Seminar Micronaut – Intensivseminar: Security, Cloud und Betrieb

Das Intensivformat verbindet Authentifizierung und Autorisierung mit Cloud-Konfiguration, Service Discovery, Resilienz, Kubernetes, Serverless und Observability. Eine Anwendung wird vom Sicherheitsmodell bis zum überwachten Rollout und Störungsfall durchgängig gehärtet.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• JWT-, OAuth-2.0- und OpenID-Connect-Sicherheit konsistent umsetzen
• Cloud-Konfiguration, Service Discovery und Resilienz mit eindeutigen Zeitbudgets betreiben
• Container-, Kubernetes- und Serverless-Bereitstellungen sicher planen
• Metriken, Logs und OpenTelemetry-Traces in Betriebs- und Incident-Abläufe integrieren

Zielgruppe

Security-Entwickler, Backend-Entwickler, DevOps, Plattformteams, Cloud-Architekten und technische Betriebsverantwortliche.

Voraussetzungen

Sichere Micronaut-Grundkenntnisse, HTTP- und Netzwerkgrundlagen, Erfahrung mit Containern sowie grundlegendes Verständnis von Identitäts- und Cloud-Diensten.

Seminarinhalte

1. Schritt 1: Schutzbedarf und Vertrauensgrenzen bestimmen

   Daten, Identitäten, Clients, Dienste und administrative Schnittstellen werden klassifiziert. Bedrohungen und notwendige Kontrollen werden priorisiert.

2. Schritt 2: Micronaut Security einrichten

   Security-Filter, öffentliche und geschützte Routen, Authentifizierungsanbieter und kontrollierte Fehlerantworten werden aufgebaut.

3. Schritt 3: JWT sicher verwenden

   Signatur, Claims, Ablauf, Schlüsselrotation, Refresh-Verfahren und Tokenvalidierung werden mit minimalen Berechtigungen umgesetzt.

4. Schritt 4: OAuth 2.0 und OpenID Connect integrieren

   Authorization Code Flow, Clientregistrierung, Redirects, Nonce, State, Rollenabbildung und Logout werden für einen externen Identity Provider eingerichtet.

5. Schritt 5: Autorisierung und Webschutz ergänzen

   Rollen, Regeln, methodenbezogene Prüfungen, CORS, CSRF, Sessions und sensible Header werden passend zum Anwendungstyp konfiguriert.

6. Schritt 6: Konfiguration und Secrets auslagern

   Umgebungen, externe Konfiguration, Secret-Stores, Rotation und Maskierung werden so organisiert, dass kein Geheimnis im Artefakt verbleibt.

7. Schritt 7: Service Discovery und Resilienz aufbauen

   Dienstauflösung, Load Balancing, Timeouts, Retry, Circuit Breaker und Fallbacks werden mit realistischen Ausfällen getestet.

8. Schritt 8: Container sicher erstellen

   Schlanke Basis, nicht privilegierter Benutzer, Read-only-Dateisystem, Ressourcenlimits, Health-Prüfungen und unveränderliche Konfiguration werden festgelegt.

9. Schritt 9: Kubernetes-Bereitstellung modellieren

   Deployment, Service, Ingress, ConfigMap, Secret, Readiness, Liveness, Rolling Update, Autoscaling und Pod-Security werden zu einem kontrollierten Rollout verbunden.

10. Schritt 10: Serverless-Variante bewerten

    Funktions- und Containeransatz, Trigger, Zustandslosigkeit, Cold Start, Limits und providerabhängige Integrationen werden anhand eines Teilservice verglichen.

11. Schritt 11: Management und Metriken integrieren

    Health, Info, Metriken, benutzerdefinierte Zähler und sensible Management-Endpunkte werden für Betrieb und Zugriffsschutz eingerichtet.

12. Schritt 12: OpenTelemetry-Tracing umsetzen

    Trace- und Span-Kontext, HTTP- und Messaging-Propagation, Attribute, Fehlerstatus, Sampling und Export werden über mehrere Dienste geprüft.

13. Schritt 13: Protokollierung und Korrelation standardisieren

    Strukturierte Logs, Maskierung, Trace-ID, Benutzer- und Mandantenbezug sowie Aufbewahrung werden mit Datenschutzgrenzen abgestimmt.

14. Schritt 14: Rollout und Incident-Verfahren proben

    Canary oder Rolling Update, Rollback, Alarmierung, Runbook, Schlüsselrotation und ein simuliertes Incident werden mit eindeutigen Verantwortlichkeiten durchgeführt.

15. Schritt 15: Gesamtsystem härten und abnehmen

    Automatisierte Security- und Konfigurationstests, Containerprüfung, Resilienztest, Lastprofil und Observability-Nachweis bilden die Abschlussabnahme.

Praxisübungen

• Geschützte API mit JWT und OIDC
• Ausfallsimulation für Discovery und Circuit Breaker
• Gehärtetes Kubernetes-Deployment
• End-to-End-Trace über mehrere Dienste
• Rollout-, Rollback- und Incident-Übung

Methodik

Kurze fachliche Einordnungen wechseln mit Demonstrationen und schrittweisen Übungen. Jeder Arbeitsstand wird gebaut, ausgeführt und durch automatisierte oder betriebliche Prüfungen abgesichert. Fehlerfälle werden bewusst einbezogen, damit Diagnose und Wiederanlauf nicht erst im Produktivbetrieb entstehen.