Seminar Intensivseminar – IAM, SSO und starke Authentifizierung

Seminarbeschreibung

Eine belastbare SSO-Plattform entsteht aus abgestimmten Identitätsdaten, sicheren Protokollen, kontrollierten Anmeldeverfahren und einem tragfähigen Betrieb. Das Intensivseminar verbindet diese Bereiche innerhalb einer gemeinsamen Referenzarchitektur. Keycloak dient als zentrale Übungsplattform. authentik und privacyIDEA ergänzen die Betrachtung durch alternative Integrations- und MFA-Ansätze. Eine kontinuierlich weiterentwickelte Testmatrix begleitet den Aufbau von der ersten Anmeldung bis zum Ausfall- und Wiederherstellungsfall.

Die Zusammenfassung richtet sich an technisch erfahrene Teilnehmer mit begrenztem Zeitbudget. Vorbereitete Anwendungen und Infrastruktur vermeiden wiederholte Grundinstallationen. Dadurch bleibt Zeit für reale Entscheidungen: Welche Identitätsdaten werden übertragen, wo werden Rechte durchgesetzt, wie wird ein verlorener Faktor ersetzt und welche Sicherung ermöglicht den Wiederanlauf? Die Themenbreite der zugeordneten Fachseminare wird vollständig aufgegriffen; deren gesamte Übungstiefe wird durch eine ausgewählte Integrationsstrecke verdichtet.

Seminarinhalte

Inhaltsübersicht:

1. IAM-Zielbild und Protokollentscheidungen
2. Keycloak-Grundkonfiguration und Rollen
3. OIDC und geschützte APIs
4. SAML, LDAP und Föderation
5. authentik als alternativer Integrationsbaustein
6. privacyIDEA und MFA-Lebenszyklus
7. Passkeys und sichere Wiederherstellung
8. Härtung, Proxy und Überwachung
9. Verfügbarkeit und Wiederanlauf
10. Integrierte Abnahme und Betriebsübergabe

1. IAM-Zielbild und Protokollentscheidungen

• Identitätsquellen, Provider, Anwendungen und Betrieb zu einer gemeinsamen SSO-Architektur verbinden.
• OIDC, OAuth 2.0, SAML und LDAP nach Aufgabe sowie Vertrauensbeziehung abgrenzen.
• Benutzergruppen, Rollen, Zero-Trust-Prinzipien und überprüfbare Zugriffsfälle für die Referenzumgebung festlegen.

2. Keycloak-Grundkonfiguration und Rollen

• Die vorbereitete Keycloak-Plattform prüfen und eine nachvollziehbare Realm- sowie Clientstruktur erstellen.
• Benutzer, Gruppen und Client-Rollen mit minimalen administrativen Rechten konfigurieren.
• Wiederkehrende Verwaltungsänderungen über Oberfläche und Administrationswerkzeuge durchführen.

3. OIDC und geschützte APIs

• Eine Webanwendung mit Authorization Code und PKCE anbinden.
• Tokenzweck, Aussteller, Zielgruppe und Signatur anhand des tatsächlichen API-Zugriffs prüfen.
• Falsche Berechtigungsmerkmale und unzulässige Redirects in die Integrationsabnahme aufnehmen.

4. SAML, LDAP und Föderation

• Eine vorbereitete SAML-Anwendung mit abgestimmten Metadaten und Attributen integrieren.
• Ein LDAP-Verzeichnis mit begrenztem technischen Konto an Keycloak anbinden.
• Identity Brokering und sichere Kontozuordnung an einem vorbereiteten Fall nachvollziehen.

5. authentik als alternativer Integrationsbaustein

• Anwendungen, Provider, Flows und Policies in einer vorbereiteten authentik-Umgebung zuordnen.
• Einen überschaubaren OIDC- oder Proxy-Zugriff konfigurieren und die Wirkung von Zugriffsregeln prüfen.
• LDAP-Quellen und SCIM-Provisionierung am vorbereiteten Fall einordnen und Zuständigkeiten mit Keycloak vergleichen.

