Seminar eduVPN / Let’s Connect! – Föderation, SAML, OIDC und eduVPN Guest Access

Föderierte Anmeldung und Gastzugang kontrolliert verbinden

Das Seminar behandelt SAML, OpenID Connect, Claims, MFA-Kontext, Serverregistrierung und den ausschließlich für passende eduVPN-Szenarien vorgesehenen Guest Access.

Die Inhalte werden anhand einer konsistenten Laborumgebung schrittweise aufgebaut. Jede Änderung wird vor der nächsten Ausbaustufe geprüft, dokumentiert und in den betrieblichen Gesamtzusammenhang eingeordnet.

Inhaltsübersicht

1. Plattform, Varianten und Einsatzmodelle einordnen
2. SAML und OpenID Connect föderiert anbinden
3. Rollen, Gruppen und Berechtigungen durchsetzen
4. Registrierung, Discovery und Guest Access steuern
5. Datenschutz, Protokollierung und Governance verankern
6. Monitoring, Logging und Fehleranalyse etablieren

Zielgruppe

• Identity Federation
• IAM-Administration
• eduVPN-Servicebetrieb
• Informationssicherheit

Voraussetzungen

• Grundkenntnisse in SAML oder OpenID Connect
• Test-Identitätsanbieter und Laborinstanz
• Verständnis von Rollen und Claims

Seminarinhalte

Kapitel 1: Plattform, Varianten und Einsatzmodelle einordnen

Kapitel-Inhaltsverzeichnis: gemeinsame Serverplattform; eduVPN und Let’s Connect!; Institute Access; Secure Internet; Verantwortungsgrenzen.

1. Schritt 1: Die gemeinsame technische Basis von eduVPN und Let’s Connect! wird von Branding, Zielgruppe und organisatorischem Betrieb getrennt betrachtet.
2. Schritt 2: Die Einsatzmodelle Institute Access und Secure Internet werden anhand von Datenfluss, Vertrauensgrenzen und Nutzerweg gegenübergestellt.
3. Schritt 3: Portal, VPN-Knoten, Identitätsdienst, Client und Netzwerkdienste werden als getrennte Betriebsbausteine erfasst.
4. Schritt 4: Für jeden Baustein werden fachliche Zuständigkeit, technische Administration und Eskalationsweg festgelegt.
5. Schritt 5: Ein belastbares Zielbild wird als Systemkontext mit Abhängigkeiten, Annahmen und Abnahmekriterien dokumentiert.

Kapitel 2: SAML und OpenID Connect föderiert anbinden

Kapitel-Inhaltsverzeichnis: Vertrauensbeziehung; Metadaten; Claims; MFA-Kontext; Sitzungen; Abmeldung.

1. Schritt 1: Die Rollen von Identitätsanbieter, Portal, Client und Nutzer werden in einem föderierten Anmeldeablauf eindeutig getrennt.
2. Schritt 2: Metadaten, Endpunkte, Zertifikate, Clientdaten und zulässige Rücksprungadressen werden kontrolliert ausgetauscht und versioniert.
3. Schritt 3: Name Identifier, Claims und Gruppen werden auf stabile, datensparsame und autorisierungsfähige Werte abgebildet.
4. Schritt 4: MFA-Kontext, Sitzungsdauer, erneute Anmeldung und Abmeldeverhalten werden mit den Sicherheitsvorgaben abgestimmt.
5. Schritt 5: Fehler bei Signatur, Zeitabweichung, Claim-Mapping, Rücksprungadresse und Sitzung werden anhand eines Diagnoseablaufs eingegrenzt.

Kapitel 3: Rollen, Gruppen und Berechtigungen durchsetzen

Kapitel-Inhaltsverzeichnis: Rollenmodell; statische Rechte; dynamische Rechte; Profilfreigabe; Minimalprinzip; Nachweis.

1. Schritt 1: Fachrollen, technische Rollen, Nutzergruppen und administrative Zuständigkeiten werden in einer Berechtigungsmatrix zusammengeführt.
2. Schritt 2: Statische Berechtigungen werden für stabile Zuordnungen eingesetzt und mit eindeutiger Eigentümerschaft versehen.
3. Schritt 3: Dynamische beziehungsweise live bewertete Berechtigungen werden nur mit erreichbarer Quelle, definiertem Fehlerverhalten und geeigneter Laufzeit genutzt.
4. Schritt 4: Profilfreigaben werden nach dem Minimalprinzip aufgebaut und mit expliziten Negativfällen gegen unbeabsichtigten Zugriff geprüft.
5. Schritt 5: Änderungsfreigabe, Rezertifizierung, Protokollnachweis und Entzug werden als wiederkehrender Governance-Prozess festgelegt.

