Seminar Probely Administration, Rollen und Single Sign-on

Ein belastbarer DAST-Betrieb beginnt nicht beim Scan, sondern bei klaren Zuständigkeiten, minimalen Berechtigungen und nachvollziehbaren administrativen Änderungen. Das Seminar baut eine verwaltbare Organisationsstruktur auf und verbindet Benutzerverwaltung, Single Sign-on und Auditierbarkeit zu einem praxistauglichen Betriebsmodell.

Inhaltsübersicht

• Nutzen und Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Einordnung im Lernpfad

Nutzen und Lernziele

• Organisationen, Teams und Verantwortungsbereiche sauber strukturieren
• Rollen nach dem Prinzip der geringsten Berechtigung entwerfen und testen
• SAML-Single-Sign-on planbar vorbereiten, anbinden und kontrolliert ausrollen
• Zwei-Faktor-Authentifizierung, Notfallzugänge und Wiederherstellungswege absichern
• Eintritt, Rollenwechsel und Austritt durch dokumentierte Standardverfahren beherrschen
• Administrative Ereignisse aus Audit-Logs auswerten und prüfbar dokumentieren

Zielgruppe

Probely-Administratoren, Plattformteams, Identity- und Access-Management-Verantwortliche, AppSec-Leads, IT-Betrieb, interne Revision und technische Projektleiter

Voraussetzungen

Grundkenntnisse in Benutzer- und Berechtigungsverwaltung sowie ein Testzugang mit administrativen Rechten. Für die SSO-Übungen ist ein nichtproduktiver SAML-Identity-Provider oder eine vorbereitete Trainingskonfiguration erforderlich.

Seminarinhalte

Modul 1: Organisationsmodell und administrative Grundkonfiguration

1. Mandanten, Geschäftsbereiche, Anwendungsteams und externe Partner als organisatorische Einheiten erfassen
2. Eigentümer für Ziele, Scans, Findings und Integrationen festlegen
3. Namenskonventionen für Teams, Rollen und technische Konten definieren
4. Administrative Standardwerte dokumentieren und in einer Testorganisation prüfen

Modul 2: Benutzer, Teams und Zuständigkeitsbereiche

1. Benutzer nach Aufgaben statt nach Einzelwünschen gruppieren
2. Teams mit klarer fachlicher oder technischer Zuständigkeit anlegen
3. Ziele und Verantwortungsbereiche den passenden Teams zuordnen
4. Zugriffe mit Testkonten kontrollieren und unerwünschte Quersichtbarkeit beseitigen

Modul 3: Rollen und minimale Berechtigungen

1. Benötigte Aktionen für Administratoren, Scanner-Betreiber, Analysten und Leser sammeln
2. Standardrollen gegen den tatsächlichen Bedarf abgleichen
3. Benutzerdefinierte Rollen mit möglichst engem Umfang entwerfen
4. Positiv- und Negativtests durchführen und die Freigabe des Rollenmodells protokollieren

Modul 4: SAML-Single-Sign-on vorbereiten

1. Anmeldefluss, Benutzerattribute, Gruppeninformationen und Namensformate abstimmen
2. Service-Provider- und Identity-Provider-Metadaten in einer Testumgebung austauschen
3. Attributzuordnung, E-Mail-Eindeutigkeit und Gruppenmapping prüfen
4. Fehlerfälle wie fehlende Attribute, falsche Zeitstempel und abgelaufene Zertifikate testen

Modul 5: Kontrollierter SSO-Rollout und Notfallzugang

1. Pilotgruppe und Abnahmekriterien für den Rollout bestimmen
2. Parallelzugang und administratives Notfallkonto mit sicherer Aufbewahrung einrichten
3. Anmeldung, Abmeldung, Sitzungsdauer und Benutzerdeaktivierung testen
4. Erst nach dokumentierter Rückfallprobe den breiten Rollout freigeben

Modul 6: Zwei-Faktor-Authentifizierung und Kontowiederherstellung

1. Schutzbedarf für privilegierte und normale Konten bewerten
2. Zwei-Faktor-Authentifizierung nach abgestuftem Rolloutplan aktivieren
3. Wiederherstellungs- und Gerätewechselverfahren mit Vier-Augen-Prinzip festlegen
4. Verlorene Faktoren, gesperrte Konten und kompromittierte Sitzungen im Labor behandeln

Modul 7: Audit-Logs und administrative Nachweise

1. Relevante Ereignisse für Anmeldung, Rollenänderung, Zieländerung und Integration festlegen
2. Audit-Einträge nach Benutzer, Zeitraum und Aktion auswerten
3. Ungewöhnliche Änderungen einem Change oder Incident zuordnen
4. Regelmäßige Kontrollberichte und Aufbewahrungsfristen definieren

Modul 8: Lebenszyklus von Benutzern und Berechtigungen

1. Eintritt mit genehmigter Rolle, Teamzuordnung und Startkontrolle standardisieren
2. Rollenwechsel mit Entzug alter Rechte vor Vergabe neuer Rechte durchführen
3. Austritt, Tokenwiderruf, Sitzungsbeendigung und Eigentumsübergabe koordinieren
4. Rezertifizierungen terminieren und nicht mehr benötigte Zugänge konsequent entfernen

Praxisübungen

• Aufbau eines Rollenmodells für AppSec, Entwicklung, Betrieb und Revision
• Einrichtung eines Teams mit eingeschränkter Sicht auf definierte Ziele
• Durchspielen eines SAML-Pilotrollouts einschließlich Rückfalltest
• Analyse einer Folge administrativer Änderungen im Audit-Log
• Erstellung einer Checkliste für Eintritt, Rollenwechsel und Austritt

Einordnung im Lernpfad

Empfohlen nach dem Grundlagenkurs und vor Enterprise-Governance, Scanning Agents oder unternehmensweiten Integrationen. Für reine Anwender ohne administrative Aufgaben ist dieses Seminar nicht erforderlich.