Seminar Janssen Project Cedarling und Zero Trust Authorization

Inhaltsübersicht

• Beschreibung
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen

Beschreibung

Cedarling erweitert Identity-Architekturen um fein granulare Autorisierungsentscheidungen. Das Seminar behandelt Prinzipien, Modellierung, Token-Auswertung, Ressourcen, Aktionen, Kontext und Protokollierung.

Zero Trust wird hier nicht als Plakatwort verwendet. Jede Entscheidung benötigt Identität, Kontext, Ressource, Aktion und nachvollziehbare Policy. Der Rest ist Hoffnung, und Hoffnung ist bekanntlich kein Sicherheitskonzept.

Lernziele

• Cedarling als eingebettete Autorisierungslogik in Janssen-Architekturen einordnen
• Token, Ressourcen, Aktionen und Kontextdaten für Policy-Entscheidungen modellieren
• Policy Stores und Entscheidungslogik sicher strukturieren
• Logging und Auswertung für Audit, SIEM und Fehlersuche vorbereiten

Zielgruppe

Das Seminar richtet sich an Teams, die Autorisierungsentscheidungen näher an Anwendungen, APIs oder Gateways bringen und Token-, Kontext- und Policy-Daten kontrolliert auswerten wollen.

Voraussetzungen

Vorausgesetzt werden Grundlagen zu APIs, JWTs, Rollen, Berechtigungen, Zugriffskontrolle und technischer Integration. Programmiererfahrung ist hilfreich.

Seminarinhalte

Modul 1: Autorisierungsmodell

Die Grundelemente einer Entscheidung werden auseinandergezogen.

1. Principal, Ressource, Aktion, Kontext und Policy als Entscheidungselemente definieren.
2. Unterschiede zwischen Authentifizierung, Rollenprüfung und fein granularer Autorisierung klären.
3. Einsatzorte wie Client, API Gateway, Backend und Datenzugriff bewerten.

Modul 2: Token-basierte Entscheidungen

JWTs werden als Informationsquelle für Policies genutzt.

1. ID Token, Access Token und weitere Tokenarten als Eingaben klassifizieren.
2. Claims auf Entitäten und Attribute abbilden.
3. Mehrere Issuer und Tokenkontexte in einer Entscheidung berücksichtigen.

Modul 3: Policy-Design

Policies müssen prüfbar, lesbar und wartbar bleiben.

1. Ressourcentypen, Aktionen und fachliche Berechtigungen modellieren.
2. Allow-, Deny- und Fail-closed-Verhalten bewusst festlegen.
3. Policy-Änderungen mit Testdaten und erwarteten Entscheidungen absichern.

Modul 4: Integration in Anwendungen und Gateways

Autorisierung muss dort wirken, wo Zugriff entsteht.

1. Integrationspunkte in Frontend, API Gateway und Backend vergleichen.
2. Entscheidungsaufruf mit Token, Ressource, Aktion und Kontext strukturieren.
3. Fehlerfälle, Caching, Latenz und Audit-Anforderungen berücksichtigen.

Modul 5: Logging und Sicherheitsauswertung

Autorisierungsentscheidungen liefern wertvolle Sicherheitsdaten.

1. Entscheidungslogs für erlaubte und verweigerte Zugriffe erfassen.
2. Muster für ungewöhnliche Aktionen, Token-Missbrauch und Privilegieneskalation ableiten.
3. Auswertungen für SIEM, Audit und Incident Response vorbereiten.

Praxisübungen

• Modellierung einer Policy für geschützte API-Ressourcen
• Durchspielen mehrerer Token- und Kontextvarianten
• Analyse von Autorisierungslogs für Sicherheitsereignisse