Seminar Pritunl – Single Sign-On und Mehrfaktor-Authentifizierung

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: Single Sign-On und Mehrfaktor-Authentifizierung
6. Kapitel 2: Identitätslebenszyklus und regelmäßige Zugriffsprüfung
7. Kapitel 3: Organisationen, Benutzer, Gruppen und Berechtigungsmodell
8. Kapitel 4: Systemhärtung und Schutz der Managementebene
9. Kapitel 5: Auditing und Incident Response
10. Praxislabor
11. Methodik

Seminarprofil

Das zweitägige Identity-Seminar verbindet zentrale Benutzerkonten und Gruppen mit dem Pritunl-Berechtigungsmodell. Anwendungsregistrierung, Geheimnisse, Rücksprungpfade und Gruppenzuordnung werden so geplant, dass ein gesperrter oder ausgeschiedener Benutzer zeitnah den VPN-Zugang verliert.

Mehrfaktor, Reauthentisierung, Pilotierung und Ausfall des Identitätsanbieters werden praktisch geprüft. Lokale Administrations- und Notfallkonten bleiben getrennt und kontrolliert, statt die SSO-Integration durch unübersichtliche Ausnahmen zu umgehen.

Zielgruppe

Pritunl-Administratoren, IAM- und Verzeichnisdienstteams, Security Engineering, Service Desk und technische Betriebsverantwortliche.

Voraussetzungen

Pritunl-Grundkenntnisse, Verständnis zentraler Identitätsanbieter, Gruppen, OAuth- beziehungsweise SSO-Grundlagen und Mehrfaktorverfahren.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: Single Sign-On und Mehrfaktor-Authentifizierung

Inhaltsverzeichnis dieses Kapitels

1. Identitätsanbieter, unterstützte Integrationsart, Gruppeninformationen, Meh…
2. Anwendung beim Identitätsanbieter registrieren und Rücksprungadressen, Gehe…
3. Gruppen oder Organisationsnamen eindeutig dem Pritunl-Berechtigungsmodell z…
4. SSO in einer Pilotorganisation aktivieren und Anmeldung, Reauthentisierung,…
5. Gesperrte, gelöschte, nicht zugewiesene und falsch gruppierte Benutzer als…
6. Lokales Notfallkonto, Geheimnisrotation, Ablauf von Zertifikaten und Störun…
7. Praxisübung

Die Identitätsintegration übernimmt Benutzerstatus und Gruppenbezug aus einer zentralen Quelle, ohne lokale Notfall- und Administrationswege zu vernachlässigen.

Schritt-für-Schritt-Anleitung

1. Identitätsanbieter, unterstützte Integrationsart, Gruppeninformationen, Mehrfaktorverfahren und Lizenzvoraussetzungen prüfen.
2. Anwendung beim Identitätsanbieter registrieren und Rücksprungadressen, Geheimnisse sowie erlaubte Benutzergruppen festlegen.
3. Gruppen oder Organisationsnamen eindeutig dem Pritunl-Berechtigungsmodell zuordnen.
4. SSO in einer Pilotorganisation aktivieren und Anmeldung, Reauthentisierung, zweiten Faktor sowie Gruppenwechsel testen.
5. Gesperrte, gelöschte, nicht zugewiesene und falsch gruppierte Benutzer als Negativfälle prüfen.
6. Lokales Notfallkonto, Geheimnisrotation, Ablauf von Zertifikaten und Störung des Identitätsanbieters in einem Betriebsverfahren abbilden.

Praxisübung

Eine Testintegration wird mit zwei Gruppen und einem Mehrfaktorverfahren aufgebaut; Eintritt, Gruppenwechsel, Sperre und Ausfall des Identitätsanbieters werden getestet.

