Seminar Gravitee API Management API Security mit JWT, OAuth2, mTLS und API Keys

Überblick

Dieses Seminar konzentriert sich auf die Absicherung veröffentlichter APIs. Behandelt werden Planarten, API Keys, JWT, OAuth2, mTLS, Scopes, Rate Limiting, Quotas und typische Security-Policies. Drei Tage sind notwendig, weil Sicherheitsvarianten praktisch verglichen und in Tests abgesichert werden müssen.

Inhaltsübersicht

• API-Security-Modell festlegen
• API Keys und Basic-Szenarien konfigurieren
• JWT und OAuth2 einsetzen
• mTLS und Transportabsicherung einbinden
• Rate Limits, Quotas und Schutz-Policies anwenden
• Security-Abnahme und Betrieb definieren

Teilnehmerkreis

Geeignet für technische Teams, die API-Zugriffe über Gravitee APIM absichern und Schutzmaßnahmen nachvollziehbar testen müssen.

Vorkenntnisse

Vorausgesetzt werden REST- und HTTP-Grundlagen. Kenntnisse zu JWT, OAuth 2.0 oder TLS sind hilfreich.

Schrittweise Seminarinhalte

1. API-Security-Modell festlegen

Schutzmaßnahmen werden anhand von API-Risiko und Konsumentengruppe ausgewählt.

• Öffentliche, interne und Partner-APIs unterscheiden
• Authentifizierung und Autorisierung trennen
• Planarten fachlich vergleichen
• Schutzbedarf dokumentieren

2. API Keys und Basic-Szenarien konfigurieren

Einfache Zugangskontrollen werden sauber betrieben.

• API-Key-Plan anlegen
• Subscription und Schlüsselvergabe testen
• Schlüsselrotation und Sperrung prüfen
• Grenzen von API Keys bewerten

3. JWT und OAuth2 einsetzen

Token-basierte Sicherheit wird im Gateway geprüft.

• JWT-Plan konfigurieren
• OAuth2-Plan einordnen
• Claims und Scopes prüfen
• Fehler bei Token-Validierung analysieren

4. mTLS und Transportabsicherung einbinden

Zertifikatsbasierte Client-Authentifizierung wird in die API-Security aufgenommen.

• mTLS-Grundlagen anwenden
• Client-Zertifikate und Trust prüfen
• Plan-Kombinationen bewerten
• Zertifikatsfehler testen

5. Rate Limits, Quotas und Schutz-Policies anwenden

Missbrauch und Überlast werden begrenzt.

• Rate-Limit-Policy konfigurieren
• Quota-Regeln modellieren
• Spike- und Threat-Protection einordnen
• Fehlerantworten abstimmen

6. Security-Abnahme und Betrieb definieren

Konfigurationen werden mit klaren Prüfpunkten abgenommen.

• Testmatrix für Zugriffsvarianten erstellen
• 401 und 403 trennen
• Logging und Auditdaten auswerten
• Betriebsstandards dokumentieren

Praxisübungen

• Absicherung einer API mit API-Key-Plan
• Validierung eines JWT im Gateway
• Konfiguration eines OAuth2-Plans mit Scope-Prüfung
• Test eines Rate Limits mit definierter Fehlerantwort

Arbeitsweise

Die Inhalte werden als fachlicher Aufbau mit Demonstrationen, Konfigurationsübungen und kontrollierten Fehlerszenarien durchgeführt. Jede Übung folgt einem nachvollziehbaren Arbeitsgang: Ausgangslage prüfen, Konfiguration vornehmen, Verhalten testen, Protokolle auswerten und die Änderung in einen betrieblichen Standard überführen.