Seminar Ibexa DXP Rollen, Berechtigungen und Sicherheit

Ibexa DXP arbeitet mit einem granularen, standardmäßig verweigernden Berechtigungsmodell. Das Seminar zeigt, wie daraus verständliche und wartbare Rollen entstehen, ohne Sicherheit, Performance oder redaktionelle Arbeitsfähigkeit durch unkontrollierte Einzelzuweisungen zu gefährden.

Seminarziel

Die Teilnehmenden können Benutzer und Gruppen strukturieren, Rollen mit Policies und Limitations entwerfen, Zugriffe für Content, Workflows, Produkte und APIs absichern, technische Schutzmaßnahmen konfigurieren und Berechtigungen systematisch testen.

Zielgruppe

Das Seminar richtet sich an Administratoren, Security- und Datenschutzverantwortliche, Solution Architects, Entwickler und technische Projektleiter, die Zugriffsmodelle planen, umsetzen oder prüfen.

Voraussetzungen

Grundkenntnisse in Ibexa-Architektur, Content Tree, SiteAccess und Benutzerverwaltung werden erwartet. Kenntnisse in Websicherheit, HTTP und Symfony Security sind für die technischen Teile hilfreich.

Inhalte

Benutzer- und Gruppenmodell

• Benutzer als Content Items, Benutzergruppen und organisatorische Struktur
• Trennung von Backoffice-Benutzern, Kunden, Gästen und technischen Konten
• Gruppenbasierte Rollenzuweisung statt schwer wartbarer Einzelrechte
• Lebenszyklus von Konten, Einladungen, Sperrung und Verantwortlichkeiten

Rollen, Policies und Limitations

• Module, Funktionen und Policies als positive Berechtigungen
• Location-, Subtree-, Section-, Content-Type-, Sprach- und weitere Limitations
• Rollen-Limitations und Zusammenspiel mehrerer Zuweisungen
• Berechtigungsmatrix, Namenskonventionen und dokumentierte Ausnahmen

Fachspezifische Rechte

• Content-Erstellung, Bearbeitung, Publikation, Übersetzung und Medien-Upload
• Workflow-Stufen, Übergänge, Reviewer und Version Locks
• Taxonomien, Produktkatalog, Personalisierung, Commerce und Administration
• SiteAccess- und mandantenbezogene Zugriffsszenarien

Authentifizierung und API-Schutz

• Passwortverfahren, externe Anmeldung und organisatorische Anforderungen
• Session, Token und JWT für REST- und GraphQL-Zugriffe
• Technische Benutzer, Geheimnisse, CORS und minimale Rechte
• Prüfung von API-Ergebnissen unter unterschiedlichen Benutzerkontexten

Anwendungs- und Betriebssicherheit

• Sichere Umgebungsvariablen, Dateirechte, Debug-Modus und Protokolle
• Sicherheitsheader, Upload-Regeln, Einladungen und Schutz administrativer Bereiche
• Patchprozess, Abhängigkeiten, Backups und Trennung von Umgebungen
• Sicherheitscheckliste für Entwicklung, Abnahme und laufenden Betrieb

Test und Audit

• Positive und negative Berechtigungstests mit repräsentativen Rollen
• Prüfung von Suche, Vorschau, Workflows, APIs und indirekten Zugriffspfaden
• Auswertung von Aktivitätsdaten und nachvollziehbare Freigabe von Rollenänderungen
• Regelmäßige Rezertifizierung und Bereinigung veralteter Zugriffe

Praxisanteil

Die Teilnehmenden entwickeln eine Rollen- und Berechtigungsmatrix, setzen mehrere Rollen mit Limitations um und prüfen sie anhand positiver und negativer Testfälle im Backoffice und über eine API.

Einordnung und Vertiefung

Zwei Tage sind erforderlich, weil fachliche Rollen und technische Schutzmaßnahmen zusammen geprüft werden müssen. Infrastruktur-Härtung im Detail gehört ergänzend in das Administrationsseminar.