Seminar Apache NiFi – Sicherheit, Identitäten und Berechtigungen

Sicherheit wird als Kette aus Identität, Transport, Autorisierung, Geheimnissen, Nachvollziehbarkeit und Betrieb behandelt. Rechte werden minimal vergeben und in Positiv- und Negativtests geprüft.

Inhaltsübersicht

• Einordnung und Zielsetzung
• Zielgruppe und Voraussetzungen
• Lernziele
• Bedrohungs- und Schutzmodell
• TLS und Zertifikate
• Authentifizierung
• Autorisierung und Policies
• Knoten- und Systemidentitäten
• Secrets und sensitive Parameter
• Audit, Härtung und Notfallzugang
• Praxisübungen
• Anwendungsszenarien

Einordnung und Zielsetzung

Drei Tage sind notwendig, weil Zertifikatsaufbau, externe Identitäten, Policy-Modell, Secret-Handling und Audit jeweils eigene Laborphasen mit Fehler- und Wiederherstellungstests erfordern.

Zielgruppe

NiFi-Administration, Identity Management, Informationssicherheit, DevOps, Revision und Plattformarchitektur.

Voraussetzungen

NiFi-Grundkenntnisse sowie Grundlagen zu TLS, Zertifikaten, Verzeichnisdiensten und rollenbasierter Autorisierung.

Lernziele

• TLS und Vertrauensketten korrekt aufbauen.
• Authentifizierungsverfahren technisch einordnen.
• Benutzer, Gruppen und Knotenidentitäten verwalten.
• Policies nach minimalem Recht modellieren.
• Sensitive Parameter und Schlüsselmaterial schützen.
• Audit-, Härtungs- und Notfallkontrollen durchführen.

Seminarinhalte

1. Bedrohungs- und Schutzmodell

Zu schützende Daten, Verwaltungsfunktionen und Kommunikationswege werden systematisch erfasst.

1. Schritt 1: Schutzbedarf und Datenklassen festlegen.
2. Schritt 2: Benutzer-, Knoten- und Serviceidentitäten unterscheiden.
3. Schritt 3: Vertrauensgrenzen zeichnen.
4. Schritt 4: Missbrauchs- und Ausfallszenarien priorisieren.
5. Schritt 5: Kontrollen und Nachweise zuordnen.

2. TLS und Zertifikate

Alle administrativen und internen Verbindungen nutzen überprüfbare Identitäten.

1. Schritt 1: Hostnamen und Zertifikatsanforderungen festlegen.
2. Schritt 2: Keystore und Truststore bereitstellen.
3. Schritt 3: HTTPS-Eigenschaften konfigurieren.
4. Schritt 4: Zertifikatskette und SAN prüfen.
5. Schritt 5: Ungültige oder abgelaufene Zertifikate diagnostizieren.

3. Authentifizierung

Identitäten werden über ein geeignetes Verfahren eindeutig und wiederholbar angemeldet.

1. Schritt 1: Anforderungen an Identitätsquelle aufnehmen.
2. Schritt 2: Provider-Konfiguration vorbereiten.
3. Schritt 3: Benutzerattribute und Normalisierung festlegen.
4. Schritt 4: Anmeldung und Abmeldung testen.
5. Schritt 5: Ausfall und Fehlkonfiguration der Identitätsquelle behandeln.

4. Autorisierung und Policies

Ressourcenrechte werden von globalen Rechten bis zur Prozessgruppe konsequent begrenzt.

1. Schritt 1: Initialen Administrator und Benutzergruppen festlegen.
2. Schritt 2: Globale Policies prüfen.
3. Schritt 3: Prozessgruppenrechte vererben oder gezielt brechen.
4. Schritt 4: View-, Modify-, Operate- und Data-Rechte differenzieren.
5. Schritt 5: Negativtest mit unberechtigter Identität durchführen.

5. Knoten- und Systemidentitäten

Clusterknoten und technische Clients erhalten eigene Identitäten ohne persönliche Konten.

1. Schritt 1: Knoten-DNs oder Serviceidentitäten erfassen.
2. Schritt 2: Knotenrechte konfigurieren.
3. Schritt 3: API- oder Automationskonto mit minimalem Scope anlegen.
4. Schritt 4: Zertifikatswechsel planen.
5. Schritt 5: Verwaiste Identität sperren und nachweisen.

6. Secrets und sensitive Parameter

Zugangsdaten werden weder im Flow noch in Exporten ungeschützt verteilt.

1. Schritt 1: Sensitive Properties und Parameter identifizieren.
2. Schritt 2: Parameterkontext und Provider auswählen.
3. Schritt 3: Datei- und Systemrechte prüfen.
4. Schritt 4: Export- und Backup-Schutz festlegen.
5. Schritt 5: Secret-Rotation ohne ungeplante Unterbrechung testen.

7. Audit, Härtung und Notfallzugang

Änderungen und Zugriffe bleiben nachvollziehbar, während Angriffsfläche und Notfallrisiko begrenzt werden.

1. Schritt 1: Benutzeraktionen und Provenance-Nachweise prüfen.
2. Schritt 2: Nicht benötigte Ports und Komponenten deaktivieren.
3. Schritt 3: Dateirechte und Dienstkonto kontrollieren.
4. Schritt 4: Logschutz und Aufbewahrung definieren.
5. Schritt 5: Break-Glass-Verfahren testen und protokollieren.

Praxisübungen

1. TLS-gesicherte Instanz konfigurieren.
2. Benutzer und Gruppen anbinden.
3. Minimalrechte für eine Prozessgruppe vergeben.
4. Sensitive Parameter rotieren.
5. Audit- und Negativtest durchführen.

Anwendungsszenarien

• Mehrmandantenbetrieb
• Regulierte Datenintegration
• Servicekonten für Automatisierung
• Härtung produktiver Plattformen