Seminar Octelium Intensivseminar – Identitäten, Policies und Zero Trust

Das 5-tägige Format behandelt die durchgängige Identitäts-, Authentisierungs- und Autorisierungsarchitektur für menschliche und clientlose Zugriffe. Der Schwerpunkt liegt auf nachvollziehbaren Arbeitsschritten, kontrollierten Tests und einer Konfiguration, die sich in betrieblichen Umgebungen reproduzieren lässt.

Inhaltsverzeichnis

1. Zielsetzung
2. Seminarinhalte
   1. Zero-Trust-Prinzipien und Vertrauensgrenzen
   2. Benutzer-, Gruppen- und Attributmodell
   3. Gerätevertrauen und Sitzungslebenszyklus
   4. OIDC-Integration und Claim-Mapping
   5. SAML-Integration und Attribut-Mapping
   6. GitHub-OAuth und alternative Anmeldung
   7. FIDO, WebAuthn, Passkeys und TOTP
   8. MFA-Strategien und Wiederherstellung
   9. Clientbasierte Anmeldung und Transportkontext
   10. Clientloser Browserzugriff und BeyondCorp
   11. OAuth-2.0- und Bearer-Zugriffe
   12. Policy-Modell, Bindung und Priorität
   13. CEL-Regeln und Kontextauswertung
   14. OPA/Rego für komplexe Entscheidungen
   15. Policy-Testmatrix und Konfliktanalyse
   16. Auditierung, Widerruf und Sicherheitsnachweis
3. Thematische Bündelung
4. Praxisübungen
5. Zielgruppe
6. Voraussetzungen
7. Methodik

Zielsetzung

Identitätsanbieter, MFA, Geräte- und Sitzungskontext sowie CEL- und OPA-Policies zu einem überprüfbaren Zero-Trust-Regelwerk verbinden.

Seminarinhalte

Modul 1: Zero-Trust-Prinzipien und Vertrauensgrenzen

Dieses Modul erschließt Zero-Trust-Prinzipien und Vertrauensgrenzen. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Ausgangslage, Schutzbedarf und beteiligte Akteure für „Zero-Trust-Prinzipien und Vertrauensgrenzen“ erfassen.
2. Schritt 2: Komponenten, Vertrauensgrenzen und Datenflüsse in einem nachvollziehbaren Zielbild zuordnen.
3. Schritt 3: einen zulässigen und einen unzulässigen Zugriffspfad anhand des Zielbilds durchspielen.
4. Schritt 4: Annahmen, offene Risiken und technische Entscheidungen in einer belastbaren Architekturunterlage festhalten.

Modul 2: Benutzer-, Gruppen- und Attributmodell

Dieses Modul erschließt Benutzer-, Gruppen- und Attributmodell. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „Benutzer-, Gruppen- und Attributmodell“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 3: Gerätevertrauen und Sitzungslebenszyklus

Dieses Modul erschließt Gerätevertrauen und Sitzungslebenszyklus. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „Gerätevertrauen und Sitzungslebenszyklus“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 4: OIDC-Integration und Claim-Mapping

Dieses Modul erschließt OIDC-Integration und Claim-Mapping. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „OIDC-Integration und Claim-Mapping“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 5: SAML-Integration und Attribut-Mapping

Dieses Modul erschließt SAML-Integration und Attribut-Mapping. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „SAML-Integration und Attribut-Mapping“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 6: GitHub-OAuth und alternative Anmeldung

Dieses Modul erschließt GitHub-OAuth und alternative Anmeldung. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „GitHub-OAuth und alternative Anmeldung“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 7: FIDO, WebAuthn, Passkeys und TOTP

Dieses Modul erschließt FIDO, WebAuthn, Passkeys und TOTP. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Bedrohungen, Angriffsflächen, Vertrauensgrenzen und Missbrauchsszenarien für „FIDO, WebAuthn, Passkeys und TOTP“ modellieren.
2. Schritt 2: präventive Kontrollen, minimale Berechtigungen und sichere Standardwerte in der Konfiguration umsetzen.
3. Schritt 3: Umgehungs-, Fehlbedienungs- und Rechteausweitungsszenarien kontrolliert testen.
4. Schritt 4: Befunde bewerten, Härtungsmaßnahmen priorisieren und die Wirksamkeit durch erneute Tests belegen.

