Seminar Curity Identity Server – Intensivseminar Authentication, Federation und User Lifecycle

Das fünftägige Intensivseminar bündelt Benutzeranmeldung, Federation und Kontenlebenszyklus. Authentication Service, Authenticatoren, Actions, SSO, MFA, Passkeys, Account Domains, Linking, Multi-Tenancy, SAML, externe OIDC-Provider, Datenquellen, User Management, SCIM, GraphQL, Self-Service und mobile Authentisierung werden zu einem konsistenten Identity-Pfad verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Flexible und adaptive Login-Pipelines mit mehreren Authenticatoren und Actions entwickeln.
• MFA, Passkeys, SSO, Account Linking, Multi-Tenancy und Recovery sicher betreiben.
• OIDC- und SAML-Federation in beide Richtungen kontrolliert integrieren.
• Konten und zugehörige Ressourcen über SCIM, GraphQL und Self-Service verwalten.
• Web- und Mobile-Anmeldewege mit Tests, Monitoring, Datenschutz und Supportprozessen abnehmen.

Schrittweise Seminarinhalte

1. Identity- und Authentication-Architektur

Schwerpunkt: Authentication Profile, Endpoints, Service Providers, Account Manager, Credential Manager, Datenquellen, Token Profile und Vertrauensgrenzen.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Identity- und Authentication-Architektur“ anhand von Authentication Profile, Endpoints, Service Providers, Account Manager, Credential Manager, Datenquellen, Token Profile und Vertrauensgrenzen erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Identity- und Login-Zielbild dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

2. Authenticatoren und externe Identity Provider

Schwerpunkt: HTML Form, OIDC, SAML2, Windows, TOTP, SMS, mTLS, Passkeys, WebAuthn und Auswahlregeln.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Authenticatoren und externe Identity Provider“ anhand von HTML Form, OIDC, SAML2, Windows, TOTP, SMS, mTLS, Passkeys, WebAuthn und Auswahlregeln erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine risikobasierte Authenticator-Landschaft dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

3. Actions und adaptive Login-Pipelines

Schwerpunkt: Sequence, Switch, Attribute, Lookup, Conditional MFA, Geolocation, Impossible Journey, Deny, Recovery und Fehlerpfade.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Actions und adaptive Login-Pipelines“ anhand von Sequence, Switch, Attribute, Lookup, Conditional MFA, Geolocation, Impossible Journey, Deny, Recovery und Fehlerpfade erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine getestete adaptive Authentisierungskette dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

4. MFA, Passkeys und Credential-Lifecycle

Schwerpunkt: Registrierung, Opt-In, Step-up, Zweitfaktoren, Gerätewechsel, Verlust, Fallback, Helpdesk, Break Glass und Audit.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „MFA, Passkeys und Credential-Lifecycle“ anhand von Registrierung, Opt-In, Step-up, Zweitfaktoren, Gerätewechsel, Verlust, Fallback, Helpdesk, Break Glass und Audit erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen MFA- und Passkey-Lifecycle dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

5. SSO, Logout und Sessions

Schwerpunkt: Account Domains, Sessionlaufzeiten, Authenticator-Auswahl, Re-Authentication, Single Logout, Browser- und Backchannel-Verhalten.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „SSO, Logout und Sessions“ anhand von Account Domains, Sessionlaufzeiten, Authenticator-Auswahl, Re-Authentication, Single Logout, Browser- und Backchannel-Verhalten erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein abgestimmtes SSO- und Sessionmodell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

6. Account Linking, Registrierung und Multi-Tenancy

Schwerpunkt: Signup, Aktivierung, Auto Create, Auto Link, Resolve Link, Dubletten, Mandantenzuordnung, Account Multi-Tenancy und Zone Transfer.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Account Linking, Registrierung und Multi-Tenancy“ anhand von Signup, Aktivierung, Auto Create, Auto Link, Resolve Link, Dubletten, Mandantenzuordnung, Account Multi-Tenancy und Zone Transfer erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Onboarding- und Mandantenprozess dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

