Seminar Curity Identity Server – API Security mit Phantom-, Split- und Token-Exchange-Mustern

Das zweitägige Seminar behandelt die Absicherung von APIs und Microservices mit tokenbasierten Architekturmustern. Opaque Tokens, JWTs, Introspection, Phantom Tokens, Split Tokens, Token Exchange, Zielgruppenbindung und Gateway-Integration werden zu einem skalierbaren Sicherheitsmodell mit klaren Vertrauensgrenzen verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Opaque Tokens und JWTs anhand von Vertraulichkeit, Performance und Betriebsrisiko bewerten.
• Phantom- und Split-Token-Muster mit einem API Gateway sicher einordnen und konfigurieren.
• Token Exchange für Downscoping, Delegation und servicebezogene Zielgruppen einsetzen.
• Claims, Audiences und Berechtigungen entlang einer Microservice-Kette minimieren.
• Tests, Monitoring und Fehlerdiagnose für tokenbasierte API-Pfade standardisieren.

Schrittweise Seminarinhalte

1. API-Sicherheitsarchitektur und Vertrauenszonen

Schwerpunkt: Clients, Authorization Server, API Gateway, externe APIs, interne Services, Trust Boundaries und Zero-Trust-Annahmen.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „API-Sicherheitsarchitektur und Vertrauenszonen“ anhand von Clients, Authorization Server, API Gateway, externe APIs, interne Services, Trust Boundaries und Zero-Trust-Annahmen erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein Ende-zu-Ende-Datenfluss- und Bedrohungsmodell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

2. Opaque Tokens, JWTs und Introspection

Schwerpunkt: Tokenformate, Offenlegung von Claims, Signaturprüfung, Introspection, Caching, Widerruf und Laufzeiten.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Opaque Tokens, JWTs und Introspection“ anhand von Tokenformate, Offenlegung von Claims, Signaturprüfung, Introspection, Caching, Widerruf und Laufzeiten erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine risikobasierte Tokenformat-Entscheidung dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

3. Phantom-Token-Muster

Schwerpunkt: Referenztoken am äußeren Rand, Introspection am Gateway, JWT-Weitergabe, Cachekontrolle und Fehlerbehandlung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Phantom-Token-Muster“ anhand von Referenztoken am äußeren Rand, Introspection am Gateway, JWT-Weitergabe, Cachekontrolle und Fehlerbehandlung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine getestete Phantom-Token-Referenzintegration dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

4. Split-Token-Muster

Schwerpunkt: Aufteilung signierter Tokens, Gateway-Cache, Hash-Zuordnung, Rekonstruktion, Ausfallverhalten und globale Verteilung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Split-Token-Muster“ anhand von Aufteilung signierter Tokens, Gateway-Cache, Hash-Zuordnung, Rekonstruktion, Ausfallverhalten und globale Verteilung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein belastbares Split-Token-Design dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

5. Token Exchange und Downscoping

Schwerpunkt: Subject Token, Actor-Kontext, Audience, Scope-Reduktion, Delegation, Idempotenz und Fehlerantworten.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Token Exchange und Downscoping“ anhand von Subject Token, Actor-Kontext, Audience, Scope-Reduktion, Delegation, Idempotenz und Fehlerantworten erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Token-Exchange-Workflow dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

6. Gateway- und Microservice-Abnahme

Schwerpunkt: Header-Transformation, JWT-Validierung, Schlüsselrotation, Replay-Schutz, Lastverhalten, Logging und Incident-Daten.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Gateway- und Microservice-Abnahme“ anhand von Header-Transformation, JWT-Validierung, Schlüsselrotation, Replay-Schutz, Lastverhalten, Logging und Incident-Daten erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen technischen Abnahmekatalog für API-Security-Pfade dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

Praxisübungen und Laborszenarien

• Konfiguration eines Introspection-Clients mit minimalen Fähigkeiten und Prüfung der Rückgabedaten.
• Aufbau eines Phantom-Token-Flows mit absichtlich fehlerhaften, abgelaufenen und widerrufenen Tokens.
• Entwurf eines Token-Exchange-Szenarios für eine mehrstufige Servicekette mit Downscoping und Audience-Wechsel.

Zielgruppe und Voraussetzungen

Zielgruppe: API- und Security-Architektur, Plattform Engineering, API-Gateway-Betrieb, Backend-Entwicklung und DevSecOps.

Voraussetzungen: Gute OAuth-2.0- und JWT-Grundkenntnisse sowie Erfahrung mit HTTP-APIs und Reverse Proxies oder API Gateways.

Didaktik und Arbeitsweise

Fachliche Einordnung und Demonstration wechseln mit strukturierten Hands-on-Labs. Jede Übung beginnt mit einem definierten Ausgangszustand, enthält Positiv- und Negativtests und endet mit einer dokumentierten Abnahme sowie einem wiederholbaren Arbeitsablauf.