Seminar Micronaut – Security mit JWT, OAuth 2.0 und OpenID Connect

Anwendungssicherheit erfordert ein konsistentes Modell aus Identität, Token, Rollen, Routen und methodenbezogenen Regeln. Das Seminar entwickelt Micronaut-Security-Lösungen mit JWT, OAuth 2.0 und OpenID Connect und verbindet sie mit Webschutz, Secret-Verwaltung, Tests und Diagnose.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Authentifizierungs- und Autorisierungsanforderungen aus Vertrauensgrenzen ableiten
• JWT-Erzeugung und -Validierung mit sicherem Schlüssel- und Claim-Modell umsetzen
• OAuth 2.0 und OpenID Connect für Browser- und Servicefälle integrieren
• Routen, Methoden, CORS, CSRF, Sessions, Tests und Monitoring konsistent absichern

Zielgruppe

Backend- und Security-Entwickler, Softwarearchitekten, technische Leads und Integrationsentwickler.

Voraussetzungen

Micronaut-Grundkenntnisse, sichere HTTP-Kenntnisse und Grundverständnis von Authentifizierung, Autorisierung, TLS und Tokens.

Seminarinhalte

1. Schritt 1: Schutzbedarf und Akteure bestimmen

   Daten, Benutzer, Clients, Dienste und administrative Operationen werden klassifiziert. Vertrauensgrenzen und Bedrohungen bestimmen das Sicherheitsmodell.

2. Schritt 2: Security-Modul und Filterkette einrichten

   Öffentliche, authentifizierte und administrative Routen werden explizit festgelegt. Fehlende oder ungültige Identitäten erhalten kontrollierte Antworten.

3. Schritt 3: Authentifizierungsanbieter entwickeln

   Benutzerprüfung, Passwortverarbeitung, externe Verzeichnisse als Konzept und standardisierte Authentication-Objekte werden ohne Vermischung mit Controllerlogik umgesetzt.

4. Schritt 4: JWT-Claims und Signatur modellieren

   Subject, Audience, Issuer, Rollen, Ablauf, Token-ID und minimale benutzerbezogene Daten werden festgelegt. Symmetrische und asymmetrische Signatur werden eingeordnet.

5. Schritt 5: Schlüssel und Tokenlebenszyklus absichern

   Schlüsselspeicherung, Rotation, kurze Access Tokens, Refresh-Verfahren, Widerruf und Uhrabweichung werden mit klaren Betriebsregeln aufgebaut.

6. Schritt 6: OAuth-2.0-Flow integrieren

   Authorization Code Flow mit PKCE, Clientregistrierung, Redirect-URI, State und Tokenaustausch werden für einen Browser-Client eingerichtet.

7. Schritt 7: OpenID Connect verwenden

   Discovery, ID Token, Nonce, UserInfo, Rollenabbildung und Logout werden mit einem Identity Provider verbunden.

8. Schritt 8: Autorisierung anwenden

   Routenregeln, Rollen, methodenbezogene Security, fachliche Eigentumsprüfung und Deny-by-default werden mit positiven und negativen Fällen getestet.

9. Schritt 9: Web- und Browserrisiken behandeln

   CORS, CSRF, Cookies, SameSite, Sessions, Sicherheitsheader und Redirects werden passend zu API-, SPA- und serverseitigen Anwendungen konfiguriert.

10. Schritt 10: Service-zu-Service-Zugriff gestalten

    Client Credentials, Tokenweitergabe, Audience, minimale Scopes, Timeouts und Identitätswechsel werden für interne Aufrufe umgesetzt.

11. Schritt 11: Security automatisiert testen

    Authentifizierungs-, Rollen-, Claim-, Ablauf-, CORS-, CSRF- und Manipulationsfälle werden mit realistischen Security-Kontexten geprüft.

12. Schritt 12: Protokollierung und Incident-Signale integrieren

    Fehlgeschlagene Anmeldung, Tokenfehler, Rechteverletzung, Schlüsselrotation und verdächtige Wiederholung werden ohne sensible Inhalte messbar und korrelierbar protokolliert.

Praxisübungen

• REST-API mit JWT und Rollenregeln
• Authorization-Code-Flow mit OIDC
• Servicezugriff mit Client Credentials
• Negative Tests für Claims, CORS und CSRF
• Schlüsselrotations- und Diagnoseübung

Methodik

Kurze fachliche Einordnungen wechseln mit Demonstrationen und schrittweisen Übungen. Jeder Arbeitsstand wird gebaut, ausgeführt und durch automatisierte oder betriebliche Prüfungen abgesichert. Fehlerfälle werden bewusst einbezogen, damit Diagnose und Wiederanlauf nicht erst im Produktivbetrieb entstehen.