Seminar Curity Identity Server – SAML 2.0 Federation und SAML IDP Service

Das zweitägige Seminar behandelt SAML 2.0 sowohl für die Anmeldung über externe Identity Provider als auch für den Betrieb des Curity SAML IDP Service. Metadaten, Bindings, Signaturen, Verschlüsselung, NameID, Attribute, Service Provider, Authentisierungszuordnung, SSO, Logout, Migration und Fehlerdiagnose werden praktisch umgesetzt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• SAML-Rollen, Bindings, Metadaten, Assertions und Vertrauensbeziehungen sicher einordnen.
• Externe SAML-Identity-Provider über den SAML2 Authenticator anbinden.
• Den Curity SAML IDP Service für ausgewählte Service Provider bereitstellen.
• NameID-, Attribut-, Signatur-, Verschlüsselungs- und Authentisierungsregeln konfigurieren.
• SSO-, Logout-, Zertifikatswechsel- und Fehlerszenarien testen und dokumentieren.

Schrittweise Seminarinhalte

1. SAML-Rollen, Nachrichten und Vertrauensmodell

Schwerpunkt: Identity Provider, Service Provider, AuthnRequest, Response, Assertion, Metadata, Entity ID, ACS und Vertrauensanker.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „SAML-Rollen, Nachrichten und Vertrauensmodell“ anhand von Identity Provider, Service Provider, AuthnRequest, Response, Assertion, Metadata, Entity ID, ACS und Vertrauensanker erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein korrektes SAML-Protokoll- und Vertrauensmodell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

2. Externer SAML2 Authenticator

Schwerpunkt: IdP-Metadaten, SSO-Endpoint, Binding, Signaturprüfung, Zertifikate, Subject, Attribute, Authenticator Actions und Account Linking.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Externer SAML2 Authenticator“ anhand von IdP-Metadaten, SSO-Endpoint, Binding, Signaturprüfung, Zertifikate, Subject, Attribute, Authenticator Actions und Account Linking erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine getestete externe SAML-Anmeldung dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

3. SAML IDP Profile und Endpoints

Schwerpunkt: Authentication Profile, Entity ID, Redirect- und POST-Binding, Metadata Endpoint, Service Roles und API-Authentisierung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „SAML IDP Profile und Endpoints“ anhand von Authentication Profile, Entity ID, Redirect- und POST-Binding, Metadata Endpoint, Service Roles und API-Authentisierung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen funktionsfähigen SAML-IDP-Dienst dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

4. Service Provider und Assertion-Ausgabe

Schwerpunkt: ACS, Signaturanforderungen, Verschlüsselung, Audience, Conditions, Holder of Key, NameID, Attribute Groups und Mapping.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Service Provider und Assertion-Ausgabe“ anhand von ACS, Signaturanforderungen, Verschlüsselung, Audience, Conditions, Holder of Key, NameID, Attribute Groups und Mapping erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine minimal berechtigte SP-Konfiguration dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

5. SSO, Logout und Authentisierungszuordnung

Schwerpunkt: Sitzungen, AuthnContext, erlaubte Authenticatoren, Step-up, Sessionindex, Single Logout und gemischte OIDC-/SAML-Landschaften.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „SSO, Logout und Authentisierungszuordnung“ anhand von Sitzungen, AuthnContext, erlaubte Authenticatoren, Step-up, Sessionindex, Single Logout und gemischte OIDC-/SAML-Landschaften erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein abgestimmtes Federation- und Sessionmodell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

6. Zertifikatswechsel, Migration und Fehleranalyse

Schwerpunkt: Metadata-Rollover, parallele Keys, Clock Skew, Destination, InResponseTo, Signatur, Audience, Replay und Protokollkorrelation.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Zertifikatswechsel, Migration und Fehleranalyse“ anhand von Metadata-Rollover, parallele Keys, Clock Skew, Destination, InResponseTo, Signatur, Audience, Replay und Protokollkorrelation erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen SAML-Abnahme- und Troubleshooting-Leitfaden dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

Praxisübungen und Laborszenarien

• Anbindung eines externen SAML-Identity-Providers mit Attributmapping und Account Linking.
• Einrichtung eines SAML-IDP-Profils und Registrierung eines Beispiel-Service-Providers.
• Analyse fehlerhafter Signaturen, Audiences, ACS-Adressen, Zeitbedingungen und NameID-Werte.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM- und Federation-Architektur, Curity-Administration, Anwendungsintegration, Security Engineering und Betreiber bestehender SAML-Landschaften.

Voraussetzungen: Grundkenntnisse in Web-SSO, XML, Zertifikaten und föderierten Identitäten; Curity-Grundlagen sind hilfreich.

Didaktik und Arbeitsweise

Fachliche Einordnung und Demonstration wechseln mit strukturierten Hands-on-Labs. Jede Übung beginnt mit einem definierten Ausgangszustand, enthält Positiv- und Negativtests und endet mit einer dokumentierten Abnahme sowie einem wiederholbaren Arbeitsablauf.