Seminar KNIME Business Hub – Identitäts- und Zugriffsmanagement mit LDAP, OIDC, SAML und SCIM

Dieses Seminar behandelt die Planung, Einrichtung und kontrollierte Weiterentwicklung des Identitäts- und Zugriffsmanagements für den Business Hub. Es verbindet Keycloak, externe Identitätsanbieter, Verzeichnisdienste, Benutzer- und Gruppenbereitstellung, Teamzuordnung, Rollen, Consumer-Zugriffe und technische Konten zu einem belastbaren Gesamtmodell.

Inhaltsverzeichnis

• Einordnung und Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praktische Übungen
• Methodik

Einordnung und Lernziele

Das Seminar ist auf eine nachvollziehbare, praktisch überprüfbare Arbeitsweise ausgerichtet. Die fachlichen und technischen Ziele werden vor jeder Konfiguration in prüfbare Schritte übersetzt.

• ein konsistentes Identitäts-, Gruppen- und Rollenmodell für den Business Hub entwerfen
• LDAP-Föderation sowie externe OIDC- und SAML-Identitätsanbieter kontrolliert anbinden
• Benutzer und Gruppen mit SCIM vorab bereitstellen und Teams zuordnen
• Attribute, Claims, Mapper und Namensregeln reproduzierbar konfigurieren
• Fehlerdiagnose, Rezertifizierung, Offboarding und Notfallzugänge standardisieren

Zielgruppe

Hub-Administratoren, IAM- und Keycloak-Administratoren, Verzeichnisdienstbetreiber, Plattformadministratoren, Informationssicherheit und technische Architekten

Voraussetzungen

Erfahrung mit Identitätsmanagement, Verzeichnisdiensten, TLS und administrativen Rollen; Grundkenntnisse in OIDC oder SAML sind hilfreich

Seminarinhalte

Die Module bauen aufeinander auf. Jeder Arbeitsschritt enthält einen eindeutigen Prüfpunkt und wird in Demonstrationen oder Übungen nachvollzogen.

Modul 1: IAM-Zielbild und Vertrauensmodell

1. Schritt 1: Identitätssysteme, Benutzerklassen, Gruppen, technische Konten und Consumer erfassen.
2. Schritt 2: Vertrauensgrenzen zwischen Identity Provider, Keycloak, Business Hub und angebundenen Anwendungen festlegen.
3. Schritt 3: Authentisierung, Provisionierung, Autorisierung und Teamzuordnung als getrennte Kontrollbereiche modellieren.
4. Schritt 4: Eigentümer, Freigaben und Eskalationswege für jede Identitätssystem dokumentieren.

Modul 2: Keycloak und Business-Hub-Kontenmodell

1. Schritt 1: Realm, Benutzer, Gruppen, Clients und Rollen im Zusammenspiel mit dem Hub einordnen.
2. Schritt 2: Globale Administration, Teamadministration, Mitgliedschaft und Consumer-Zugriff unterscheiden.
3. Schritt 3: Benutzernamen, E-Mail, Vorname, Nachname und eindeutige Kennungen auf technische Anforderungen prüfen.
4. Schritt 4: Ein Mapping-Datenblatt für Ausgangsattribute, Zielattribute und Pflichtwerte erstellen.

Modul 3: LDAP-Föderation

1. Schritt 1: Verzeichnisbasis, Bind-Konto, Suchfilter, Objektklassen und Attributzuordnung festlegen.
2. Schritt 2: TLS-Vertrauen, Erreichbarkeit und minimal notwendige Leseberechtigungen vorbereiten.
3. Schritt 3: Synchronisationsrichtung, Änderungsverhalten und Umgang mit deaktivierten Konten definieren.
4. Schritt 4: Anmeldung, Attributübernahme, Gruppenauflösung und Fehlerfälle mit Testkonten prüfen.

Modul 4: OIDC-Identitätsanbieter

1. Schritt 1: Issuer, Client, Redirect-URIs, Scopes und Signaturschlüssel aus dem Zielmodell ableiten.
2. Schritt 2: Claims für Benutzerkennung, E-Mail, Namen und externe Gruppen eindeutig zuordnen.
3. Schritt 3: Mapper, Synchronisationsmodus und Verhalten bei geänderten Attributen konfigurieren.
4. Schritt 4: Login, Logout, Tokenlaufzeit, Gruppenänderung und abgewiesene Anmeldung systematisch testen.

Modul 5: SAML-Identitätsanbieter

1. Schritt 1: Entity IDs, Endpunkte, Zertifikate und Signaturanforderungen zwischen den Systemen abstimmen.
2. Schritt 2: NameID und Attribute so mappen, dass stabile Benutzerkonten entstehen.
3. Schritt 3: Zeitabweichung, Zertifikatswechsel und fehlerhafte Assertions als Betriebsfälle vorbereiten.
4. Schritt 4: Anmeldung, Abmeldung, Attributänderung und Sperrung mit definierten Prüfpunkten abnehmen.

Modul 6: SCIM-Provisionierung und externe Gruppen

1. Schritt 1: Provisionierungsanwendung, Anwendungspasswort, Berechtigungen und Zielendpunkte kontrolliert vorbereiten.
2. Schritt 2: Benutzer- und Gruppenerstellung, Aktualisierung, Deaktivierung und Löschung als Lifecycle festlegen.
3. Schritt 3: Externe Gruppen auf Teamgruppen abbilden und Auswirkungen auf Seats und Teamgrenzen prüfen.
4. Schritt 4: Vorab-Provisionierung, verzögerte Änderungen und fehlerhafte Datensätze mit Testfällen validieren.

Modul 7: Rollen, Teamzuordnung und Minimalprinzip

1. Schritt 1: Gruppenbasierte Mitgliedschaften von individuellen Ausnahmen trennen.
2. Schritt 2: Administrative Rollen nur an dedizierte, überprüfte Konten vergeben.
3. Schritt 3: Consumer, Mitglieder und technische Clients nach benötigter Funktion und Lizenzwirkung klassifizieren.
4. Schritt 4: Rezertifizierung, Rollenwechsel und sofortigen Entzug in einen verbindlichen Ablauf überführen.

Modul 8: Betrieb, Diagnose und Notfall

1. Schritt 1: Anmelde- und Provisionierungsfehler nach Netzwerk, TLS, Token, Mapper, Attribut und Berechtigung eingrenzen.
2. Schritt 2: Protokolle und Diagnoseinformationen datenschutzgerecht sichern und auswerten.
3. Schritt 3: Notfalladministration, Break-Glass-Konto und Wiederherstellung nach IdP-Ausfall testen.
4. Schritt 4: Betriebsdokumentation, Kontrollkalender und Änderungscheckliste vollständig erstellen.

Praktische Übungen

Eine Beispielorganisation wird mit LDAP- oder externem Identity Provider, Claims und Mappern, SCIM-Provisionierung, externen Gruppen, Teamzuordnung und Rollenmodell aufgebaut. Fehlerhafte Attribute, fehlende Gruppen, abgelaufene Zertifikate und Offboarding-Fälle werden anhand einer Diagnosematrix bearbeitet.

Methodik

Vortrag, fachliche Einordnung, Live-Demonstrationen, geführte Konfiguration, Fehlerdiagnose, praktische Übungen am System und strukturierte Prüflisten werden kombiniert. Konfigurationen werden nicht nur angelegt, sondern anhand definierter Sollzustände kontrolliert.