Seminar Ory Keto Berechtigungsmodelle, RBAC und ReBAC

Dieses Seminar behandelt den Entwurf von Berechtigungsmodellen mit Keto. Der Schwerpunkt liegt auf RBAC, ReBAC, Relationship Tuples und praxisnahen Modellierungsentscheidungen für feingranulare Autorisierung.

Inhaltsverzeichnis

• Zielsetzung und Einordnung
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte mit Schritt-für-Schritt-Anleitungen
• Praktische Übungen
• Praxisbezug im Projektalltag

Zielsetzung und Einordnung

Berechtigungsmodelle werden nicht nur als technische Konfiguration, sondern als fachliches Architekturmodell betrachtet. Die Inhalte führen von einfachen Rollen bis zu relationenbasierten Berechtigungen über Gruppen, Ressourcen und Hierarchien.

Zielgruppe

Softwarearchitekten, Entwickler, Security Engineers und Plattformteams mit Aufgaben in Autorisierung, Rollenmodellen und feingranularen Berechtigungen.

Voraussetzungen

Grundkenntnisse in REST, gRPC, Datenmodellierung, Identity-Konzepten und API-Design; Erfahrung mit RBAC oder ACLs ist hilfreich.

Seminarziele

• RBAC, ReBAC, ACLs und relationenbasierte Modelle voneinander abgrenzen.
• Namespaces, Relationen, Subjekte und Objekte verständlich modellieren.
• Permission Checks für reale Fachfragen formulieren.
• Gruppen, Rollen, Eigentümer, Delegationen und Hierarchien abbilden.
• Bestehende Berechtigungssysteme schrittweise in Keto-Modelle überführen.

Seminarinhalte mit Schritt-für-Schritt-Anleitungen

1. Modellierungsgrundlagen

Zuerst werden die Begriffe geklärt, sonst wird Autorisierung schnell zu Folklore.

1. Schritt 1: Fachobjekte und Aktionen sammeln.
2. Schritt 2: Subjekte, Gruppen und Systemrollen trennen.
3. Schritt 3: Relationen fachlich benennen.
4. Schritt 4: Permission-Fragen als prüfbare Aussagen formulieren.

2. RBAC und Gruppenmodelle

Klassische Rollenmodelle bleiben nützlich, müssen aber sauber begrenzt werden.

1. Schritt 1: Rollen und Berechtigungen katalogisieren.
2. Schritt 2: Gruppenmitgliedschaften als Beziehungen modellieren.
3. Schritt 3: Rollen an Ressourcen oder Mandanten binden.
4. Schritt 4: Überberechtigungen und Rollenkombinationen prüfen.

3. ReBAC und relationenbasierte Patterns

Relationenbasierte Autorisierung bildet Zugriff aus Beziehungen zwischen Subjekt und Objekt ab.

1. Schritt 1: Eigentümer-, Bearbeiter- und Leserbeziehungen definieren.
2. Schritt 2: Hierarchische Ressourcen modellieren.
3. Schritt 3: Vererbungsregeln und Gruppenbezüge abbilden.
4. Schritt 4: Permission Checks für Grenzfälle testen.

4. Migration und Modelltests

Ein gutes Modell muss beweisbar funktionieren, nicht nur auf dem Whiteboard schön aussehen.

1. Schritt 1: Bestehende ACLs und Rollen extrahieren.
2. Schritt 2: Zielmodell als Namespace-Entwurf beschreiben.
3. Schritt 3: Testfälle für erlaubte und verweigerte Zugriffe anlegen.
4. Schritt 4: Migrationsschritte und Parallelbetrieb planen.

Praktische Übungen

• Berechtigungsmodell für Dokumente, Teams und Mandanten entwerfen.
• RBAC-Modell in Relationship Tuples überführen.
• ReBAC-Fragen als Permission Checks formulieren.
• Hierarchische Ressourcen testen.
• Migrationsplan für bestehende Rollenstruktur erstellen.

Praxisbezug im Projektalltag

Der Praxisbezug liegt auf der Modellierungsarbeit, die in Projekten oft unterschätzt wird. Ein sauberer Berechtigungsentwurf spart später mehr Zeit als jede nachträgliche Debugging-Nachtschicht.