Formation OpenBao

Formation OpenBao

[Jour 1 – Matin]

Fondamentaux de la gestion des secrets

• Comprendre le rôle d’OpenBao dans une architecture DevSecOps
• Identifier les enjeux liés aux secrets, aux tokens, aux certificats et aux clés applicatives
• Découvrir le positionnement d’OpenBao comme solution open source de secrets management
• Comparer les pratiques classiques de stockage avec l’usage d’un coffre-fort de secrets
• Comprendre les notions de seal, unseal, root token, policy et secret engine
• Atelier pratique : installer OpenBao, initialiser le serveur et manipuler les premières commandes CLI

[Jour 1 – Après-midi]

Architecture et configuration serveur

• Comprendre l’architecture d’un serveur OpenBao et ses composants principaux
• Configurer les listeners, le stockage, les paramètres TLS et les variables d’environnement
• Étudier le fonctionnement du chiffrement des données au repos
• Découvrir les backends de stockage : fichier, Raft, Consul et solutions compatibles
• Analyser les logs, le statut serveur et les premières commandes d’administration
• Mettre en place une configuration locale propre pour les exercices suivants

Moteur KV et structuration des secrets

• Activer et configurer le moteur KV secrets engine
• Comparer KV v1 et KV v2 : versioning, rollback, soft delete et destroy
• Organiser les chemins de secrets par application, équipe et environnement
• Définir des conventions de nommage exploitables en production
• Manipuler les opérations courantes : lecture, écriture, suppression et restauration
• Atelier pratique : créer une arborescence de secrets versionnés pour plusieurs environnements

[Jour 2 – Matin]

Policies, tokens et modèle d’autorisation

• Comprendre le modèle d’autorisation basé sur les policies
• Créer des policies adaptées aux applications, équipes et environnements
• Gérer les tokens, durées de vie, renouvellements, révocations et permissions
• Appliquer le principe du moindre privilège dans l’accès aux secrets
• Tester et déboguer les erreurs de permissions avec le CLI et l’API
• Atelier pratique : écrire des policies précises et valider les droits d’accès avec différents tokens

[Jour 2 – Après-midi]

Méthodes d’authentification applicative

• Découvrir les méthodes d’authentification disponibles dans OpenBao
• Configurer l’authentification userpass pour les usages d’apprentissage et d’administration
• Mettre en place AppRole pour les applications et services automatisés
• Comprendre les notions de RoleID, SecretID, TTL et usage limité
• Sécuriser l’authentification applicative dans un contexte CI/CD ou serveur
• Atelier pratique : connecter une application de test à OpenBao avec AppRole.

Secrets dynamiques et rotation

• Comprendre la différence entre secrets statiques et secrets dynamiques
• Découvrir les usages avec bases de données, comptes temporaires et accès applicatifs
• Configurer les notions de TTL, lease, renouvellement et révocation
• Mettre en place une stratégie de rotation des secrets
• Identifier les bénéfices sécurité : réduction de l’exposition, traçabilité et révocation rapide
• Atelier pratique : générer des credentials temporaires et tester leur expiration.

[Jour 3 – Matin]

Intégration Kubernetes

• Comprendre les limites des Secrets Kubernetes natifs
• Configurer l’authentification Kubernetes avec les service accounts
• Associer les workloads Kubernetes à des policies OpenBao dédiées
• Étudier les patterns d’intégration : init container, sidecar, injection et CSI driver
• Sécuriser l’accès aux secrets pour des applications cloud native
• Atelier pratique : authentifier un workload Kubernetes et récupérer un secret depuis OpenBao.

[Jour 3 – Après-midi]

Intégration applicative et API

• Utiliser le CLI, l’API HTTP et les clients applicatifs
• Consommer des secrets depuis des applications Node.js, Python, Go ou Java
• Gérer les erreurs courantes : token expiré, accès refusé, chemin incorrect, secret détruit
• Mettre en place des stratégies de cache applicatif et de renouvellement sécurisé
• Éviter les anti-patterns : secrets en logs, tokens persistants, droits trop larges
• Structurer une intégration propre entre OpenBao et les applications métier

CI/CD et automatisation DevSecOps

• Intégrer OpenBao dans une chaîne CI/CD
• Récupérer des secrets de manière sécurisée dans GitLab CI, GitHub Actions ou Jenkins
• Automatiser la configuration avec scripts, API et principes d’Infrastructure as Code
• Gérer les environnements développement, recette, staging et production
• Mettre en place des garde-fous contre l’exposition de secrets dans les dépôts Git
• Atelier pratique : connecter une pipeline CI/CD à OpenBao pour récupérer un secret temporaire.

[Jour 4 – Matin]

Haute disponibilité et exploitation

• Comprendre les enjeux de haute disponibilité pour un coffre-fort de secrets
• Déployer OpenBao avec le stockage intégré Raft
• Comprendre les rôles des nœuds, le quorum, le leader et les mécanismes de reprise
• Gérer les opérations de sauvegarde, restauration et redémarrage sécurisé
• Superviser le statut du cluster, les logs et les métriques essentielles
• Atelier pratique : déployer un cluster OpenBao simplifié et simuler une panne de nœud.

[Jour 4 – Après-midi]

Sécurité, audit et durcissement

• Activer et exploiter les audit devices
• Analyser les accès, les erreurs, les tokens et les opérations sensibles
• Appliquer les bonnes pratiques de hardening : TLS, policies minimales, rotation et séparation des rôles
• Mettre en place des alertes sur les comportements anormaux
• Définir une stratégie de revue périodique des accès et des secrets
• Préparer une checklist sécurité avant mise en production

Gouvernance, migration et cas final

• Définir une stratégie de gouvernance des secrets à l’échelle de l’organisation
• Préparer une migration depuis Vault ou une solution existante de secrets management
• Construire un runbook d’exploitation : incident, compromission, rotation d’urgence et restauration
• Définir les responsabilités entre équipes sécurité, DevOps, SRE et développement
• Élaborer une trajectoire d’adoption progressive d’OpenBao en production
• Atelier pratique : réaliser un cas fil rouge complet combinant policies, secrets, AppRole, audit et remédiation.