Seminar Intensivseminar – Zero Trust, Autorisierung und Maschinenidentitäten

Seminarbeschreibung

Zero Trust betrifft sowohl Menschen als auch automatisierte Dienste. Das Intensivseminar verbindet den Zugang zu einer Webanwendung mit deren internen API- und Dienstzugriffen. Eine vorbereitete Landschaft erlaubt, jeden Übergang gezielt zu prüfen: Anmeldung am Provider, Durchleitung am Proxy, fachliche Autorisierung, Bezug technischer Geheimnisse und gegenseitige Authentifizierung von Workloads.

Die eingesetzten Projekte werden nach Aufgabe kombiniert. OAuth2 Proxy kontrolliert den Webzugang, OPA und OpenFGA bilden alternative Autorisierungsansätze ab, OpenBao verwaltet technische Zugangsdaten, und SPIFFE/SPIRE stellt Workload-Identitäten bereit. Kubernetes liefert die vorbereitete Laufzeitumgebung. Negative Tests begleiten jeden Baustein. Der Kurs verdichtet vier Fachseminare zu einer nachvollziehbaren Zugriffskette und hält die Grenzen von Tokenwiderruf, Zertifikatslaufzeit und bestehender Sitzung ausdrücklich fest.

Seminarinhalte

Inhaltsübersicht:

1. Zugriffskette und Bedrohungsmodell
2. Identitätsbasierter Webzugang
3. Autorisierung mit OPA
4. Autorisierung mit OpenFGA
5. OpenBao und begrenzter Secret-Zugriff
6. Dynamische Zugänge und technische PKI
7. Kubernetes-OIDC, RBAC und ServiceAccounts
8. Workload-Identitäten mit SPIFFE/SPIRE
9. Rotation, Ausfall und Wiederanlauf
10. Integrierte Sicherheitsabnahme

1. Zugriffskette und Bedrohungsmodell

• Benutzer, Webzugang, API, Datenbank und Workloads zu einer gemeinsamen Referenzarchitektur verbinden.
• Vertrauensgrenzen, Manipulationsmöglichkeiten und erlaubte Kommunikation festlegen.
• Eine Testmatrix für fehlende Identität, falsche Berechtigung und unzulässigen direkten Zugang entwickeln.

2. Identitätsbasierter Webzugang

• OAuth2 Proxy mit dem vorbereiteten OIDC-Provider verbinden.
• TLS, Header und Callback-Adressen abstimmen und direkte Backend-Wege begrenzen.
• MFA, Gruppenprüfung, Kontosperre und Sitzungsverhalten an zwei Testkonten prüfen.

3. Autorisierung mit OPA

• Eine überschaubare Rego-Policy für Rolle, Objekt und Mandant entwickeln.
• Die Entscheidung in die Referenz-API integrieren und fehlende Eingaben kontrolliert behandeln.
• Unzulässige Aktionen sowie Ausfall des Entscheidungsdienstes testen.

4. Autorisierung mit OpenFGA

• Dasselbe Zugriffsszenario mit Objekten, Relationen und Beziehungstupeln modellieren.
• Direkte und abgeleitete Rechte über die Check-API prüfen.
• Rechteentzug, Konsistenz und Modelländerungen mit dem OPA-Ansatz vergleichen.

5. OpenBao und begrenzter Secret-Zugriff

• Die vorbereitete OpenBao-Plattform prüfen und minimale Anwendungs-Policies konfigurieren.
• Authentifizierung der Anwendung und Zugriff auf ein versioniertes Secret nachvollziehen.
• Bootstrap, technische Konten und Audit-Ausgabe gegen unnötige Geheimnisverteilung absichern.

6. Dynamische Zugänge und technische PKI

• Einen kurzlebigen Datenbankzugang erzeugen und seine Rechte begrenzen.
• Lease-Widerruf sowie Rotation eines statischen Geheimnisses am Zielsystem überprüfen.
• Ein Testzertifikat ausstellen und Laufzeit, Vertrauenskette sowie Grenzen des Widerrufs einordnen.

7. Kubernetes-OIDC, RBAC und ServiceAccounts

• Menschliche OIDC-Anmeldung mit Gruppenmerkmalen und Namespace-Rechten verbinden.
• Einen dedizierten ServiceAccount mit begrenztem Token und minimalen Rechten verwenden.
• Unzulässige Clusteraktionen und unnötige Secret-Zugriffe kontrolliert zurückweisen lassen.

8. Workload-Identitäten mit SPIFFE/SPIRE

• Trust Domain, Attestierung und Registrierung der vorbereiteten Dienste prüfen.
• X.509-SVIDs für zwei Test-Workloads bereitstellen und die mTLS-Verbindung herstellen.
• Nach der Authentifizierung die konkrete Peer-Identität gegen erlaubte Zugreifer prüfen.

9. Rotation, Ausfall und Wiederanlauf

• Nachweisrotation und Entfernung einer Berechtigung über die beteiligten Komponenten beobachten.
• Restlaufzeiten, Caches und bestehende Verbindungen in die Bewertung des Rechteentzugs aufnehmen.
• Vorbereitete Störungs- und Wiederanlauffälle bearbeiten und eine unbeabsichtigte Freigabe ausschließen.

10. Integrierte Sicherheitsabnahme

• Die gesamte Zugriffskette mit berechtigtem Benutzer und zugelassenem Workload erfolgreich durchlaufen.
• Falsche Identität, fremden Mandanten, manipulierte Header und abgelaufene Zugänge testen.
• Betriebszuständigkeiten, kontrollierte Änderungen und vertiefende Spezialthemen dokumentieren.

Praxisübungen

1. Eine gemeinsame Zugriffsmatrix vom Benutzer bis zur Datenbank erstellen und Kontrollpunkte festlegen.
2. Den Webzugang absichern und direkte sowie manipulierte Zugriffsversuche prüfen.
3. Eine fachliche API-Berechtigung mit OPA und anschließend mit OpenFGA umsetzen und vergleichen.
4. Die Anwendung über OpenBao mit einem kurzlebigen Datenbankzugang versorgen und diesen wirksam widerrufen.
5. OIDC-/RBAC-Zugriff und einen eigenen Kubernetes-ServiceAccount konfigurieren.
6. Zwei Workloads über SPIRE-Identitäten verbinden und eine nicht erlaubte Peer-Identität zurückweisen.
7. Ausfall, Rechteentzug und Rotation als vollständige Testfolge über die beteiligten Komponenten nachweisen.

Einordnung und Vertiefung

Das Intensivseminar bündelt Zero Trust mit OAuth2 Proxy, OPA/OpenFGA, OpenBao sowie Kubernetes mit SPIFFE/SPIRE. Der gemeinsame Anwendungsfall ersetzt nicht die gesamte Übungstiefe der einzelnen Produktschulungen.

Zugeordnete Fachseminare für eine ausführlichere Vertiefung:

• Zero Trust – identitätsbasierter Anwendungszugriff mit OAuth2 Proxy (2 Tage)
• Open Policy Agent und OpenFGA – feingranulare Autorisierung (3 Tage)
• OpenBao – Secrets Management und Maschinenidentitäten (3 Tage)
• Kubernetes – OIDC, RBAC und Workload-Identitäten mit SPIFFE/SPIRE (4 Tage)

Seminarangebot und Lernpfade