” oder gleichwertige Praxiserfahrung (KV v2, Sealed/Unsealed, Policies, AppRole werden vorausgesetzt und nicht wiederholt). Kubernetes-Grundkenntnisse (Pod, Namespace, kubectl) ebenfalls vorausgesetzt.

Warum dieses Training für deine Organisation wirkt

Credentials, die von selbst verschwinden

Statt ein Datenbank-Passwort dauerhaft zu speichern und von Hand zu rotieren, erzeugt die Database Secrets Engine pro Anfrage ein neues Credential mit TTL und widerruft es automatisch nach Ablauf.

Zertifikate statt Zertifikats-Wartung

Eine Root-CA in Vault stellt kurzlebige Leaf-Zertifikate aus; Teilnehmende führen ein Renewal live durch und sehen, wie kurze Gültigkeit das Risiko veralteter Zertifikate reduziert statt es nur zu verschieben.

Vom Dev-Mode in den echten Betrieb

Der Vault Agent Injector läuft gegen einen echten lokalen Cluster, und das Konzept zu Raft-HA sowie Auto-Unseal ordnet ein, was zwischen vault server -dev und einem produktiv betriebenen Vault-Cluster noch fehlt.

Was Teilnehmende mitnehmen

  • Den Unterschied zwischen statischen Secrets (KV v2) und Dynamic Secrets einordnen und benennen, wann sich der Wechsel lohnt.
  • Die Database Secrets Engine gegen einen lokalen Postgres-Container konfigurieren und On-Demand-Credentials mit TTL erzeugen.
  • Live beobachten, dass ein abgelaufenes Dynamic-Secret-Credential automatisch widerrufen wird, ohne manuellen Eingriff.
  • Eine Root-CA in der PKI Secrets Engine aufbauen, ein kurzlebiges Leaf-Zertifikat ausstellen und ein Renewal durchführen.
  • Den Vault Agent Injector per Pod-Annotation gegen einen echten lokalen Kubernetes-Cluster (kind oder Minikube) einrichten und ein zur Laufzeit injiziertes Secret im Pod nachvollziehen.
  • Integrated Storage/Raft als Storage-Backend für Hochverfügbarkeit einordnen und Shamir Unseal gegen Auto-Unseal über einen Cloud-KMS konzeptionell und simuliert gegenüberstellen.
  • In einer Abschlussübung eine Beispiel-App an Dynamic Secrets und die PKI-Engine anbinden und das Ergebnis im Review gegen die Musterlösung abgleichen.

Für wen dieses Modul ideal ist

  • • DevOps-/Platform-/Security-Engineers, die Vault aktuell für statische Secrets (KV v2) im Einsatz haben
  • • Teams, die vor der Frage stehen, wie Datenbank-Credentials und TLS-Zertifikate nicht mehr manuell rotiert werden
  • • Absolvent:innen von “HashiCorp Vault: Secrets Management Grundlagen” oder Teams mit gleichwertiger Vault-Praxiserfahrung

Rahmendaten

  • • Dauer: 3 Stunden live (remote oder vor Ort)
  • • Format: Input, Live-Demo, Hands-on gegen lokalen Postgres-Container und lokalen Kubernetes-Cluster, Abschlussübung mit Musterlösung und Review
  • • Voraussetzungen: Vault-Grundlagen (KV v2, Sealed/Unsealed, Policies, AppRole) und Kubernetes-Grundkenntnisse (Pod, Namespace, kubectl)

Modulaufbau & Agenda

  1. Kick-off & Abgrenzung (10 min): kurzer Abgleich des Grundlagen-Stands (KV v2, Sealed/Unsealed, Policies, AppRole) und klare Abgrenzung, was in diesem Modul bewusst nicht wiederholt oder behandelt wird.

  2. Dynamic Secrets: Database Secrets Engine (40 min): Hands-on gegen einen lokalen Postgres-Container. Database Secrets Engine konfigurieren, On-Demand-Credentials mit TTL erzeugen und die automatische Revocation nach Ablauf live nachvollziehen.

