Seminar Janssen Project Auth Server mit OAuth 2.0 und OpenID Connect

Inhaltsübersicht

• Beschreibung
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen

Beschreibung

Der Janssen Auth Server ist das Herzstück der Plattform. Dieses Seminar behandelt OAuth 2.0 und OpenID Connect aus Sicht von Architektur, Administration, Integration und Fehlersuche.

Die Teilnehmenden arbeiten mit Clients, Redirects, Scopes, Claims, ID Token, Access Token, Refresh Token, Session-Verhalten und Logout. Der Schwerpunkt liegt auf sauberer Konfiguration statt blindem Kopieren von Beispielwerten.

Lernziele

• OAuth 2.0 und OpenID Connect im Janssen Auth Server sicher einordnen
• Clients, Grant Types, Redirects, Scopes und Claims korrekt konfigurieren
• Token-Inhalte, Laufzeiten, Signaturen und Session-Verhalten prüfen
• Fehler in Login-, Callback-, Token- und Userinfo-Flows systematisch analysieren

Zielgruppe

Das Seminar richtet sich an technische Teams, die Anwendungen und APIs mit dem Janssen Auth Server verbinden, Client-Konfigurationen verantworten und Token-Verhalten sicher verstehen müssen.

Voraussetzungen

Vorausgesetzt werden Grundlagen in HTTP, TLS, Webanwendungen, Redirects und Authentifizierung. Vorwissen zu OAuth 2.0 oder OpenID Connect ist hilfreich, wird aber strukturiert eingeordnet.

Seminarinhalte

Modul 1: Protokollgrundlagen im Janssen-Kontext

Die wichtigsten Protokollrollen und Flüsse werden präzise getrennt.

1. Resource Owner, Client, Authorization Server, Resource Server und OpenID Provider unterscheiden.
2. Authorization Code, PKCE, Client Credentials, Device Flow und Refresh-Verhalten einordnen.
3. OIDC-Erweiterungen wie ID Token, Userinfo, Discovery und dynamische Registrierung erklären.

Modul 2: Client-Konfiguration

Client-Einträge werden nach Anwendungstyp und Sicherheitsanforderung modelliert.

1. Web-, SPA-, Mobile-, Service- und API-Clients unterscheiden.
2. Redirect URIs, Grant Types, Token-Endpunkt-Authentifizierung und Secrets festlegen.
3. Konfiguration mit Test-Logins und Fehlerfällen verifizieren.

Modul 3: Scopes, Claims und Token

Token werden als Vertragsfläche zwischen IAM und Anwendung behandelt.

1. Scopes und Claims fachlich modellieren und Überfreigabe vermeiden.
2. ID Token, Access Token und Userinfo-Antworten vergleichen.
3. Signatur, Audience, Issuer, Ablaufzeit und relevante Claims prüfen.

Modul 4: Sessions und Logout

Sitzungsverhalten entscheidet über Benutzererlebnis und Sicherheit.

1. Browser-Session, Anwendungssession und Token-Lebensdauer voneinander trennen.
2. Logout-Varianten, Front-Channel- und Back-Channel-Verhalten bewerten.
3. Single Logout und Session-Erneuerung mit Testfällen absichern.

Modul 5: Fehlersuche im Auth-Flow

Fehler werden entlang der Protokollkette analysiert.

1. Fehlercodes, Redirects, Browserdaten, Protokolle und Token-Antworten sammeln.
2. Ursachen wie falsche Redirect URIs, ungeeignete Grant Types oder Scope-Konflikte isolieren.
3. Korrekturmaßnahmen dokumentieren und Regressionstests definieren.

Praxisübungen

• Konfiguration eines Web-Clients mit Authorization Code und PKCE
• Analyse eines Access Tokens und Abgleich mit Scopes und Claims
• Fehlersuche bei Redirect- und Token-Endpunkt-Problemen