Seminar Aiven Platform – Security, Identity und Governance

Das Seminar baut ein durchgängiges Kontrollmodell von der Unternehmensidentität bis zum Datenservice auf. Berechtigungen werden nicht nur vergeben, sondern regelmäßig geprüft, rotiert und im Notfall entzogen.

Inhaltsverzeichnis

1. Einordnung und Nutzen
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Seminarinhalte
6. Tag 1: Unternehmensidentität, Rollen und SSO
7. Tag 2: Tokens, Servicezugriff, Kontrollen und Incident
8. Praxisübungen

Einordnung und Nutzen

Organisationen, Domains, SAML-Identitätsanbieter, SCIM-Einordnung, Gruppen, Rollen und feingranulare Permissions werden mit Zwei-Faktor-Authentifizierung, persönlichen Tokens, Servicebenutzern, Zertifikaten, Secrets, Netzwerkregeln, Tag-Governance, Auditprüfungen und Incident-Prozessen verbunden.

Zielgruppe

• Cloud- und Plattformadministration
• DevOps- und Site-Reliability-Engineering
• Technische Architektur und Betrieb
• Identity- und Access-Management
• Information Security, Governance und Compliance

Voraussetzungen

• Grundkenntnisse zu Cloud-Diensten, Netzwerken und Datenbanken
• Sicherer Umgang mit Browser und Kommandozeile
• Für Übungen ein freigegebenes Aiven-Projekt oder eine vorbereitete Schulungsumgebung
• Grundverständnis von IAM, SSO, Rollen und Tokens

Lernziele

• Aiven-Ressourcen und administrative Aufgaben in ein Rollenmodell überführen
• SAML-SSO, verifizierte Domains und Gruppenbereitstellung einordnen
• Persönliche Tokens, technische Zugänge und Servicebenutzer sicher verwalten
• Least Privilege auf Organisation-, Unit-, Projekt- und Serviceebene anwenden
• Netzwerk-, Secret- und Tag-Governance in Kontrollprüfungen integrieren
• Access Reviews, Offboarding und Credential-Incidents nach festem Verfahren bearbeiten

Seminarinhalte

Jeder Arbeitsschritt wird praktisch umgesetzt, mit einem kurzen Funktionstest geprüft und als wiederholbarer Betriebsablauf dokumentiert.

Tag 1: Unternehmensidentität, Rollen und SSO

Der erste Tag strukturiert den administrativen Zugriff und bindet ihn an zentrale Identitäten.

1. Schritt 1: Ressourcen- und Aufgabenmatrix erstellen. Praktisches Arbeitsergebnis: Organisation, Unit, Projekt, Billing, Networking, Services und Supportaufgaben mit Eigentümer, Ausführenden und Prüfer versehen.
2. Schritt 2: Rollen und Permissions minimieren. Praktisches Arbeitsergebnis: vordefinierte beziehungsweise geeignete Rollen gegen konkrete Aufgaben geprüft und zu breite Rechte durch getrennte Zuständigkeiten ersetzt.
3. Schritt 3: Gruppen und Vererbungsgrenzen anwenden. Praktisches Arbeitsergebnis: Benutzer über Gruppen auf Organisations-, Unit- oder Projektebene zugeordnet und die resultierenden Rechte mit Testkonten verifiziert.
4. Schritt 4: Domain und SAML-IdP planen. Praktisches Arbeitsergebnis: verifizierte Domain, Metadata-/ACS-Daten, Zertifikat, Loginpfad, Notfalladmin und schrittweise Aktivierung in einen sicheren Einführungsplan überführt.
5. Schritt 5: Provisionierung und starke Anmeldung einordnen. Praktisches Arbeitsergebnis: SCIM-Gruppensynchronisation, IdP als Quelle der Wahrheit, Zwei-Faktor-Authentifizierung für Passwortkonten und Tokenfolgen dokumentiert.

Tag 2: Tokens, Servicezugriff, Kontrollen und Incident

Der zweite Tag schützt technische Identitäten und institutionalisiert regelmäßige Prüfungen.

1. Schritt 1: Persönliche Token-Lebenszyklen umsetzen. Praktisches Arbeitsergebnis: Zweck, Besitzer, Speichersystem, Erstellung, Rotation, Ablauf, Widerruf und Nachweis der letzten Nutzung festgelegt.
2. Schritt 2: Servicebenutzer und Zertifikate trennen. Praktisches Arbeitsergebnis: Anwendung, Integration und Administration mit eigenen Zugängen versehen, minimale Datenrechte vergeben und Rotation ohne Quellcodeänderung vorbereitet.
3. Schritt 3: Secrets und Netzwerkzugriff kontrollieren. Praktisches Arbeitsergebnis: Tokens, Passwörter, Schlüssel und Zertifikate nicht in Repositories abgelegt, IP-Filter sowie private Verbindungen geprüft und ungenutzte Endpoints deaktiviert.
4. Schritt 4: Governance- und Access-Review durchführen. Praktisches Arbeitsergebnis: verwaiste Konten, ausgeschiedene Benutzer, direkte Einzelzuweisungen, überbreite Rollen, fehlende Tags und alte Tokens anhand einer Prüfliste bereinigt.
5. Schritt 5: Credential-Incident bearbeiten. Praktisches Arbeitsergebnis: verdächtiges Token sofort widerrufen, abhängige Automation identifiziert, Ersatzcredential verteilt, Ereignisumfang bewertet und Verbesserungsmaßnahmen dokumentiert.

Praxisübungen

• Erstellung einer Rollen- und Verantwortungsmatrix
• Gruppenbasierte Projektberechtigung mit Positiv- und Negativtest
• SSO-/SCIM-Einführungsplan einschließlich Notfallzugang
• Token- und Servicebenutzer-Register mit Rotationsverfahren
• Access Review einer vorbereiteten fehlerhaften Umgebung
• Incident-Übung zu kompromittiertem Token