Seminar Intensivseminar: Sicherer IAM-Betrieb, MFA und Workload-Identitäten

Ein tragfähiger IAM-Betrieb verbindet die Sicherheit der Anmeldung mit der Verfügbarkeit der Plattform und der Kontrolle technischer Zugriffe. Dieses Intensivseminar bündelt die Themen der Fachseminare zu Passkeys und MFA, Workload-Identitäten sowie Betrieb und Hochverfügbarkeit.

Die gemeinsame Testumgebung erlaubt, dieselben Identitäten vom Anmeldeverfahren bis zum Störfall zu verfolgen. Passkeys und Wiederherstellung werden eingerichtet, eine Automatisierung wird auf einen begrenzten technischen OAuth-Client umgestellt und die Plattform wird nach einem vorbereiteten Fehler aus einer konsistenten Sicherung wiederhergestellt.

Die Verdichtung konzentriert sich auf eine abgestimmte Betriebsarchitektur, ein Sicherheitsprofil und eine Automatisierung. Zusätzliche Clusterarchitekturen, umfangreiche Gerätesignale oder verschiedene CI/CD-Produkte werden nicht gleichzeitig aufgebaut. Verbleibende Entra-Funktionen erhalten eine explizite Zuständigkeit im Betriebsmodell.

Inhalte im Überblick

• Anmeldeschutz und Passkeys
• Technische Zugriffe und Rotation
• Härtung, Verfügbarkeit und Monitoring
• Sicherung, Wiederherstellung und Änderungen
• Gemeinsame Sicherheits- und Betriebsübung

Seminarinhalte

Anmeldeschutz und Passkeys

• Entra-Anforderungen nach ihrer Schutzwirkung in ein lokales Richtlinienmodell übersetzen.
• WebAuthn, geeignete Faktoren und kontrollierte Registrierung einrichten.
• Step-up und zusätzliche Prüfungen nach Broker-Anmeldung gezielt testen.
• Privilegierte Zugänge und Wiederherstellung von Konten begrenzen.

Technische Zugriffe und Rotation

• Technische Benutzer, OAuth-Clients und verbleibende Microsoft-Ressourcen inventarisieren.
• Eine eigene API mit begrenzten Rollen und strikter Tokenvalidierung integrieren.
• Ein Testskript auf Client Credentials und geschützte Zugangsdaten umstellen.
• Rotation, Client-Deaktivierung und die Restgültigkeit ausgestellter Tokens prüfen.

Härtung, Verfügbarkeit und Monitoring

• TLS, Proxy-Vertrauen und administrative Angriffsflächen der vorbereiteten Installation prüfen.
• Datenbank, Lastverteilung und gemeinsame Abhängigkeiten der Anmeldekette bewerten.
• Health Checks, Metriken und anwendungsnahe Loginprüfungen einrichten.
• Den Ausfall einer Instanz und einer vorgeschalteten Identitätsquelle untersuchen.

Sicherung, Wiederherstellung und Änderungen

• Datenbank, Konfiguration und benötigtes Schlüsselmaterial konsistent sichern.
• Realm-Export und vollständige Wiederherstellung funktional unterscheiden.
• Eine isolierte Wiederherstellung durchführen und Anmeldung sowie API-Zugriff nachweisen.
• Ein vorbereitetes Update mit geeigneter Rückfallumgebung erproben.

Gemeinsame Sicherheits- und Betriebsübung

• Faktorverlust, Kontensperrung und eine technische Berechtigungsabweichung bearbeiten.
• Ausfallbehandlung und Wiederanlauf anhand von Messwerten durchführen.
• Verbleibende Entra-Richtlinien, Azure-Zugriffe und Geräteabhängigkeiten festhalten.
• Betriebsabläufe, Zuständigkeiten und wiederkehrende Funktionstests übergeben.

Praktische Übungen

1. Ein Sicherheitsprofil für normale, privilegierte und technische Identitäten festlegen.
2. Passkeys registrieren und eine kontrollierte Kontowiederherstellung durchführen.
3. Ein Skript auf einen begrenzten OAuth-Client umstellen und den Zugang rotieren.
4. Eine Instanz ausfallen lassen und die Plattform anschließend isoliert aus einer Sicherung wiederherstellen.
5. Die gesamte Anmelde- und API-Kette mit gesperrten Konten und falschen Berechtigungen prüfen.

Schulungsumgebung

Der Kunde stellt eine vorbereitete Keycloak-Mehrinstanzumgebung mit Datenbank, Proxy, Monitoring, Sicherungsspeicher und isoliertem Restore-Ziel bereit. Geeignete WebAuthn-Authentifikatoren, eine Test-API und ein vorbereitetes Automatisierungsskript sind erforderlich.