6. privacyIDEA und MFA-Lebenszyklus

• Benutzerquelle, Token und Richtlinien in der vorbereiteten MFA-Umgebung konfigurieren.
• Einen TOTP-Ablauf einschließlich eines vorbereiteten API- oder RADIUS-Integrationsfalls prüfen.
• Tokenverlust, Sperrung und Ersatz mit begrenzten Supportrechten bearbeiten.

7. Passkeys und sichere Wiederherstellung

• WebAuthn-Registrierung und passwortlose Anmeldung in der Referenzplattform konfigurieren.
• RP-ID, Origin und Benutzerverifikation mit der vorhandenen Geräteausstattung prüfen.
• Gerätewechsel, Ersatzanmeldemittel und Risiken schwacher Recovery-Wege am Testkonto bearbeiten.

8. Härtung, Proxy und Überwachung

• TLS, Hostnamen, vertrauenswürdige Header und getrennte Managementzugriffe kontrollieren.
• Anmeldeereignisse, Metriken und typische Integrationsfehler über die gesamte Zugriffsstrecke auswerten.
• Sitzungsdauer, Kontosperre und Rechteänderung als getrennte Betriebsfälle testen.

9. Verfügbarkeit und Wiederanlauf

• Eine vorbereitete zweite Keycloak-Instanz einbeziehen und das Verhalten beim Instanzausfall beobachten.
• Datenbank, Konfiguration, Schlüssel und externe Abhängigkeiten in den Sicherungsumfang aufnehmen.
• Eine vorbereitete Sicherung wiederherstellen und die wesentlichen Anmelde- sowie Berechtigungstests wiederholen.

10. Integrierte Abnahme und Betriebsübergabe

• Den gemeinsamen Anwendungsfall mit erlaubten und unerlaubten Zugriffen vollständig durchlaufen.
• Schlüsselwechsel, Notfallzugang und kontrollierte Änderungen in ein überschaubares Betriebsverfahren aufnehmen.
• Vertiefungsbedarf nach Protokollintegration, Produktadministration und Betrieb geordnet festhalten.

Praxisübungen

1. Ein IAM-Zielbild und eine gemeinsame Zugriffsmatrix für die vorbereitete Anwendungslandschaft erstellen.
2. Keycloak mit Rollenmodell aufbauen und OIDC-, API- sowie SAML-Zugriff konfigurieren.
3. Die LDAP-Identitätsquelle anbinden und Kontozuordnung sowie Rollenübertragung überprüfen.
4. Je einen vorbereiteten authentik- und privacyIDEA-Fall bearbeiten und deren Rolle im Zielbild festhalten.
5. Passkeys und Ersatzanmeldemittel registrieren und einen kontrollierten Verlustfall durchführen.
6. Die Zugriffsstrecke härten, einen Instanzausfall auslösen und eine vorbereitete Wiederherstellung prüfen.
7. Die Gesamtabnahme mit falschen Rollen, gesperrtem Konto und fehlerhaften Anmeldenachweisen abschließen.

Einordnung und Vertiefung

Das Intensivseminar bündelt IAM-Grundlagen, OAuth/OIDC/SAML, beide Keycloak-Seminare, authentik, privacyIDEA und Passkeys. Die praktische Vertiefung erfolgt über ausgewählte zusammenhängende Fälle; die Einzelkurse bieten mehr Raum für produktspezifische Sonderfälle.

Zugeordnete Fachseminare für eine ausführlichere Vertiefung:

• IAM-Grundlagen – Architektur, SSO und Zero Trust (1 Tag)
• OAuth 2.0, OpenID Connect und SAML – sichere Anwendungsintegration (2 Tage)
• Keycloak – Administration, Single Sign-on und Föderation (3 Tage)
• Keycloak – Produktionsbetrieb, Härtung und Hochverfügbarkeit (3 Tage)
• authentik – SSO, MFA und sichere Anwendungsanbindung (3 Tage)
• privacyIDEA – Mehrfaktorauthentifizierung und Token-Lebenszyklus (2 Tage)
• Passkeys und WebAuthn – passwortlose Anmeldung sicher einführen (2 Tage)

Seminarangebot und Lernpfade