Seminar Shibboleth Identity Provider Multi-Faktor-Authentifizierung und Authn-Flows

Inhaltsübersicht

• Authentifizierungsmodell im Shibboleth Identity Provider
• Password-, External-, MFA- und weitere Login-Flows
• AuthnContextClassRef und anwendungsbezogene Anforderungen
• Flow-Auswahl, SSO-Wiederverwendung und ForceAuthn
• MFA-Entscheidungslogik nach Anwendung oder Benutzermerkmal
• Tests, Fehleranalyse und Sicherheitsabnahme

Beschreibung

Multi-Faktor-Authentifizierung ist kein Häkchen im Formular, sondern eine Entscheidungslogik. Dieses Seminar behandelt die technische Umsetzung von MFA und Authn-Flows im Shibboleth Identity Provider. Es geht um Flow-Auswahl, AuthnContext, anwendungsbezogene Anforderungen, SSO-Wiederverwendung, ForceAuthn, externe Faktoren, Benutzergruppen, Risikoentscheidungen und saubere Tests. Ein besonderer Schwerpunkt liegt auf der Frage, wann ein vorhandenes SSO-Ergebnis verwendet werden darf und wann eine erneute oder stärkere Authentifizierung erforderlich ist.

Zielgruppe

IAM-Administratoren, Sicherheitsverantwortliche und Betreiber, die MFA, Authentifizierungsanforderungen und differenzierte Login-Flows im Shibboleth IdP umsetzen.

Schrittweise Seminarinhalte

1. Schritt 1: Vorhandene Authentifizierungsverfahren und gewünschte Sicherheitsstufen erfassen.
2. Schritt 2: Login-Flows nach Zweck, Voraussetzungen und unterstützten Principals einordnen.
3. Schritt 3: AuthnContext-Anforderungen von Service Providern und interne Standardanforderungen festlegen.
4. Schritt 4: MFA-Flow mit Entscheidungslogik für Passwort, zweiten Faktor und Ausnahmen modellieren.
5. Schritt 5: Anwendungs-, Gruppen- oder Attributbedingungen für unterschiedliche Authentifizierungsstärken umsetzen.
6. Schritt 6: SSO-Wiederverwendung, ForceAuthn und passive Anforderungen testen.
7. Schritt 7: Fehlerfälle, Abbrüche und Benutzerführung in der Authentifizierung prüfen.
8. Schritt 8: Sicherheitsabnahme und Betriebsdokumentation für MFA-Regeln erstellen.

Praxisnutzen

Nach dem Seminar können MFA-Anforderungen präzise umgesetzt und geprüft werden. Der Nutzen liegt vor allem in klaren Regeln statt improvisierter Sonderfälle, denn Sonderfälle haben im IAM die unangenehme Angewohnheit, Rudel zu bilden.

Teilnahmevoraussetzungen

Shibboleth-Grundkenntnisse, SAML-Basiswissen und Erfahrung mit mindestens einem Authentifizierungssystem.