Seminar Versasec vSEC:CMS Identity – OAuth 2.0 und OpenID Connect

Das Seminar behandelt vSEC:CMS Identity als Authentisierungs- und Autorisierungskomponente für OAuth 2.0 und OpenID Connect. Installation, Database-REST-Verbindung, TLS, Identity-Server, RP ID und Origins, FIDO2-Passkey-Templates, Clientregistrierung, Claims, Tests und sicherer Betrieb werden in einer vollständigen Referenzintegration umgesetzt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• OAuth-2.0- und OpenID-Connect-Rollen, Tokens und Vertrauensbeziehungen sicher einordnen.
• vSEC:CMS Identity mit getrennten, TLS-geschützten Verbindungen installieren und konfigurieren.
• RP ID, Origins und FIDO2-Passkey-Templates konsistent abstimmen.
• OIDC-Clients, Redirect URIs, Scopes und Claims sicher registrieren.
• Authentisierungsflüsse, Fehlerfälle, Schlüsselrotation und Protokollierung produktionsnah testen.

Schrittweise Seminarinhalte

1. OAuth 2.0, OpenID Connect und Identity-Grundmodell

Schwerpunkt: Authorization Server, OpenID Provider, Client, Resource Owner, ID Token, Access Token, Scopes, Claims und Authorization Code Flow.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „OAuth 2.0, OpenID Connect und Identity-Grundmodell“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Authorization Server, OpenID Provider, Client, Resource Owner, ID Token, Access Token, Scopes, Claims und Authorization Code Flow modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Protokoll- und Vertrauensmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Voraussetzungen und Installationsarchitektur

Schwerpunkt: vSEC:CMS-Version, Verzeichnisquelle, FIDO2-Hardware, Serverrollen, Ports, DNS, TLS-Zertifikate und getrennte Dienste.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Voraussetzungen und Installationsarchitektur“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von vSEC:CMS-Version, Verzeichnisquelle, FIDO2-Hardware, Serverrollen, Ports, DNS, TLS-Zertifikate und getrennte Dienste modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine prüfbare Installations- und Sicherheitsplanung dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Database REST API und Serviceverbindung

Schwerpunkt: eigener Port, TLS, Zertifikatsauswahl, Aktivierung, URL, Erreichbarkeit, Berechtigungen und Abgrenzung zur allgemeinen REST API.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Database REST API und Serviceverbindung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von eigener Port, TLS, Zertifikatsauswahl, Aktivierung, URL, Erreichbarkeit, Berechtigungen und Abgrenzung zur allgemeinen REST API modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine abgesicherte Datenbank-Serviceverbindung dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Identity Server, RP ID und Origins

Schwerpunkt: FQDN, Port, TLS, RP ID ohne Protokollpräfix, Origins mit Protokoll, Namenskonsistenz und Browser-Sicherheitsanforderungen.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Identity Server, RP ID und Origins“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von FQDN, Port, TLS, RP ID ohne Protokollpräfix, Origins mit Protokoll, Namenskonsistenz und Browser-Sicherheitsanforderungen modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine fehlerfreie Identity-Server-Konfiguration dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. FIDO2-Passkey- und Credential-Templates

Schwerpunkt: Identity-Provider-Zuordnung, Display Name, Discoverable Credential, Algorithmen, RP-Name, RP ID, Origin und Template-Verknüpfung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „FIDO2-Passkey- und Credential-Templates“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Identity-Provider-Zuordnung, Display Name, Discoverable Credential, Algorithmen, RP-Name, RP ID, Origin und Template-Verknüpfung modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein produktionsnahes Passkey-Template dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Clientregistrierung und OIDC-Parameter

Schwerpunkt: Client-ID, Client Secret oder Public Client, Redirect URIs, Logout, Scopes, Claims, Grant-Typen und clients.json.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Clientregistrierung und OIDC-Parameter“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Client-ID, Client Secret oder Public Client, Redirect URIs, Logout, Scopes, Claims, Grant-Typen und clients.json modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine minimal berechtigte und validierte Clientkonfiguration dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Authentisierungsfluss und Anwendungstest

Schwerpunkt: Authorization Request, Benutzerinteraktion, FIDO2-Prüfung, Code, Token, Signatur, Nonce, State, Session und Logout.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Authentisierungsfluss und Anwendungstest“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Authorization Request, Benutzerinteraktion, FIDO2-Prüfung, Code, Token, Signatur, Nonce, State, Session und Logout modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen vollständig nachvollzogenen Ende-zu-Ende-Login dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

8. Härtung, Fehleranalyse und Betrieb

Schwerpunkt: HTTPS-Pflicht, Schlüssel und Zertifikate, Secret-Rotation, Protokolle, Portkonflikte, Origin-Fehler, Tokenvalidierung, Monitoring und Recovery.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Härtung, Fehleranalyse und Betrieb“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von HTTPS-Pflicht, Schlüssel und Zertifikate, Secret-Rotation, Protokolle, Portkonflikte, Origin-Fehler, Tokenvalidierung, Monitoring und Recovery modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge am Laborsystem beziehungsweise am Prozessmodell schrittweise umsetzen.
4. Funktion, Berechtigungen, Protokollierung und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Betriebs- und Troubleshooting-Leitfaden dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Installation und Konfiguration der Identity-Komponente mit getrennten TLS-Ports.
• Aufbau eines FIDO2-Passkey-Templates mit konsistenter RP-ID- und Origin-Konfiguration.
• Registrierung einer Beispielanwendung und Prüfung des Authorization-Code-Flows.
• Analyse vorbereiteter Fehler bei Redirect URI, Origin, Tokenvalidierung und Clientdaten.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM- und Anwendungsarchitektur, Security Engineering, FIDO2-Verantwortliche, Webanwendungsintegration und vSEC:CMS-Administration.

Voraussetzungen: Grundkenntnisse in OAuth 2.0, OpenID Connect, TLS, JSON und FIDO2; vSEC:CMS ab Version 7.4 oder eine geeignete Laborumgebung.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.