Seminar Identitätsmanagement mit Keycloak – SSO für souveräne Dienste

Souveräne Dienste benötigen eine kontrollierbare Verwaltung von Identitäten und Zugriffsrechten. Das Seminar zeigt den Aufbau einer zentralen Anmeldung mit Keycloak und die Anbindung ausgewählter Anwendungen. Die Laborarchitektur macht sichtbar, welche Aufgaben beim Identitätsdienst und welche Aufgaben weiterhin bei der Fachanwendung liegen.

Die praktische Arbeit konzentriert sich auf OpenID Connect, nachvollziehbare Rollen- und Gruppenmodelle sowie zusätzliche Anmeldefaktoren. Benutzerföderation und Identity Brokering werden sauber unterschieden. Der Rechteentzug wird ebenso geprüft wie die Erstregistrierung einer Anwendung. Für den Betrieb werden Zertifikate, Datenbank, administrative Notfallzugänge und Wiederherstellung einbezogen. Ein Realm-Export wird dabei als Konfigurationsmittel behandelt und ersetzt keine vollständige Betriebsdatensicherung.

Zwei vorbereitete Testanwendungen verwenden denselben zentralen Anmeldedienst, benötigen aber unterschiedliche fachliche Rollen. Ein Benutzer erhält zunächst Zugriff auf beide Anwendungen. Anschließend werden Gruppenmitgliedschaft, Rolle und Kontostatus verändert. Geprüft wird, welche Auswirkungen sofort eintreten, welche von Sitzungen oder Tokenlaufzeiten abhängen und welche zusätzlichen Kontrollen die Anwendung selbst durchführen muss. Ein zweiter Fall untersucht eine fehlgeschlagene Anmeldung nach einer fehlerhaften Clientänderung.

Die Abnahme umfasst erlaubte und verweigerte Zugriffe. Dafür werden positive und negative Testfälle mit klaren Erwartungen verwendet. Ein administrativer Wiederherstellungsweg wird getrennt von der normalen Benutzeranmeldung dokumentiert. Nach dem Restore werden Konfiguration, Anmeldung und Rollenprüfung erneut kontrolliert. Dadurch werden typische Lücken sichtbar, die eine reine Funktionsprüfung des Anmeldebildschirms nicht erfassen würde.

Seminarinhalte

Architektur und Grundbetrieb

• Authentifizierung, Autorisierung, Provisionierung und Sitzungsverwaltung unterscheiden.
• Realms, Clients, Benutzer und Rollen in einem einfachen Zielmodell anlegen.
• Datenbank, Hostnamen, TLS und Reverse-Proxy-Verhalten für den Laborbetrieb prüfen.

OpenID Connect und Anwendungen

• Einen Testclient mit definierten Redirect-URIs und geeigneter Clientart konfigurieren.
• Authorization Code Flow und PKCE anhand des Anmeldeablaufs nachvollziehen.
• Tokeninhalt, Gültigkeit und die Prüfung in einer angebundenen Anwendung untersuchen.

Rollen, Gruppen und Benutzerquellen

• Clientrollen, Realmrollen, Gruppen und Claims zweckmäßig zuordnen.
• Eine vorbereitete Benutzerquelle anbinden und Synchronisationsgrenzen prüfen.
• Kontoverknüpfung über einen externen Identity Provider von Benutzerföderation unterscheiden.

Anmeldeschutz und Rechteentzug

• Mehrfaktor-Authentifizierung und geeignete Wiederherstellungsabläufe einrichten.
• Sitzungen, Kontensperrung und Rollenänderungen mit mehreren Testkonten prüfen.
• Administrative Zugänge und technische Dienstkonten nach ihrem Einsatzzweck begrenzen.

Integration und Fehlersuche

• Fehlerhafte Redirects, Hostnamen, Zeitabweichungen und fehlende Claims nachvollziehen.
• Ereignisprotokolle, Anwendungsfehler und Tokenprüfung zu einer Fehleranalyse verbinden.
• Eine standardisierte Prüfliste für die Aufnahme weiterer Dienste erstellen.

Betrieb und Wiederherstellung

• Datenbank, Konfiguration, Erweiterungen und Schlüsselmaterial in das Sicherungskonzept aufnehmen.
• Konfigurationsübertragungen mit Realm-Exporten und einer definierten Importstrategie erproben.
• Wiederherstellung eines vorbereiteten Sicherungsstands und erneute Anmeldung am Testdienst prüfen.

Praxisübungen

1. Einen Realm und einen OIDC-Testclient aufbauen und eine Anwendung mit einer klaren Rollenzuordnung anbinden.
2. MFA aktivieren, eine unzulässige Anmeldung analysieren und die Wirkung eines Rechteentzugs testen.
3. Einen vorbereiteten Betriebsstand wiederherstellen und die Anmeldung sowie Berechtigungsprüfung erneut durchführen.

Schulungsumgebung

Isolierte Linux-Laborumgebung mit Datenbank, Keycloak, OIDC-Testanwendungen und vorbereiteter Benutzerquelle; keine produktiven Verzeichniszugänge.