Seminar Flowable Security – SSO, Berechtigungen, Mandanten und Secrets

Das Seminar behandelt die Absicherung von Identitäten, Anwendungen, APIs, Daten und Betriebszugriffen. SSO, Benutzer- und Gruppenmapping, Rollen, Mandanten, Dienstidentitäten, TLS, Secrets, Audit, Datenschutz und sicherer Betrieb werden zu einem durchgängigen Sicherheitsmodell verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Vertrauensgrenzen, Identitäten, Rollen und Schutzobjekte vollständig erfassen.
• SSO und Verzeichniszuordnung mit eindeutigen Benutzer- und Gruppenregeln konfigurieren.
• Anwendungs-, Modell-, Aufgaben-, Fall- und Administrationsrechte nach Least Privilege strukturieren.
• Mandanten, Dienstidentitäten, TLS, Zertifikate und Secrets sicher betreiben.
• Audit, Datenschutz, Incident und regelmäßige Sicherheitskontrollen operationalisieren.

Schrittweise Seminarinhalte

1. Sicherheitsarchitektur und Bedrohungsmodell

Schwerpunkt: Identitäten, Anwendungen, Engines, APIs, Datenbank, Dokumente, Broker, Netzwerkzonen, Administrationspfade, Angriffsflächen und Schutzbedarf.

1. Ausgangslage, fachliche Ziele, Schutzbedarf und Abnahmekriterien für den Themenblock „1. Sicherheitsarchitektur und Bedrohungsmodell“ erfassen.
2. Relevante Modelle, Konfigurationen, Daten, Rollen und Abhängigkeiten anhand von Identitäten, Anwendungen, Engines, APIs, Datenbank, Dokumente, Broker, Netzwerkzonen, Administrationspfade, Angriffsflächen und Schutzbedarf strukturiert darstellen.
3. Die erforderlichen Modellierungs-, Entwicklungs- oder Administrationsschritte in einer vorbereiteten Laborumgebung reproduzierbar umsetzen.
4. Funktion, Berechtigungen, Datenzustände, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederholungsfällen prüfen.
5. Als Arbeitsergebnis ein priorisiertes Bedrohungs- und Kontrollmodell dokumentieren, fachlich abnehmen, versionieren und in einen wiederverwendbaren Standard überführen.

2. SSO und Identity-Provider-Integration

Schwerpunkt: OIDC- oder SAML-nahe Anmeldung, Endpunkte, Clientdaten, Signaturen, Claims, Sessions, Logout, Zeit, Zertifikate und Fehlerszenarien.

1. Ausgangslage, fachliche Ziele, Schutzbedarf und Abnahmekriterien für den Themenblock „2. SSO und Identity-Provider-Integration“ erfassen.
2. Relevante Modelle, Konfigurationen, Daten, Rollen und Abhängigkeiten anhand von OIDC- oder SAML-nahe Anmeldung, Endpunkte, Clientdaten, Signaturen, Claims, Sessions, Logout, Zeit, Zertifikate und Fehlerszenarien strukturiert darstellen.
3. Die erforderlichen Modellierungs-, Entwicklungs- oder Administrationsschritte in einer vorbereiteten Laborumgebung reproduzierbar umsetzen.
4. Funktion, Berechtigungen, Datenzustände, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederholungsfällen prüfen.
5. Als Arbeitsergebnis eine getestete SSO- und Vertrauenskonfiguration dokumentieren, fachlich abnehmen, versionieren und in einen wiederverwendbaren Standard überführen.

3. Benutzer-, Gruppen- und Attributmapping

Schwerpunkt: eindeutige IDs, Gruppen, Rollen, Attribute, Synchronisation, Eintritt, Wechsel, Austritt, Deaktivierung, Dubletten und Fallback.

1. Ausgangslage, fachliche Ziele, Schutzbedarf und Abnahmekriterien für den Themenblock „3. Benutzer-, Gruppen- und Attributmapping“ erfassen.
2. Relevante Modelle, Konfigurationen, Daten, Rollen und Abhängigkeiten anhand von eindeutige IDs, Gruppen, Rollen, Attribute, Synchronisation, Eintritt, Wechsel, Austritt, Deaktivierung, Dubletten und Fallback strukturiert darstellen.
3. Die erforderlichen Modellierungs-, Entwicklungs- oder Administrationsschritte in einer vorbereiteten Laborumgebung reproduzierbar umsetzen.
4. Funktion, Berechtigungen, Datenzustände, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederholungsfällen prüfen.
5. Als Arbeitsergebnis ein belastbares Identitäts- und Rollenmapping dokumentieren, fachlich abnehmen, versionieren und in einen wiederverwendbaren Standard überführen.

4. Berechtigungen und Funktionstrennung

Schwerpunkt: App-Zugriff, Modellrechte, Aufgaben, Cases, Datenobjekte, Administration, Control, Inspect, privilegierte Rollen, Delegation und Rezertifizierung.

