Seminar Sulu Sicherheit, SSO und Zwei-Faktor-Authentifizierung

Das Seminar behandelt die technische Absicherung von Sulu-Administration, Website und projektspezifischen Erweiterungen. Security-Kontexte, Objektberechtigungen, SSO, Zwei-Faktor-Authentifizierung, Sitzungen und Sicherheitskontrollen werden praxisnah umgesetzt.

Inhaltsverzeichnis

• Zielgruppe
• Voraussetzungen
• Lernziele
• Lernfelder
• Praxisprojekt Schritt für Schritt
• Qualitätskontrollen
• Empfohlene Anschlussseminare

Zielgruppe

Sulu- und Symfony-Entwickelnde, Security Engineers, Systemadministration und technische Verantwortliche für Identitäts- und Zugriffsmanagement.

Voraussetzungen

Gute Kenntnisse in Symfony-Anwendungen, HTTP und Sulu-Administration. Grundlagen zu Authentifizierung, Autorisierung und sicherem Betrieb werden vorausgesetzt.

Lernziele

• Sulu- und Symfony-Sicherheitsmechanismen gemeinsam bewerten
• Security-Kontexte und Berechtigungsprüfungen korrekt implementieren
• SSO und Zwei-Faktor-Authentifizierung kontrolliert integrieren
• Sitzungen, APIs und sensible Konfiguration absichern
• Hardening, Tests und Reaktionsprozesse dokumentieren

Lernfelder

Lerneinheit 1: Bedrohungsmodell und Schutzflächen

• Administration, Website, APIs, Medien und Hintergrundprozesse
• Identitäten, Rollen, Datenklassen und Vertrauensgrenzen
• Priorisierung nach Eintrittswahrscheinlichkeit und Auswirkung

Lerneinheit 2: Security-Kontexte und Berechtigungen

• Kontexte, Permission Types und Rollen
• Prüfung in Controller, Services und Admin-Views
• Objektbezogene Rechte und Vererbung

Lerneinheit 3: Anmeldung und Sitzungen

• Passwortrichtlinien, Sperrung und sichere Wiederherstellung
• Session-Lebensdauer, Cookies und parallele Sitzungen
• Schutz gegen CSRF, Session-Fixation und ungewollte Datenfreigabe

Lerneinheit 4: SSO-Integration

• Identitätsprovider, Attributzuordnung und Rollenmapping
• Erstregistrierung, Deprovisionierung und Fehlerfälle
• Fallback-Login, Notfallzugang und Teststrategie

Lerneinheit 5: Zwei-Faktor-Authentifizierung

• Geeignete Faktoren und Aktivierungsprozess
• Recovery-Codes, Gerätewechsel und Supportabläufe
• Risikobasierte Ausnahmen und verbindliche Richtlinien

Lerneinheit 6: Hardening und Nachweis

• Secrets, Header, Transportverschlüsselung und Abhängigkeiten
• Sicherheitslogs, Alarmierung und Datenschutz
• Automatisierte Berechtigungstests, Review-Zyklen und Incident-Runbook

Praxisprojekt Schritt für Schritt

Als durchgängige Übung entsteht ein Sicherheitskonzept für Sulu-Administration, eigene Admin-Ressourcen und geschützte API-Endpunkte mit SSO und zweitem Faktor.

1. Schritt 1: Ausgangslage, Rollen, Systemgrenzen und Abnahmekriterien für ein Sicherheitskonzept für Sulu-Administration, eigene Admin-Ressourcen und geschützte API-Endpunkte mit SSO und zweitem Faktor festhalten.
2. Schritt 2: Den Lernbereich „Bedrohungsmodell und Schutzflächen“ konfigurieren und mit einem Positivfall prüfen.
3. Schritt 3: Den Lernbereich „Security-Kontexte und Berechtigungen“ umsetzen und mit realistischen Testdaten verbinden.
4. Schritt 4: Den Lernbereich „Anmeldung und Sitzungen“ durch einen Negativfall und eine Korrektur absichern.
5. Schritt 5: Den Lernbereich „SSO-Integration“ analysieren und die benötigten Artefakte festlegen.
6. Schritt 6: Den Lernbereich „Zwei-Faktor-Authentifizierung“ konfigurieren und mit einem Positivfall prüfen.
7. Schritt 7: Den Lernbereich „Hardening und Nachweis“ umsetzen und mit realistischen Testdaten verbinden.
8. Schritt 8: Die Teilkonfigurationen zu einem durchgängigen Anwendungsszenario verbinden und Abhängigkeiten sichtbar dokumentieren.
9. Schritt 9: Berechtigungs-, Locale-, Publikations- und Fehlerfälle mit einer standardisierten Prüfliste ausführen.
10. Schritt 10: Den erreichten Stand als Konfigurationsübersicht, Betriebscheckliste und priorisierte nächste Ausbaustufe festhalten.

Qualitätskontrollen

• Fachliche Anforderungen, Systemgrenzen und Verantwortlichkeiten sind eindeutig dokumentiert.
• Konfigurationen und Implementierungen sind reproduzierbar, versionierbar, vollständig und eigenständig beschrieben.
• Positiv-, Negativ-, Berechtigungs-, Locale- und Fehlerfälle sind nachvollziehbar geprüft.
• Betriebs-, Sicherheits-, Performance- und Wartungsaspekte sind passend zum Thema berücksichtigt.
• Die nächsten Vertiefungsschritte sind nach Risiko und Nutzen priorisiert.

Empfohlene Anschlussseminare

• Sulu Administration und Benutzerrechte
• Sulu API- und Headless-Integration
• Sulu Deployment, Betrieb und Monitoring