Seminar Curity Identity Server – Scopes, Claims und policy-gesteuerte Token-Ausgabe

Das zweitägige Seminar vermittelt ein minimales und policy-gesteuertes Tokenmodell. Scopes, Prefix Scopes, Claims, Claim Provider, Mapper, Audiences, Token Issuer, Laufzeiten, Consent, Token Procedures, Token Issuance Authorizers, AuthZen-Anbindung und Token Exchange werden so konfiguriert, dass nur erforderliche Berechtigungen und Daten ausgegeben werden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Scopes, Claims, Audiences und Tokenarten als getrennte Steuerungsebenen modellieren.
• Claim Provider und Mapper für Access Token, ID Token und UserInfo korrekt einsetzen.
• Laufzeiten, Consent und Delegationen risikobasiert gestalten.
• Token Issuance Authorizers für ACR, Authentisierungsfrische, Client- und Grant-Kontext konfigurieren.
• Token Procedures, AuthZen und Token Exchange kontrolliert in die Ausgabe integrieren.

Schrittweise Seminarinhalte

1. Berechtigungs- und Datenmodell

Schwerpunkt: API-Ressourcen, Operationen, Scopes, Prefix Scopes, Claims, Audiences, Subjects, Mandanten und Datenminimierung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Berechtigungs- und Datenmodell“ anhand von API-Ressourcen, Operationen, Scopes, Prefix Scopes, Claims, Audiences, Subjects, Mandanten und Datenminimierung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein fachlich abgestimmtes Scope- und Claim-Modell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

2. Claim Provider und Datenquellen

Schwerpunkt: Authentication Context, Subject, Account Manager, Data Source, Client Certificate, Consent, System Information und Script Provider.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Claim Provider und Datenquellen“ anhand von Authentication Context, Subject, Account Manager, Data Source, Client Certificate, Consent, System Information und Script Provider erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine nachvollziehbare Claim-Herkunftsmatrix dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

3. Claims Mapper und Tokenformate

Schwerpunkt: Access Token, ID Token, UserInfo, Wrapper Token, Selective Disclosure, Datentypen, Transformation und Namenskonventionen.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Claims Mapper und Tokenformate“ anhand von Access Token, ID Token, UserInfo, Wrapper Token, Selective Disclosure, Datentypen, Transformation und Namenskonventionen erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Ausgabe- und Mapping-Konzept dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

4. Token Issuer, Laufzeiten und Delegationen

Schwerpunkt: Opaque oder JWT, Signing Keys, Issuer, Audience, Access-, Refresh- und ID-Token-TTL, Scope Lifetime und Widerruf.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Token Issuer, Laufzeiten und Delegationen“ anhand von Opaque oder JWT, Signing Keys, Issuer, Audience, Access-, Refresh- und ID-Token-TTL, Scope Lifetime und Widerruf erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein risikobasiertes Token-Lifecycle-Modell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

5. Consent und Token Issuance Authorizers

Schwerpunkt: Benutzereinwilligung, ACR, Authentisierungsfrische, Grant Type, Client Type, Composite TIA, Script TIA, AuthZen und globale Entscheidungen.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Consent und Token Issuance Authorizers“ anhand von Benutzereinwilligung, ACR, Authentisierungsfrische, Grant Type, Client Type, Composite TIA, Script TIA, AuthZen und globale Entscheidungen erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine policy-gesteuerte Scope-Freigabe dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

6. Token Procedures und Token Exchange

Schwerpunkt: Pre- und Post-Processing, Token Procedure, Downscoping, Audience-Wechsel, zusätzliche Claims, Fehlerbehandlung, Audit und Tests.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Token Procedures und Token Exchange“ anhand von Pre- und Post-Processing, Token Procedure, Downscoping, Audience-Wechsel, zusätzliche Claims, Fehlerbehandlung, Audit und Tests erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Ausgabe- und Exchange-Workflow dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

Praxisübungen und Laborszenarien

• Entwurf eines Scope- und Audience-Modells für mehrere APIs und Clienttypen.
• Konfiguration eines Claim Providers und Mappers mit minimaler Ausgabe in Access Token und UserInfo.
• Aufbau einer Token-Issuance-Regel anhand von ACR oder Authentisierungsfrische einschließlich Negativfall.

Zielgruppe und Voraussetzungen

Zielgruppe: OAuth- und API-Architektur, IAM Engineering, Security Engineering, Curity-Administration und Anwendungsintegration.

Voraussetzungen: Gute OAuth-/OIDC-Grundkenntnisse und Verständnis von JWT, APIs, Berechtigungen und Identitätsattributen.

Didaktik und Arbeitsweise

Fachliche Einordnung und Demonstration wechseln mit strukturierten Hands-on-Labs. Jede Übung beginnt mit einem definierten Ausgangszustand, enthält Positiv- und Negativtests und endet mit einer dokumentierten Abnahme sowie einem wiederholbaren Arbeitsablauf.