Seminar Passkeys, MFA und Zugriffsrichtlinien mit Open-Source-IAM

Eine alternative IAM-Plattform muss auch bei verlorenen Geräten, gesperrten Konten und erhöhten Schutzanforderungen zuverlässig funktionieren. Dieses Seminar verbindet die technische Konfiguration von Passkeys und Mehrfaktoranmeldung mit einer nachvollziehbaren Registrierung und einer kontrollierten Wiederherstellung.

Die Übungen verwenden Keycloak als konkrete Plattform. Dabei werden Authentifizierungsabläufe, Bedingungen für eine zusätzliche Prüfung und die Behandlung privilegierter Zugriffe untersucht. Geeignete Funktionen von authentik werden vergleichend eingeordnet, ohne beide Produkte in jedem Detail parallel aufzubauen.

Vorhandene Entra-Richtlinien werden nach ihrer beabsichtigten Schutzwirkung bewertet. Cloudseitige Risikoauswertung und Gerätekonformität lassen sich nicht pauschal durch einen lokalen MFA-Schalter ersetzen. Für nicht abgedeckte Signale werden verbleibende Abhängigkeiten oder zusätzliche Komponenten ausdrücklich festgehalten.

Inhalte im Überblick

• Schutzbedarf und Richtlinienmodell
• Passkeys und WebAuthn
• Zusätzliche Faktoren und Step-up
• Recovery und privilegierte Zugriffe
• Sitzungen, Sperrung und Nachweis

Seminarinhalte

Schutzbedarf und Richtlinienmodell

• Anmelderisiken, privilegierte Konten und besonders schutzbedürftige Anwendungen unterscheiden.
• Entra-Richtlinien in konkrete Prüfanlässe und technische Abhängigkeiten zerlegen.
• Registrierung, reguläre Anmeldung und Wiederherstellung als getrennte Prozesse entwerfen.

Passkeys und WebAuthn

• WebAuthn-Richtlinien, Relying-Party-Kontext und geeignete Authentifikatoren konfigurieren.
• Registrierung, Anmeldung und mehrere Faktoren pro Testkonto erproben.
• Für den Wechsel des Anmeldedienstes eine erneute Registrierung vorsehen und verbleibende Portabilitätsgrenzen prüfen.

Zusätzliche Faktoren und Step-up

• Zusätzliche Faktoren entsprechend dem Schutzbedarf in den Anmeldeablauf einbauen.
• Anforderungen an erneute Authentifizierung für ausgewählte Anwendungen festlegen.
• Zusätzliche Prüfungen nach einer Broker-Anmeldung gezielt konfigurieren und testen.

Recovery und privilegierte Zugriffe

• Verlorene Authentifikatoren und kompromittierte Zugangsdaten als unterschiedliche Fälle bearbeiten.
• Kontowiederherstellung mit gesondertem Identitätsnachweis und nachvollziehbaren Administrationsrechten gestalten.
• Unabhängige Notfallkonten und begrenzte administrative Zuständigkeiten prüfen.

Sitzungen, Sperrung und Nachweis

• Sitzungsdauer, Refresh Tokens und die tatsächliche Wirkung einer Kontensperrung untersuchen.
• Unpassende Anmeldungskontexte und zu schwache Wiederherstellungsverfahren als negative Tests verwenden.
• Schutzwirkung und verbleibende Abhängigkeiten in einer Richtlinienmatrix dokumentieren.

Praktische Übungen

1. Eine Anforderungsmatrix für normale und privilegierte Konten erstellen.
2. Passkeys registrieren und eine Anmeldung mit mehreren geeigneten Authentifikatoren prüfen.
3. Eine zusätzliche Prüfung für eine besonders geschützte Anwendung konfigurieren.
4. Den Verlust eines Faktors mit einem definierten Helpdesk-Verfahren bearbeiten.
5. Ein Konto sperren und neue Logins, bestehende Sitzungen sowie API-Zugriffe einzeln kontrollieren.

Schulungsumgebung

Der Kunde stellt Keycloak mit gültigem HTTPS-Zugriff, Testanwendungen und geeignete WebAuthn- beziehungsweise FIDO2-Authentifikatoren bereit. Die Endgeräte unterstützen die vorgesehenen Browser- und Authentifikatorfunktionen.