Seminar Defguard OIDC und externe Identity Provider

Externe OpenID-Connect-Anbieter werden sicher für Anmeldung und Kontoerstellung eingebunden, ohne die VPN-spezifische Autorisierung aus der Hand zu geben.

Provider-Metadaten, Client-ID, Secret, Redirect URI, Tenant, Scopes und Claims werden systematisch konfiguriert. Standardanbieter und benutzerdefinierte OIDC-Systeme werden anhand desselben Prüfmodells getestet; Fehler in Discovery, Zertifikaten, Redirects und Claims werden gezielt provoziert.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Schritt-für-Schritt-Praxis
• Methodik

Zielsetzung

Stabile externe SSO-Anbindung mit nachvollziehbarer Benutzerzuordnung, sicherem Geheimnisbetrieb und belastbaren Fehlertests.

Zielgruppe

IAM, Cloud- und Systemadministration, IT-Sicherheit und Betreiber von Identity Providern.

Voraussetzungen

Kenntnisse zu OAuth 2.0, OpenID Connect, TLS, Redirect URIs und Benutzerattributen.

Seminarinhalte

OIDC-Code-Flow und Vertrauensmodell

• Authorization Endpoint, Token Endpoint, UserInfo und Discovery
• Client, Redirect URI, State, Nonce und Tokenprüfung
• Externe Anmeldung von interner VPN-Autorisierung trennen

Provider vorbereiten

• Anwendung beim Identity Provider registrieren
• Client-ID, Secret, Tenant und Redirects sicher erfassen
• Minimale Scopes und benötigte Claims auswählen

Defguard konfigurieren

• Vorkonfigurierte und benutzerdefinierte Provider anlegen
• Kontoerstellung und Benutzerzuordnung kontrollieren
• Anmeldeoptionen und sichtbare Providerbezeichnungen gestalten

Provider-Szenarien

• Microsoft, Google, Keycloak, Okta, Zitadel und weitere OIDC-Systeme einordnen
• Mandanten- und organisationsspezifische Besonderheiten berücksichtigen
• Externe MFA mit Defguard-Verbindungsautorisierung kombinieren

Sicherheit und Troubleshooting

• Secrets rotieren und Redirects strikt begrenzen
• Discovery-, TLS-, Zeit-, Claim- und Tokenfehler analysieren
• Fallback-Administration und Provider-Ausfall planen

Schritt-für-Schritt-Praxis

1. OIDC-Anwendung beim Labor-Provider registrieren.
2. Redirect URI, Client-ID, Secret und Scopes festlegen.
3. Provider in Defguard anlegen und Discovery prüfen.
4. Erstanmeldung und kontrollierte Kontoerstellung testen.
5. MFA-geschützte VPN-Verbindung nach externer Anmeldung aufbauen.
6. Fehlerhafte Redirect URI, Claim und Zertifikatsvertrauen diagnostizieren.
7. Secret-Rotation und Provider-Ausfallverfahren dokumentieren.

Methodik

Fachliche Einordnungen werden unmittelbar mit Demonstrationen, geführten Konfigurationsschritten und kontrollierten Fehlerszenarien verbunden. Jede praktische Einheit endet mit einer technischen Prüfung der vorgenommenen Einstellungen.