Seminar AWS AFO IAM, KMS und sichere Vertrauensbeziehungen

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar entwirft und prüft die Rollen, Vertrauensrichtlinien, KMS-Schlüssel und Datenzugriffe, die für eine kontenübergreifende forensische Orchestrierung benötigt werden.

Der fachliche Schwerpunkt liegt auf Identitäts-, Berechtigungs- und Verschlüsselungsarchitektur für AFO. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Zwei Tage sind erforderlich, weil Rechte nicht nur modelliert, sondern über mehrere Konten und Datenklassen praktisch geprüft, eingeschränkt und mit Verschlüsselungszugriffen abgestimmt werden.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für Identitäts-, Berechtigungs- und Verschlüsselungsarchitektur für AFO fachlich einordnen;
• Schutzobjekte und Identitätsgrenzen in einen kontrollierten AFO-Prozess überführen;
• Kontenübergreifende Rollenannahme mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Least-Privilege-Policies für Workflows anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei KMS-Schlüsselstrategie systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Schutzobjekte und Identitätsgrenzen

Forensische Artefakte, Workload-Ressourcen, Steuerungsdaten, Schlüssel, Logs und Analyseumgebungen werden nach Schutzbedarf und administrativer Zuständigkeit klassifiziert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Schutzobjekte und Identitätsgrenzen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn forensische Artefakte, Workload-Ressourcen, Steuerungsdaten, Schlüssel, Logs und Analyseumgebungen werden nach Schutzbedarf und administrativer Zuständigkeit klassifiziert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Kontenübergreifende Rollenannahme

Trust Policies, Principal-Auswahl, External IDs, Organisationsbedingungen, Session-Kontext und regionale Einschränkungen werden für Forensik- und Anwendungskonten entworfen.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Kontenübergreifende Rollenannahme“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn trust Policies, Principal-Auswahl, External IDs, Organisationsbedingungen, Session-Kontext und regionale Einschränkungen werden für Forensik- und Anwendungskonten entworfen. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Least-Privilege-Policies für Workflows

Aktionen für EC2, EBS, SSM, S3, DynamoDB, KMS, Step Functions und Lambda werden auf Ressourcen, Bedingungen und konkrete Prozessschritte begrenzt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Least-Privilege-Policies für Workflows“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn aktionen für EC2, EBS, SSM, S3, DynamoDB, KMS, Step Functions und Lambda werden auf Ressourcen, Bedingungen und konkrete Prozessschritte begrenzt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. KMS-Schlüsselstrategie

Kundenseitig verwaltete Schlüssel, Key Policies, Grants, Rotation, Mehrregionenoptionen, Snapshot-Kopien und Zugriffstrennung werden geplant.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „KMS-Schlüsselstrategie“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn kundenseitig verwaltete Schlüssel, Key Policies, Grants, Rotation, Mehrregionenoptionen, Snapshot-Kopien und Zugriffstrennung werden geplant. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Datenzugriffe und Verschlüsselungspfade

Erfassung, Ablage, Kopie, Analyse und Export von Speicherabbildern, Snapshots, Reports und Metadaten werden auf durchgängige Verschlüsselung geprüft.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Datenzugriffe und Verschlüsselungspfade“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn erfassung, Ablage, Kopie, Analyse und Export von Speicherabbildern, Snapshots, Reports und Metadaten werden auf durchgängige Verschlüsselung geprüft. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Berechtigungsanalyse und Negativtests

Policy Simulator, CloudTrail, explizite Deny-Regeln, fehlende Grants, ungültige Trusts und unerlaubte Cross-Account-Zugriffe werden gezielt getestet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Berechtigungsanalyse und Negativtests“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn policy Simulator, CloudTrail, explizite Deny-Regeln, fehlende Grants, ungültige Trusts und unerlaubte Cross-Account-Zugriffe werden gezielt getestet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Break-Glass, Rezertifizierung und Audit

Notfallzugriff, zeitlich begrenzte Sessions, Genehmigungen, regelmäßige Rechteprüfung, Nachweise und Entzug werden als kontrollierter Lebenszyklus umgesetzt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Break-Glass, Rezertifizierung und Audit“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn notfallzugriff, zeitlich begrenzte Sessions, Genehmigungen, regelmäßige Rechteprüfung, Nachweise und Entzug werden als kontrollierter Lebenszyklus umgesetzt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Härtung einer Trainingsumgebung mit getrennten Rollen für Orchestrierung, Erfassung, Untersuchung, Betrieb und revisionssicheren Lesezugriff.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Cloud Security, IAM- und KMS-Verantwortliche, Security Engineering, Plattformteams, Revision und technische Compliance.

Voraussetzungen: Gute Kenntnisse zu IAM-Policies, Rollenannahme, AWS Organizations, KMS, S3 und EBS.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.