Seminar Payload CMS – Authentifizierung und Access Control

Das Fachseminar vermittelt die fachlichen und technischen Kompetenzen für eine planbare, wartbare und überprüfbare Umsetzung. Der Schwerpunkt liegt auf der sicheren Umsetzung von Anmeldung, Sitzungen, rollen- und dokumentbezogenen Zugriffsregeln sowie belastbaren Negativtests. Die Inhalte werden an einem durchgängigen Beispielprojekt erarbeitet und in nachvollziehbaren Arbeitsschritten umgesetzt.

Das Seminar führt von der Auth-Collection über Sitzungs- und Tokenkonzepte bis zu globalen, sammlungsbezogenen, dokumentbezogenen und feldbezogenen Zugriffskontrollen. Mehrmandantenfähigkeit, servicebasierte Zugriffe, Fehlerbilder und prüfbare Sicherheitsanforderungen werden praktisch umgesetzt.

Inhaltsübersicht

• Einordnung und Zielbild
• Kompetenzziele
• Zielgruppe und Voraussetzungen
• Schrittweise Seminarinhalte
• Praxisübungen
• Lernkontrolle und Dokumentation

Einordnung und Zielbild

Die gewählte Dauer von 3 Tagen ermöglicht eine belastbare Verbindung aus Konzeptklärung, Demonstration, angeleiteter Umsetzung, eigenständiger Übung und strukturierter Qualitätskontrolle.

Zu Beginn werden Zielarchitektur, Verantwortlichkeiten und Abgrenzungen geklärt. Darauf folgen die fachliche Modellierung, die technische Umsetzung, die Überprüfung typischer Fehlerbilder und die Überführung in eine dokumentierte Projektkonvention.

Kompetenzziele

• Authentifizierungs- und Sitzungsmodell zum Schutzbedarf passend entwerfen.
• Access-Control-Funktionen für globale und dokumentbezogene Entscheidungen implementieren.
• Feldzugriffe und kritische Aktionen nach Minimalprinzip absichern.
• Mandanten-, Service- und Administrationskontexte sicher voneinander trennen.
• Positiv- und Negativtests für Umgehungsversuche und Grenzfälle automatisieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Backend- und Full-Stack-Entwicklung, Security Engineering, technische Administration, Solution Architecture und Qualitätssicherung.

Voraussetzungen: Sichere TypeScript-Grundlagen, Erfahrung mit Payload-Collections und HTTP-basierten Anwendungen sowie Grundkenntnisse zu Rollen- und Rechtemodellen.

Schrittweise Seminarinhalte

1. Schutzbedarf und Identitätsmodell

Vor der Implementierung werden Identitäten, Vertrauensgrenzen und schutzbedürftige Aktionen präzisiert.

Kapitelinhaltsverzeichnis

• Schritt 1: Menschliche Benutzer, technische Dienste und administrative Notfallkonten unterscheiden.
• Schritt 2: Schutzbedarf für Inhalte, Konfiguration und Veröffentlichungsaktionen bewerten.
• Schritt 3: Rollen, Teams, Mandanten und Besitzbeziehungen als Attribute modellieren.
• Schritt 4: Authentifizierungsstärke und Sitzungsdauer nach Risiko festlegen.
• Schritt 5: Missbrauchsszenarien und zugehörige Kontrollen dokumentieren.
• Praxisauftrag

1. Schritt 1: Menschliche Benutzer, technische Dienste und administrative Notfallkonten unterscheiden.
2. Schritt 2: Schutzbedarf für Inhalte, Konfiguration und Veröffentlichungsaktionen bewerten.
3. Schritt 3: Rollen, Teams, Mandanten und Besitzbeziehungen als Attribute modellieren.
4. Schritt 4: Authentifizierungsstärke und Sitzungsdauer nach Risiko festlegen.
5. Schritt 5: Missbrauchsszenarien und zugehörige Kontrollen dokumentieren.

