Seminar Workload-Identitäten und Automatisierung von Entra ID entkoppeln

Auch nach der Umstellung interaktiver Logins können Skripte und Hintergrunddienste weiterhin fest an Entra ID gebunden sein. Das Seminar macht diese technischen Identitäten sichtbar und entwickelt für eigene Dienste ein nachvollziehbares Modell aus eng begrenzten Clients, Rollen und kurzlebigen Zugriffstokens.

Keycloak dient als Aussteller für Tokens zu einer eigenen Test-API. Client Credentials, sichere Client-Authentifizierung und die Rotation technischer Zugangsdaten werden praktisch bearbeitet. Der Austausch eines Anmeldedienstes führt dabei weder automatisch zu gleichen API-Berechtigungen noch zu einer unbegrenzten Übertragbarkeit bestehender Dienstkonten.

Für verbleibende Azure- oder Microsoft-Graph-Zugriffe wird die Vertrauensgrenze gesondert betrachtet. Eine externe Workload-Föderation benötigt eine ausdrücklich konfigurierte und unterstützte Vertrauensbeziehung in Entra; sie ersetzt den Microsoft-Aussteller und die dortigen Berechtigungen nicht. Der Kern der Übungen bleibt auf eigenen Ressourcen und reproduzierbaren Testfällen.

Inhalte im Überblick

• Technische Identitäten inventarisieren
• Clients und Rechte für eigene APIs
• Automatisierung umstellen
• Externe Vertrauensbeziehungen abgrenzen
• Rotation und Entzug

Seminarinhalte

Technische Identitäten inventarisieren

• Service Principals, technische Benutzer, App-Registrierungen, Zertifikate und Geheimnisse erfassen.
• Eigene APIs von Microsoft-Ressourcen und herstellerspezifischen Plattformidentitäten unterscheiden.
• Besitzer, Laufzeit, benötigte Rechte und Widerrufswege je Integration festlegen.

Clients und Rechte für eigene APIs

• Einen technischen OAuth-Client und eng begrenzte Dienstrollen anlegen.
• Client Credentials sowie die Eignung von Geheimnissen und schlüsselbasierter Authentifizierung bewerten.
• Issuer, Audience und Rollen in der Test-API strikt validieren.

Automatisierung umstellen

• Ein vorbereitetes Skript auf den neuen Tokenbezug und die neue API-Autorisierung umstellen.
• Geheimnisse aus Quelltext und Protokollen fernhalten und berechtigte Abrufwege festlegen.
• Fehlerbehandlung, Tokenablauf und begrenzte Wiederholungen in den Automatisierungsablauf aufnehmen.

Externe Vertrauensbeziehungen abgrenzen

• Die Kombination aus Issuer, Subject und Audience einer Workload-Vertrauensbeziehung verstehen.
• Voraussetzungen für einen verbleibenden Azure-Zugriff und Entra-seitige Rollenzuweisung prüfen.
• Grenzen gegenüber Managed Identities und beliebigem Tokenaustausch dokumentieren.

Rotation und Entzug

• Technische Zugangsdaten mit vorbereitetem Übergangsfenster wechseln.
• Einen Client deaktivieren und die tatsächliche Restgültigkeit bereits ausgestellter Tokens messen.
• Betriebsverantwortung und einen wiederholbaren Berechtigungsnachweis festhalten.

Praktische Übungen

1. Ein vorhandenes Dienstkonto aus dem Fallbeispiel einer API und einem fachlichen Besitzer zuordnen.
2. Einen begrenzten Keycloak-Client erstellen und ein Token für die eigene Test-API beziehen.
3. Ein Automatisierungsskript umstellen und den Zugriff ohne Benutzerkennwort ausführen.
4. Ein Token mit falscher Audience beziehungsweise unzureichender Rolle gezielt abweisen.
5. Zugangsdaten rotieren und anschließend den alten Zugriff sowie die Sperrwirkung überprüfen.

Schulungsumgebung

Der Kunde stellt Keycloak, eine vorbereitete API, ein Testskript und einen kontrollierten Speicher für technische Zugangsdaten bereit. Für den optionalen Azure-Vertrauenstest werden ein gesonderter Testzugang und die erforderlichen Rechte vorab vereinbart.