Seminar Pritunl Zero – Rollen, Richtlinien, SSO und WebAuthn

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: Rollenmodell und Least-Privilege-Zugriff
6. Kapitel 2: SSO, Mehrfaktor und WebAuthn
7. Kapitel 3: Richtlinien für Webzugriffe
8. Kapitel 4: Identitätslebenszyklus und regelmäßige Zugriffsprüfung
9. Kapitel 5: Governance, Dokumentation und Zugriffskontrolle
10. Praxislabor
11. Methodik

Seminarprofil

Das zweitägige Fachseminar entwickelt ein wartbares Rollen- und Richtlinienmodell für Web- und SSH-Zugriffe. Identitätsgruppen werden eindeutig auf Rollen abgebildet; starke Authentisierung und Netzwerkbedingungen werden nach Schutzbedarf gestaffelt.

Neben der technischen Konfiguration werden Ausnahmen, Notfallzugriff, Rollenwechsel, Ausscheiden und regelmäßige Rezertifizierung behandelt. Dadurch bleibt das Berechtigungsmodell auch nach der Einführung nachvollziehbar und prüfbar.

Zielgruppe

IAM-, Security- und Pritunl-Zero-Administratoren, Verzeichnisdienstteams, technische Anwendungsverantwortliche und Auditoren.

Voraussetzungen

Grundkenntnisse zu Pritunl Zero, zentralen Identitätsanbietern, Gruppen, SSO, MFA und Rollenmodellen.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: Rollenmodell und Least-Privilege-Zugriff

Inhaltsverzeichnis dieses Kapitels

1. Anwendungen und SSH-Ziele nach Funktion, Umgebung und Schutzbedarf gruppieren.
2. Rollen aus tatsächlichen Aufgaben statt aus einzelnen Personen ableiten.
3. Identitätsgruppen eindeutig auf Rollen abbilden und Groß-/Kleinschreibung s…
4. Rollen nur den erforderlichen Diensten, Authorities oder Netzwerkbedingunge…
5. Sammelrollen, Administratorrollen und temporäre Projektrollen getrennt beha…
6. Regelmäßige Rezertifizierung mit Eigentümer, Mitgliederliste, zugeordneten…
7. Praxisübung

Rollen werden fachlich verständlich, technisch eindeutig und ohne unkontrollierte Verschachtelung aufgebaut.

Schritt-für-Schritt-Anleitung

1. Anwendungen und SSH-Ziele nach Funktion, Umgebung und Schutzbedarf gruppieren.
2. Rollen aus tatsächlichen Aufgaben statt aus einzelnen Personen ableiten.
3. Identitätsgruppen eindeutig auf Rollen abbilden und Groß-/Kleinschreibung sowie Namenskonventionen prüfen.
4. Rollen nur den erforderlichen Diensten, Authorities oder Netzwerkbedingungen zuweisen.
5. Sammelrollen, Administratorrollen und temporäre Projektrollen getrennt behandeln.
6. Regelmäßige Rezertifizierung mit Eigentümer, Mitgliederliste, zugeordneten Zielen und letzter Nutzung durchführen.

Praxisübung

Aus einer gemischten Benutzerliste entsteht ein Rollenmodell für Produktion, Test, Support und externe Wartung; überbreite Zuordnungen werden entfernt.

Kapitel 2: SSO, Mehrfaktor und WebAuthn

Inhaltsverzeichnis dieses Kapitels

1. Identitätsanbieter, Gruppenabfrage, Rücksprungadressen und benötigte Anwend…
2. SSO-Anwendung mit minimalen Berechtigungen registrieren und Geheimnisrotati…
3. Gruppennamen auf vorhandene Rollen abbilden und eine kleine Pilotgruppe zuw…
4. Mehrfaktorverfahren des Providers und zusätzliche WebAuthn-Anforderung nach…
5. Root-Domain und Geltungsbereich der WebAuthn-Anmeldung korrekt planen.
6. Erfolg, abgelehnten zweiten Faktor, fehlende Gruppe, gesperrten Benutzer un…
7. Praxisübung

Zentrale Identitäten werden mit starken, risikogerechten Zusatzanforderungen verbunden.

Schritt-für-Schritt-Anleitung

1. Identitätsanbieter, Gruppenabfrage, Rücksprungadressen und benötigte Anwendungsberechtigungen festlegen.
2. SSO-Anwendung mit minimalen Berechtigungen registrieren und Geheimnisrotation dokumentieren.
3. Gruppennamen auf vorhandene Rollen abbilden und eine kleine Pilotgruppe zuweisen.
4. Mehrfaktorverfahren des Providers und zusätzliche WebAuthn-Anforderung nach Schutzbedarf konfigurieren.
5. Root-Domain und Geltungsbereich der WebAuthn-Anmeldung korrekt planen.
6. Erfolg, abgelehnten zweiten Faktor, fehlende Gruppe, gesperrten Benutzer und Provider-Ausfall testen.

Praxisübung

Eine Pilotintegration mit zwei Rollen wird aufgebaut; Anmeldung mit und ohne geforderten zweiten Faktor sowie Gruppenentzug werden geprüft.

Kapitel 3: Richtlinien für Webzugriffe

Inhaltsverzeichnis dieses Kapitels

1. Schutzbedarf und zulässige Benutzergruppen für den Dienst festlegen.
2. Erforderliche SSO-, Mehrfaktor- oder WebAuthn-Bedingung definieren.
3. Erlaubte und gesperrte Netze mit eindeutiger Priorität und dokumentierter A…
4. Rolle, Richtlinie und Dienst so verknüpfen, dass keine indirekte Sammelroll…
5. Testmatrix aus Benutzergruppe, Authentisierungsstärke, Netzwerk und Browser…
6. Temporäre Ausnahme mit Eigentümer, Enddatum und anschließender Kontrolle ve…
7. Praxisübung

Zugriff wird aus Rolle, Authentisierungsstärke, Netzwerkherkunft und gegebenenfalls zusätzlichem Gerätekontext gebildet.