Praxisauftrag: Ein Identitäts- und Bedrohungsmodell für Redaktion, API-Client und Administration wird erstellt.

2. Auth-Collections und Kontolebenszyklus

Die Authentifizierungsbasis wird mit klaren Kontozuständen und minimalen Attributen aufgebaut.

Kapitelinhaltsverzeichnis

• Schritt 1: Eine Auth-Collection mit erforderlichen Identitäts- und Rollenfeldern planen.
• Schritt 2: Anlage, Aktivierung, Sperrung und Entzug eines Kontos definieren.
• Schritt 3: Passwort- und Wiederherstellungsprozesse gegen Missbrauch absichern.
• Schritt 4: Administrative Änderungen und kritische Statuswechsel protokollierbar gestalten.
• Schritt 5: Referenzen auf Benutzer bei Sperrung und Löschung berücksichtigen.
• Praxisauftrag

1. Schritt 1: Eine Auth-Collection mit erforderlichen Identitäts- und Rollenfeldern planen.
2. Schritt 2: Anlage, Aktivierung, Sperrung und Entzug eines Kontos definieren.
3. Schritt 3: Passwort- und Wiederherstellungsprozesse gegen Missbrauch absichern.
4. Schritt 4: Administrative Änderungen und kritische Statuswechsel protokollierbar gestalten.
5. Schritt 5: Referenzen auf Benutzer bei Sperrung und Löschung berücksichtigen.

Praxisauftrag: Eine Auth-Collection wird einschließlich Statusmodell, Rollenattributen und kontrolliertem Sperrprozess umgesetzt.

3. Sitzungen, Tokens und Vertrauensgrenzen

Anmeldeinformationen und Sitzungen werden hinsichtlich Laufzeit, Speicherung, Widerruf und Übertragung bewertet.

Kapitelinhaltsverzeichnis

• Schritt 1: Sitzungsarten und Clientkontexte inventarisieren.
• Schritt 2: Laufzeiten, Erneuerung und Widerruf für jeden Kontext festlegen.
• Schritt 3: Cookie-, Header- und Transportanforderungen dokumentieren.
• Schritt 4: Abmeldung, Kontosperrung und Schlüsselwechsel gegen aktive Sitzungen prüfen.
• Schritt 5: Fehlerantworten so gestalten, dass keine unnötigen Identitätsinformationen preisgegeben werden.
• Praxisauftrag

1. Schritt 1: Sitzungsarten und Clientkontexte inventarisieren.
2. Schritt 2: Laufzeiten, Erneuerung und Widerruf für jeden Kontext festlegen.
3. Schritt 3: Cookie-, Header- und Transportanforderungen dokumentieren.
4. Schritt 4: Abmeldung, Kontosperrung und Schlüsselwechsel gegen aktive Sitzungen prüfen.
5. Schritt 5: Fehlerantworten so gestalten, dass keine unnötigen Identitätsinformationen preisgegeben werden.

Praxisauftrag: Für Browser, Serverkomponente und Integrationsdienst entsteht eine Sitzungs- und Tokenmatrix.

4. Globale und sammlungsbezogene Regeln

Zugriffsregeln werden zentral, nachvollziehbar und mit sicheren Standardentscheidungen aufgebaut.

Kapitelinhaltsverzeichnis

• Schritt 1: Aktionen nach Lesen, Erstellen, Ändern und Löschen getrennt betrachten.
• Schritt 2: Unauthentifizierte, authentifizierte und administrative Kontexte unterscheiden.
• Schritt 3: Regeln als kleine, testbare Funktionen mit eindeutigen Eingaben strukturieren.
• Schritt 4: Sichere Ablehnung bei fehlenden oder widersprüchlichen Attributen vorsehen.
• Schritt 5: Wiederverwendbare Regelbausteine dokumentieren und versionieren.
• Praxisauftrag

1. Schritt 1: Aktionen nach Lesen, Erstellen, Ändern und Löschen getrennt betrachten.
2. Schritt 2: Unauthentifizierte, authentifizierte und administrative Kontexte unterscheiden.
3. Schritt 3: Regeln als kleine, testbare Funktionen mit eindeutigen Eingaben strukturieren.
4. Schritt 4: Sichere Ablehnung bei fehlenden oder widersprüchlichen Attributen vorsehen.
5. Schritt 5: Wiederverwendbare Regelbausteine dokumentieren und versionieren.

