Seminar KrakenD – Authentifizierung, Autorisierung und API-Sicherheit

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Seminarinhalte
6. Praxisübungen
7. Technische Arbeitsumgebung

Seminarprofil

Das Seminar behandelt API-Sicherheit als durchgängige Verarbeitungskette vom Netzwerkzugang bis zur fachlichen Berechtigungsentscheidung. Neben TLS, mTLS, CORS und Sicherheitsheadern stehen JWT-Validierung, OAuth2 Client Credentials, Claim-Prüfungen, Tokenwiderruf, Eingabevalidierung und Security Policies im Mittelpunkt.

Community- und Enterprise-Funktionen werden getrennt ausgewiesen. Die Übungen verwenden einen Identity Provider, geschützte Endpoints und gezielte Negativtests, damit Fehlkonfigurationen nicht nur beschrieben, sondern praktisch erkannt werden.

Lernziele

• eine Bedrohungsanalyse für öffentlich und intern erreichbare API-Endpunkte erstellen
• TLS, mTLS, CORS, Hostregeln und HTTP-Sicherheitsheader sinnvoll kombinieren
• JWT-Signaturen, Claims, Scopes, Rollen und Schlüsselrotation korrekt validieren
• OAuth2 Client Credentials und servicebezogene Authentifizierung einrichten
• RBAC- und ABAC-Regeln mit deklarativen Policies umsetzen
• Konfigurationen mit Positiv- und Negativtests sowie Auditregeln absichern

Zielgruppe

API- und Plattform-Engineers, DevOps, SRE, Security Engineers, IAM-Verantwortliche und technische Architekten.

Voraussetzungen

Sichere HTTP- und JSON-Kenntnisse. Grundlagen zu TLS, OAuth2, OpenID Connect und JWT werden empfohlen.

Seminarinhalte

1. Bedrohungsmodell und Sicherheitszonen

Sicherheitsmechanismen werden aus Schutzbedarf und Angriffsflächen abgeleitet, statt einzelne Funktionen unverbunden zu aktivieren.

1. Schritt 1: Externe Clients, interne Dienste, Administratoren und Identitätsdienste als getrennte Akteure erfassen.
2. Schritt 2: Schützenswerte Daten, privilegierte Operationen und mögliche Missbrauchsszenarien dokumentieren.
3. Schritt 3: Vertrauensgrenzen vor und hinter dem Gateway sowie zwischen Mandanten festlegen.
4. Schritt 4: Kontrollen den Phasen Verbindung, Anfrage, Identität, Berechtigung, Backend und Antwort zuordnen.

2. TLS, mTLS und HTTP-Schutzmechanismen

Transport- und Browsermechanismen bilden die erste Schutzschicht, ersetzen jedoch keine fachliche Autorisierung.

1. Schritt 1: TLS-Terminierung im Gateway und in einem vorgelagerten Load Balancer vergleichen.
2. Schritt 2: Zertifikate, Protokollparameter und sichere Weiterleitung zu Backends konfigurieren.
3. Schritt 3: mTLS für ausgewählte B2B- oder Maschinenzugriffe mit vertrauenswürdigen CAs testen.
4. Schritt 4: CORS, Hosteinschränkungen, HSTS, MIME-Schutz und Clickjacking-Schutz passend zum Clienttyp einstellen.

3. JWT-Validierung und Claim-Verarbeitung

Token werden kryptografisch und semantisch geprüft, bevor Claims für Routing oder Berechtigungen verwendet werden.

1. Schritt 1: JWK-Endpunkt, Signaturalgorithmen, Issuer und Audience als Pflichtprüfungen festlegen.
2. Schritt 2: Ablaufzeit, Gültigkeitsbeginn und zulässige Zeitabweichung kontrollieren.
3. Schritt 3: Scopes, Rollen und verschachtelte Claims auf konkrete Endpointrechte abbilden.
4. Schritt 4: Nur benötigte Claims in kontrollierte Header übertragen und Manipulationsversuche testen.

4. OAuth2, Tokenausgabe und Widerruf

Maschinenzugriffe und benutzerbezogene Zugriffe erfordern unterschiedliche Flows und Verantwortlichkeiten.

