Seminar eccenca Corporate Memory – Sicherheit, Keycloak und Zugriffskontrolle

Sicherheit in einer Wissensgraph-Plattform umfasst Anmeldung, Rollen, Graphzugriffe, Funktionen, technische Konten, Netzwerk und Protokollierung. Ein einzelner Administratorzugang oder grobe Gruppenrechte reichen für produktive Datenbestände nicht aus.

Das Seminar entwickelt ein abgestuftes Sicherheitsmodell für Corporate Memory und Keycloak. Identitäten, Clients, Claims, Rollen, Access Conditions, Servicekonten, TLS, Secrets und Auditprüfungen werden zu einem überprüfbaren Berechtigungskonzept verbunden.

Inhaltsübersicht

1. Seminarziel
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
   1. Schritt 1: Schutzbedarf und Bedrohungsmodell
   2. Schritt 2: OIDC-Flows und Keycloak-Grundstruktur
   3. Schritt 3: Claims, Mapper und Rollenzuordnung
   4. Schritt 4: Corporate-Memory-Rollen und Access Conditions
   5. Schritt 5: Servicekonten und Automatisierung
   6. Schritt 6: TLS, Secrets und Netzwerkbegrenzung
   7. Schritt 7: Berechtigungstests und Fehlersuche
   8. Schritt 8: Audit, Review und Notfallzugriff
5. Praxisübungen
6. Arbeitsweise

Seminarziel

• Bedrohungen, Schutzbedarf und Sicherheitszonen für Corporate Memory bewerten
• Keycloak-Clients, Rollen, Gruppen und Claims passend zur Plattform konfigurieren
• Graph-, Funktions- und Administrationszugriffe nach Minimalprinzip umsetzen
• Berechtigungen mit Testfällen, Protokollierung und regelmäßigen Reviews kontrollieren

Zielgruppe

Security Engineers, Keycloak-Administratoren, Plattformadministratoren, IAM-Spezialisten, DevOps Engineers und technische Verantwortliche für Compliance und Zugriffsschutz.

Voraussetzungen

Grundkenntnisse in OIDC, OAuth 2.0, TLS und rollenbasierter Zugriffskontrolle. Administrative Laborzugriffe auf Keycloak und Corporate Memory werden benötigt.

Seminarinhalte

Schritt 1: Schutzbedarf und Bedrohungsmodell

Datenklassen, Nutzergruppen, technische Dienste und Angriffsflächen werden erfasst. Schutzmaßnahmen werden nach Identität, Netzwerk, Anwendung und Datenebene gegliedert.

• Schutzbedarfsanalyse
• Trust Boundaries
• Bedrohungen und Kontrollziele

Schritt 2: OIDC-Flows und Keycloak-Grundstruktur

Realm, Clients, Benutzer, Gruppen und Rollen werden entlang der tatsächlichen Anmeldung und Tokenausstellung modelliert. Ungeeignete Flows und überbreite Redirects werden vermieden.

• Authorization Code und Client Credentials
• Realm und Clients
• Redirects, Sessions und Tokenlebensdauer

Schritt 3: Claims, Mapper und Rollenzuordnung

Benutzer- und Gruppeninformationen werden als kontrollierte Claims bereitgestellt. Rollen werden nicht allein technisch, sondern aus fachlichen Aufgaben und Verantwortlichkeiten abgeleitet.

• Protocol Mapper
• Gruppen- und Rollenclaims
• fachliche und technische Rollen

Schritt 4: Corporate-Memory-Rollen und Access Conditions

Funktionsrechte und Datenzugriffe werden getrennt. Access Conditions begrenzen Graphen, Ressourcen oder Arbeitsbereiche, ohne unnötige Vollzugriffe zu vergeben.

• Funktions- und Administrationsrechte
• Graph- und Workspace-Zugriff
• Vererbung und Konfliktprüfung

Schritt 5: Servicekonten und Automatisierung

Technische Konten für cmemc, APIs und Scheduler erhalten eng begrenzte Rollen, eigene Secrets und nachvollziehbare Lebenszyklen. Menschliche und technische Identitäten bleiben getrennt.

• Client Credentials
• Secretrotation
• Dienstrollen und Verantwortlichkeit

Schritt 6: TLS, Secrets und Netzwerkbegrenzung

Transportwege, Zertifikate, Truststores und Geheimnisse werden über alle Komponenten hinweg geprüft. Netzwerkregeln begrenzen unzulässige direkte Zugriffe.

• TLS und Zertifikatsketten
• Secret Stores und Rotation
• Reverse Proxy und Network Policies

Schritt 7: Berechtigungstests und Fehlersuche

Eine Rollenmatrix wird in positive und negative Testfälle überführt. Tokeninhalt, Anwendungsmeldung und Protokolle werden gemeinsam ausgewertet, wenn Zugriffe fehlschlagen oder zu weit reichen.

• Testidentitäten
• Allow- und Deny-Fälle
• Token- und Logdiagnose

Schritt 8: Audit, Review und Notfallzugriff

Anmeldungen, administrative Änderungen und kritische Zugriffe werden nachvollziehbar protokolliert. Regelmäßige Rezertifizierung und ein kontrollierter Notfallzugang schließen den Sicherheitsprozess ab.

• Auditdaten und Aufbewahrung
• Access Review und Rezertifizierung
• Break-Glass-Verfahren

Praxisübungen

1. Erstellung eines Rollen- und Access-Condition-Modells für mehrere Nutzergruppen
2. Konfiguration von Keycloak-Clients, Claims und Servicekonten
3. Durchführung positiver und negativer Berechtigungstests einschließlich Auditprüfung

Arbeitsweise

Die Themen werden in aufeinander aufbauenden Arbeitsschritten vermittelt. Fachliche Einordnung, Demonstration, angeleitete Konfiguration und selbstständige Übungen wechseln sich ab. Jeder größere Arbeitsschritt wird mit einer Prüfung des erzeugten Ergebnisses und einer kurzen technischen Dokumentation abgeschlossen.