Praxisauftrag: Für zwei Collections werden getrennte Zugriffsregeln und ein gemeinsamer Regelbaukasten implementiert.

5. Dokument- und feldbezogene Zugriffskontrolle

Feingranulare Regeln berücksichtigen Besitz, Status, Mandant und sensible Felder.

Kapitelinhaltsverzeichnis

• Schritt 1: Dokumentfilter aus Benutzer-, Team- und Mandantenattributen ableiten.
• Schritt 2: Erlaubte Statusübergänge und Änderungen kritischer Felder begrenzen.
• Schritt 3: Lesen und Schreiben sensibler Felder getrennt regeln.
• Schritt 4: Abfragen mit großen Berechtigungsfiltern auf Korrektheit und Leistung prüfen.
• Schritt 5: Konflikte zwischen Feld-, Dokument- und Collection-Regeln testen.
• Praxisauftrag

1. Schritt 1: Dokumentfilter aus Benutzer-, Team- und Mandantenattributen ableiten.
2. Schritt 2: Erlaubte Statusübergänge und Änderungen kritischer Felder begrenzen.
3. Schritt 3: Lesen und Schreiben sensibler Felder getrennt regeln.
4. Schritt 4: Abfragen mit großen Berechtigungsfiltern auf Korrektheit und Leistung prüfen.
5. Schritt 5: Konflikte zwischen Feld-, Dokument- und Collection-Regeln testen.

Praxisauftrag: Ein redaktionelles Modell wird mit Besitzer-, Team-, Status- und Feldregeln vollständig abgesichert.

6. Mandanten- und Servicezugriffe

Mehrere Organisationen und technische Dienste benötigen harte Trennung und klar begrenzte Berechtigungen.

Kapitelinhaltsverzeichnis

• Schritt 1: Mandantenkontext aus vertrauenswürdigen Attributen ableiten.
• Schritt 2: Jede Abfrage und Änderung gegen den Mandantenkontext begrenzen.
• Schritt 3: Servicekonten nach Zweck, Datenbereich und Laufzeit minimieren.
• Schritt 4: Cross-Tenant- und Privilegieneskalationsversuche als Negativfälle formulieren.
• Schritt 5: Rotation und Entzug technischer Zugangsdaten planen.
• Praxisauftrag

1. Schritt 1: Mandantenkontext aus vertrauenswürdigen Attributen ableiten.
2. Schritt 2: Jede Abfrage und Änderung gegen den Mandantenkontext begrenzen.
3. Schritt 3: Servicekonten nach Zweck, Datenbereich und Laufzeit minimieren.
4. Schritt 4: Cross-Tenant- und Privilegieneskalationsversuche als Negativfälle formulieren.
5. Schritt 5: Rotation und Entzug technischer Zugangsdaten planen.

Praxisauftrag: Ein Mandantenfilter und ein zweckgebundenes Servicekonto werden einschließlich Umgehungstests umgesetzt.

7. Lokale API und serverseitige Vertrauensentscheidungen

Serverinterne Aufrufe dürfen bestehende Zugriffskontrollen nicht unbeabsichtigt umgehen.

