Seminar ocserv / OpenConnect – Authentifizierung mit PAM, RADIUS, Kerberos und OIDC

Zentrale Identitäten vereinfachen den Zugriff nur dann, wenn Vertrauensbeziehungen, Faktoren, Gruppen, Ausfälle und Protokollierung sauber geplant sind. Mehrere Anmeldewege werden praktisch aufgebaut und gegen schwache Rückfallpfade abgesichert.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Qualitäts- und Abnahmekriterien
• Einordnung in das Gesamtprogramm

Seminarprofil

Dreitägige ocserv-Schulung zu PAM, RADIUS, Kerberos, OpenID Connect, MFA, Gruppenmapping, Accounting, Ausfallszenarien und sicheren Tests. Die festgelegte Dauer ist fachlich begründet: Drei Tage sind notwendig, weil vier Identitätswelten, Mehrfaktorlogik, Gruppenabbildung, Accounting, Fehlerszenarien und Integrationsübungen getrennt aufgebaut und getestet werden.

Lernziele

• Lokale und zentrale Verfahren konfigurieren.
• RADIUS-Authentifizierung und Accounting aufbauen.
• Kerberos und OIDC in eine Vertrauenskette einordnen.
• Mehrere Faktoren korrekt kombinieren.
• Provider- und Attributfehler diagnostizieren.

Zielgruppe

Identity- und Access-Management, Linux- und Netzwerkadministration, IT-Sicherheit sowie RADIUS- und Verzeichnisdienstbetrieb.

Voraussetzungen

Sichere Linux-, TCP/IP- und TLS-Kenntnisse sowie allgemeines Verständnis zentraler Benutzerverzeichnisse.

Seminarinhalte

Schritt 1: Authentifizierungsmodell und Vertrauensgrenzen

Identitätsquelle, Faktor, Gruppenquelle, Autorisierung und Notfallzugang werden getrennt modelliert; gemeinsame Faktoren und alternative Wege werden eindeutig unterschieden. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Authentifizierungsmodell und Vertrauensgrenzen
• Konfiguration und kontrollierte Umsetzung von Authentifizierungsmodell und Vertrauensgrenzen
• Funktions-, Sicherheits- und Fehlerprüfung für Authentifizierungsmodell und Vertrauensgrenzen
• Betriebscheckliste, Abnahme und Rückfallweg für Authentifizierungsmodell und Vertrauensgrenzen

Schritt 2: Lokale Konten und PAM

Dateibasierte Konten, sichere Hashes, PAM-Stack, Kontosperre, Ablauf und negative Tests bilden die nachvollziehbare Ausgangsbasis. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Lokale Konten und PAM
• Konfiguration und kontrollierte Umsetzung von Lokale Konten und PAM
• Funktions-, Sicherheits- und Fehlerprüfung für Lokale Konten und PAM
• Betriebscheckliste, Abnahme und Rückfallweg für Lokale Konten und PAM

Schritt 3: RADIUS-Authentifizierung

Gemeinsames Geheimnis, Zeitüberschreitungen, Wiederholungen, Redundanz und Rückgabecodes werden praktisch eingerichtet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für RADIUS-Authentifizierung
• Konfiguration und kontrollierte Umsetzung von RADIUS-Authentifizierung
• Funktions-, Sicherheits- und Fehlerprüfung für RADIUS-Authentifizierung
• Betriebscheckliste, Abnahme und Rückfallweg für RADIUS-Authentifizierung

Schritt 4: RADIUS-Gruppen und Accounting

Gruppenattribute sowie Start-, Zwischen- und Stop-Datensätze werden mit Sitzungen und Richtlinien verknüpft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für RADIUS-Gruppen und Accounting
• Konfiguration und kontrollierte Umsetzung von RADIUS-Gruppen und Accounting
• Funktions-, Sicherheits- und Fehlerprüfung für RADIUS-Gruppen und Accounting
• Betriebscheckliste, Abnahme und Rückfallweg für RADIUS-Gruppen und Accounting

Schritt 5: Kerberos und GSSAPI

Dienstprinzipal, Keytab, DNS, Zeit, Ticketfluss und typische Namens- oder Schlüsselprobleme werden systematisch geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Kerberos und GSSAPI
• Konfiguration und kontrollierte Umsetzung von Kerberos und GSSAPI
• Funktions-, Sicherheits- und Fehlerprüfung für Kerberos und GSSAPI
• Betriebscheckliste, Abnahme und Rückfallweg für Kerberos und GSSAPI

Schritt 6: OpenID Connect

Provider-Metadaten, Clientregistrierung, Redirect, Signatur, Issuer, Audience, Claims, Gruppenmapping und Logout werden abgesichert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für OpenID Connect
• Konfiguration und kontrollierte Umsetzung von OpenID Connect
• Funktions-, Sicherheits- und Fehlerprüfung für OpenID Connect
• Betriebscheckliste, Abnahme und Rückfallweg für OpenID Connect

Schritt 7: Mehrfaktor- und Tokenverfahren

Zertifikat, Passwort, HOTP/TOTP und zentrale Anmeldung werden kombiniert; Enrollment, Verlust, Zeitsynchronisation und Supportfall werden eingeplant. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Mehrfaktor- und Tokenverfahren
• Konfiguration und kontrollierte Umsetzung von Mehrfaktor- und Tokenverfahren
• Funktions-, Sicherheits- und Fehlerprüfung für Mehrfaktor- und Tokenverfahren
• Betriebscheckliste, Abnahme und Rückfallweg für Mehrfaktor- und Tokenverfahren

Schritt 8: Fehlersuche und Notfallbetrieb

Logs, Zeitstempel, Providerzustand, Clientausgabe und Gruppenwirkung werden zu einer Diagnosematrix und einem streng begrenzten Break-Glass-Verfahren zusammengeführt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Fehlersuche und Notfallbetrieb
• Konfiguration und kontrollierte Umsetzung von Fehlersuche und Notfallbetrieb
• Funktions-, Sicherheits- und Fehlerprüfung für Fehlersuche und Notfallbetrieb
• Betriebscheckliste, Abnahme und Rückfallweg für Fehlersuche und Notfallbetrieb

Praxisübungen

1. Authentifizierungsmodell und Vertrauensgrenzen anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
2. Lokale Konten und PAM anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
3. RADIUS-Authentifizierung anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
4. RADIUS-Gruppen und Accounting anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
5. Kerberos und GSSAPI anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
6. OpenID Connect anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.

Qualitäts- und Abnahmekriterien

• Jede Konfigurationsänderung besitzt einen dokumentierten Ausgangszustand und einen Rückfallpunkt.
• Erlaubte Funktionen werden positiv, verbotene oder fehlerhafte Zustände ausdrücklich negativ getestet.
• Client-, Server-, Netzwerk- und Identitätssicht werden zeitlich korreliert.
• Geheimnisse, Schlüssel und personenbezogene Sitzungsdaten bleiben geschützt.
• Die Laborergebnisse werden in eine wiederholbare Betriebs- oder Projektcheckliste überführt.

Einordnung in das Gesamtprogramm

Der Kurs baut auf Architektur und Grundinstallation auf. Danach folgen Richtlinien, PKI, Hardening und Monitoring.