Seminar Gravitee Access Management – Identity, OAuth 2.0, OpenID Connect, SAML und MFA

Das Seminar vermittelt die Konzeption, Konfiguration und Absicherung von Identitäts- und Zugriffsprozessen mit Gravitee Access Management. Im Mittelpunkt stehen nachvollziehbare Authentifizierungsabläufe, standardisierte Autorisierungsprotokolle und belastbare Betriebsverfahren.

Inhaltsübersicht

• Seminarziele
• Inhalte
• Praxisübungen
• Zielgruppe
• Voraussetzungen
• Arbeitsweise

Seminarziele

Im Seminar werden folgende Kompetenzen aufgebaut:

• Architektur, Komponenten und Mandantenmodell von Gravitee Access Management einordnen
• Security Domains, Anwendungen, Benutzerquellen und Identity Provider strukturiert konfigurieren
• OAuth 2.0, OpenID Connect und SAML 2.0 für unterschiedliche Anwendungstypen einsetzen
• Authentifizierungs- und Autorisierungsabläufe mit Flows und Policies modellieren
• Mehrfaktor-Authentifizierung, Sitzungssteuerung und Schutzmechanismen praxistauglich umsetzen
• Access Management mit Gravitee API Management und geschützten APIs verbinden

Inhalte

Plattformarchitektur und Grundmodell

• AM Gateway, Management API und Management Console
• Organisationen, Umgebungen, Security Domains und Anwendungen
• Rollen von Identity Provider, Authorization Server und Trust Broker
• Trennung von B2C-, B2B-, Mitarbeiter- und Maschinenidentitäten

Protokolle und Tokenmodelle

• OAuth-2.0-Flows, Scopes, Claims, Refresh Tokens und Client-Typen
• OpenID Connect, ID Token, UserInfo und Discovery
• SAML 2.0 als Identity Provider und für Föderationsszenarien
• Einordnung von UMA 2.0 und SCIM 2.0 in Zugriffs- und Benutzerprozesse

Identity Provider und Benutzerverwaltung

• Anbindung von LDAP beziehungsweise Active Directory, Datenbanken, OIDC- und SAML-Providern
• Attributzuordnung, Profilanreicherung und Account Linking
• Registrierung, Passwortregeln, E-Mail-Verifikation und Kontowiederherstellung
• Benutzerstatus, Sitzungen, Einwilligungen und technische Konten

Flows, Policies und bedingte Zugriffe

• Phasen eines Authentifizierungs- und Tokenablaufs
• Bedingungen, Kontextattribute und Fehlerbehandlung
• Profilanreicherung, zusätzliche Prüfungen und externe Aufrufe
• Wiederverwendbare Muster für unterschiedliche Anwendungsklassen

MFA und Schutz vor Missbrauch

• Optionale, verpflichtende und bedingte MFA-Registrierung
• Risikobasierte, verpflichtende und bedingte MFA-Challenges
• Faktoren, Recovery Codes, Rate Limits und Brute-Force-Schutz
• Balance zwischen Sicherheitsniveau und Benutzerführung

Integration, Betrieb und Fehlersuche

• OAuth2-Pläne und Tokenprüfung in Gravitee API Management
• Claims, Rollen und Scopes für API-Autorisierung
• Audit, Ereignisse, Protokollierung und Diagnose typischer Fehlerbilder
• Konfigurationssicherung, Rollout und kontrollierte Änderungen

Praxisübungen

1. Security Domain und Beispielanwendungen für Web-, Single-Page- und Backend-Clients anlegen.
2. Einen Identity Provider anbinden, Benutzerattribute zuordnen und den Anmeldeablauf prüfen.
3. Einen OpenID-Connect-Ablauf mit Scopes, Claims und Tokenvalidierung konfigurieren.
4. MFA-Registrierung und MFA-Challenge bedingt aktivieren und Negativtests durchführen.
5. Eine geschützte API in Gravitee API Management mit dem Authorization Server verbinden.
6. Fehlerhafte Redirect-URIs, Token, Rollen und Sitzungen systematisch diagnostizieren.

Zielgruppe

IAM-Administratoren, Security Engineers, API-Plattformteams, Anwendungsarchitekten und Entwickler mit Verantwortung für Authentifizierung und Autorisierung.

Voraussetzungen

Grundkenntnisse zu HTTP, TLS, Benutzerverzeichnissen und webbasierten Anwendungen; Grundverständnis von OAuth 2.0 ist hilfreich, aber nicht zwingend erforderlich.

Arbeitsweise

Die Themen werden durch fachliche Einordnung, Demonstrationen und aufeinander aufbauende Übungen am System vermittelt. Konfigurationen werden geprüft, mit Negativtests belastet und anhand von Logs, Statusinformationen oder Metriken nachvollzogen. Die Übungen bilden einen durchgängigen technischen Anwendungsfall und vermeiden isolierte Klickfolgen ohne betrieblichen Zusammenhang.