Kapitelinhaltsverzeichnis

• Schritt 1: Vertrauensstufen verschiedener serverseitiger Aufrufkontexte festlegen.
• Schritt 2: Explizit entscheiden, wann Zugriffskontrollen angewendet oder bewusst übersteuert werden.
• Schritt 3: Benutzerkontext sicher an interne Operationen weiterreichen.
• Schritt 4: Administrative Hintergrundprozesse auf Minimalrechte begrenzen.
• Schritt 5: Direkte und indirekte Aufrufwege mit denselben Sicherheitsanforderungen testen.
• Praxisauftrag

1. Schritt 1: Vertrauensstufen verschiedener serverseitiger Aufrufkontexte festlegen.
2. Schritt 2: Explizit entscheiden, wann Zugriffskontrollen angewendet oder bewusst übersteuert werden.
3. Schritt 3: Benutzerkontext sicher an interne Operationen weiterreichen.
4. Schritt 4: Administrative Hintergrundprozesse auf Minimalrechte begrenzen.
5. Schritt 5: Direkte und indirekte Aufrufwege mit denselben Sicherheitsanforderungen testen.

Praxisauftrag: Ein interner Prozess wird zunächst mit zu weitreichenden Rechten analysiert und anschließend auf einen begrenzten Kontext umgestellt.

8. Sicherheitstests und Betriebsreaktion

Die Wirksamkeit der Regeln wird durch systematische Negativtests und klare Reaktion auf Sicherheitsereignisse belegt.

Kapitelinhaltsverzeichnis

• Schritt 1: Testmatrix für anonym, Benutzer, Bearbeitung, Freigabe, Administration und Service erstellen.
• Schritt 2: Manipulierte IDs, Mandanten, Rollen und Statusübergänge testen.
• Schritt 3: Unterschiede zwischen Oberfläche, REST, GraphQL und Local API prüfen.
• Schritt 4: Protokollierungs- und Alarmierungsbedarf für wiederholte Ablehnungen definieren.
• Schritt 5: Sperr-, Widerrufs- und Wiederanlaufverfahren in einem Runbook dokumentieren.
• Praxisauftrag

1. Schritt 1: Testmatrix für anonym, Benutzer, Bearbeitung, Freigabe, Administration und Service erstellen.
2. Schritt 2: Manipulierte IDs, Mandanten, Rollen und Statusübergänge testen.
3. Schritt 3: Unterschiede zwischen Oberfläche, REST, GraphQL und Local API prüfen.
4. Schritt 4: Protokollierungs- und Alarmierungsbedarf für wiederholte Ablehnungen definieren.
5. Schritt 5: Sperr-, Widerrufs- und Wiederanlaufverfahren in einem Runbook dokumentieren.

Praxisauftrag: Eine automatisierte Negativtestsuite und ein kurzes Reaktionsrunbook werden erstellt und gemeinsam bewertet.

Praxisübungen

• Identitäts- und Bedrohungsmodell
• Auth-Collection mit Kontostatus
• Rollen-, Dokument- und Feldregeln
• Mandantentrennung und Servicekonto
• Automatisierte Positiv- und Negativtests

Die Übungen werden mit klaren Eingangsdaten, Prüfkriterien und dokumentierten Soll-Ergebnissen durchgeführt. Fehler werden nicht nur korrigiert, sondern anhand ihrer Ursache, Auswirkung und geeigneten Präventionsmaßnahme eingeordnet.

Lernkontrolle und Dokumentation

Die Lernkontrolle verbindet kurze Verständnisfragen, Konfigurationsprüfungen, Code- oder Modellreviews und eine abschließende Transferaufgabe. Entscheidend ist die nachvollziehbare Begründung der gewählten Lösung.

• Abgleich der Umsetzung mit den fachlichen Akzeptanzkriterien
• Prüfung von Berechtigungen, Validierung, Fehlerbehandlung und Wartbarkeit
• Dokumentation der zentralen Entscheidungen und Betriebsannahmen
• Festhalten offener Risiken und der nächsten Umsetzungsschritte
• Erstellung einer wiederverwendbaren Checkliste für das eigene Projekt