Seminar Ory Oathkeeper API-Gateway-Schutz und Access Rules

Dieses Seminar behandelt Oathkeeper als Zugriffsschutz für APIs, Webdienste und interne Services. Im Mittelpunkt stehen Access Rules und die klare Trennung von Authentifizierung, Autorisierung und Request-Anpassung.

Inhaltsverzeichnis

• Zielsetzung und Einordnung
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte mit Schritt-für-Schritt-Anleitungen
• Praktische Übungen
• Praxisbezug im Projektalltag

Zielsetzung und Einordnung

Oathkeeper wird als vorgeschaltete Sicherheitskomponente betrachtet. Die Inhalte zeigen, wie Requests geprüft, Entscheidungen getroffen und Informationen an geschützte Backends weitergereicht werden.

Zielgruppe

DevOps Engineers, Administratoren, Entwickler, Plattformteams und Security Engineers mit Aufgaben im API- und Service-Schutz.

Voraussetzungen

Grundkenntnisse in HTTP, Reverse Proxy, Headern, Cookies, JWT, TLS und containerisierten Diensten.

Seminarziele

• Oathkeeper-Betriebsmodi und Einsatzmuster einordnen.
• Access Rules strukturiert erstellen und testen.
• Authentifizierung, Autorisierung und Mutationen im Pipeline-Modell unterscheiden.
• API-Zugriffe mit klaren Fehlermeldungen absichern.
• Regeländerungen kontrolliert prüfen und dokumentieren.

Seminarinhalte mit Schritt-für-Schritt-Anleitungen

1. Architektur und Request-Pipeline

Die Verarbeitung eines Requests wird von der Eingangsanfrage bis zum Backend nachvollzogen.

1. Schritt 1: Reverse-Proxy- und Decision-API-Modus unterscheiden.
2. Schritt 2: Match-Regeln für Host, Pfad und Methode erfassen.
3. Schritt 3: Pipeline aus Authenticator, Authorizer und Mutator einordnen.
4. Schritt 4: Backend-Weiterleitung und Fehlerantworten prüfen.

2. Access Rules erstellen

Access Rules sind das alte Handwerk der Zugriffskontrolle in moderner Verpackung: genau, lesbar, testbar.

1. Schritt 1: Schutzbedarf je API-Endpunkt bestimmen.
2. Schritt 2: Regel mit Match-Bedingungen formulieren.
3. Schritt 3: Authenticator und Authorizer zuordnen.
4. Schritt 4: Regel gegen erlaubte und verweigerte Zugriffe testen.

3. API-Schutz für reale Dienste

Die Regeln werden auf konkrete Backends und Servicepfade angewendet.

1. Schritt 1: Öffentliche, authentifizierte und administrative Pfade trennen.
2. Schritt 2: JWT-, Cookie- oder Session-basierte Authentifizierung auswählen.
3. Schritt 3: Header-Weitergabe an Backend definieren.
4. Schritt 4: Fehlerantworten für Clients standardisieren.

4. Regeltest und Fehlersuche

Regeln müssen nachvollziehbar getestet werden, bevor sie Produktion blockieren.

1. Schritt 1: Testmatrix nach Methode, Pfad und Identität erstellen.
2. Schritt 2: Rule-Matching mit Logausgaben prüfen.
3. Schritt 3: Authenticator- und Authorizer-Fehler trennen.
4. Schritt 4: Korrekturen versioniert dokumentieren.

Praktische Übungen

• Access Rule für öffentliche und geschützte API anlegen.
• JWT-geschützten Endpunkt absichern.
• Fehlerhafte Match-Regel finden.
• Header-Mutation an Backend testen.
• Entscheidungsverhalten für erlaubte und verweigerte Requests dokumentieren.

Praxisbezug im Projektalltag

Der Praxisbezug liegt auf API-Plattformen, bei denen Zugriffsschutz nicht in jedem Service einzeln programmiert werden soll.