Seminar Ory Keto Anwendungsintegration mit REST und gRPC

Dieses Seminar zeigt, wie Anwendungen Keto für Berechtigungsdaten und Permission Checks nutzen. Der Schwerpunkt liegt auf klaren Integrationsverträgen zwischen Anwendung, Identity-System und Permission Server.

Inhaltsverzeichnis

• Zielsetzung und Einordnung
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte mit Schritt-für-Schritt-Anleitungen
• Praktische Übungen
• Praxisbezug im Projektalltag

Zielsetzung und Einordnung

Die Inhalte verbinden Datenmodellierung und konkrete API-Nutzung. Dadurch entstehen Integrationen, die Berechtigungen nicht in Anwendungscode verstecken, sondern sauber über prüfbare Relationship-Daten abbilden.

Zielgruppe

Softwarearchitekten, Entwickler, Security Engineers und Plattformteams mit Aufgaben in Autorisierung, Rollenmodellen und feingranularen Berechtigungen.

Voraussetzungen

Grundkenntnisse in REST, gRPC, Datenmodellierung, Identity-Konzepten und API-Design; Erfahrung mit RBAC oder ACLs ist hilfreich.

Seminarziele

• Relationship API und Permission API sicher einsetzen.
• REST und gRPC nach Anwendungskontext auswählen.
• Berechtigungsdaten aus Fachereignissen ableiten.
• Permission Checks in Services und API-Gateways integrieren.
• Fehlerbehandlung, Caching und Performance-Aspekte berücksichtigen.

Seminarinhalte mit Schritt-für-Schritt-Anleitungen

1. Integrationsarchitektur

Die Zuständigkeiten zwischen Anwendung, Identitätsquelle und Permission Server werden sauber getrennt.

1. Schritt 1: Fachobjekte, Benutzer und Gruppen identifizieren.
2. Schritt 2: Schreibende und lesende Integrationspunkte trennen.
3. Schritt 3: Ereignisse für Relationship-Änderungen bestimmen.
4. Schritt 4: API-Verträge für Permission Checks dokumentieren.

2. Relationship-Daten schreiben

Berechtigungsdaten entstehen meist aus Fachprozessen und müssen konsistent geschrieben werden.

1. Schritt 1: Objekt, Relation und Subjekt aus Fachereignis ableiten.
2. Schritt 2: Relationship Tuple über API anlegen.
3. Schritt 3: Idempotenz und Fehlerbehandlung berücksichtigen.
4. Schritt 4: Lösch- und Änderungsfälle testen.

3. Permission Checks in Anwendungen

Die eigentliche Autorisierungsfrage wird als klarer API-Aufruf formuliert.

1. Schritt 1: Check-Anfrage aus Request-Kontext ableiten.
2. Schritt 2: Subjektidentität aus Session oder Token entnehmen.
3. Schritt 3: Permission Check ausführen und Ergebnis auswerten.
4. Schritt 4: Fehlerfälle zwischen technischer Störung und Verweigerung unterscheiden.

4. REST, gRPC und Betriebseinbindung

Die Schnittstellenwahl beeinflusst Latenz, Tooling und Betriebsdiagnose.

1. Schritt 1: REST für einfache Integration und Diagnose bewerten.
2. Schritt 2: gRPC für serviceinterne Kommunikation bewerten.
3. Schritt 3: Timeout-, Retry- und Circuit-Breaker-Regeln festlegen.
4. Schritt 4: Testdaten und Contract Tests vorbereiten.

Praktische Übungen

• Service-Endpunkt mit Permission Check absichern.
• Relationship-Daten aus Beispielereignissen schreiben.
• REST- und gRPC-Aufruf vergleichen.
• Fehlerhafte Subjektzuordnung analysieren.
• Integrationstest für Autorisierung erstellen.

Praxisbezug im Projektalltag

Das Seminar eignet sich für Entwicklungsteams, die Berechtigungen aus Monolithen herauslösen oder Microservices mit zentralen Permission Checks versehen wollen, ohne sich einen zweiten Spaghetti-Teller aus Rollenlogik zu kochen.