Seminar Defguard Intensivseminar Identity, SSO und Zero Trust

Identitäten, starke Authentifizierung und netzwerkbezogene Zugriffsrichtlinien werden zu einem durchgängigen Zero-Trust-Zugriffsmodell verbunden.

Der Intensivkurs bündelt Benutzer- und Gerätelebenszyklus, Enrollment, Client-Provisioning, LDAP/AD, interne und externe OIDC-Verfahren, MFA, ACL, SSH, Forward Auth, YubiKey und Service Locations. Ein zusammenhängendes Szenario reicht vom Verzeichnisimport bis zur widerrufenen Gerätesitzung.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Schritt-für-Schritt-Praxis
• Methodik

Zielsetzung

Planung, Einführung und Betrieb einer integrierten Identity- und Access-Architektur mit Defguard als zentraler Steuerungsebene.

Zielgruppe

IAM-Architektur, Senior-Administration, IT-Sicherheit, Directory Services, DevOps und Zero-Trust-Projektteams.

Voraussetzungen

Gute Kenntnisse zu LDAP/AD, OIDC/OAuth, MFA, Netzwerken und administrativem Linux-Betrieb.

Seminarinhalte

Identity-Architektur und Governance

• Quellsysteme, Rollen, Gruppen und Verantwortlichkeiten festlegen
• Lokale, externe und synchronisierte Identitäten abgrenzen
• Lebenszyklus- und Widerrufsanforderungen definieren

Benutzer, Geräte und Enrollment

• Konten, Gruppen, Standortrechte und Geräte verwalten
• Remote Enrollment und Onboarding absichern
• Client-Provisioning für verwaltete Endgeräte automatisieren

LDAP und Active Directory

• Verbindung, Attribute, Filter und Gruppenabbildung konfigurieren
• Zwei-Wege-Synchronisation und Konflikte beherrschen
• Deaktivierung, Löschung und Fehlerbehandlung testen

Externe Identity Provider

• OIDC-Code-Flow, Redirects, Claims und Kontoerstellung konfigurieren
• Microsoft, Google, Keycloak und weitere standardkonforme Provider einordnen
• Externe Anmeldung mit VPN-MFA verbinden

Defguard als interner OIDC-Provider

• Anwendungen registrieren und Clients absichern
• Scopes, Claims, Redirect URIs und Signaturschlüssel verwalten
• Anmeldung, Einwilligung, Abmeldung und Widerruf prüfen

MFA und Verbindungsschutz

• TOTP, WebAuthn/FIDO2, E-Mail und unterstützte mobile Verfahren einsetzen
• Verbindungsbezogene MFA und rotierende Sitzungsschlüssel verstehen
• Recovery, Geräteaustausch und Ausnahmeprozesse absichern

ACL und Segmentierung

• Default-Deny, Benutzer- und Gruppenregeln entwerfen
• Netzzonen, Anwendungen und administrative Ziele trennen
• Regeländerungen und negative Tests in Echtzeit prüfen

Erweiterte Zugriffsdienste

• SSH-Schlüssel zentral bereitstellen
• Webanwendungen mit Forward Auth schützen
• YubiKeys provisionieren, nachweisen und widerrufen

Service Locations und Pre-Login

• Windows-basierte Pre-Logon- und Always-On-Szenarien planen
• Verzeichniszugriff vor Benutzeranmeldung ermöglichen
• Geräte-, Gruppenrichtlinien- und Notfallprozesse abstimmen

Audit und Störungsanalyse

• Identity-, Enrollment-, Client- und VPN-Ereignisse korrelieren
• OIDC-, LDAP-, MFA- und ACL-Fehler methodisch isolieren
• Betriebs- und Nachweisprozesse standardisieren

Schritt-für-Schritt-Praxis

1. Identity-Quellen, Gruppenmodell und Zero-Trust-Richtlinien entwerfen.
2. Benutzer, Geräte und sicheren Enrollment-Prozess aufbauen.
3. LDAP/AD-Synchronisation mit Konflikt- und Deaktivierungstest konfigurieren.
4. Externen OIDC-Provider anbinden und Anmeldefluss prüfen.
5. Eine interne Anwendung über Defguard-OIDC integrieren.
6. MFA-Verfahren aktivieren und Verbindungsautorisierung testen.
7. ACL-Regeln für mehrere Benutzergruppen umsetzen und negativ prüfen.
8. SSH oder Forward Auth sowie einen YubiKey-Prozess integrieren.
9. Pre-Login- oder Always-On-Konzept für verwaltete Windows-Geräte entwerfen.
10. Austritt, Geräteverlust und Rechtewiderruf als vollständigen Incident durchspielen.

Methodik

Fachliche Einordnungen werden unmittelbar mit Demonstrationen, geführten Konfigurationsschritten und kontrollierten Fehlerszenarien verbunden. Jede praktische Einheit endet mit einer technischen Prüfung der vorgenommenen Einstellungen.