Kapitel 2: Identitätslebenszyklus und regelmäßige Zugriffsprüfung

Inhaltsverzeichnis dieses Kapitels

1. Datenquelle und verantwortliches System für Name, Beschäftigungsstatus, Gru…
2. Eintritt mit genehmigter Rolle, definiertem Startdatum und kontrollierter P…
3. Rollenwechsel als Entzug alter und anschließende Vergabe neuer Rechte durch…
4. Austritt mit Sperre, Profilwiderruf, Geräteentzug und Prüfung laufender Sit…
5. Temporäre externe Konten mit Enddatum und verantwortlichem Sponsor versehen.
6. Quartalsweise Rezertifizierung für Organisationen, Gruppen, Administratoren…
7. Praxisübung

Konten und Gruppen bleiben nur dann vertrauenswürdig, wenn organisatorische Änderungen zeitnah in technische Berechtigungen überführt werden.

Schritt-für-Schritt-Anleitung

1. Datenquelle und verantwortliches System für Name, Beschäftigungsstatus, Gruppe und Gerät bestimmen.
2. Eintritt mit genehmigter Rolle, definiertem Startdatum und kontrollierter Profilausgabe standardisieren.
3. Rollenwechsel als Entzug alter und anschließende Vergabe neuer Rechte durchführen.
4. Austritt mit Sperre, Profilwiderruf, Geräteentzug und Prüfung laufender Sitzungen abschließen.
5. Temporäre externe Konten mit Enddatum und verantwortlichem Sponsor versehen.
6. Quartalsweise Rezertifizierung für Organisationen, Gruppen, Administratoren, Notfallkonten und Ausnahmen durchführen.

Praxisübung

Ein vollständiger Joiner-Mover-Leaver-Fall wird gegen eine Sollrollenmatrix durchgespielt und mit einer Rezertifizierung abgeschlossen.

Kapitel 3: Organisationen, Benutzer, Gruppen und Berechtigungsmodell

Inhaltsverzeichnis dieses Kapitels

1. Organisationen nach Mandant, Sicherheitszone oder fachlicher Verantwortlich…
2. Gruppen und Benutzerattribute so strukturieren, dass Zugriffsentscheidungen…
3. Benutzerkonten anlegen, Einmalinformationen sicher ausgeben und die Gültigk…
4. Organisationen gezielt mit VPN-Servern verbinden und die resultierenden Zug…
5. Sperren, Widerruf, Profilneuausgabe und Ausscheiden eines Benutzers als sta…
6. Regelmäßige Bestandsprüfung für verwaiste Konten, ungenutzte Profile und üb…
7. Praxisübung

Ein sauberes Objektmodell verhindert, dass technische VPN-Profile zum unkontrollierten Sammelbecken für alle Beschäftigten werden.

Schritt-für-Schritt-Anleitung

1. Organisationen nach Mandant, Sicherheitszone oder fachlicher Verantwortlichkeit abgrenzen und Namenskonventionen festlegen.
2. Gruppen und Benutzerattribute so strukturieren, dass Zugriffsentscheidungen ohne individuelle Sonderfälle möglich bleiben.
3. Benutzerkonten anlegen, Einmalinformationen sicher ausgeben und die Gültigkeit von Profilen und zweiten Faktoren definieren.
4. Organisationen gezielt mit VPN-Servern verbinden und die resultierenden Zugriffsmöglichkeiten gegen die Sollmatrix prüfen.
5. Sperren, Widerruf, Profilneuausgabe und Ausscheiden eines Benutzers als standardisierten Lebenszyklus beschreiben.
6. Regelmäßige Bestandsprüfung für verwaiste Konten, ungenutzte Profile und überbreite Gruppenzuordnungen einrichten.

Praxisübung

Aus einer Personal- und Rollenliste wird ein Organisations- und Gruppenmodell aufgebaut; Eintritt, Rollenwechsel und Austritt werden vollständig durchgespielt.

Kapitel 4: Systemhärtung und Schutz der Managementebene

Inhaltsverzeichnis dieses Kapitels

1. Betriebssystem minimal installieren, unnötige Dienste entfernen und zeitnah…
2. Administrationszugriff auf definierte Netze und starke, getrennte Konten be…
3. TLS-Zertifikate, sichere Namensauflösung und Schutz der privaten Schlüssel…
4. MongoDB authentisieren, Netzwerkzugriff einschränken und Anwendungszugangsd…
5. Host- und Netzwerkfirewall auf erforderliche Management-, VPN- und Replikat…
6. Härtungsstand regelmäßig gegen eine Checkliste prüfen und Abweichungen als…
7. Praxisübung

Die Managementebene erhält strengere Kontrollen als der normale Benutzerzugang, da Änderungen unmittelbar alle Zugriffswege betreffen.

