Seminar LemonLDAP::NG Webservice- und API-Schutz

Inhaltsübersicht

• Schutzmuster für APIs
• Token- und Header-Modelle
• Handler und Webservice-Zugriffe
• Regeln für technische Clients
• Test und Fehleranalyse

Seminarbeschreibung

Dieses Seminar behandelt den Schutz von Webservices und APIs in einer LemonLDAP::NG-Umgebung. Zwei Tage sind notwendig, weil API-Zugriffe andere Muster haben als Browser-SSO: technische Clients, Tokens, Header, Sessions, Servicekonten und maschinelle Fehlerbilder müssen sauber getrennt werden.

Behandelt werden Schutzgrenzen, Reverse-Proxy-Muster, technische Identitäten, Tokenprüfung, Header-Übergabe, Autorisierungsregeln, Logging und Testmethoden für nicht interaktive Zugriffe.

Nach dem Seminar können API-Schutzszenarien eingeordnet, sichere Übergabemuster definiert und technische Zugriffe methodisch getestet werden.

Step-by-step-Inhalte

1. API-Szenario aufnehmen
   Clients, Endpunkte, Methoden, Identitäten und Schutzbedarf werden dokumentiert.
2. Schutzmuster wählen
   Sessionbasierte, tokenbasierte und headerbasierte Varianten werden verglichen.
3. Regeln definieren
   Zugriff für technische und menschliche Identitäten wird getrennt geregelt.
4. Header und Tokens prüfen
   Übertragung, Validierung und Schutz vor Manipulation werden getestet.
5. Fehler analysieren
   Nicht interaktive Fehlerfälle, Statuscodes und Logereignisse werden ausgewertet.

Praxisübungen

• Schutz eines Beispiel-Endpunkts
• Regel für technischen Client
• Header-Test mit API-Aufruf
• Token- und Statuscodeanalyse
• Dokumentation eines API-Sicherheitsmusters

Zielgruppe

Geeignet für Plattformteams, API-Betreiber, Security Engineers und IAM-Administratoren, die Webservice-Zugriffe kontrollieren müssen.

Voraussetzungen

Erforderlich sind Grundlagen in HTTP, APIs, Authentifizierung, Reverse Proxies und Anwendungssicherheit.