Seminar cidaas API-Security, Scopes und Claims

Dieses Seminar behandelt die Absicherung von APIs mit cidaas aus Sicht von Architektur, Entwicklung und Betrieb. Es geht nicht um hübsche Loginmasken, sondern um die harte Frage, welche Anwendung welche Ressource mit welchem Token erreichen darf. Behandelt werden Scopes, Claims, Access Tokens, ID Tokens, Resource Server, Prüfpfade und typische Fehler bei zu grob geschnittenen Berechtigungen.

Inhaltsverzeichnis

• OAuth2- und OIDC-Rollen in API-Szenarien
• Scopes, Claims und Token-Inhalte
• Resource-Server-Absicherung und Token-Prüfung
• Fehlerbilder bei Berechtigungen und Token-Laufzeiten
• Sicherheitsprüfung und Review von API-Konzepten

Zielgruppe

Das Seminar richtet sich an Entwickler, Solution Architects, DevOps-Teams, technische Consultants und Integrationsverantwortliche, die Anwendungen, APIs oder externe Identitätsquellen mit cidaas verbinden.

Voraussetzungen

Erforderlich sind sichere Grundlagen in HTTP, Webanwendungen und API-Konzepten. Kenntnisse zu OAuth2, OpenID Connect, JSON Web Tokens oder SAML erleichtern den Einstieg, werden jedoch strukturiert eingeordnet.

Seminarinhalte

API-Sicherheitsmodell

Die Rollen von Client, Authorization Server, Resource Server und Endbenutzer werden sauber abgegrenzt. Daraus wird ein Sicherheitsmodell für APIs abgeleitet, das nicht von implizitem Vertrauen lebt.

Scopes und Claims entwerfen

Scopes werden als technische Zugriffsrechte verstanden, Claims als Aussage über Identität und Kontext. Das Seminar zeigt, wie beide Konzepte getrennt entworfen und dennoch sinnvoll zusammengeführt werden.

Tokens prüfen und auswerten

Access Tokens, ID Tokens, Signaturen, Laufzeiten, Audiences und Issuer werden betrachtet. Es wird erklärt, welche Prüfungen eine API zwingend durchführen sollte und welche Prüfungen häufig vergessen werden.

Feingranulare Berechtigungen

Rollen, Gruppen, benutzerbezogene Attribute und externe Policies werden in eine API-Strategie eingebunden. Behandelt werden Muster für Mandantenfähigkeit, B2B-Zugriff und privilegierte Aktionen.

Review und Fehleranalyse

Typische Probleme wie falsche Audience, unpassende Scopes, überladene Tokens oder langlebige Berechtigungen werden analysiert und in Prüfregeln überführt.

Praktische Arbeiten

• Entwerfen eines Scope-Modells für eine Beispiel-API
• Prüfen von Token-Inhalten gegen API-Anforderungen
• Erkennen überprivilegierter Clients in einem Berechtigungsmodell
• Dokumentieren einer API-Sicherheitsprüfung

Praxisnutzen

Nach dem Seminar können API-Zugriffe über cidaas strukturiert abgesichert, Scopes und Claims fachlich sauber getrennt und technische Token-Prüfungen nachvollziehbar umgesetzt werden.

Abgrenzung und Anschluss

Als Anschluss eignen sich App-Integration mit OAuth2 und OpenID Connect, APIs und Automatisierung sowie Security Hardening.