Senior IAM & Security Engineer für HashiCorp Vault (PKI) & Keycloak Integration
Ansprechpartner: Sebastian Drewes
Deutschland
Endkundenprojekt
ITIAMAccess Control ListDatenbank-VerschlüsselungIdentity-Management-SystemePublic-Key-InfrastrukturRSA (Cryptosystem)Secure Hash AlgorithmSecurity AdministratorVaultVagrantAdvanced Encryption Standard (AES)Infrastructure as Code (IaC)KubernetesHashicorpTerraformBeschreibung
Projektziel: Aufbau und Optimierung einer zentralen Identity- und Secret-Management-Infrastruktur. Der Schwerpunkt liegt auf der Konzeption, Implementierung und Automatisierung einer internen PKI mittels HashiCorp Vault sowie der Anbindung und Konfiguration von Keycloak als zentraler Identity Provider (IdP).
Hauptaufgaben:
- Konzeption, Aufbau und Härtung einer internen Public Key Infrastructure (PKI) Engine unter HashiCorp Vault (Root-/Intermediate-CAs, Rollen, Policies, Token-Lifecycle)
- Automatisierung der Zertifikatsausstellung und -rotation (z. B. via Vault Agent, Cert-Manager im Kubernetes-Umfeld oder REST-API)
- Bereitstellung, Konfiguration und Betrieb von Keycloak (Realms, Client Scopes, User Federation via LDAP/AD, OIDC/SAML)
- Absicherung der Keycloak-Infrastruktur durch TLS-Zertifikate aus Vault sowie Secret-Bereitstellung für IdP-Komponenten
- Integration von Vault und Keycloak (z. B. Authentifizierung an Vault via Keycloak OIDC Provider)
- Erstellung von Infrastructure as Code (z. B. mit Terraform/OpenTofu oder Ansible)
- Dokumentation der Architektur, PKI-Richtlinien (Certificate Policies / CPS) und Übergabe an den operativen Betrieb
Voraussetzungen:
Must-have:
- Nachweisbare Praxiserfahrung in der Konzeption und dem Betrieb von HashiCorp Vault mit Fokus auf die PKI Secrets Engine
- Fundierte Kenntnisse in Keycloak (Setup, Realm-Design, OIDC, SAML, Role-Based Access Control)
- Tiefes Verständnis moderner Krypto- und Zertifikatsstandards (X.509, mTLS, CRL/OCSP, Key-Lifecycle)
- Erfahrung in der Automatisierung mittels Infrastructure as Code (Terraform, Ansible o. ä.)
- Sicherer Umgang mit Linux-Systemen und Container-Technologien (Docker / Kubernetes)
Nice-to-have:
- Erfahrung mit Vault Enterprise Features (Disaster Recovery, Replication, Namespaces)
- Praxis im Zusammenspiel mit CI/CD-Pipelines (GitLab CI, GitHub Actions)
- HashiCorp Certified: Vault Associate / Professional Zertifizierung
Zeitrahmen/Projektlaufzeit: Start ab sofort / nach Absprache, Dauer 3–6 Monate mit Option auf Verlängerung, Auslastung Vollzeit (32–40 Std./Woche).
Arbeitsmodell: Remote, gelegentliche Abstimmungen vor Ort nach Absprache. Sprachkenntnisse: Deutsch und/oder Englisch verhandlungssicher.
Erwartetes Ergebnis: Eine vollständig aufgebaute, gehärtete und dokumentierte interne PKI-Infrastruktur auf Basis von HashiCorp Vault, eine konfigurierte und integrierte Keycloak-Instanz als zentraler Identity Provider sowie eine übergabefähige Dokumentation der Architektur und PKI-Richtlinien für den operativen Betrieb.
Hauptaufgaben:
- Konzeption, Aufbau und Härtung einer internen Public Key Infrastructure (PKI) Engine unter HashiCorp Vault (Root-/Intermediate-CAs, Rollen, Policies, Token-Lifecycle)
- Automatisierung der Zertifikatsausstellung und -rotation (z. B. via Vault Agent, Cert-Manager im Kubernetes-Umfeld oder REST-API)
- Bereitstellung, Konfiguration und Betrieb von Keycloak (Realms, Client Scopes, User Federation via LDAP/AD, OIDC/SAML)
- Absicherung der Keycloak-Infrastruktur durch TLS-Zertifikate aus Vault sowie Secret-Bereitstellung für IdP-Komponenten
- Integration von Vault und Keycloak (z. B. Authentifizierung an Vault via Keycloak OIDC Provider)
- Erstellung von Infrastructure as Code (z. B. mit Terraform/OpenTofu oder Ansible)
- Dokumentation der Architektur, PKI-Richtlinien (Certificate Policies / CPS) und Übergabe an den operativen Betrieb
Voraussetzungen:
Must-have:
- Nachweisbare Praxiserfahrung in der Konzeption und dem Betrieb von HashiCorp Vault mit Fokus auf die PKI Secrets Engine
- Fundierte Kenntnisse in Keycloak (Setup, Realm-Design, OIDC, SAML, Role-Based Access Control)
- Tiefes Verständnis moderner Krypto- und Zertifikatsstandards (X.509, mTLS, CRL/OCSP, Key-Lifecycle)
- Erfahrung in der Automatisierung mittels Infrastructure as Code (Terraform, Ansible o. ä.)
- Sicherer Umgang mit Linux-Systemen und Container-Technologien (Docker / Kubernetes)
Nice-to-have:
- Erfahrung mit Vault Enterprise Features (Disaster Recovery, Replication, Namespaces)
- Praxis im Zusammenspiel mit CI/CD-Pipelines (GitLab CI, GitHub Actions)
- HashiCorp Certified: Vault Associate / Professional Zertifizierung
Zeitrahmen/Projektlaufzeit: Start ab sofort / nach Absprache, Dauer 3–6 Monate mit Option auf Verlängerung, Auslastung Vollzeit (32–40 Std./Woche).
Arbeitsmodell: Remote, gelegentliche Abstimmungen vor Ort nach Absprache. Sprachkenntnisse: Deutsch und/oder Englisch verhandlungssicher.
Erwartetes Ergebnis: Eine vollständig aufgebaute, gehärtete und dokumentierte interne PKI-Infrastruktur auf Basis von HashiCorp Vault, eine konfigurierte und integrierte Keycloak-Instanz als zentraler Identity Provider sowie eine übergabefähige Dokumentation der Architektur und PKI-Richtlinien für den operativen Betrieb.