Kapitel 4: Registrierung, Discovery und Guest Access steuern

Kapitel-Inhaltsverzeichnis: Serverregistrierung; Discovery; Serviceinformationen; eduVPN Guest Access; Lebenszyklus; Support.

1. Schritt 1: Die Voraussetzungen für Auffindbarkeit, Registrierung und konsistente Serviceinformationen werden vor der Veröffentlichung geprüft.
2. Schritt 2: Anzeigename, Kontakt, Supportinformationen, Profilangebot und technische Erreichbarkeit werden aufeinander abgestimmt.
3. Schritt 3: Der Unterschied zwischen lokalem Dienst, eduVPN-Föderationskontext und der allgemein gebrandeten Let’s-Connect!-Variante wird berücksichtigt.
4. Schritt 4: Guest Access wird ausschließlich für geeignete eduVPN-Szenarien geplant und mit Identität, Zustimmung, Berechtigung und Ablaufdatum verbunden.
5. Schritt 5: Änderung, Deaktivierung, Störung und Rücknahme eines veröffentlichten Dienstes werden als eigener Betriebsprozess dokumentiert und getestet.

Kapitel 5: Datenschutz, Protokollierung und Governance verankern

Kapitel-Inhaltsverzeichnis: Dateninventar; Minimierung; Aufbewahrung; Zugriff; Nachweis; Rezertifizierung.

1. Schritt 1: Verarbeitete Identitäts-, Geräte-, Sitzungs-, Netzwerk- und Protokolldaten werden nach Zweck und Schutzbedarf inventarisiert.
2. Schritt 2: Attribute, Protokollumfang und Aufbewahrungsdauer werden auf das für Betrieb, Sicherheit und Nachweis notwendige Maß reduziert.
3. Schritt 3: Zugriff auf administrative Funktionen und Protokolle wird rollenbasiert getrennt und regelmäßig überprüft.
4. Schritt 4: Änderungen an Profilen, Berechtigungen, Identitätskopplungen und Sicherheitseinstellungen erhalten nachvollziehbare Freigaben.
5. Schritt 5: Löschung, Auskunft, Incident-Bearbeitung, Berechtigungsrezertifizierung und Auditnachweis werden als wiederholbare Prozesse beschrieben.

Kapitel 6: Monitoring, Logging und Fehleranalyse etablieren

Kapitel-Inhaltsverzeichnis: Dienststatus; Metriken; Protokolle; Alarmierung; Korrelation; Runbooks.

1. Schritt 1: Portal, Authentisierung, VPN-Knoten, Netzwerkpfade und externe Abhängigkeiten erhalten jeweils messbare Zustandskriterien.
2. Schritt 2: Metriken für Erreichbarkeit, Sitzungen, Fehlerquoten, Latenz, Kapazität und Ressourcen werden mit sinnvollen Schwellen versehen.
3. Schritt 3: Protokolle werden nach technischer Diagnose, Sicherheitsnachweis und Datenschutzbedarf getrennt aufbewahrt und zugänglich gemacht.
4. Schritt 4: Alarmierungen werden priorisiert, entdoppelt und mit einer klaren Erstmaßnahme sowie einem Verantwortungsbereich verbunden.
5. Schritt 5: Typische Störungen werden über Zeitbezug, Profil, Protokoll, Nutzerkontext und Netzwerkpfad reproduzierbar eingegrenzt.

Praxisübungen

• Föderierten Anmeldeablauf mit Identitätsanbieter, Portal, Claim-Mapping und Profilfreigabe modellieren.
• SAML- oder OIDC-Vertrauensbeziehung in einer Testumgebung konfigurieren und negativ testen.
• Claim- und Gruppenmapping mit Datenschutz- und Berechtigungsanforderungen abgleichen.
• eduVPN-Guest-Access-Szenario mit Zustimmung, Ablauf, Support und Widerruf entwerfen.
• Fehler bei Signatur, Zeit, Rücksprungadresse, Claim und Berechtigung systematisch diagnostizieren.

Lernziele

• SAML- und OIDC-Anbindungen sicher planen und prüfen.
• Claims, Gruppen und MFA-Kontext kontrolliert auswerten.
• Föderation und Profilberechtigung sauber trennen.
• Guest Access auf geeignete eduVPN-Szenarien begrenzen.
• Sitzungs-, Datenschutz- und Supportprozesse gemeinsam gestalten.