Seminar DataHub Authentifizierung, Rollen und Berechtigungen

Sicherheit entsteht durch das abgestimmte Zusammenspiel von Identitäten, Gruppen, Rollen, Policies und technischen Zugriffen. Das Seminar entwickelt daraus ein überprüfbares Berechtigungskonzept mit klaren Standardrollen und kontrollierten Ausnahmen.

Lernziele

• Authentifizierung und Autorisierung sauber voneinander trennen
• SSO-, Benutzer- und Gruppenkonzepte planen
• Rollen und Policies nach dem Prinzip minimaler Rechte gestalten
• Tokens und technische Identitäten sicher betreiben
• Zugriffsprobleme reproduzierbar analysieren und dokumentieren

Zielgruppe

Security Engineers, IAM-Verantwortliche, Administratoren, Plattformteams und Integrationsentwickler.

Voraussetzungen

Grundkenntnisse in Identitätsmanagement, Gruppen und rollenbasierter Zugriffskontrolle. Kenntnisse von OIDC oder vergleichbaren SSO-Verfahren sind hilfreich.

Inhaltsübersicht

1. Kapitel 1: Sicherheitsmodell und Schutzbereiche
2. Kapitel 2: Benutzer, Gruppen und SSO
3. Kapitel 3: Rollen und Policies
4. Kapitel 4: Technische Zugriffe und Tokens
5. Kapitel 5: Prüfung und Betriebsübergabe

Kapitel 1: Sicherheitsmodell und Schutzbereiche

Inhaltsübersicht dieses Kapitels: Schutzobjekte bestimmen; Akteure klassifizieren; Minimalrechte ableiten.

Schritt 1: Schutzobjekte bestimmen

Plattformfunktionen, Metadatenobjekte, Governance-Bereiche und Programmierschnittstellen werden als getrennte Schutzbereiche erfasst. Vor der Umsetzung werden Voraussetzungen, betroffene Objekte und erwartete Ergebnisse festgehalten. Die Ausführung erfolgt in einer abgegrenzten Übungsumgebung und endet mit einer dokumentierten Soll-Ist-Prüfung.

Schritt 2: Akteure klassifizieren

Interaktive Benutzer, Gruppen, Administratoren, technische Konten und externe Integrationen erhalten klar abgegrenzte Profile. Konfiguration, Zuständigkeit und mögliche Fehlerbilder werden ausdrücklich berücksichtigt. Das Ergebnis wird mit technischen und fachlichen Prüfkriterien bewertet und als wiederverwendbarer Arbeitsschritt dokumentiert.

Schritt 3: Minimalrechte ableiten

Für jedes Profil werden notwendige Aktionen und ausdrücklich nicht benötigte Rechte dokumentiert. Abweichungen werden nicht durch pauschale Wiederholung verdeckt, sondern nach Ursache, Auswirkung und Korrekturweg eingeordnet. Eine abschließende Kontrolle bestätigt, dass der Arbeitsschritt reproduzierbar ausgeführt werden kann.

Kapitel 2: Benutzer, Gruppen und SSO

Inhaltsübersicht dieses Kapitels: Identitätsquelle festlegen; SSO vorbereiten; Provisionierung prüfen.

Schritt 1: Identitätsquelle festlegen

Lokale Benutzer und zentral verwaltete Identitäten werden hinsichtlich Lebenszyklus, Sperrung und Nachvollziehbarkeit bewertet. Vor der Umsetzung werden Voraussetzungen, betroffene Objekte und erwartete Ergebnisse festgehalten. Die Ausführung erfolgt in einer abgegrenzten Übungsumgebung und endet mit einer dokumentierten Soll-Ist-Prüfung.

Schritt 2: SSO vorbereiten

Anwendungsregistrierung, Clientdaten, Claims, Gruppenabbildung und Rücksprungpfade werden in einer Konfigurationsmatrix vorbereitet. Konfiguration, Zuständigkeit und mögliche Fehlerbilder werden ausdrücklich berücksichtigt. Das Ergebnis wird mit technischen und fachlichen Prüfkriterien bewertet und als wiederverwendbarer Arbeitsschritt dokumentiert.

Schritt 3: Provisionierung prüfen

Erstellung, Änderung, Gruppenwechsel und Deaktivierung werden als vollständiger Benutzerlebenszyklus getestet. Abweichungen werden nicht durch pauschale Wiederholung verdeckt, sondern nach Ursache, Auswirkung und Korrekturweg eingeordnet. Eine abschließende Kontrolle bestätigt, dass der Arbeitsschritt reproduzierbar ausgeführt werden kann.

Kapitel 3: Rollen und Policies

Inhaltsübersicht dieses Kapitels: Standardrollen definieren; Policies ergänzen; Konflikte vermeiden.

Schritt 1: Standardrollen definieren

Administrator, Bearbeiter, Leser und organisationsspezifische Rollen werden mit klaren Aufgaben beschrieben. Vor der Umsetzung werden Voraussetzungen, betroffene Objekte und erwartete Ergebnisse festgehalten. Die Ausführung erfolgt in einer abgegrenzten Übungsumgebung und endet mit einer dokumentierten Soll-Ist-Prüfung.

