Seminar Gravitee Access Management OAuth 2.0 und OpenID Connect

Überblick

Im Zentrum stehen OAuth 2.0 und OpenID Connect als technische Grundlage vieler Gravitee-AM-Projekte. Die Dauer von drei Tagen ist erforderlich, weil Protokollverständnis, Client-Konfiguration, Token-Prüfung, Fehleranalyse und sichere Betriebsregeln zusammengeführt werden.

Inhaltsübersicht

• OAuth 2.0 und OpenID Connect sauber abgrenzen
• Clients und Anwendungen konfigurieren
• Scopes, Claims und UserInfo modellieren
• Token-Ausgabe und Token-Prüfung nachvollziehen
• Anwendungen sicher anbinden
• Betriebs- und Sicherheitsstandards definieren

Teilnehmerkreis

Geeignet für technische Teams, die Anwendungen über OAuth 2.0 oder OpenID Connect anbinden und Token-basierte Sicherheit belastbar verstehen müssen.

Vorkenntnisse

Vorausgesetzt werden HTTP-Grundlagen und Erfahrung mit Webanwendungen. Kenntnisse zu JSON Web Tokens sind hilfreich, werden aber eingeordnet.

Schrittweise Seminarinhalte

1. OAuth 2.0 und OpenID Connect sauber abgrenzen

Die Protokolle werden nach Zweck, Beteiligten und Ergebnis getrennt.

• Rollen von Client, Resource Owner und Authorization Server einordnen
• Authorization Code und Client Credentials unterscheiden
• ID Token, Access Token und Refresh Token trennen
• Typische Fehlannahmen korrigieren

2. Clients und Anwendungen konfigurieren

Client-Konfigurationen werden sicher und nachvollziehbar aufgebaut.

• Clienttypen bewerten
• Redirect-URIs und Secrets verwalten
• Grant Types auswählen
• Sicherheitsparameter dokumentieren

3. Scopes, Claims und UserInfo modellieren

Berechtigungen und Identitätsinformationen werden fachlich kontrolliert.

• Scopes fachlich schneiden
• Claims aus Profilen ableiten
• UserInfo-Ausgabe prüfen
• Minimierung personenbezogener Daten berücksichtigen

4. Token-Ausgabe und Token-Prüfung nachvollziehen

Token werden nicht nur erzeugt, sondern verstanden.

• Token-Lebensdauer festlegen
• Signaturen und Schlüsselbezug prüfen
• Introspection und Revocation einordnen
• Fehlerfälle bei ungültigen Token analysieren

5. Anwendungen sicher anbinden

Client-Integration wird mit konkreten Testfällen abgesichert.

• Anmeldefluss im Browser prüfen
• Backend-zu-Backend-Fluss testen
• Refresh-Verhalten validieren
• Logout und Sessionbezug betrachten

6. Betriebs- und Sicherheitsstandards definieren

Protokollkonfigurationen werden in Standards überführt.

• Client-Onboarding dokumentieren
• Scope-Konventionen festlegen
• Token-Fehlerbilder katalogisieren
• Abnahmekriterien formulieren

Praxisübungen

• Einrichtung eines Authorization-Code-Flows
• Konfiguration eines Client-Credentials-Flows
• Prüfung von Scopes und Claims im Token
• Analyse eines fehlgeschlagenen Redirect- oder Token-Austauschs

Arbeitsweise

Die Inhalte werden als fachlicher Aufbau mit Demonstrationen, Konfigurationsübungen und kontrollierten Fehlerszenarien durchgeführt. Jede Übung folgt einem nachvollziehbaren Arbeitsgang: Ausgangslage prüfen, Konfiguration vornehmen, Verhalten testen, Protokolle auswerten und die Änderung in einen betrieblichen Standard überführen.