Seminar JupyterHub – Authentifizierung, Rollen und Sicherheit

Inhaltsverzeichnis

Beschreibung

Eine erfolgreiche Anmeldung bedeutet noch nicht, dass ein Benutzer die richtigen Rechte besitzt. Das Seminar trennt Authentifizierung, Zulassung und Autorisierung in JupyterHub und überführt fachliche Zuständigkeiten in ein überprüfbares Rollenmodell. Eine vorbereitete OIDC-Umgebung dient als Beispiel für die Anbindung zentraler Identitäten. Benutzer- und Gruppenzuordnung, Kontosperrung und der Umgang mit bestehenden Sitzungen werden anhand konkreter Fälle untersucht.

Ein weiterer Schwerpunkt ist die gegenseitige Abschirmung von Benutzern, die eigenen Code ausführen können. Container, Dateirechte und Web-Origin-Grenzen erfüllen unterschiedliche Aufgaben und werden entsprechend bewertet. Gemeinsame Serverzugriffe und Echtzeit-Zusammenarbeit werden nur im ausdrücklich freigegebenen Laborszenario aktiviert. Der Sicherheitsentwurf wird durch erlaubte und absichtlich verbotene Zugriffe geprüft; bloße Konfigurationssichtung reicht dafür nicht aus.

Lernziele

• Authentifizierung, Zulassung und Rechtevergabe in einer Hub-Umgebung sauber unterscheiden.
• Benutzer und Gruppen kontrolliert an einen vorbereiteten Identitätsanbieter anbinden.
• Minimale Rollen und begrenzte Token für Menschen und Dienste entwerfen.
• Benutzerisolation und Freigaben durch gezielte Zugriffstests überprüfen.

Seminarinhalte

1. Vertrauensmodell und Angriffsflächen
2. OIDC und Benutzerzulassung
3. Rollen und Scopes
4. Token und Sitzungen
5. Benutzerisolation und gemeinsamer Zugriff
6. Sicherheitslabor und Abnahme

Vertrauensmodell und Angriffsflächen

• Ausführung beliebigen Benutzercodes und Schutzbedarf der Plattform einordnen.
• Systemidentitäten, Browser-Origin, Datenzugriffe und Netzwerkgrenzen unterscheiden.
• Anforderungen für bekannte Teammitglieder und gegenseitig nicht vertrauenswürdige Benutzer vergleichen.

OIDC und Benutzerzulassung

• Einen geeigneten OAuthenticator an den vorbereiteten Identitätsanbieter anbinden.
• Redirects, Claims, Benutzernamen und Gruppenabbildung prüfen.
• Explizite Zulassungsregeln sowie gesperrte und unbekannte Identitäten testen.

Rollen und Scopes

• Administrative Aufgaben in möglichst kleine Berechtigungsbereiche aufteilen.
• Rollen für Betreuung, Betrieb und Dienstintegration entwerfen.
• Gefilterte Scopes und Gruppenverwaltung auf unbeabsichtigte Rechteausweitung prüfen.

Token und Sitzungen

• Benutzer- und Diensttoken mit erforderlichen Rechten und begrenzter Gültigkeit verwalten.
• Geheimnisse außerhalb von Notebooks und ungeschützten Konfigurationsablagen halten.
• Widerruf, Kontosperre und das Verhalten bereits bestehender Sitzungen prüfen.

Benutzerisolation und gemeinsamer Zugriff

• Schreibrechte an Serverumgebung, Startpfaden und Konfiguration kontrollieren.
• Pro Benutzer getrennte Domains als Bestandteil geeigneter Schutzkonzepte bewerten.
• Serverfreigaben und Echtzeit-Zusammenarbeit mit minimalen Rechten und Widerruf testen.

Sicherheitslabor und Abnahme

• Ein Rollenmodell mit mehreren Identitäten und einem Dienstkonto umsetzen.
• Zulässige und unzulässige Zugriffe anhand einer Berechtigungsmatrix ausführen.
• Festgestellte Abweichungen korrigieren und den sicherheitsrelevanten Stand dokumentieren.

Praktische Übungen

1. Mehrere Testidentitäten mit unterschiedlichen Gruppen an den vorbereiteten Hub anbinden.
2. Eine eng begrenzte Betreuungsrolle und ein Dienstkonto mit minimalem Tokenumfang anlegen.
3. Anmeldung, verbotene Verwaltungsaktionen und Zugriff auf fremde Arbeitsbereiche testen.
4. Eine kontrollierte Serverfreigabe prüfen, wieder entziehen und die verbleibenden Zugriffsrechte nachweisen.