Seminar Weaviate Sicherheit, Authentifizierung und RBAC

Dieses praxisorientierte Seminar behandelt API-Key- und OIDC-Authentifizierung, Datenbankbenutzer, Rollen und Berechtigungen, Least Privilege, Mandantenkontext, Netzwerk- und Secret-Schutz, Auditierung, Schlüsselrotation und Sicherheitsprüfung. Alle Arbeitsschritte werden an einer durchgängigen Referenzumgebung ausgeführt, geprüft und in wiederverwendbaren Arbeitsvorlagen dokumentiert.

Inhaltsübersicht

• Bedrohungsmodell und Schutzbedarf
• Authentifizierung
• RBAC und Least Privilege
• Netzwerk und Secrets
• Rotation und Lebenszyklus
• Sicherheitsprüfung
• Lernziele und Abnahmekriterien
• Praxisübungen und Betriebsdokumentation

Lernziele

• Anforderungen in den Bereichen Bedrohungsmodell und Schutzbedarf, Netzwerk und Secrets und Sicherheitsprüfung strukturiert analysieren und in eine umsetzbare Weaviate-Konfiguration überführen.
• Collections, Daten, Abfragen oder Betriebsparameter nachvollziehbar konfigurieren und mit reproduzierbaren Prüfungen verifizieren.
• Fehlersituationen systematisch eingrenzen, geeignete Diagnoseinformationen erfassen und belastbare Korrekturmaßnahmen ableiten.
• Qualität, Leistung, Sicherheit und Wartbarkeit anhand definierter Kriterien bewerten und die Lösung für den Regelbetrieb dokumentieren.

Schritt-für-Schritt-Inhalte

1. Bedrohungsmodell und Schutzbedarf

Schwerpunkt: Datenklassen, Benutzergruppen, Dienste, Angriffsflächen, Administrationspfade, Mandanten und Compliance-Anforderungen.

1. Anforderungen für Bedrohungsmodell und Schutzbedarf erfassen: Datenklassen, Benutzergruppen, Dienste, Angriffsflächen, Administrationspfade, Mandanten und Compliance-Anforderungen; Zielzustand, Eingaben, Abhängigkeiten und messbare Prüfkriterien in einer Arbeitsvorlage festhalten.
2. Technische Grundlage konfigurieren: passende Collections, Properties, Clients, Modelle, Indizes oder Infrastrukturparameter auswählen und jede Einstellung mit ihrem Zweck dokumentieren.
3. Vorgehen mit repräsentativen Daten ausführen: Ausgangszustand prüfen, Operation schrittweise durchführen, Rückgaben protokollieren und das erwartete Verhalten gegen die Prüfkriterien vergleichen.
4. Fehler- und Grenzfälle untersuchen: ungültige Eingaben, fehlende Berechtigungen, leere Ergebnisse, Zeitüberschreitungen oder Ressourcenengpässe gezielt auslösen und diagnostizieren.
5. Ergebnis absichern: Qualität, Latenz, Ressourcenbedarf, Sicherheit und Wartbarkeit bewerten; Konfiguration und Wiederholungsablauf als wiederverwendbares Runbook festhalten.

2. Authentifizierung

Schwerpunkt: API Keys, Datenbankbenutzer, OIDC, Token-Prüfung, anonymer Zugriff, Service-Identitäten und Notfallzugang.

1. Anforderungen für Authentifizierung erfassen: API Keys, Datenbankbenutzer, OIDC, Token-Prüfung, anonymer Zugriff, Service-Identitäten und Notfallzugang; Zielzustand, Eingaben, Abhängigkeiten und messbare Prüfkriterien in einer Arbeitsvorlage festhalten.
2. Technische Grundlage konfigurieren: passende Collections, Properties, Clients, Modelle, Indizes oder Infrastrukturparameter auswählen und jede Einstellung mit ihrem Zweck dokumentieren.
3. Vorgehen mit repräsentativen Daten ausführen: Ausgangszustand prüfen, Operation schrittweise durchführen, Rückgaben protokollieren und das erwartete Verhalten gegen die Prüfkriterien vergleichen.
4. Fehler- und Grenzfälle untersuchen: ungültige Eingaben, fehlende Berechtigungen, leere Ergebnisse, Zeitüberschreitungen oder Ressourcenengpässe gezielt auslösen und diagnostizieren.
5. Ergebnis absichern: Qualität, Latenz, Ressourcenbedarf, Sicherheit und Wartbarkeit bewerten; Konfiguration und Wiederholungsablauf als wiederverwendbares Runbook festhalten.