  3. PKI Secrets Engine (35 min): Hands-on: eine Root-CA in Vault aufbauen, ein kurzlebiges Leaf-Zertifikat ausstellen und vor Ablauf ein Renewal durchführen.

  4. Kubernetes-Integration: Vault Agent Injector (40 min): Hands-on gegen einen lokalen kind- oder Minikube-Cluster. Pod-Annotation setzen und beobachten, wie der Sidecar das Secret zur Laufzeit injiziert.

  5. Produktionsbetrieb-Konzept: Raft-HA & Auto-Unseal (30 min): Konzept und Demo. Integrated Storage/Raft als Storage-Backend für Hochverfügbarkeit, Auto-Unseal über einen Cloud-KMS konzeptionell und simuliert (kein echter Cloud-Account), Gegenüberstellung Shamir Unseal vs. Auto-Unseal.

  6. Abschlussübung mit Musterlösung & Review (20 min): End-to-End: eine Beispiel-App bezieht ihre DB-Credentials dynamisch und ihr TLS-Zertifikat aus der PKI-Engine; Ergebnis im Review gegen die Musterlösung abgeglichen.

  7. Puffer & Q&A (5 min): Raum für offene Fragen und Zeitpuffer für die vorherigen Hands-on-Blöcke.

Hands-on Inhalte (Auszug)

Dynamic Secrets: Database Secrets Engine

  • Database Secrets Engine gegen lokalen Postgres-Container konfigurieren
  • On-Demand-Credential mit begrenzter TTL erzeugen (vault read database/creds/…)
  • Automatische Revocation nach Ablauf der TTL live beobachten

PKI Secrets Engine

  • Root-CA in Vault aufbauen (vault secrets enable pki)
  • Kurzlebiges Leaf-Zertifikat ausstellen (vault write pki/issue/…)
  • Renewal vor Ablauf des Zertifikats durchführen

Vault Agent Injector gegen echten Cluster

  • Vault Agent Injector in lokalem kind- oder Minikube-Cluster einrichten
  • Pod-Annotation für die Injektion setzen
  • Vom Sidecar zur Laufzeit injiziertes Secret im Pod nachvollziehen

Produktionsbetrieb-Konzept

  • Integrated Storage/Raft als Storage-Backend für Hochverfügbarkeit (Konzept und Demo)
  • Auto-Unseal über einen Cloud-KMS konzeptionell und simuliert, ohne echten Cloud-Account
  • Shamir Unseal vs. Auto-Unseal gegenübergestellt

Abgrenzung dieses Moduls: Keine Wiederholung von KV v2, Sealed/Unsealed, Policies oder AppRole; diese Grundlagen setzt das Modul HashiCorp Vault: Secrets Management Grundlagen voraus. Kein echter Cloud-KMS-Account (Auto-Unseal wird ausschließlich konzeptionell und simuliert gezeigt). Keine Multi-Region-DR-Replication (Vault-Enterprise-Feature). Keine Transit Secrets Engine (möglicher eigenständiger Folgekurs). Keine Vault-Enterprise-Features wie Namespaces, Performance Replication oder HSM-Integration. Der External Secrets Operator wird als Alternative zum Vault Agent Injector nur erwähnt, ohne eigenen Hands-on-Block. Keine Pentest-Session gegen Vault selbst.

Dieses Modul ist Teil unserer Pilotphase. Gemeinsam mit euch definieren wir passende Metriken (z. B. Zeit bis zum ersten erfolgreichen dynamischen Credential, Ergebnis der Abschlussübung) und werten sie im Anschluss transparent aus. Ergebnisse veröffentlichen wir, sobald sie belastbar sind.

Bereit, das Modul zu buchen?

Wir passen die Abschlussübung auf euren Erfahrungsstand und eure Zielumgebung an.

Academy Briefing anfragen