Seminar BeyondTrust Password Safe – Rollen, Authentifizierung und Access Policies

Anmeldung, administrative Berechtigung und Zugriff auf ein verwaltetes Konto sind drei verschiedene Entscheidungen und müssen auch technisch getrennt bleiben.

Seminarüberblick

Das Seminar baut Identität und Autorisierung in Schichten auf. Verzeichnis- und SAML-Anmeldung liefern die Benutzeridentität, Gruppenberechtigungen steuern Produktfunktionen, Password-Safe-Rollen verbinden Gruppen mit Smart Groups, und Access Policies bestimmen die konkrete Nutzung.

Einordnung und Nutzen

Dual Control, zeitliche und räumliche Bedingungen, Kennwortsichtbarkeit, Sitzungszugriff und Break-Glass werden mit positiven und negativen Testfällen belegt.

Zielgruppe

• IAM- und PAM-Administratoren
• Password-Safe- und BeyondInsight-Administratoren
• Security Architects und Informationssicherheit
• Revision und technische Prozessverantwortliche

Voraussetzungen

• Grundkenntnisse zu AD oder LDAP und Gruppenmodellen
• Grundverständnis von SAML, MFA und rollenbasierter Zugriffskontrolle
• Kenntnisse typischer PAM-Antrags- und Genehmigungsprozesse

Lernziele

• Authentifizierungsmethoden nach Bereitstellungsmodell auswählen
• Verzeichnisidentitäten und Gruppen sicher anbinden
• Produktberechtigungen und Password-Safe-Rollen sauber trennen
• Access Policies für Kennwort- und Sitzungszugriffe konfigurieren
• Notfallzugang und Funktionstrennung regelmäßig testen

Seminarinhalte

Identitätsquellen und Directory Credentials

• Lokale Benutzer, Active Directory, LDAP und Entra ID einordnen
• Primäre und Fallback-Directory-Credentials planen
• Domänenzuordnung und sichere Bindung konfigurieren
• Synchronisation, Deaktivierung und Namensänderungen behandeln

Authentifizierung

• SAML 2.0 mit geeignetem Identity Provider konfigurieren
• RADIUS und Mehrfaktorverfahren einordnen
• FIDO2 sowie bereitstellungsabhängige Smart-Card-Unterstützung bewerten
• Direkte Loginformulare, Notfalllogin und IdP-Ausfall kontrollieren

Gruppenberechtigungen

• Administrative Produktfunktionen minimal freigeben
• System-, Account-, Policy- und Role-Management trennen
• Secrets-Safe-, Mobile- und Workforce-Berechtigungen einordnen
• Vererbung, externe Gruppen und regelmäßige Rezertifizierung

Password-Safe-Rollen

• Requester, Approver und Credentials Manager
• ISA und ihre weitreichenden Umgehungsmöglichkeiten
• Auditor-Reports, Auditor-Sessions und Reviewer-Rollen
• Rollen an passenden Smart Groups statt global vergeben

Access Policies und Workflows

• Zeitfenster, Dauer, Häufigkeit und Kennwortsichtbarkeit
• Sitzungstypen, Anwendungen und Standortbedingungen
• Auto-Approval, Genehmigung, Dual Control und Ticketprüfung
• Just-in-Time-Zugriff, Ablauf, Entzug und Ausnahmebehandlung

Praktische Übungen

• Entwurf einer Rollen- und Berechtigungsmatrix
• Einbindung einer Testdomäne oder SAML-Testkonfiguration
• Aufbau getrennter Requester-, Approver- und Auditor-Gruppen
• Konfiguration einer Access Policy mit Zeit- und Genehmigungsbedingung
• Negativtests für Selbstgenehmigung, falsche Gruppe und IdP-Ausfall

Methodik

Identitäts-, Gruppen-, Rollen- und Policy-Schicht werden getrennt konfiguriert und anschließend in Ende-zu-Ende-Zugriffstests zusammengeführt.