1. Ausgangslage, fachliche Ziele, Schutzbedarf und Abnahmekriterien für den Themenblock „4. Berechtigungen und Funktionstrennung“ erfassen.
2. Relevante Modelle, Konfigurationen, Daten, Rollen und Abhängigkeiten anhand von App-Zugriff, Modellrechte, Aufgaben, Cases, Datenobjekte, Administration, Control, Inspect, privilegierte Rollen, Delegation und Rezertifizierung strukturiert darstellen.
3. Die erforderlichen Modellierungs-, Entwicklungs- oder Administrationsschritte in einer vorbereiteten Laborumgebung reproduzierbar umsetzen.
4. Funktion, Berechtigungen, Datenzustände, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederholungsfällen prüfen.
5. Als Arbeitsergebnis ein rollenbasiertes Least-Privilege-Modell dokumentieren, fachlich abnehmen, versionieren und in einen wiederverwendbaren Standard überführen.

5. Mandanten und Datenisolation

Schwerpunkt: Tenant ID, Benutzerzuordnung, Deployment, Laufzeitdaten, Abfragen, Integrationen, Dokumente, Events, Konfiguration und Betriebsgrenzen.

1. Ausgangslage, fachliche Ziele, Schutzbedarf und Abnahmekriterien für den Themenblock „5. Mandanten und Datenisolation“ erfassen.
2. Relevante Modelle, Konfigurationen, Daten, Rollen und Abhängigkeiten anhand von Tenant ID, Benutzerzuordnung, Deployment, Laufzeitdaten, Abfragen, Integrationen, Dokumente, Events, Konfiguration und Betriebsgrenzen strukturiert darstellen.
3. Die erforderlichen Modellierungs-, Entwicklungs- oder Administrationsschritte in einer vorbereiteten Laborumgebung reproduzierbar umsetzen.
4. Funktion, Berechtigungen, Datenzustände, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederholungsfällen prüfen.
5. Als Arbeitsergebnis ein geprüftes Mandanten- und Isolationskonzept dokumentieren, fachlich abnehmen, versionieren und in einen wiederverwendbaren Standard überführen.

6. Dienstidentitäten, TLS und Secrets

Schwerpunkt: Service Accounts, API-Credentials, Zertifikate, Trust Stores, Secret Stores, Rotation, Ablauf, Notfallzugriff, Protokollierung und Berechtigungen.

1. Ausgangslage, fachliche Ziele, Schutzbedarf und Abnahmekriterien für den Themenblock „6. Dienstidentitäten, TLS und Secrets“ erfassen.
2. Relevante Modelle, Konfigurationen, Daten, Rollen und Abhängigkeiten anhand von Service Accounts, API-Credentials, Zertifikate, Trust Stores, Secret Stores, Rotation, Ablauf, Notfallzugriff, Protokollierung und Berechtigungen strukturiert darstellen.
3. Die erforderlichen Modellierungs-, Entwicklungs- oder Administrationsschritte in einer vorbereiteten Laborumgebung reproduzierbar umsetzen.
4. Funktion, Berechtigungen, Datenzustände, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederholungsfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Maschinenidentitäts- und Secret-Lifecycle dokumentieren, fachlich abnehmen, versionieren und in einen wiederverwendbaren Standard überführen.

7. Audit, Datenschutz und Sicherheitsbetrieb

Schwerpunkt: Audit Trails, Logschutz, Datenminimierung, Aufbewahrung, Export, Löschung, Alarmierung, Incident, Schwachstellen, Reviews und Nachweisführung.

1. Ausgangslage, fachliche Ziele, Schutzbedarf und Abnahmekriterien für den Themenblock „7. Audit, Datenschutz und Sicherheitsbetrieb“ erfassen.
2. Relevante Modelle, Konfigurationen, Daten, Rollen und Abhängigkeiten anhand von Audit Trails, Logschutz, Datenminimierung, Aufbewahrung, Export, Löschung, Alarmierung, Incident, Schwachstellen, Reviews und Nachweisführung strukturiert darstellen.
3. Die erforderlichen Modellierungs-, Entwicklungs- oder Administrationsschritte in einer vorbereiteten Laborumgebung reproduzierbar umsetzen.
4. Funktion, Berechtigungen, Datenzustände, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Wiederholungsfällen prüfen.
5. Als Arbeitsergebnis ein revisionsfähiges Sicherheits- und Kontrollhandbuch dokumentieren, fachlich abnehmen, versionieren und in einen wiederverwendbaren Standard überführen.

Praxisübungen und Laborszenarien

• Aufbau eines Claims-, Gruppen- und Rollenmappings für mehrere Benutzerklassen.
• Entwurf eines mandantenfähigen Berechtigungsmodells mit Funktionstrennung.
• Planung von Zertifikats-, Secret- und Dienstidentitätsrotation.
• Durchführung eines Security-Reviews mit Positiv-, Negativ- und Missbrauchsfällen.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM, Security Engineering, Flowable-Administration, Plattformbetrieb, Solution Architecture, Datenschutz und Informationssicherheit.

Voraussetzungen: Grundkenntnisse in SSO, Rollenmodellen, TLS und Identitätsdiensten sowie ein grundlegendes Verständnis der Flowable-Komponenten.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Schrittfolgen, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit Modelle, Konfigurationen und Betriebsabläufe nachvollziehbar, wiederholbar und teamfähig bleiben.