Seminar Intensivseminar – Identity Governance und Verzeichnisdienste

Seminarbeschreibung

Verzeichnisdienste, Linux-Anmeldung und Identity Governance greifen ineinander, erfüllen jedoch unterschiedliche Aufgaben. Dieses Intensivseminar entwickelt dafür ein gemeinsames Zielbild und setzt es an vorbereiteten Systemen um. OpenLDAP bildet eine Verzeichnisressource, FreeIPA erschließt zentrale Linux-Zugriffe und midPoint steuert ausgewählte Identitätsprozesse. Die Grenzen der jeweiligen Integration und die führende Quelle eines Attributs werden konsequent festgehalten.

Eine Modellorganisation mit synthetischen Personaldaten hält den Umfang beherrschbar. Die Praxis verbindet technische Konfiguration mit nachvollziehbaren Entscheidungen zu Rollen, Genehmigung, Datenqualität und Abschaltung alter Zugänge. Installation und Konnektoren sind vorbereitet, damit genügend Zeit für Korrelation, Negativtests und einen Pilot-Cutover bleibt. Der Kurs fasst die zugehörigen Einzelkurse zusammen und vertieft einen durchgängigen Lebenszyklus statt mehrerer unabhängiger Großinstallationen.

Seminarinhalte

Inhaltsübersicht:

1. Identitätsbestand und Zielarchitektur
2. OpenLDAP-Datenmodell und Zugriffsschutz
3. FreeIPA und Linux-Clients
4. Hostzugriff und privilegierte Linux-Aufgaben
5. midPoint-Ressourcen und Korrelation
6. Rollen und Provisionierungsprozesse
7. Governance und Kontrollnachweise
8. Pilotmigration und Cutover
9. Replikation und Wiederherstellung
10. Lebenszyklusabnahme und Betriebsübergabe

1. Identitätsbestand und Zielarchitektur

• Datenquellen, Konten, Linux-Systeme und Zielressourcen der Modellorganisation erfassen.
• Stabile Kennungen, Datenhoheit und technische sowie fachliche Verantwortlichkeiten bestimmen.
• Dubletten, verwaiste Konten und überzählige Rechte in den vorbereiteten Bestandsdaten erkennen.

2. OpenLDAP-Datenmodell und Zugriffsschutz

• Suchbasen, Personen, Gruppen und technische Konten im vorbereiteten Verzeichnis einrichten.
• TLS und ein begrenztes Bind-Konto für die angeschlossenen Systeme prüfen.
• ACLs anhand benötigter und unzulässiger Attributzugriffe testen.

3. FreeIPA und Linux-Clients

• DNS, Zeitsynchronisation und den vorbereiteten FreeIPA-Server überprüfen.
• Einen Linux-Client aufnehmen und Kerberos-Anmeldung sowie SSSD-Identitätsauflösung nachvollziehen.
• Benutzergruppen, Hostgruppen und zentrale Identitätsmerkmale für die Modellorganisation anlegen.

4. Hostzugriff und privilegierte Linux-Aufgaben

• HBAC und sudo für zwei unterschiedliche Aufgabenrollen konfigurieren.
• Dienstprincipals, Keytabs und Zertifikate am vorbereiteten Beispiel einordnen.
• Kontosperre, Cache und vorhandene Sitzungen durch gezielte Tests voneinander unterscheiden.

5. midPoint-Ressourcen und Korrelation

• Die vorbereitete Personaldatenquelle und Zielressourcen mit ihren Konnektoreigenschaften prüfen.
• Identitäten und bestehende Konten anhand stabiler Merkmale korrelieren.
• Inbound- und Outbound-Mappings mit nachvollziehbarer Datenverantwortung konfigurieren.

6. Rollen und Provisionierungsprozesse

• Ein kleines fachliches Rollenmodell mit konkreten Berechtigungen in den Zielressourcen verbinden.
• Eintritt, Aufgabenwechsel und Austritt auslösen und die Kontoänderungen kontrollieren.
• Eine unterbrochene Verarbeitung nach Wiederverfügbarkeit des Zielsystems geordnet wiederaufnehmen.

7. Governance und Kontrollnachweise

• Eine Zusatzberechtigung durch einen begrenzten Genehmigungsprozess führen.
• Eine kleine Rezertifizierung durchführen und die technische Wirkung der Entscheidung überprüfen.
• Rollenverantwortung, Ausnahmen und regelmäßige Rechteprüfung in den Prozess aufnehmen.

8. Pilotmigration und Cutover

• Pilotgruppe, Integrationsabhängigkeiten und Abbruchbedingungen für die vorbereitete Umstellung festlegen.
• Zielanmeldung und Kontozuordnung mit bereinigten Daten prüfen.
• Einen abgegrenzten Cutover durchführen und Alt- sowie Neuzugänge kontrollieren.

9. Replikation und Wiederherstellung

• OpenLDAP-Replikation und FreeIPA-Redundanz an vorbereiteten Topologien vergleichen.
• Einen begrenzten Ausfallfall testen und die Auswirkungen auf Anmeldung sowie Provisionierung beobachten.
• Einen vorbereiteten Wiederherstellungsfall bearbeiten und Datenzustand sowie Zugriffsregeln erneut prüfen.

10. Lebenszyklusabnahme und Betriebsübergabe

• Eintritt, Wechsel, Austritt und Fehlerwiederholung über die gesamte Modellorganisation nachweisen.
• Alte Zugänge, technische Konten und verbleibende Sitzungen in die Abnahme einbeziehen.
• Betriebszuständigkeiten, Rückfallbedingungen und wiederkehrende Kontrollschritte dokumentieren.

Praxisübungen

1. Die Identitätsbestände bereinigen und eine gemeinsame Zuordnungstabelle für Quellen und Zielressourcen erstellen.
2. Ein eingeschränktes LDAP-Zugriffskonto und zentrale Linux-Zugriffsregeln konfigurieren.
3. midPoint mit den vorbereiteten Ressourcen verbinden und bestehende Konten eindeutig korrelieren.
4. Eine fachliche Rolle vergeben und Eintritt, Aufgabenwechsel sowie Austritt bis zum Zielsystem prüfen.
5. Eine Berechtigung rezertifizieren und deren Entzug nachvollziehen.
6. Den vorbereiteten Pilot-Cutover sowie einen begrenzten Wiederherstellungsfall durchführen.
7. Die Gesamtabnahme einschließlich verwaister Konten, alter Zugänge und Betriebszuständigkeiten erstellen.

Einordnung und Vertiefung

Das Intensivseminar fasst OpenLDAP, FreeIPA, midPoint und IAM-Migration zusammen. Spezielle Trust-Konfigurationen, eigene Konnektoren und große Rollenanalysen werden in den Fachseminaren oder individuellen Vertiefungen weiterbearbeitet.

Zugeordnete Fachseminare für eine ausführlichere Vertiefung:

• OpenLDAP – sichere Verzeichnisdienste für IAM (3 Tage)
• FreeIPA – Linux-Identitäten, Kerberos und SSSD (4 Tage)
• midPoint – Identity Governance und automatisierte Provisionierung (4 Tage)
• IAM-Migration – Lebenszyklus, Berechtigungen und Betriebsübergabe (3 Tage)

Seminarangebot und Lernpfade