7. OIDC- und SAML-Federation

Schwerpunkt: externe OIDC Provider, SAML2 Authenticator, Metadaten, Attribute, Keys, NameID, AuthnContext, Fehlerfälle und Migration.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „OIDC- und SAML-Federation“ anhand von externe OIDC Provider, SAML2 Authenticator, Metadaten, Attribute, Keys, NameID, AuthnContext, Fehlerfälle und Migration erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine bidirektionale Federation-Referenz dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

8. SAML IDP Service

Schwerpunkt: SAML IDP Profile, Endpoints, Service Provider, Assertions, Bindings, Attribute, Signatur, Verschlüsselung, Metadata und Logout.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „SAML IDP Service“ anhand von SAML IDP Profile, Endpoints, Service Provider, Assertions, Bindings, Attribute, Signatur, Verschlüsselung, Metadata und Logout erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen funktionsfähigen SAML-IDP-Dienst dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

9. User Management Profile und Datenmodell

Schwerpunkt: Account Manager, Entity Schema, Attribute, Gruppen, Devices, Credentials, Delegations, Datenquellen und OAuth-Schutz.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „User Management Profile und Datenmodell“ anhand von Account Manager, Entity Schema, Attribute, Gruppen, Devices, Credentials, Delegations, Datenquellen und OAuth-Schutz erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine vollständige User-Management-Architektur dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

10. SCIM, GraphQL und Joiner-Mover-Leaver

Schwerpunkt: Provisionierung, Filter, Patch, Queries, Mutations, Statuswechsel, Gruppen, Löschung, Widerruf, Idempotenz und Audit.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „SCIM, GraphQL und Joiner-Mover-Leaver“ anhand von Provisionierung, Filter, Patch, Queries, Mutations, Statuswechsel, Gruppen, Löschung, Widerruf, Idempotenz und Audit erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen automatisierbaren Account-Lifecycle dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

11. Self-Service und Anwendungsintegration

Schwerpunkt: Application Profile, Self-Service Portal, GraphQL APIs, Authorization Manager, Passwörter, MFA, Passkeys, Einwilligungen und Branding.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Self-Service und Anwendungsintegration“ anhand von Application Profile, Self-Service Portal, GraphQL APIs, Authorization Manager, Passwörter, MFA, Passkeys, Einwilligungen und Branding erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein minimal berechtigtes Self-Service-Angebot dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

12. Mobile Login, Tests und Betriebsübergabe

Schwerpunkt: System Browser, HAAPI, Attestation, DPoP, Token Binding, DCR, Recovery, Logging, Support, Datenschutz und Abnahmekatalog.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Mobile Login, Tests und Betriebsübergabe“ anhand von System Browser, HAAPI, Attestation, DPoP, Token Binding, DCR, Recovery, Logging, Support, Datenschutz und Abnahmekatalog erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen produktionsreifen Web- und Mobile-Identity-Pfad dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

Praxisübungen und Laborszenarien

• Aufbau einer adaptiven Login-Pipeline mit MFA, Passkey und Recovery.
• Integration eines externen OIDC- oder SAML-Providers mit Account Linking.
• Konfiguration eines SAML-IDP-Service-Providers mit Attribute Mapping und Signaturprüfung.
• Durchführung eines SCIM- und GraphQL-basierten Joiner-Mover-Leaver-Szenarios.
• Bereitstellung eines Self-Service- oder Mobile-Login-Piloten mit Sicherheits- und Supportabnahme.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM- und Federation-Architektur, Authentication Engineering, User-Lifecycle- und Provisioning-Teams, Anwendungsintegration und Curity-Administration.

Voraussetzungen: Gute Grundlagen in IAM, OAuth/OIDC, SAML, Verzeichnisdiensten und Webauthentisierung; Laborzugriff wird vorausgesetzt.

Didaktik und Arbeitsweise

Die Inhalte werden als durchgängiges Praxisprojekt mit täglichen Architektur-, Konfigurations- und Reviewphasen bearbeitet. Alle Übungen verwenden definierte Ausgangswerte, Security- und Negativtests, messbare Abnahmekriterien sowie versionierte Runbooks für den späteren Regelbetrieb.