Seminar Gravitee AM und APIM Integration für API-Security

Überblick

Dieses Seminar schließt die Lücke zwischen Identitätsmanagement und API-Gateway-Security. Gravitee AM wird als Autorisierungs- und Identitätskomponente mit Gravitee APIM verknüpft. Drei Tage sind erforderlich, weil beide Produkte, Token-Flüsse, API-Pläne, Scopes, RBAC und Fehlersuche gemeinsam betrachtet werden.

Inhaltsübersicht

• Zielarchitektur für API-Security entwerfen
• OAuth2- und JWT-Pläne in APIM einordnen
• Token-Validierung und Introspection konfigurieren
• Scopes, Rollen und RBAC anwenden
• End-to-End-Flüsse testen
• Betriebsstandards und Fehlersuche definieren

Teilnehmerkreis

Geeignet für Teams, die APIs nicht nur veröffentlichen, sondern mit zentralem Identity Provider, Token-Prüfung und rollenbasiertem Zugriff absichern müssen.

Vorkenntnisse

Vorausgesetzt werden Grundkenntnisse zu APIs, HTTP und Token-basierter Sicherheit. Erfahrung mit Gravitee APIM oder AM ist hilfreich.

Schrittweise Seminarinhalte

1. Zielarchitektur für API-Security entwerfen

AM und APIM werden mit klaren Verantwortlichkeiten gekoppelt.

• Rollen von Authorization Server und Gateway trennen
• Token-Ausgabe und API-Zugriff verbinden
• Trust-Beziehungen skizzieren
• Schutzbedarf von APIs klassifizieren

2. OAuth2- und JWT-Pläne in APIM einordnen

API-Pläne werden als Sicherheits- und Verbrauchsschicht modelliert.

• Planarten vergleichen
• Scopes und Subscriptions abstimmen
• Anwendungen und Clients zuordnen
• mTLS, JWT und OAuth2 abgrenzen

3. Token-Validierung und Introspection konfigurieren

Das Gateway prüft Token kontrolliert und nachvollziehbar.

• OAuth2-Ressource definieren
• Introspection-Endpunkt anbinden
• JWT-Validierung prüfen
• Fehlerreaktionen testen

4. Scopes, Rollen und RBAC anwenden

Berechtigungen werden vom Token in Gateway-Entscheidungen übertragen.

• Scopes in AM modellieren
• Claims und Rollen bereitstellen
• RBAC-Policy in APIM verwenden
• Pfad- und Methodenrechte testen

5. End-to-End-Flüsse testen

Der komplette Weg vom Client bis zum Backend wird geprüft.

• Client anmelden und Token beziehen
• API mit gültigem Token aufrufen
• Ungültige und abgelaufene Token testen
• Logs und Auditdaten korrelieren

6. Betriebsstandards und Fehlersuche definieren

Wiederkehrende Integrationsfehler werden greifbar gemacht.

• Clock-Skew und Zertifikate prüfen
• Scope-Fehler erkennen
• Subscription-Probleme analysieren
• Abnahmekriterien dokumentieren

Praxisübungen

• Absicherung einer API über einen OAuth2-Plan
• Token-Erzeugung in AM und Prüfung im APIM Gateway
• RBAC-Regel auf Basis von Scopes oder Rollen
• Analyse eines 401- und 403-Fehlers im Zusammenspiel

Arbeitsweise

Die Inhalte werden als fachlicher Aufbau mit Demonstrationen, Konfigurationsübungen und kontrollierten Fehlerszenarien durchgeführt. Jede Übung folgt einem nachvollziehbaren Arbeitsgang: Ausgangslage prüfen, Konfiguration vornehmen, Verhalten testen, Protokolle auswerten und die Änderung in einen betrieblichen Standard überführen.