Schritt-für-Schritt-Anleitung

1. Betriebssystem minimal installieren, unnötige Dienste entfernen und zeitnahe Sicherheitsupdates organisieren.
2. Administrationszugriff auf definierte Netze und starke, getrennte Konten begrenzen; Notfallzugang separat verwahren.
3. TLS-Zertifikate, sichere Namensauflösung und Schutz der privaten Schlüssel einrichten.
4. MongoDB authentisieren, Netzwerkzugriff einschränken und Anwendungszugangsdaten geschützt speichern.
5. Host- und Netzwerkfirewall auf erforderliche Management-, VPN- und Replikationspfade reduzieren.
6. Härtungsstand regelmäßig gegen eine Checkliste prüfen und Abweichungen als genehmigte Ausnahme oder Maßnahme behandeln.

Praxisübung

Ein absichtlich zu offen konfiguriertes System wird anhand einer Härtungscheckliste bereinigt und mit Port-, Konto- und Zertifikatsprüfungen abgenommen.

Kapitel 5: Auditing und Incident Response

Inhaltsverzeichnis dieses Kapitels

1. Relevante Ereignisse für Anmeldung, Profilabruf, Benutzeränderung, Serverän…
2. Zeitquellen, Zeitzonen und zentrale Protokollablage vereinheitlichen.
3. Regelmäßige Auswertung für fehlgeschlagene Anmeldungen, ungewöhnliche Zeite…
4. Bei einem Vorfall betroffene Benutzer, Profile, Geräte, Sitzungen, Routen u…
5. Zugang sperren, Profile widerrufen, Geheimnisse rotieren und Beweise vor we…
6. Nachbearbeitung mit Ursache, Reichweite, Maßnahmen, Kontrollverbesserung un…
7. Praxisübung

Administrative Änderungen, Authentisierungsereignisse und Sitzungen werden so ausgewertet, dass ein Vorfall zeitlich und fachlich nachvollziehbar bleibt.

Schritt-für-Schritt-Anleitung

1. Relevante Ereignisse für Anmeldung, Profilabruf, Benutzeränderung, Serveränderung, SSO und administrative Aktionen festlegen.
2. Zeitquellen, Zeitzonen und zentrale Protokollablage vereinheitlichen.
3. Regelmäßige Auswertung für fehlgeschlagene Anmeldungen, ungewöhnliche Zeiten, neue Administratoren und Massenänderungen definieren.
4. Bei einem Vorfall betroffene Benutzer, Profile, Geräte, Sitzungen, Routen und Zielsysteme eingrenzen.
5. Zugang sperren, Profile widerrufen, Geheimnisse rotieren und Beweise vor weiteren Änderungen sichern.
6. Nachbearbeitung mit Ursache, Reichweite, Maßnahmen, Kontrollverbesserung und überprüfbarem Abschluss durchführen.

Praxisübung

Ein simuliertes kompromittiertes Benutzerprofil wird anhand von Protokollen untersucht, gesperrt und in einem vollständigen Incident-Datensatz dokumentiert.

Praxislabor

Eine Testintegration mit zwei Identitätsgruppen wird aufgebaut. Anmeldung, zweiter Faktor, Gruppenwechsel, Kontosperre und fehlende Zuweisung werden getestet. Abschließend wird ein kontrollierter Ausfall des Identitätsanbieters mit Notfallzugang und Protokollprüfung bearbeitet.

Methodik

Architektur und Konfigurationsdemonstration wechseln mit geführten Identity- und Lifecycle-Übungen. Die Testmatrix umfasst positive und negative Identitäts-, Gruppen- und Mehrfaktorfälle.