Seminar Enonic XP 8 – IAM, Service Accounts und Berechtigungen

Das Seminar entwickelt ein nachvollziehbares Identitäts- und Berechtigungsmodell für Enonic XP 8. Menschliche Konten, technische Identitäten, Plattformrollen, Content-Projekte und API-Zugriffe werden konsequent nach minimalen Rechten und klarer Verantwortlichkeit getrennt.

Mehrere Benutzer- und Anwendungsszenarien werden konfiguriert und mit Positiv- sowie Negativtests geprüft. Besonderes Gewicht liegt auf expliziten ACLs, fehlender Rechtevererbung, Service-Account-Lifecycle und auditierbarer Governance.

Inhaltsübersicht

1. Sicherheitsmodell und Principal-Typen
2. Identitätsprovider und Anmeldekontext
3. Benutzer, Gruppen und Plattformrollen
4. Service Accounts und Secrets
5. Explizite ACLs und hierarchische Anwendung
6. Content-Projekte und Projektrollen
7. API-, Admin- und VHost-Zugriffe
8. Audit, Rezertifizierung und Governance

Lernziele

• Identitätsprovider, Principals, Gruppen und Rollen korrekt strukturieren
• Service Accounts sicher anlegen, begrenzen und rotieren
• explizite ACLs und Projektrollen ohne Vererbungsannahmen anwenden
• administrative, redaktionelle und API-Zugriffe getrennt prüfen
• Rezertifizierung, Audit und Berechtigungsrunbooks etablieren

Praxisorientierte Lernschritte

1. Sicherheitsmodell und Principal-Typen

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: Benutzer, Gruppen, Rollen und technische Identitäten voneinander abgrenzen
2. Schritt 2: Authentifizierung und Autorisierung als getrennte Prüfungen modellieren
3. Schritt 3: eine Rollen- und Verantwortungsmatrix für den Beispielbetrieb erstellen

2. Identitätsprovider und Anmeldekontext

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: lokale und angebundene Identitätsquellen nach Einsatzzweck bewerten
2. Schritt 2: Standardprovider und VHost-Kontext für unterschiedliche Zugangswege festlegen
3. Schritt 3: Fehlanmeldung, Providerwechsel und deaktivierte Konten kontrolliert testen

3. Benutzer, Gruppen und Plattformrollen

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: Benutzer- und Gruppenstruktur anhand organisatorischer Aufgaben aufbauen
2. Schritt 2: administrative Rollen nur an klar definierte Betriebsfunktionen vergeben
3. Schritt 3: übermäßige oder widersprüchliche Rollenzuweisungen mit Testkonten erkennen

4. Service Accounts und Secrets

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: technische Identität pro Anwendung oder Integrationszweck anlegen
2. Schritt 2: Token und Geheimnisse sicher bereitstellen, rotieren und widerrufen
3. Schritt 3: Nutzung, Ablauf und Verantwortlichkeit in einem Credential-Register dokumentieren

5. Explizite ACLs und hierarchische Anwendung

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: Lesen, Erstellen, Ändern, Löschen und Veröffentlichen fachlich zuordnen
2. Schritt 2: ACLs explizit an Knoten setzen und auf Teilbäume kontrolliert anwenden
3. Schritt 3: Abweichungen nach Strukturänderungen und Branchwechsel mit Negativtests prüfen

6. Content-Projekte und Projektrollen

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: Viewer-, Contributor-, Editor- und Owner-Aufgaben passend zuordnen
2. Schritt 2: Draft- und veröffentlichte Zugriffe in mehreren Projekten vergleichen
3. Schritt 3: Lokalisierungs- und Publishingprozesse mit getrennten Rollen abbilden

7. API-, Admin- und VHost-Zugriffe

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: öffentliche, authentifizierte und administrative Endpunkte inventarisieren
2. Schritt 2: jede Route mit erwarteter Identität und Mindestberechtigung verknüpfen
3. Schritt 3: unzulässige Token, falsche Hosts und überprivilegierte Konten systematisch testen

8. Audit, Rezertifizierung und Governance

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: sicherheitsrelevante Änderungen und Zugriffe nachvollziehbar protokollieren
2. Schritt 2: regelmäßige Berechtigungsprüfung mit Owner und Ablaufdatum organisieren
3. Schritt 3: Onboarding-, Rollenwechsel- und Offboarding-Runbook mit Kontrollnachweisen erstellen

Zielgruppe und Vorkenntnisse

Zielgruppe: IAM- und Security-Teams, Enonic-Administratoren, Plattformbetrieb, Content-Governance, API-Verantwortliche und technische Revision.

Vorkenntnisse: Grundkenntnisse in Authentifizierung, Autorisierung, Rollenmodellen und Enonic-XP-Administration; Erfahrung mit Identity Providern und Secret Management ist hilfreich.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurations- oder Implementierungsschritte und kontrollierte Fehlerfälle vertieft. Jede Übung besitzt definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Dadurch bleiben die erarbeiteten Abläufe für Projekt- und Betriebsstandards nachvollziehbar.