Seminar Curity Identity Server – OAuth 2.0 und OpenID Connect Grundlagen

Das dreitägige Seminar vermittelt OAuth 2.0 und OpenID Connect von den Rollen und Endpoints bis zur vollständigen Clientintegration. Authorization Code mit PKCE, Client Credentials, Refresh, Introspection, Revocation, UserInfo, Discovery, Sessions, Logout, Clientauthentisierung, Tokenvalidierung und typische Fehlerfälle werden mit dem Curity Token Service praktisch umgesetzt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• OAuth- und OIDC-Rollen, Tokens, Delegationen und Vertrauensbeziehungen sicher erklären.
• Token- und Authentication-Profile als funktionsfähige Profile Group konfigurieren.
• Web-, Mobile-, SPA-, Service- und Machine-Clients passend registrieren.
• Authorization Code, PKCE, Client Credentials, Refresh und ergänzende Endpoints testen.
• Tokenvalidierung, Sessions, Logout, Fehlerantworten und Sicherheitskontrollen beherrschen.

Schrittweise Seminarinhalte

1. OAuth- und OIDC-Rollenmodell

Schwerpunkt: Resource Owner, Client, Authorization Server, OpenID Provider, Resource Server, Delegation, Authentisierung und Consent.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „OAuth- und OIDC-Rollenmodell“ anhand von Resource Owner, Client, Authorization Server, OpenID Provider, Resource Server, Delegation, Authentisierung und Consent erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein korrektes Protokoll- und Vertrauensmodell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

2. Token Profile, Authentication Profile und Endpoints

Schwerpunkt: Authorize, Token, UserInfo, Introspection, Revocation, JWKS, Metadata, Session und Endpoint-Bereitstellung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Token Profile, Authentication Profile und Endpoints“ anhand von Authorize, Token, UserInfo, Introspection, Revocation, JWKS, Metadata, Session und Endpoint-Bereitstellung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine funktionsfähige Profile Group dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

3. Clients und Clienttypen

Schwerpunkt: confidential und public Clients, Web, SPA, Mobile, Backend, Machine Client, Redirect URIs, Capabilities und Authentisierungsmethoden.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Clients und Clienttypen“ anhand von confidential und public Clients, Web, SPA, Mobile, Backend, Machine Client, Redirect URIs, Capabilities und Authentisierungsmethoden erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine sichere Client- und Capability-Matrix dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

4. Authorization Code Flow und PKCE

Schwerpunkt: Authorization Request, State, Nonce, Code, Code Verifier, Token Request, Redirect-Prüfung und Fehlerfälle.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Authorization Code Flow und PKCE“ anhand von Authorization Request, State, Nonce, Code, Code Verifier, Token Request, Redirect-Prüfung und Fehlerfälle erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen vollständig getesteten Code Flow dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

5. Client Credentials, Refresh und weitere Flows

Schwerpunkt: Machine-to-Machine, Refresh-Rotation, Reuse Detection, JWT Assertion, Device-Grundidee und Flow-Auswahl.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Client Credentials, Refresh und weitere Flows“ anhand von Machine-to-Machine, Refresh-Rotation, Reuse Detection, JWT Assertion, Device-Grundidee und Flow-Auswahl erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine risikobasierte Flow-Entscheidungsmatrix dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

6. Scopes, Claims und Tokenarten

Schwerpunkt: Access Token, ID Token, Refresh Token, Opaque oder JWT, Scope, Claim, Audience, Subject, Laufzeit und minimale Datenfreigabe.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Scopes, Claims und Tokenarten“ anhand von Access Token, ID Token, Refresh Token, Opaque oder JWT, Scope, Claim, Audience, Subject, Laufzeit und minimale Datenfreigabe erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein minimales Token- und Datenmodell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

7. Discovery, JWKS und Tokenvalidierung

Schwerpunkt: Issuer, Metadata, JWKS, Signatur, Algorithmus, Audience, Zeitclaims, Nonce, Introspection und Cacheverhalten.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Discovery, JWKS und Tokenvalidierung“ anhand von Issuer, Metadata, JWKS, Signatur, Algorithmus, Audience, Zeitclaims, Nonce, Introspection und Cacheverhalten erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen belastbaren Validierungsablauf dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

8. Sessions, Logout und Troubleshooting

Schwerpunkt: SSO, Session Cookie, RP-initiated Logout, Revocation, Browserfehler, Redirect-Fehler, invalid_client, invalid_grant und Logkorrelation.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Sessions, Logout und Troubleshooting“ anhand von SSO, Session Cookie, RP-initiated Logout, Revocation, Browserfehler, Redirect-Fehler, invalid_client, invalid_grant und Logkorrelation erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen Diagnose- und Abnahmekatalog für OIDC-Integrationen dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

Praxisübungen und Laborszenarien

• Aufbau einer Profile Group mit Authentication- und Token-Profil sowie veröffentlichten Endpoints.
• Registrierung und Test eines Web- oder Mobile-Clients mit Authorization Code und PKCE.
• Konfiguration eines Machine-Clients mit Client Credentials und minimalen Scopes.
• Analyse fehlerhafter Redirect-, Token-, Issuer-, Audience- und Signaturfälle.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM- und Anwendungsarchitektur, Entwickler, API-Teams, Security Engineering, Curity-Administration und technische Projektleitung.

Voraussetzungen: Grundkenntnisse in HTTP, Webanwendungen und APIs; vorherige OAuth-Erfahrung ist nicht erforderlich.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden in einer zusammenhängenden Laborumgebung unmittelbar umgesetzt. Konfiguration, Integration, Sicherheitsprüfung, Fehleranalyse und Dokumentation bauen aufeinander auf, sodass am Ende ein technisch abgenommenes Referenzszenario vorliegt.