Seminar ArcherySec – Administration, Benutzer und Berechtigungen

Praxisorientierter Kompetenzaufbau für die kontrollierte Verwaltung von Benutzern, Rollen, Organisationen, Projekten, Zugriffsschlüsseln und administrativen Prüfungen

ArcherySec verbindet technische Prüfungen, zentrale Finding-Daten, Automatisierung und geregelte Zusammenarbeit. Dieses Seminar konzentriert sich auf die kontrollierte Verwaltung von Benutzern, Rollen, Organisationen, Projekten, Zugriffsschlüsseln und administrativen Prüfungen.

Die Bearbeitung folgt einem festen Vorgehen: Ausgangslage und Freigabe prüfen, Konfiguration vorbereiten, Arbeitsschritt durchführen, Ergebnis am System kontrollieren und den Sollzustand dokumentieren. So entstehen nicht nur Bedienkenntnisse, sondern belastbare Betriebs- und Qualitätsnachweise.

Inhaltsübersicht

• Einordnung und Zielsetzung
• Zielgruppe
• Lernziele
• Seminarinhalte mit Schritt-für-Schritt-Anleitungen
• Praxisübungen
• Voraussetzungen

Einordnung und Zielsetzung

Das Seminar vermittelt die kontrollierte Verwaltung von Benutzern, Rollen, Organisationen, Projekten, Zugriffsschlüsseln und administrativen Prüfungen. Die Inhalte werden in einer isolierten Schulungsumgebung schrittweise vorbereitet, durchgeführt, geprüft und in einen nachvollziehbaren Arbeits- und Betriebsablauf überführt.

Zielgruppe

Plattformadministration, Application Security, DevSecOps und technische Anwendungsbetreuung

Lernziele

• Anforderungen, Systemgrenzen und Verantwortlichkeiten zu einem prüfbaren Zielbild verbinden.
• Personenrechte nach Aufgabe und Minimalprinzip einrichten und überprüfen.
• Organisationen, Projekte und Ziele eindeutig strukturieren und verantworten.
• Maschinelle Zugriffe zweckgebunden, sicher und nachvollziehbar verwalten.
• Personenrechte nach Aufgabe und Minimalprinzip einrichten und überprüfen.

Seminarinhalte

Die Module bauen aufeinander auf. Jeder Abschnitt enthält einen definierten Prüfpunkt, bevor der nächste Arbeitsschritt beginnt.

Modul 1: Betriebsmodell und Zuständigkeiten

Modulziel: Anforderungen, Systemgrenzen und Verantwortlichkeiten zu einem prüfbaren Zielbild verbinden.

1. Bestehende Abläufe, beteiligte Systeme, Datenarten und verantwortliche Rollen erfassen.
2. Anwendungsfälle, klare Nicht-Ziele und messbare Entscheidungskriterien festlegen.
3. Datenflüsse, Vertrauensgrenzen, technische Identitäten und Abhängigkeiten darstellen.
4. Risiken, offene Annahmen und notwendige Vorentscheidungen dokumentieren.
5. Einen priorisierten Umsetzungsschritt mit Eigentümer und Abnahmekriterien bestimmen.

Modul 2: Benutzer, Rollen und Berechtigungen

Modulziel: Personenrechte nach Aufgabe und Minimalprinzip einrichten und überprüfen.

1. Tätigkeitsprofile für Administration, Analyse und lesenden Zugriff definieren.
2. Testkonten anlegen und den vorgesehenen Rollen zuordnen.
3. Erlaubte und bewusst nicht erlaubte Aktionen mit repräsentativen Fällen prüfen.
4. Überberechtigungen korrigieren und den Sollzustand in einer Rechte-Matrix festhalten.
5. Rollenwechsel, Sperrung und Deprovisionierung als kontrollierten Lebenszyklus testen.

Modul 3: Organisationen, Projekte und Eigentümerschaft

Modulziel: Organisationen, Projekte und Ziele eindeutig strukturieren und verantworten.

1. Unternehmens-, Produkt-, Team- und Umgebungsgrenzen aufnehmen.
2. Namenskonventionen für Organisation, Projekt, Ziel und Scanlauf festlegen.
3. Beispielstrukturen mit eindeutiger fachlicher und technischer Eigentümerschaft anlegen.
4. Sichtbarkeit, Projektgrenzen und Zuordnung von Scannergebnissen kontrollieren.
5. Archivierung, Übergabe und Bereinigung veralteter Strukturen dokumentieren.

Modul 4: Zugriffsschlüssel und technische Identitäten

Modulziel: Maschinelle Zugriffe zweckgebunden, sicher und nachvollziehbar verwalten.

1. Automationszweck, technische Identität und minimal benötigte Berechtigungen bestimmen.
2. Einen Zugriffsschlüssel erzeugen und ausschließlich in geschützter Konfiguration hinterlegen.
3. Authentifizierung und erlaubte Aktion mit einem kontrollierten Testaufruf prüfen.
4. Fehlgeschlagene und unzulässige Aufrufe auswerten, ohne Geheimniswerte zu protokollieren.
5. Besitz, Rotation, Sperrung, Verlustmeldung und Bestandskontrolle festlegen.

Modul 5: Administrative Kontrollen und Übergabe

Modulziel: Personenrechte nach Aufgabe und Minimalprinzip einrichten und überprüfen.

1. Tätigkeitsprofile für Administration, Analyse und lesenden Zugriff definieren.
2. Testkonten anlegen und den vorgesehenen Rollen zuordnen.
3. Erlaubte und bewusst nicht erlaubte Aktionen mit repräsentativen Fällen prüfen.
4. Überberechtigungen korrigieren und den Sollzustand in einer Rechte-Matrix festhalten.
5. Rollenwechsel, Sperrung und Deprovisionierung als kontrollierten Lebenszyklus testen.

Praxisübungen

1. Den Themenbereich „Betriebsmodell und Zuständigkeiten“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Einen priorisierten Umsetzungsschritt mit Eigentümer und Abnahmekriterien bestimmen.“ abnehmen.
2. Den Themenbereich „Benutzer, Rollen und Berechtigungen“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Rollenwechsel, Sperrung und Deprovisionierung als kontrollierten Lebenszyklus testen.“ abnehmen.
3. Den Themenbereich „Zugriffsschlüssel und technische Identitäten“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Besitz, Rotation, Sperrung, Verlustmeldung und Bestandskontrolle festlegen.“ abnehmen.
4. Den Themenbereich „Administrative Kontrollen und Übergabe“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Rollenwechsel, Sperrung und Deprovisionierung als kontrollierten Lebenszyklus testen.“ abnehmen.
5. Einen absichtlich erzeugten Fehler anhand von Zeitstempel, Laufkennung, Dienstzustand und Protokollen eingrenzen.
6. Eine kompakte Kontrollliste mit Sollzustand, Eigentümer, Wiederholungsintervall und Eskalationsweg erstellen.

Voraussetzungen

Grundkenntnisse zu Benutzer- und Berechtigungskonzepten sowie eine ArcherySec-Schulungsinstanz mit administrativem Testkonto