3. RBAC und Least Privilege

Schwerpunkt: Rollen, Collections, Datenoperationen, Schema, Cluster, Backups, Mandanten und getrennte Verantwortlichkeiten.

1. Anforderungen für RBAC und Least Privilege erfassen: Rollen, Collections, Datenoperationen, Schema, Cluster, Backups, Mandanten und getrennte Verantwortlichkeiten; Zielzustand, Eingaben, Abhängigkeiten und messbare Prüfkriterien in einer Arbeitsvorlage festhalten.
2. Technische Grundlage konfigurieren: passende Collections, Properties, Clients, Modelle, Indizes oder Infrastrukturparameter auswählen und jede Einstellung mit ihrem Zweck dokumentieren.
3. Vorgehen mit repräsentativen Daten ausführen: Ausgangszustand prüfen, Operation schrittweise durchführen, Rückgaben protokollieren und das erwartete Verhalten gegen die Prüfkriterien vergleichen.
4. Fehler- und Grenzfälle untersuchen: ungültige Eingaben, fehlende Berechtigungen, leere Ergebnisse, Zeitüberschreitungen oder Ressourcenengpässe gezielt auslösen und diagnostizieren.
5. Ergebnis absichern: Qualität, Latenz, Ressourcenbedarf, Sicherheit und Wartbarkeit bewerten; Konfiguration und Wiederholungsablauf als wiederverwendbares Runbook festhalten.

4. Netzwerk und Secrets

Schwerpunkt: HTTP und gRPC, TLS-Terminierung, private Netze, Firewall-Regeln, Secret Stores, Konfiguration und Protokollschutz.

1. Anforderungen für Netzwerk und Secrets erfassen: HTTP und gRPC, TLS-Terminierung, private Netze, Firewall-Regeln, Secret Stores, Konfiguration und Protokollschutz; Zielzustand, Eingaben, Abhängigkeiten und messbare Prüfkriterien in einer Arbeitsvorlage festhalten.
2. Technische Grundlage konfigurieren: passende Collections, Properties, Clients, Modelle, Indizes oder Infrastrukturparameter auswählen und jede Einstellung mit ihrem Zweck dokumentieren.
3. Vorgehen mit repräsentativen Daten ausführen: Ausgangszustand prüfen, Operation schrittweise durchführen, Rückgaben protokollieren und das erwartete Verhalten gegen die Prüfkriterien vergleichen.
4. Fehler- und Grenzfälle untersuchen: ungültige Eingaben, fehlende Berechtigungen, leere Ergebnisse, Zeitüberschreitungen oder Ressourcenengpässe gezielt auslösen und diagnostizieren.
5. Ergebnis absichern: Qualität, Latenz, Ressourcenbedarf, Sicherheit und Wartbarkeit bewerten; Konfiguration und Wiederholungsablauf als wiederverwendbares Runbook festhalten.

5. Rotation und Lebenszyklus

Schwerpunkt: Benutzeranlage, Schlüsselwechsel, Ablauf, Sperrung, Austritt, Wiederherstellung und dokumentierte Zuständigkeiten.