Schritt-für-Schritt-Anleitung

1. Schutzbedarf und zulässige Benutzergruppen für den Dienst festlegen.
2. Erforderliche SSO-, Mehrfaktor- oder WebAuthn-Bedingung definieren.
3. Erlaubte und gesperrte Netze mit eindeutiger Priorität und dokumentierter Ausnahme verwalten.
4. Rolle, Richtlinie und Dienst so verknüpfen, dass keine indirekte Sammelrolle unnötige Zugriffe eröffnet.
5. Testmatrix aus Benutzergruppe, Authentisierungsstärke, Netzwerk und Browserzustand ausführen.
6. Temporäre Ausnahme mit Eigentümer, Enddatum und anschließender Kontrolle versehen.

Praxisübung

Für eine kritische und eine normale Webanwendung werden unterschiedlich strenge Richtlinien erstellt und gegen eine kombinierte Testmatrix geprüft.

Kapitel 4: Identitätslebenszyklus und regelmäßige Zugriffsprüfung

Inhaltsverzeichnis dieses Kapitels

1. Datenquelle und verantwortliches System für Name, Beschäftigungsstatus, Gru…
2. Eintritt mit genehmigter Rolle, definiertem Startdatum und kontrollierter P…
3. Rollenwechsel als Entzug alter und anschließende Vergabe neuer Rechte durch…
4. Austritt mit Sperre, Profilwiderruf, Geräteentzug und Prüfung laufender Sit…
5. Temporäre externe Konten mit Enddatum und verantwortlichem Sponsor versehen.
6. Quartalsweise Rezertifizierung für Organisationen, Gruppen, Administratoren…
7. Praxisübung

Konten und Gruppen bleiben nur dann vertrauenswürdig, wenn organisatorische Änderungen zeitnah in technische Berechtigungen überführt werden.

Schritt-für-Schritt-Anleitung

1. Datenquelle und verantwortliches System für Name, Beschäftigungsstatus, Gruppe und Gerät bestimmen.
2. Eintritt mit genehmigter Rolle, definiertem Startdatum und kontrollierter Profilausgabe standardisieren.
3. Rollenwechsel als Entzug alter und anschließende Vergabe neuer Rechte durchführen.
4. Austritt mit Sperre, Profilwiderruf, Geräteentzug und Prüfung laufender Sitzungen abschließen.
5. Temporäre externe Konten mit Enddatum und verantwortlichem Sponsor versehen.
6. Quartalsweise Rezertifizierung für Organisationen, Gruppen, Administratoren, Notfallkonten und Ausnahmen durchführen.

Praxisübung

Ein vollständiger Joiner-Mover-Leaver-Fall wird gegen eine Sollrollenmatrix durchgespielt und mit einer Rezertifizierung abgeschlossen.

Kapitel 5: Governance, Dokumentation und Zugriffskontrolle

Inhaltsverzeichnis dieses Kapitels

1. Für jeden Server, Dienst, Link, Rolle und Identitätsanbieter einen fachlich…
2. Änderungen nach Risiko kategorisieren und Freigabe, Test sowie Rückfallweg…
3. Namens-, Tagging- und Dokumentationsstandards für produktive und nicht prod…
4. Regelmäßige Zugriffsprüfung für Benutzer, Gruppen, Rollen, Administratoren,…
5. Ablauf und Rotation für Geheimnisse, Zertifikate, API-Zugänge und Notfallko…
6. Stillgelegte Dienste vollständig aus DNS, Routing, Rollen, Profilen, Monito…
7. Praxisübung

Technische Konfiguration wird mit Eigentümerschaft, Genehmigung, Rezertifizierung und nachvollziehbarer Stilllegung verbunden.

Schritt-für-Schritt-Anleitung

1. Für jeden Server, Dienst, Link, Rolle und Identitätsanbieter einen fachlichen sowie technischen Eigentümer benennen.
2. Änderungen nach Risiko kategorisieren und Freigabe, Test sowie Rückfallweg verpflichtend dokumentieren.
3. Namens-, Tagging- und Dokumentationsstandards für produktive und nicht produktive Objekte festlegen.
4. Regelmäßige Zugriffsprüfung für Benutzer, Gruppen, Rollen, Administratoren, Geräte und Ausnahmen terminieren.
5. Ablauf und Rotation für Geheimnisse, Zertifikate, API-Zugänge und Notfallkonten überwachen.
6. Stillgelegte Dienste vollständig aus DNS, Routing, Rollen, Profilen, Monitoring und Dokumentation entfernen.

Praxisübung

Ein unübersichtlicher Objektbestand wird Eigentümern, Prüfintervallen und Stilllegungsregeln zugeordnet; verwaiste Objekte werden identifiziert.

Praxislabor

Ein Rollenmodell für Produktion, Test, Support und externe Wartung wird aufgebaut. Zwei Dienste erhalten unterschiedliche Authentisierungs- und Netzwerkbedingungen. Gruppenentzug, falscher zweiter Faktor, blockiertes Netz und temporäre Ausnahme werden getestet.

Methodik

Identity- und Policy-Workshop, Live-Konfiguration, geführte Testmatrix und Governance-Übung. Berechtigungen werden aus Aufgaben und Diensten abgeleitet, nicht aus Einzelpersonen.