Seminar Netmaker SSO, RBAC, MFA und Conditional Access

Netzwerkzugriff sollte nicht dauerhaft und allein an ein Gerät gebunden sein. Das Seminar entwickelt einen identitätszentrierten Zugriff, bei dem Benutzerrolle, Gruppe, starke Authentisierung, Gerätezustand und zeitliche Genehmigung gemeinsam über die Freigabe entscheiden.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxisübungen

Zielsetzung

Im Mittelpunkt stehen folgende fachliche und praktische Schwerpunkte:

• Lokale und zentrale Identitäten sowie Rollen- und Gruppenmodelle sinnvoll abgrenzen.
• SSO/OIDC und optional SCIM editionsgerecht planen und technisch integrieren.
• MFA, Gerätegenehmigung, Posture Checks und JIT als abgestufte Kontrollen einsetzen.
• Joiner-, Mover-, Leaver-, Notfall- und Auditprozesse praktisch verifizieren.

Zielgruppe

IAM, IT-Security, Netzwerk- und Systemadministration, Workplace Engineering, Compliance-Technik und technische Anwendungsverantwortung

Voraussetzungen

Grundkenntnisse zu Identitätsanbietern, OAuth/OIDC, Gruppen und Rollen sowie praktische Netmaker-Grundkenntnisse

Seminarinhalte

Modul 1: Identitätsarchitektur und Editionen

Funktionen und Verantwortungsgrenzen werden vor der Integration geklärt.

1. Schritt 1: Lokale Konten, Adminrollen, Benutzerrollen und technische Tokens erfassen.
2. Schritt 2: Benötigte SSO-, Gruppen-, SCIM-, MFA- und Conditional-Access-Funktionen editionsabhängig prüfen.
3. Schritt 3: Notfallkonto, Verantwortlichkeit und Ausfallszenario des Identitätsanbieters festlegen.

Modul 2: SSO/OIDC-Integration

Der Anmeldepfad wird mit korrekten Redirects, Claims und minimalen Berechtigungen aufgebaut.

1. Schritt 1: Anwendung beim Identitätsanbieter registrieren und Geheimnisse sicher ablegen.
2. Schritt 2: Issuer, Client, Redirect und notwendige Claims konfigurieren.
3. Schritt 3: Erfolgreiche, fehlgeschlagene und deaktivierte Anmeldung testen.

Modul 3: Rollen, Gruppen und Provisionierung

Zentrale Gruppen werden in nachvollziehbare Netmaker-Berechtigungen übersetzt.

1. Schritt 1: Rollen- und Gruppenkonzept nach Aufgaben und Netzen definieren.
2. Schritt 2: Gruppenmapping und optional SCIM-basierte Synchronisation einrichten.
3. Schritt 3: Joiner-, Mover- und Leaver-Szenario einschließlich Entzug bestehender Zugriffe prüfen.

Modul 4: MFA und privilegierte Konten

Starke Authentisierung wird für sensible Rollen verbindlich und wiederherstellbar umgesetzt.

1. Schritt 1: MFA-Richtlinie und betroffene Benutzergruppen festlegen.
2. Schritt 2: Registrierung, Anmeldung und Wiederherstellung testen.
3. Schritt 3: Privilegierte Konten, Break-Glass-Zugang und regelmäßige Review-Termine dokumentieren.

Modul 5: Gerätegenehmigung und Posture Checks

Geräte werden neben der Benutzeridentität als eigene Vertrauenskomponente behandelt.

1. Schritt 1: Auto-Join nach Netzrisiko aktivieren oder deaktivieren.
2. Schritt 2: Pending Devices prüfen, genehmigen, ablehnen und protokollieren.
3. Schritt 3: Posture Checks für Betriebssystem oder Geolokation editionsabhängig definieren und Negativfälle testen.

Modul 6: Just-in-Time-Zugriff und Audit

Zeitlich begrenzte Berechtigung reduziert dauerhaft offene Zugänge.

1. Schritt 1: JIT für geeignete Netze und Benutzergruppen aktivieren.
2. Schritt 2: Antrag, Begründung, Genehmigung, Ablauf und vorzeitigen Entzug durchspielen.
3. Schritt 3: Auditdaten für Anmeldung, Rollenänderung, Genehmigung und Netzwerkzugriff korrelieren.

Praxisübungen

• SSO-Integration mit Testbenutzer, Gruppenclaim und deaktiviertem Konto.
• Rollen- und Gruppenmapping für Administration, Betrieb und externe Dienstleister.
• MFA-Registrierung sowie Wiederherstellungs- und Break-Glass-Test.
• Gerätegenehmigung und Posture-Negativtest.
• JIT-Antrag mit Genehmigung, Ablauf und Auditnachweis.