Modul 8: MFA-Strategien und Wiederherstellung

Dieses Modul erschließt MFA-Strategien und Wiederherstellung. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Bedrohungen, Angriffsflächen, Vertrauensgrenzen und Missbrauchsszenarien für „MFA-Strategien und Wiederherstellung“ modellieren.
2. Schritt 2: präventive Kontrollen, minimale Berechtigungen und sichere Standardwerte in der Konfiguration umsetzen.
3. Schritt 3: Umgehungs-, Fehlbedienungs- und Rechteausweitungsszenarien kontrolliert testen.
4. Schritt 4: Befunde bewerten, Härtungsmaßnahmen priorisieren und die Wirksamkeit durch erneute Tests belegen.

Modul 9: Clientbasierte Anmeldung und Transportkontext

Dieses Modul erschließt Clientbasierte Anmeldung und Transportkontext. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Protokoll, Zieladresse, Portbereich, DNS-Anforderungen und Identitätskontext für „Clientbasierte Anmeldung und Transportkontext“ erfassen.
2. Schritt 2: passenden Service samt Weiterleitung, Namensraum und Richtlinienbindung deklarativ konfigurieren.
3. Schritt 3: Verbindungsaufbau, Namensauflösung und Datenfluss mit erlaubten und verweigerten Clients testen.
4. Schritt 4: Timeouts, Routing-, DNS- und Transportfehler systematisch isolieren und die Korrektur validieren.

Modul 10: Clientloser Browserzugriff und BeyondCorp

Dieses Modul erschließt Clientloser Browserzugriff und BeyondCorp. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Backend, Protokoll, Namensraum, Erreichbarkeit und Schutzbedarf für „Clientloser Browserzugriff und BeyondCorp“ aufnehmen.
2. Schritt 2: Namespace, Service und Weiterleitungsparameter deklarativ anlegen und die Auflösung kontrollieren.
3. Schritt 3: Zugriff über den vorgesehenen Client- oder clientlosen Pfad mit passenden Identitäten durchführen.
4. Schritt 4: Routing, Richtlinienentscheidung und Dienstprotokollierung prüfen sowie Fehlkonfigurationen korrigieren.

Modul 11: OAuth-2.0- und Bearer-Zugriffe

Dieses Modul erschließt OAuth-2.0- und Bearer-Zugriffe. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Identitätstypen, Attribute, Gruppenbezüge und Authentisierungsanforderungen für „OAuth-2.0- und Bearer-Zugriffe“ festlegen.
2. Schritt 2: Identitätsressourcen und Anmeldeverfahren konfigurieren sowie erforderliche Claims zuordnen.
3. Schritt 3: Anmeldung und Sitzungsaufbau mit regulären und abweichenden Identitätsmerkmalen testen.
4. Schritt 4: Claims, Gerätebezug, Sitzung und Richtlinienentscheidung prüfen und sicherheitsrelevante Befunde dokumentieren.

Modul 12: Policy-Modell, Bindung und Priorität

Dieses Modul erschließt Policy-Modell, Bindung und Priorität. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Schutzobjekt, Subjekt, Kontextmerkmale und gewünschte ALLOW- beziehungsweise DENY-Entscheidung definieren.
2. Schritt 2: die Regel für „Policy-Modell, Bindung und Priorität“ mit CEL oder OPA/Rego umsetzen und mit eindeutiger Priorität zuordnen.
3. Schritt 3: Grenzfälle in einer Testmatrix aus erlaubten, verweigerten und unvollständigen Anfragen ausführen.
4. Schritt 4: Entscheidungsweg und Auswertungsdaten untersuchen, Regelkonflikte beseitigen und die Policy versionieren.

Modul 13: CEL-Regeln und Kontextauswertung

Dieses Modul erschließt CEL-Regeln und Kontextauswertung. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Schutzobjekt, Subjekt, Kontextmerkmale und gewünschte ALLOW- beziehungsweise DENY-Entscheidung definieren.
2. Schritt 2: die Regel für „CEL-Regeln und Kontextauswertung“ mit CEL oder OPA/Rego umsetzen und mit eindeutiger Priorität zuordnen.
3. Schritt 3: Grenzfälle in einer Testmatrix aus erlaubten, verweigerten und unvollständigen Anfragen ausführen.
4. Schritt 4: Entscheidungsweg und Auswertungsdaten untersuchen, Regelkonflikte beseitigen und die Policy versionieren.