1. Anforderungen für Rotation und Lebenszyklus erfassen: Benutzeranlage, Schlüsselwechsel, Ablauf, Sperrung, Austritt, Wiederherstellung und dokumentierte Zuständigkeiten; Zielzustand, Eingaben, Abhängigkeiten und messbare Prüfkriterien in einer Arbeitsvorlage festhalten.
2. Technische Grundlage konfigurieren: passende Collections, Properties, Clients, Modelle, Indizes oder Infrastrukturparameter auswählen und jede Einstellung mit ihrem Zweck dokumentieren.
3. Vorgehen mit repräsentativen Daten ausführen: Ausgangszustand prüfen, Operation schrittweise durchführen, Rückgaben protokollieren und das erwartete Verhalten gegen die Prüfkriterien vergleichen.
4. Fehler- und Grenzfälle untersuchen: ungültige Eingaben, fehlende Berechtigungen, leere Ergebnisse, Zeitüberschreitungen oder Ressourcenengpässe gezielt auslösen und diagnostizieren.
5. Ergebnis absichern: Qualität, Latenz, Ressourcenbedarf, Sicherheit und Wartbarkeit bewerten; Konfiguration und Wiederholungsablauf als wiederverwendbares Runbook festhalten.

6. Sicherheitsprüfung

Schwerpunkt: Positiv- und Negativtests, Rollenmatrix, Tenant-Isolation, Fehlermeldungen, Auditdaten, Abweichungen und Härtungscheckliste.

1. Anforderungen für Sicherheitsprüfung erfassen: Positiv- und Negativtests, Rollenmatrix, Tenant-Isolation, Fehlermeldungen, Auditdaten, Abweichungen und Härtungscheckliste; Zielzustand, Eingaben, Abhängigkeiten und messbare Prüfkriterien in einer Arbeitsvorlage festhalten.
2. Technische Grundlage konfigurieren: passende Collections, Properties, Clients, Modelle, Indizes oder Infrastrukturparameter auswählen und jede Einstellung mit ihrem Zweck dokumentieren.
3. Vorgehen mit repräsentativen Daten ausführen: Ausgangszustand prüfen, Operation schrittweise durchführen, Rückgaben protokollieren und das erwartete Verhalten gegen die Prüfkriterien vergleichen.
4. Fehler- und Grenzfälle untersuchen: ungültige Eingaben, fehlende Berechtigungen, leere Ergebnisse, Zeitüberschreitungen oder Ressourcenengpässe gezielt auslösen und diagnostizieren.
5. Ergebnis absichern: Qualität, Latenz, Ressourcenbedarf, Sicherheit und Wartbarkeit bewerten; Konfiguration und Wiederholungsablauf als wiederverwendbares Runbook festhalten.

Praxisübungen

1. Übung 1: Bedrohungsmodell und Schutzbedarf – Datenklassen, Benutzergruppen, Dienste, Angriffsflächen, Administrationspfade, Mandanten und Compliance-Anforderungen in einer vorbereiteten Referenzumgebung konfigurieren, ausführen, mit Negativtests prüfen und in einem Abnahmeprotokoll dokumentieren.
2. Übung 2: Authentifizierung – API Keys, Datenbankbenutzer, OIDC, Token-Prüfung, anonymer Zugriff, Service-Identitäten und Notfallzugang in einer vorbereiteten Referenzumgebung konfigurieren, ausführen, mit Negativtests prüfen und in einem Abnahmeprotokoll dokumentieren.
3. Übung 3: RBAC und Least Privilege – Rollen, Collections, Datenoperationen, Schema, Cluster, Backups, Mandanten und getrennte Verantwortlichkeiten in einer vorbereiteten Referenzumgebung konfigurieren, ausführen, mit Negativtests prüfen und in einem Abnahmeprotokoll dokumentieren.
4. Übung 4: Netzwerk und Secrets – HTTP und gRPC, TLS-Terminierung, private Netze, Firewall-Regeln, Secret Stores, Konfiguration und Protokollschutz in einer vorbereiteten Referenzumgebung konfigurieren, ausführen, mit Negativtests prüfen und in einem Abnahmeprotokoll dokumentieren.

Zielgruppe

Security Engineers, Plattform Engineers, Administratoren, DevOps-Teams und verantwortliche Anwendungsentwickler.

Voraussetzungen

Grundkenntnisse in Weaviate sowie Basiswissen zu Identitäten, Rollen, Tokens, TLS und Netzwerksegmentierung.