API anahtarları çoğu kurumda bir kez üretilir ve yıllarca değişmeden kullanılır; kapsamı sınırlandırılmadığı, kime ait olduğu izlenmediği ve iptal prosedürü tanımlanmadığı için tek bir sızıntı, geniş bir erişim alanını saldırgana açar. Token tarafında ise süresiz erişim token'ları, iptal edilemeyen yapılar ve yenileme token'larının yeniden kullanımı benzer riskleri doğurur. Yaşam döngüsü yaklaşımı, her kimlik bilgisini üretim anından iptaline kadar yönetilen bir varlık olarak ele alır. Atölye üç modülde ilerler ve uygulamalı olarak yürütülür. Katılımcılar anahtar üretimi, saklama biçimi ve karma yaklaşımını uygular, kapsam ve kısıt tasarımını kurgular, token türlerini ve iptal stratejilerini karşılaştırır, döndürme akışını kesintisiz geçişle uygular ve kullanım izleme ile anormallik tespiti kurar. Atölye çıktısı, kurum için hazırlanmış bir kimlik bilgisi yaşam döngüsü politikası ve döndürme prosedürüdür.