Seminar Octelium Identitätsanbieter, SSO und MFA

Das 2-tägige Format behandelt die Integration externer Identitätsanbieter, Single Sign-on und mehrstufiger Authentisierung für menschliche Zugriffe. Der Schwerpunkt liegt auf nachvollziehbaren Arbeitsschritten, kontrollierten Tests und einer Konfiguration, die sich in betrieblichen Umgebungen reproduzieren lässt.

Inhaltsverzeichnis

1. Zielsetzung
2. Seminarinhalte
   1. Identitätsarchitektur und Vertrauensmodell
   2. OIDC-Identitätsanbieter und Claims
   3. SAML-Identitätsanbieter und Attribute
   4. GitHub-OAuth-Anmeldung
   5. Benutzerzuordnung und Gruppen-Mapping
   6. FIDO, WebAuthn und Passkeys
   7. TOTP, TPM 2.0 und Faktorstrategien
   8. MFA-Erzwingung durch Policies
   9. Fehleranalyse, Recovery und IdP-Wechsel
3. Praxisübungen
4. Zielgruppe
5. Voraussetzungen
6. Methodik

Zielsetzung

OIDC-, SAML- und GitHub-basierte Anmeldungen sicher anbinden, Claims konsistent abbilden und FIDO/WebAuthn, Passkeys, TOTP sowie gerätebezogene Faktoren gezielt einsetzen.

Seminarinhalte

Modul 1: Identitätsarchitektur und Vertrauensmodell

Dieses Modul erschließt Identitätsarchitektur und Vertrauensmodell. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Ausgangslage, Schutzbedarf und beteiligte Akteure für „Identitätsarchitektur und Vertrauensmodell“ erfassen.
2. Schritt 2: Komponenten, Vertrauensgrenzen und Datenflüsse in einem nachvollziehbaren Zielbild zuordnen.
3. Schritt 3: einen zulässigen und einen unzulässigen Zugriffspfad anhand des Zielbilds durchspielen.
4. Schritt 4: Annahmen, offene Risiken und technische Entscheidungen in einer belastbaren Architekturunterlage festhalten.

Modul 2: OIDC-Identitätsanbieter und Claims

Dieses Modul erschließt OIDC-Identitätsanbieter und Claims. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „OIDC-Identitätsanbieter und Claims“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 3: SAML-Identitätsanbieter und Attribute

Dieses Modul erschließt SAML-Identitätsanbieter und Attribute. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „SAML-Identitätsanbieter und Attribute“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 4: GitHub-OAuth-Anmeldung

Dieses Modul erschließt GitHub-OAuth-Anmeldung. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „GitHub-OAuth-Anmeldung“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 5: Benutzerzuordnung und Gruppen-Mapping

Dieses Modul erschließt Benutzerzuordnung und Gruppen-Mapping. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „Benutzerzuordnung und Gruppen-Mapping“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 6: FIDO, WebAuthn und Passkeys

Dieses Modul erschließt FIDO, WebAuthn und Passkeys. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Bedrohungen, Angriffsflächen, Vertrauensgrenzen und Missbrauchsszenarien für „FIDO, WebAuthn und Passkeys“ modellieren.
2. Schritt 2: präventive Kontrollen, minimale Berechtigungen und sichere Standardwerte in der Konfiguration umsetzen.
3. Schritt 3: Umgehungs-, Fehlbedienungs- und Rechteausweitungsszenarien kontrolliert testen.
4. Schritt 4: Befunde bewerten, Härtungsmaßnahmen priorisieren und die Wirksamkeit durch erneute Tests belegen.

Modul 7: TOTP, TPM 2.0 und Faktorstrategien

Dieses Modul erschließt TOTP, TPM 2.0 und Faktorstrategien. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Bedrohungen, Angriffsflächen, Vertrauensgrenzen und Missbrauchsszenarien für „TOTP, TPM 2.0 und Faktorstrategien“ modellieren.
2. Schritt 2: präventive Kontrollen, minimale Berechtigungen und sichere Standardwerte in der Konfiguration umsetzen.
3. Schritt 3: Umgehungs-, Fehlbedienungs- und Rechteausweitungsszenarien kontrolliert testen.
4. Schritt 4: Befunde bewerten, Härtungsmaßnahmen priorisieren und die Wirksamkeit durch erneute Tests belegen.

Modul 8: MFA-Erzwingung durch Policies

Dieses Modul erschließt MFA-Erzwingung durch Policies. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Schutzobjekt, Subjekt, Kontextmerkmale und gewünschte ALLOW- beziehungsweise DENY-Entscheidung definieren.
2. Schritt 2: die Regel für „MFA-Erzwingung durch Policies“ mit CEL oder OPA/Rego umsetzen und mit eindeutiger Priorität zuordnen.
3. Schritt 3: Grenzfälle in einer Testmatrix aus erlaubten, verweigerten und unvollständigen Anfragen ausführen.
4. Schritt 4: Entscheidungsweg und Auswertungsdaten untersuchen, Regelkonflikte beseitigen und die Policy versionieren.

Modul 9: Fehleranalyse, Recovery und IdP-Wechsel

Dieses Modul erschließt Fehleranalyse, Recovery und IdP-Wechsel. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Normalzustand, Service-Level, Abhängigkeiten und relevante Zustandsindikatoren für „Fehleranalyse, Recovery und IdP-Wechsel“ festlegen.
2. Schritt 2: Cluster-, Komponenten- und Ressourcenstatus systematisch erfassen und eine belastbare Baseline bilden.
3. Schritt 3: ein typisches Fehlerbild kontrolliert erzeugen und anhand von Logs, Metriken und Zustandsdaten eingrenzen.
4. Schritt 4: Störung beheben, Wirksamkeit nachweisen und die Arbeitsschritte als Runbook dokumentieren.

Praxisübungen

• einen OIDC- und einen zweiten Identitätsanbieter parallel konfigurieren.
• Claims und Gruppenmerkmale auf konsistente Octelium-Identitäten abbilden.
• Passkey- und TOTP-basierte Faktoren registrieren und policygesteuert erzwingen.
• Claim-, Zertifikats-, Redirect- und Recovery-Fehler kontrolliert untersuchen.

Zielgruppe

IAM-Teams, Sicherheitsadministratoren, Plattformbetreiber, IT-Architekten und Verantwortliche für Single Sign-on.

Voraussetzungen

Grundkenntnisse in OIDC, SAML, OAuth 2.0, Zertifikaten, Claims und Multi-Faktor-Authentisierung.

Methodik

Zwei Tage sind erforderlich, um mehrere IdP-Verfahren, Claim-Mapping, Account-Verknüpfung, MFA-Registrierung, Wiederherstellung und typische Fehlersituationen sicher praktisch abzudecken. Die Durchführung kombiniert fachliche Einordnung, Demonstration, angeleitete Konfiguration, eigenständige Laborphasen, Positiv- und Negativtests sowie eine strukturierte Fehleranalyse. Jeder Themenblock endet mit einer prüfbaren Konfiguration und einer dokumentierten Kontrollliste.