Seminar Janssen Project UMA, API-Security und Token Management

Inhaltsübersicht

• Beschreibung
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen

Beschreibung

Das Seminar behandelt API-Security mit Janssen, insbesondere Token Management, JWT Access Tokens, Introspection, Revocation und UMA-nahe Ressourcenkonzepte. Ziel ist ein sauberes Zusammenspiel zwischen Auth Server, API Gateway und Backend.

APIs werden nicht dadurch sicher, dass ein Token irgendwo im Header steht. Entscheidend sind Audience, Scope, Laufzeit, Widerruf, Kontext und konsequente Prüfung am richtigen Ort.

Lernziele

• API-Security-Muster mit Janssen und OAuth 2.0 einordnen
• Access Tokens, Introspection, Revocation und JWT-Profile sicher verwenden
• Ressourcen, Scopes und Policies für APIs modellieren
• Fehler- und Angriffsmuster in Token-basierten API-Flows erkennen

Zielgruppe

Das Seminar richtet sich an Teams, die APIs mit Janssen absichern, Token-Verhalten kontrollieren und Zugriff auf Ressourcen modellieren müssen.

Voraussetzungen

Erforderlich sind Kenntnisse in OAuth 2.0, APIs, JWT-Grundlagen, HTTP, Backend-Integration und Zugriffskontrolle.

Seminarinhalte

Modul 1: API-Security-Architektur

Die Schutzarchitektur wird vom API-Zugriff her gedacht.

1. Rollen von Client, Auth Server, API Gateway und Resource Server unterscheiden.
2. Token-Prüfung am Gateway und im Backend bewerten.
3. Schutzbedarf für interne, externe und partnerbasierte APIs festlegen.

Modul 2: Token Management

Token werden als kurzlebige, prüfbare Berechtigungsnachweise behandelt.

1. JWT-Access-Token, opaque Token, Introspection und Revocation vergleichen.
2. Audience, Scope, Expiry, Issuer, Subject und Client ID sicher prüfen.
3. Token-Laufzeiten und Refresh-Verhalten nach Risiko modellieren.

Modul 3: UMA und Ressourcenmodell

Ressourcenbasierte Autorisierung erweitert klassische Scope-Modelle.

1. Ressourcen, Berechtigungen und Policy-Entscheidungen fachlich abgrenzen.
2. Zugriffsszenarien für Benutzer, Dienste und delegierte Berechtigungen modellieren.
3. Grenzen zwischen UMA, Scopes und anwendungsinterner Autorisierung bewerten.

Modul 4: Gateway- und Backend-Integration

Token-Prüfung muss an technischen Kontrollpunkten konsequent sein.

1. Prüflogik für API Gateway und Backend definieren.
2. Fehlermeldungen, Statuscodes und Auditdaten standardisieren.
3. Testfälle für gültige, abgelaufene, widerrufene und falsch adressierte Token erstellen.

Modul 5: Betrieb und Missbrauchserkennung

Token-basierte APIs liefern wichtige Sicherheitsdaten.

1. Metriken und Logs für Tokenfehler, Scope-Verstöße und ungewöhnliche Clients definieren.
2. Alarmierung für Missbrauchsmuster und Fehlkonfigurationen vorbereiten.
3. Runbooks für kompromittierte Clients und Token-Widerruf erstellen.

Praxisübungen

• Entwurf eines Scope- und Audience-Modells für APIs
• Prüfung verschiedener Tokenfehler in einem API-Szenario
• Erstellung eines Runbooks für Client-Kompromittierung