Modul 14: OPA/Rego für komplexe Entscheidungen

Dieses Modul erschließt OPA/Rego für komplexe Entscheidungen. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Schutzobjekt, Subjekt, Kontextmerkmale und gewünschte ALLOW- beziehungsweise DENY-Entscheidung definieren.
2. Schritt 2: die Regel für „OPA/Rego für komplexe Entscheidungen“ mit CEL oder OPA/Rego umsetzen und mit eindeutiger Priorität zuordnen.
3. Schritt 3: Grenzfälle in einer Testmatrix aus erlaubten, verweigerten und unvollständigen Anfragen ausführen.
4. Schritt 4: Entscheidungsweg und Auswertungsdaten untersuchen, Regelkonflikte beseitigen und die Policy versionieren.

Modul 15: Policy-Testmatrix und Konfliktanalyse

Dieses Modul erschließt Policy-Testmatrix und Konfliktanalyse. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: Schutzobjekt, Subjekt, Kontextmerkmale und gewünschte ALLOW- beziehungsweise DENY-Entscheidung definieren.
2. Schritt 2: die Regel für „Policy-Testmatrix und Konfliktanalyse“ mit CEL oder OPA/Rego umsetzen und mit eindeutiger Priorität zuordnen.
3. Schritt 3: Grenzfälle in einer Testmatrix aus erlaubten, verweigerten und unvollständigen Anfragen ausführen.
4. Schritt 4: Entscheidungsweg und Auswertungsdaten untersuchen, Regelkonflikte beseitigen und die Policy versionieren.

Modul 16: Auditierung, Widerruf und Sicherheitsnachweis

Dieses Modul erschließt Auditierung, Widerruf und Sicherheitsnachweis. Fachliche Einordnung, Sicherheitswirkung und praktische Umsetzung werden so verbunden, dass Entscheidungen und Konfigurationsfolgen nachvollziehbar bleiben.

1. Schritt 1: benötigte Logs, Metriken, Traces, Attribute und Aufbewahrungsanforderungen für „Auditierung, Widerruf und Sicherheitsnachweis“ definieren.
2. Schritt 2: OpenTelemetry-Ausgabe und Empfänger so konfigurieren, dass relevante Zugriffskontexte erhalten bleiben.
3. Schritt 3: Testzugriffe und Policy-Entscheidungen erzeugen und die Signale über gemeinsame Merkmale korrelieren.
4. Schritt 4: Lücken, übermäßige Datenerfassung und Alarmgrenzen prüfen und die Telemetrie gezielt nachschärfen.

Thematische Bündelung

Der Intensivblock bündelt die Inhalte der folgenden Fachseminare. Die Themen werden nicht nur aneinandergereiht, sondern in einem gemeinsamen Laboraufbau zu durchgängigen Arbeitsabläufen verbunden.

• Octelium Benutzer, Gruppen, Geräte und Sitzungen
• Octelium Identitätsanbieter, SSO und MFA
• Octelium Policies mit CEL und OPA
• Octelium Client-basierter Zugriff mit WireGuard und QUIC
• Octelium Clientloser BeyondCorp-Zugriff und OAuth 2.0

Praxisübungen

• mehrere Identitätsanbieter und MFA-Verfahren in ein konsistentes Anmeldemodell integrieren.
• Zugriffe nach Benutzer, Gruppe, Gerät, Sitzung, Zeitpunkt und Anfragekontext steuern.
• CEL- und Rego-Regeln mit positiven, negativen und Grenzfalltests absichern.
• Browser-, Client- und API-Sitzungen gezielt widerrufen und forensisch nachvollziehen.
• ein dokumentiertes Policy- und Identitätsmodell für eine Beispielorganisation erstellen.

Zielgruppe

IAM- und Security-Teams, Zero-Trust-Architekten, Plattformadministratoren, Compliance-Verantwortliche und technische Auditoren.

Voraussetzungen

Grundkenntnisse in OIDC, SAML, OAuth 2.0, WebAuthn, Attributmodellen, HTTP und YAML.

Methodik

Fünf Tage sind erforderlich, weil Identitätsmodell, mehrere IdP- und MFA-Verfahren, clientbasierte und clientlose Sitzungen sowie zwei Policy-Sprachen einschließlich Teststrategie und Auditierung integriert werden. Die Durchführung kombiniert fachliche Einordnung, Demonstration, angeleitete Konfiguration, eigenständige Laborphasen, Positiv- und Negativtests sowie eine strukturierte Fehleranalyse. Jeder Themenblock endet mit einer prüfbaren Konfiguration und einer dokumentierten Kontrollliste.