Seminar EASY Archive – OpenID Connect, SSO, LDAPS und Security

Das Seminar behandelt die sichere Identitäts- und Zugriffsarchitektur für EASY Archive. OpenID Connect, Single Sign-on, Identity Provider, Claims, Gruppenmapping, LDAPS, Dienstkonten, TLS, Sitzungen, Notfallzugriff, Protokollierung und Fehleranalyse werden zu einem belastbaren Authentisierungs- und Autorisierungsmodell verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• OIDC-, SSO- und Verzeichnisrollen sowie Vertrauensbeziehungen sicher einordnen.
• Identity Provider, Clients, Redirects, Claims und Gruppenmapping konsistent planen.
• LDAPS, Zertifikatsketten, Dienstkonten und minimale Verzeichnisrechte konfigurieren.
• Sitzungs-, Token-, Fallback- und Notfallzugriffsregeln kontrolliert gestalten.
• Tests, Monitoring, Schlüssel- und Zertifikatswechsel sowie Troubleshooting standardisieren.

Schrittweise Seminarinhalte

1. Identitätsarchitektur und Vertrauensgrenzen

Schwerpunkt: Benutzerquellen, Identity Provider, EASY Archive, Browser, Administrationszugänge, Verzeichnisdienst, Dienstkonten, Mandanten und Netzwerkzonen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Identitätsarchitektur und Vertrauensgrenzen“ erfassen.
2. Relevante Dokumente, Daten, Rollen, Systeme und Abhängigkeiten anhand von Benutzerquellen, Identity Provider, EASY Archive, Browser, Administrationszugänge, Verzeichnisdienst, Dienstkonten, Mandanten und Netzwerkzonen modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Sicherheit, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges Identitäts- und Vertrauensmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. OpenID Connect und SSO-Grundmodell

Schwerpunkt: Authorization Code Flow, ID Token, Claims, Scopes, Client, Issuer, Redirect URI, State, Nonce, Sessions und Logout.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „OpenID Connect und SSO-Grundmodell“ erfassen.
2. Relevante Dokumente, Daten, Rollen, Systeme und Abhängigkeiten anhand von Authorization Code Flow, ID Token, Claims, Scopes, Client, Issuer, Redirect URI, State, Nonce, Sessions und Logout modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Sicherheit, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein technisch korrektes OIDC- und SSO-Modell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Client- und Provider-Konfiguration

Schwerpunkt: Client-ID, Secret oder Zertifikat, Endpunkte, Redirects, Logout, Signaturalgorithmen, Schlüssel, Zeit, TLS und Umgebungen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Client- und Provider-Konfiguration“ erfassen.
2. Relevante Dokumente, Daten, Rollen, Systeme und Abhängigkeiten anhand von Client-ID, Secret oder Zertifikat, Endpunkte, Redirects, Logout, Signaturalgorithmen, Schlüssel, Zeit, TLS und Umgebungen modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Sicherheit, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine minimal berechtigte und validierte OIDC-Konfiguration dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Claims, Gruppen und Rollenmapping

Schwerpunkt: eindeutige Identität, Namen, E-Mail, Gruppen, Rollen, Mandanten, Mehrfachwerte, Defaultrollen, Ausschlüsse und Deprovisionierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Claims, Gruppen und Rollenmapping“ erfassen.
2. Relevante Dokumente, Daten, Rollen, Systeme und Abhängigkeiten anhand von eindeutige Identität, Namen, E-Mail, Gruppen, Rollen, Mandanten, Mehrfachwerte, Defaultrollen, Ausschlüsse und Deprovisionierung modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Sicherheit, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein testbares Attribut- und Berechtigungsmapping dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. LDAPS und Verzeichnisanbindung

Schwerpunkt: Base DN, Bind, Dienstkonto, TLS, Zertifikatskette, Leserechte, Filter, Gruppenauflösung, Replikation und Ausfallverhalten.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „LDAPS und Verzeichnisanbindung“ erfassen.
2. Relevante Dokumente, Daten, Rollen, Systeme und Abhängigkeiten anhand von Base DN, Bind, Dienstkonto, TLS, Zertifikatskette, Leserechte, Filter, Gruppenauflösung, Replikation und Ausfallverhalten modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Sicherheit, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine sicher konfigurierte und geprüfte LDAPS-Verbindung dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Security, Fallback und Notfallzugriff

Schwerpunkt: Tokenlebensdauer, Sitzungen, MFA-Kontext, lokale Konten, Break Glass, Secret-Rotation, Zertifikatswechsel, Protokollierung und Rezertifizierung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Security, Fallback und Notfallzugriff“ erfassen.
2. Relevante Dokumente, Daten, Rollen, Systeme und Abhängigkeiten anhand von Tokenlebensdauer, Sitzungen, MFA-Kontext, lokale Konten, Break Glass, Secret-Rotation, Zertifikatswechsel, Protokollierung und Rezertifizierung modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Sicherheit, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein belastbares Sicherheits- und Notfallkonzept dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Tests, Monitoring und Fehleranalyse

Schwerpunkt: Login-Flows, Positiv- und Negativtests, Redirect-, Claim-, Gruppen-, TLS-, Zeit- und Zertifikatsfehler, Logs, Alarmierung und Runbooks.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Tests, Monitoring und Fehleranalyse“ erfassen.
2. Relevante Dokumente, Daten, Rollen, Systeme und Abhängigkeiten anhand von Login-Flows, Positiv- und Negativtests, Redirect-, Claim-, Gruppen-, TLS-, Zeit- und Zertifikatsfehler, Logs, Alarmierung und Runbooks modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Sicherheit, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen Abnahme- und Troubleshooting-Katalog dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Entwurf eines OIDC-Clients mit Redirects, Claims und Gruppenmapping.
• Planung und Prüfung einer LDAPS-Verbindung mit minimalen Rechten.
• Analyse vorbereiteter Fehler bei Token, Zeit, Zertifikat, Claim und Rollenzuordnung.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM- und Verzeichnisdienstadministration, Security Engineering, EASY-Archive-Administration, Plattformbetrieb und technische Architektur.

Voraussetzungen: Grundkenntnisse in Webauthentisierung, TLS, Verzeichnisdiensten, Gruppen- und Rollenmodellen; EASY-Archive-Grundkenntnisse.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe im Projekt oder Regelbetrieb wiederholbar bleiben.