Seminar EUDI Wallet – IAM- und CIAM-Integration

Das Seminar zeigt, wie EUDI-Wallet-Nachweise in bestehende IAM- und CIAM-Landschaften integriert werden. Behandelt werden Identitätsverknüpfung, Kontoerstellung, Login und Step-up, Account Recovery, Rollen- und Berechtigungszuordnung, Federation, Session-Management, Lifecycle-Ereignisse, Claim-Mapping und die Trennung zwischen kryptografischer Nachweisprüfung und interner Autorisierung.

Zwei Seminartage sind erforderlich, um technische Integrationsmuster, Identitätsauflösung, Konto- und Session-Lebenszyklus, Recovery, Autorisierung und Betriebsfälle in einem konsistenten Zielbild zu verbinden. Die Dauer enthält einen vollständigen Integrationsentwurf und ein Fehlerfall-Lab.

Inhaltsübersicht

1. Zielbild und Integrationsmuster
2. Identitätsverknüpfung und Konto-Lifecycle
3. Login, Step-up und Session-Management
4. Claim-Mapping und Autorisierung
5. Recovery, Gerätewechsel und Support
6. Betrieb, Protokollierung und Datenschutz
7. Lernziele und Zielgruppe
8. Praxisanteil und Arbeitsunterlagen

Lernziele

• Wallet-Nachweise von internen Identitäten, Konten und Berechtigungen abgrenzen.
• Sichere Identitätsverknüpfung und Kontoerstellung entwerfen.
• Login-, Step-up- und Recovery-Flüsse mit Wallet-Nachweisen modellieren.
• Claims kontrolliert in Rollen, Attribute und Richtlinien überführen.
• Betriebs-, Datenschutz- und Fehleranforderungen in die IAM-Architektur integrieren.

Zielgruppe

IAM- und CIAM-Architektur, Identity Engineering, Security Engineering, Anwendungsarchitektur, Entwicklung, Plattformbetrieb, Produktmanagement, Datenschutz und technische Projektleitung.

Voraussetzungen

Grundkenntnisse von IAM, OIDC/OAuth, Sessions, Rollen und Berechtigungen. Erfahrung mit einer bestehenden IAM- oder CIAM-Plattform ist hilfreich.

Seminarinhalte

1. Zielbild und Integrationsmuster

Einordnung der Wallet als externer Nachweis- und Authentisierungskanal innerhalb von IAM, CIAM, Federation und Anwendungszugriff.

1. Schritt 1: bestehende Identity Provider, Verzeichnisse, Konten und Vertrauensbeziehungen erfassen.
2. Schritt 2: geeignete Integrationsmuster für Registrierung, Login, Step-up und Nachweisvorlage auswählen.
3. Schritt 3: Wallet-Verifikation, Identitätsauflösung und Autorisierungsentscheidung komponentenseitig trennen.
4. Schritt 4: Zielbild mit Verantwortungen, Schnittstellen und Sicherheitsgrenzen dokumentieren.

2. Identitätsverknüpfung und Konto-Lifecycle

Zuordnung geprüfter PID- oder Attributsdaten zu bestehenden oder neuen Konten einschließlich Dubletten, Namensänderungen und Re-Enrollment.

1. Schritt 1: interne Identitätsanker und zulässige Matching-Merkmale bestimmen.
2. Schritt 2: automatische, bestätigte und manuell geprüfte Verknüpfungspfade definieren.
3. Schritt 3: Kontoerstellung, Aktualisierung, Trennung und Zusammenführung kontrollieren.
4. Schritt 4: Fehlverknüpfung und Kontoübernahme mit Korrektur- und Sperrverfahren behandeln.

3. Login, Step-up und Session-Management

Wallet-basierte Anmeldung, kontextbezogene Nachweise, Assurance-Übergänge, Session-Bindung und erneute Bestätigung.

1. Schritt 1: Zugriffsszenarien nach Risiko, benötigtem Assurance-Niveau und Nachweis klassifizieren.
2. Schritt 2: Challenge und Wallet-Präsentation an Browser-, App- oder Backend-Sitzung binden.
3. Schritt 3: Step-up-Auslöser, Session-Laufzeit und Re-Authentication festlegen.
4. Schritt 4: Replay, Session-Fixation, Parallelgeräte und Abbruchpfade testen.

4. Claim-Mapping und Autorisierung

Übersetzung externer, kontextbezogener Nachweise in interne Attribute, Rollen, Policies und fachliche Entscheidungen.

1. Schritt 1: Claim-Semantik, Aussteller, Gültigkeit und zulässigen Verwendungszweck erfassen.
2. Schritt 2: Mapping-Regeln mit Priorität, Konfliktbehandlung und Versionierung definieren.
3. Schritt 3: kurzlebige Nachweise von dauerhaft gepflegten Stammdaten und Rollen trennen.
4. Schritt 4: Autorisierungsentscheidungen gegen Überprivilegierung und veraltete Claims prüfen.

5. Recovery, Gerätewechsel und Support

Wiederherstellung interner Konten und Wallet-bezogener Zugänge ohne Umgehung des erforderlichen Vertrauensniveaus.

1. Schritt 1: Verlust-, Gerätewechsel-, gesperrte Wallet- und Kontosperrszenarien erfassen.
2. Schritt 2: Recovery-Faktoren und alternative Nachweise nach Risiko bewerten.
3. Schritt 3: Supportrollen, Identitätsprüfung, Wartezeiten und Vier-Augen-Kontrollen definieren.
4. Schritt 4: Social-Engineering- und Insiderangriffe im Recovery-Prozess testen.

6. Betrieb, Protokollierung und Datenschutz

Monitoring, Fehlerklassen, Auditspur, Datenminimierung, Aufbewahrung und Änderungen an Ausstellern, Trust und Mapping.

1. Schritt 1: technische und fachliche Ereignisse für Betrieb und Audit bestimmen.
2. Schritt 2: Protokolle auf notwendige Daten, Integrität, Zugriff und Fristen begrenzen.
3. Schritt 3: Änderungen an Vertrauensankern, Claims und Policies kontrolliert ausrollen.
4. Schritt 4: Störung vom Verifikationsfehler bis zur fachlichen Auswirkung im Runbook abbilden.

Praxisanteil

• Entwurf einer IAM-/CIAM-Zielarchitektur mit Wallet-Verifikation.
• Ausarbeitung eines sicheren Identity-Linking- und Recovery-Verfahrens.
• Erstellung eines Claim-Mappings mit Autorisierungs- und Konfliktregeln.

Arbeitsunterlagen

Die Arbeitsunterlagen enthalten strukturierte Checklisten, Vorlagen und Referenzmodelle für die unmittelbare Weiterarbeit im Projekt. Im Seminar werden insbesondere folgende Artefakte erstellt oder vorbereitet:

• IAM-/CIAM-Zielarchitektur
• Identity-Linking-Verfahren
• Authentisierungs- und Sessionkonzept
• Claim- und Policy-Mapping
• Recovery- und Supportverfahren
• IAM-Betriebs- und Auditkonzept