1. Schritt 1: OAuth2 Client Credentials für den Zugriff des Gateways auf geschützte Backends einrichten.
2. Schritt 2: Token-Caching, Erneuerung und Fehlerbehandlung des Autorisierungsservers prüfen.
3. Schritt 3: JWT-Signing vor einem vorhandenen Login-Backend sicher einordnen.
4. Schritt 4: Widerrufsszenarien, Bloom-Filter und zentrale Enterprise-Mechanismen anhand ihrer Konsistenzanforderungen bewerten.

5. Enterprise-Authentifizierung und Cloud-Dienste

Erweiterte Verfahren werden nur dort eingesetzt, wo Standard-JWT oder mTLS den Anwendungsfall nicht abdecken.

1. Schritt 1: API-Key- und Basic-Authentication hinsichtlich Ablage, Rotation und Protokollierung absichern.
2. Schritt 2: Mehrere Identity Provider pro Endpoint mit klarer Claim-Normalisierung planen.
3. Schritt 3: AWS-Signatur- und Google-Cloud-Serviceauthentifizierung für Backendzugriffe einordnen.
4. Schritt 4: Fehlende, abgelaufene und falsch zugeordnete Zugangsdaten mit standardisierten Negativtests prüfen.

6. Eingabevalidierung und Angriffsflächenbegrenzung

Die Angriffsfläche sinkt, wenn nur ausdrücklich benötigte Daten das Gateway und die Backends erreichen.

1. Schritt 1: Header, Query-Parameter und Pfadparameter über Positivlisten begrenzen.
2. Schritt 2: Maximale Requestgrößen und zulässige Content-Typen festlegen.
3. Schritt 3: JSON-Schema-Validierung für Pflichtfelder, Datentypen und Wertebereiche einrichten.
4. Schritt 4: Fehlermeldungen so gestalten, dass Clients korrigieren können, ohne interne Details offenzulegen.

7. Security Policies mit CEL

Deklarative Regeln ergänzen die kryptografische Tokenprüfung um fachliche RBAC- und ABAC-Entscheidungen.

1. Schritt 1: Verfügbare Daten aus Request, JWT, Parametern, Zeit und Backendantwort identifizieren.
2. Schritt 2: Einfache Regeln klein halten und komplexe Entscheidungen in nachvollziehbare Teilprüfungen zerlegen.
3. Schritt 3: Eigene Fehlercodes und sichere Fehlermeldungen für abgewiesene Anfragen definieren.
4. Schritt 4: Regeln für Rollen, Mandanten, Wartungsfenster, Parameter und Antwortpflichtfelder automatisiert testen.

8. Audit, Secrets und Sicherheitsabnahme

Vor der Freigabe werden Konfiguration, Artefakte und Betriebsprozesse gegen wiederholbare Kontrollen geprüft.

1. Schritt 1: Geheimnisse aus Konfigurationsdateien entfernen und über das Zielsystem bereitstellen.
2. Schritt 2: Konfiguration mit Check- und Auditläufen in der Pipeline prüfen.
3. Schritt 3: Testkatalog für gültige, fehlende, manipulierte, abgelaufene und unberechtigte Tokens ausführen.
4. Schritt 4: Zertifikats- und Schlüsselrotation, Notfallwiderruf, Protokollierung und Verantwortlichkeiten dokumentieren.

Praxisübungen

• Absicherung eines Endpoints mit JWT, Issuer, Audience, Scopes und Rollen
• Einrichtung eines mTLS-Zugangs für einen Maschinenclient
• OAuth2-Client-Credentials-Zugriff auf ein geschütztes Backend
• JSON-Schema-Validierung und Begrenzung erlaubter Eingabedaten
• RBAC- und ABAC-Regeln mit CEL einschließlich Negativtests
• Automatisierter Sicherheitscheck der Konfiguration

Technische Arbeitsumgebung

Benötigt werden Docker, ein lokaler Identity Provider oder vorbereitete Tokens, ein API-Client, Testzertifikate und ein JSON-fähiger Editor.