Seminar Curity Identity Server – Authentication Service, MFA und Passkeys

Das dreitägige Seminar vermittelt den Aufbau sicherer und anpassbarer Anmeldeprozesse mit dem Authentication Service. Authenticatoren, Authentication Actions, SSO, Account Domains, Account Linking, Multi-Tenancy, adaptive Kontrollen, MFA, Passkeys und Benutzerregistrierung werden in vollständigen Login-Pipelines umgesetzt und getestet.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Authentication Profiles und ihre Endpoints für unterschiedliche Anwendungen strukturieren.
• Passwort-, OIDC-, SAML2-, TOTP-, Passkey- und weitere Authenticatoren risikogerecht kombinieren.
• Authentication Actions für Registrierung, Transformation, MFA und adaptive Entscheidungen einsetzen.
• SSO, Account Domains, Account Linking und Mandantentrennung kontrolliert umsetzen.
• Login-Pipelines mit Positiv-, Negativ-, Recovery- und Missbrauchsfällen abnehmen.

Schrittweise Seminarinhalte

1. Authentication Profile und Endpoint-Design

Schwerpunkt: Base URL, Authentication-, Registration- und Activation-Endpoints, Service Providers, Redirect-Whitelists und Service Roles.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Authentication Profile und Endpoint-Design“ anhand von Base URL, Authentication-, Registration- und Activation-Endpoints, Service Providers, Redirect-Whitelists und Service Roles erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine sichere Endpoint- und Profilstruktur dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

2. Authenticatoren und Vertrauensstufen

Schwerpunkt: HTML Form, OIDC, SAML2, Windows, mTLS, TOTP, SMS OTP, Passkeys, WebAuthn und externe Identitätsanbieter.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Authenticatoren und Vertrauensstufen“ anhand von HTML Form, OIDC, SAML2, Windows, mTLS, TOTP, SMS OTP, Passkeys, WebAuthn und externe Identitätsanbieter erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine risikobasierte Authenticator-Matrix dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

3. Authentication Actions und Pipeline-Logik

Schwerpunkt: Sequence, Switch, Attribute-Transformation, Lookup, Require Active Account, Deny, Acknowledgement und Fehlerpfade.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Authentication Actions und Pipeline-Logik“ anhand von Sequence, Switch, Attribute-Transformation, Lookup, Require Active Account, Deny, Acknowledgement und Fehlerpfade erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine nachvollziehbare mehrstufige Login-Pipeline dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

4. MFA, Opt-In und Step-up Authentication

Schwerpunkt: Faktorregistrierung, Conditional MFA, ACR, Authentisierungsfrische, Recovery, Ersatzfaktoren und privilegierte Zugriffe.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „MFA, Opt-In und Step-up Authentication“ anhand von Faktorregistrierung, Conditional MFA, ACR, Authentisierungsfrische, Recovery, Ersatzfaktoren und privilegierte Zugriffe erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein kontrolliertes MFA- und Step-up-Modell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

5. Passkeys und WebAuthn

Schwerpunkt: Relying Party, Origins, Benutzerverifikation, registrierte Passkeys, Discoverable Credentials, Gerätewechsel und Fallback.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Passkeys und WebAuthn“ anhand von Relying Party, Origins, Benutzerverifikation, registrierte Passkeys, Discoverable Credentials, Gerätewechsel und Fallback erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen Passkey-Lifecycle dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

6. SSO, Logout und Sessionsteuerung

Schwerpunkt: SSO-Sitzungen, Authenticator-Auswahl, Session-Laufzeiten, Single Logout, Front- und Backchannel-Verhalten sowie Re-Authentication.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „SSO, Logout und Sessionsteuerung“ anhand von SSO-Sitzungen, Authenticator-Auswahl, Session-Laufzeiten, Single Logout, Front- und Backchannel-Verhalten sowie Re-Authentication erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein abgestimmtes Session- und Logout-Konzept dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

7. Account Domains, Linking und Registrierung

Schwerpunkt: lokale und fremde Konten, Auto Create, Auto Link, Resolve Link, Signup, Aktivierung und Dublettenbehandlung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Account Domains, Linking und Registrierung“ anhand von lokale und fremde Konten, Auto Create, Auto Link, Resolve Link, Signup, Aktivierung und Dublettenbehandlung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Onboarding- und Linking-Prozess dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

8. Multi-Tenancy, Geolocation und adaptive Kontrollen

Schwerpunkt: Mandantenzuordnung, Account-Multi-Tenancy, Country- und Impossible-Journey-Actions, Filter und Zone Transfer.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Multi-Tenancy, Geolocation und adaptive Kontrollen“ anhand von Mandantenzuordnung, Account-Multi-Tenancy, Country- und Impossible-Journey-Actions, Filter und Zone Transfer erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein adaptives und mandantenfähiges Login-Modell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

Praxisübungen und Laborszenarien

• Aufbau einer Login-Pipeline mit Passwort, Conditional MFA und dokumentiertem Recovery-Pfad.
• Konfiguration eines Passkey-Authenticators einschließlich Registrierung, Zweitgerät und Verlustfall.
• Einbindung eines externen OIDC- oder SAML2-Providers mit Account Linking und Negativtests.
• Simulation eines risikobasierten Step-up bei neuer Geolocation oder erhöhtem Schutzbedarf.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM- und Security Engineering, Curity-Administration, Authentisierungsarchitektur, Anwendungsintegration und technische Projektteams.

Voraussetzungen: OAuth-/OIDC-Grundkenntnisse, Verständnis von MFA und Webauthentisierung sowie Zugriff auf eine geeignete Curity-Laborumgebung.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden in einer zusammenhängenden Laborumgebung unmittelbar umgesetzt. Konfiguration, Integration, Sicherheitsprüfung, Fehleranalyse und Dokumentation bauen aufeinander auf, sodass am Ende ein technisch abgenommenes Referenzszenario vorliegt.