Schritt 2: Policies ergänzen

Feingranulare Ausnahmen werden nur dort eingesetzt, wo Rollen nicht ausreichen; Geltungsbereich, Akteur und Aktion bleiben nachvollziehbar. Konfiguration, Zuständigkeit und mögliche Fehlerbilder werden ausdrücklich berücksichtigt. Das Ergebnis wird mit technischen und fachlichen Prüfkriterien bewertet und als wiederverwendbarer Arbeitsschritt dokumentiert.

Schritt 3: Konflikte vermeiden

Überlappende Rollen, weitreichende Gruppenmitgliedschaften und unbeabsichtigte Sichtbarkeit werden mit Testkonten geprüft. Abweichungen werden nicht durch pauschale Wiederholung verdeckt, sondern nach Ursache, Auswirkung und Korrekturweg eingeordnet. Eine abschließende Kontrolle bestätigt, dass der Arbeitsschritt reproduzierbar ausgeführt werden kann.

Kapitel 4: Technische Zugriffe und Tokens

Inhaltsübersicht dieses Kapitels: Identitäten trennen; Token-Lebenszyklus steuern; Dienstauthentifizierung prüfen.

Schritt 1: Identitäten trennen

Ingestion, Automatisierung und Monitoring erhalten getrennte technische Identitäten und Berechtigungen. Vor der Umsetzung werden Voraussetzungen, betroffene Objekte und erwartete Ergebnisse festgehalten. Die Ausführung erfolgt in einer abgegrenzten Übungsumgebung und endet mit einer dokumentierten Soll-Ist-Prüfung.

Schritt 2: Token-Lebenszyklus steuern

Erzeugung, sichere Ablage, Rotation, Widerruf und Notfallersatz werden als wiederholbarer Prozess festgelegt. Konfiguration, Zuständigkeit und mögliche Fehlerbilder werden ausdrücklich berücksichtigt. Das Ergebnis wird mit technischen und fachlichen Prüfkriterien bewertet und als wiederverwendbarer Arbeitsschritt dokumentiert.

Schritt 3: Dienstauthentifizierung prüfen

Zugriffe auf den Metadata Service werden mit gültigen und ungültigen Nachweisen getestet; Identitäts- und Berechtigungsfehler werden getrennt. Abweichungen werden nicht durch pauschale Wiederholung verdeckt, sondern nach Ursache, Auswirkung und Korrekturweg eingeordnet. Eine abschließende Kontrolle bestätigt, dass der Arbeitsschritt reproduzierbar ausgeführt werden kann.

Kapitel 5: Prüfung und Betriebsübergabe

Inhaltsübersicht dieses Kapitels: Testmatrix ausführen; Fehler eingrenzen; Konzept dokumentieren.

Schritt 1: Testmatrix ausführen

Rollen, Gruppen, Objekttypen und Aktionen werden in positiven und negativen Testfällen kombiniert. Vor der Umsetzung werden Voraussetzungen, betroffene Objekte und erwartete Ergebnisse festgehalten. Die Ausführung erfolgt in einer abgegrenzten Übungsumgebung und endet mit einer dokumentierten Soll-Ist-Prüfung.

Schritt 2: Fehler eingrenzen

Anmeldung, Claim-Zuordnung, Gruppenauflösung, Rollenmitgliedschaft und Policy-Auswertung werden in fester Reihenfolge kontrolliert. Konfiguration, Zuständigkeit und mögliche Fehlerbilder werden ausdrücklich berücksichtigt. Das Ergebnis wird mit technischen und fachlichen Prüfkriterien bewertet und als wiederverwendbarer Arbeitsschritt dokumentiert.

Schritt 3: Konzept dokumentieren

Rollen, Ausnahmen, Token-Verantwortung, Rezertifizierung und Eskalation werden in ein Sicherheitsdokument überführt. Abweichungen werden nicht durch pauschale Wiederholung verdeckt, sondern nach Ursache, Auswirkung und Korrekturweg eingeordnet. Eine abschließende Kontrolle bestätigt, dass der Arbeitsschritt reproduzierbar ausgeführt werden kann.

Praxisübungen

Inhaltsübersicht dieses Kapitels: Anwendung, Prüfung und Dokumentation der behandelten Arbeitsschritte.

1. Entwurf eines Rollen- und Gruppenkonzepts
2. Planung einer OIDC-basierten SSO-Anbindung
3. Erstellung einer positiven und negativen Zugriffstestmatrix
4. Ausarbeitung eines Token-Rotations- und Widerrufsverfahrens

Methodik

Inhaltsübersicht dieses Kapitels: Vermittlungsform, Übungsorganisation und Qualitätssicherung.

Sicherheitskonzepte werden mit konkreten Rollen, Testkonten und Zugriffsentscheidungen geprüft. Konfiguration und Governance bleiben durchgehend miteinander verbunden.