Seminar Kong API Gateway Plugins, Security und Observability

Inhaltsverzeichnis

• Zielbild und Einsatzszenarien
• Thematische Inhalte
• Praxisleitfaden
• Übungsdesign
• Zielgruppe und Voraussetzungen
• Betriebs- und Qualitätskriterien

Zielbild und Einsatzszenarien

Kapitelübersicht: Einordnung, typische Nutzungsmuster und Abgrenzung des Themenbereichs.

Der Fokus liegt auf reproduzierbaren Policy-Entscheidungen für API-Sicherheit und Betriebsbeobachtung. Sicherheitskontrollen werden nicht isoliert betrachtet, sondern mit Logging, Metriken und Fehlersignalen verbunden.

• Absicherung geschäftskritischer APIs mit mehrstufigen Authentifizierungsverfahren.
• Durchsetzung von Limits, Quoten und Zugriffsklassen.
• Nachvollziehbarkeit von Requests über Gateway-, Backend- und Plattformgrenzen hinweg.
• Policy-Standardisierung für verschiedene API-Klassen.

Thematische Inhalte

Kapitelübersicht: Technische Bausteine, Konzepte und Konfigurationsbereiche.

• Plugin-Prioritäten, Ausführungskontext und Platzierung auf globaler, servicebezogener oder routenbezogener Ebene.
• API Keys, JWT, OAuth2-nahe Muster, OIDC und mTLS aus Gateway-Sicht.
• ACLs, Consumer Groups, IP-Restriktionen und Schutz vor Missbrauch.
• Request- und Response-Validierung, Header-Strategien und Transformationen.
• Logging-Plugins, OpenTelemetry, Prometheus-nahe Metriken und Korrelation von Request-IDs.
• Security-Review, Auditierbarkeit und Betriebskriterien für Policy-Kataloge.

Praxisleitfaden

Kapitelübersicht: Schrittfolge für eine nachvollziehbare Umsetzung im Labor- oder Projektkontext.

1. Schutzbedarf für Beispiel-APIs in Zugriffsklassen einteilen.
2. Plugin-Strategie pro API-Klasse entwerfen und Prioritäten prüfen.
3. OIDC- oder JWT-geschützte Route konfigurieren und fehlerhafte Token testen.
4. mTLS-Strecke für vertrauenswürdige Clients einrichten.
5. Rate Limits und Quoten für Consumer-Gruppen definieren.
6. Logging- und Tracing-Informationen mit Testrequests auswerten.
7. Policy-Katalog versionieren und Prüfregeln für Änderungen festlegen.

Übungsdesign

Kapitelübersicht: Laboraufgaben, Kontrollpunkte und prüfbare Arbeitspakete.

• Mehrstufige Authentifizierung mit Fallback-Fehlerbildern.
• Limits pro Consumer-Gruppe und API-Typ.
• OpenTelemetry-nahe Trace-Korrelation für einen End-to-End-Request.
• Security-Review einer bewusst fehlerhaften Gateway-Konfiguration.

Zielgruppe und Voraussetzungen

Kapitelübersicht: Rollenprofil, benötigtes Vorwissen und fachlicher Einstiegspunkt.

Zielgruppe: Security Engineers, Plattformteams, API-Architekten, SREs und technische Betreiber.

Voraussetzungen: Kong Gateway Grundlagen, HTTP-Security-Grundlagen und Basiswissen zu Identitätsdiensten.

Betriebs- und Qualitätskriterien

Kapitelübersicht: Nachvollziehbarkeit, Wartbarkeit und robuste Einordnung in Plattformprozesse.

Jede Policy wird mit Positiv- und Negativtests geprüft, damit Sicherheitswirkung und Diagnostizierbarkeit gleichzeitig bewertet werden können.