Seminar OpenLDAP – sichere Verzeichnisdienste für IAM

Seminarbeschreibung

Ein LDAP-Verzeichnis liefert häufig die Identitätsdaten für zahlreiche Anwendungen. Ungünstige Datenmodelle, zu weit gefasste Leserechte oder unkontrollierte Schreibzugriffe wirken sich deshalb auf die gesamte Anwendungslandschaft aus. Das Seminar vermittelt die systematische Einrichtung eines OpenLDAP-Verzeichnisses mit klaren Zuständigkeiten. Die Arbeit beginnt bei Namensraum, Objektklassen und Attributen und führt bis zur überprüften Anbindung eines Identity Providers.

Die Übungen verwenden die Administrationswerkzeuge von OpenLDAP und nachvollziehbare LDIF-Änderungen. Suchfilter, Indexierung und Zugriffsregeln werden an konkreten Abfragen geprüft. Transportverschlüsselung, technische Bind-Konten, Replikation und Wiederherstellung bilden weitere Schwerpunkte. Dabei wird unterschieden, welche Daten ein Verzeichnis bereitstellt und welche Lebenszyklus- oder SSO-Funktionen durch zusätzliche Komponenten umgesetzt werden müssen.

Seminarinhalte

Inhaltsübersicht:

1. Verzeichnisstruktur und Datenschema
2. Datenpflege und Suchverhalten
3. TLS und technische Zugriffskonten
4. Zugriffsregeln praktisch verifizieren
5. Replikation, Sicherung und Wiederanlauf
6. Anbindung an die IAM-Plattform

1. Verzeichnisstruktur und Datenschema

• Distinguished Names, Suchbasen, Objektklassen und Attribute für ein nachvollziehbares Identitätsmodell festlegen.
• Personen, technische Konten und Gruppen mit eindeutigen Kennungen und klaren Schreibzuständigkeiten modellieren.
• Konfigurationsdatenbank und Nutzdaten unterscheiden und die Ausgangskonfiguration kontrolliert sichern.

2. Datenpflege und Suchverhalten

• Einträge mit LDIF anlegen, ändern und löschen sowie Auswirkungen auf referenzierte Identitäten prüfen.
• Suchbasis, Suchumfang und Filter mit den tatsächlichen Anforderungen angeschlossener Anwendungen abstimmen.
• Wichtige Abfragen und Indexbedarf untersuchen, bevor Datenmengen oder Integrationen erweitert werden.

3. TLS und technische Zugriffskonten

• Gesicherte LDAP-Verbindungen mit kontrolliertem Zertifikatsvertrauen einrichten und ungesicherte Bind-Vorgänge vermeiden.
• Technische Lesekonten nach Aufgabe trennen und Zugangsdaten geschützt bereitstellen.
• Fehler bei Zertifikatskette, Namensprüfung, Bind-DN und Netzwerkverbindung gezielt unterscheiden.

4. Zugriffsregeln praktisch verifizieren

• Lese-, Such-, Authentifizierungs- und Schreibrechte nach Benutzergruppe sowie Attributbedarf begrenzen.
• Reihenfolge und Wirkung von ACL-Regeln anhand positiver und negativer Testabfragen nachweisen.
• Kennwortattribute, personenbezogene Daten und administrative Änderungsrechte besonders kontrollieren.

5. Replikation, Sicherung und Wiederanlauf

• Eine überschaubare Provider-Consumer-Replikation einrichten und getrennte Replikationsrechte festlegen.
• Verzögerungen, Verbindungsstörungen und Änderungen an mehreren Datenbeständen nachvollziehen.
• Konfiguration und Nutzdaten sichern, in ein getrenntes Ziel wiederherstellen und die Such- sowie ACL-Tests wiederholen.

6. Anbindung an die IAM-Plattform

• Ein LDAP-Verzeichnis mit einem Identity Provider verbinden und Suchbasis sowie benötigte Attribute abstimmen.
• Gruppenzuordnung, gesperrte Konten und Änderungen an Benutzermerkmalen auf Anwendungsebene prüfen.
• Schemaänderungen, technische Kennwortrotation und wiederkehrende Integrationskontrollen als geregelte Änderungen dokumentieren.

Praxisübungen

1. Einen Verzeichnisnamensraum entwerfen und Personen, Gruppen sowie technische Konten per LDIF anlegen.
2. Die benötigten Suchabfragen zunächst administrativ und anschließend mit einem eingeschränkten Bind-Konto ausführen.
3. TLS-Vertrauen einrichten und eine Verbindung mit falschem Zertifikatsnamen gezielt zurückweisen lassen.
4. ACLs so anpassen, dass erforderliche Attribute lesbar bleiben und vertrauliche Felder geschützt sind.
5. Die Replikation einrichten, eine Änderung nachvollziehen und eine Sicherung getrennt wiederherstellen.
6. Den Identity Provider anbinden und Rollen- beziehungsweise Gruppenzuordnung mit zwei unterschiedlich berechtigten Konten prüfen.

Einordnung und Vertiefung

Der Kurs behandelt OpenLDAP als Verzeichnisbaustein. Vollständige Personalprozesse, Genehmigungsworkflows und SSO werden durch die angrenzenden IAM-Komponenten abgedeckt und nicht als native OpenLDAP-Funktionen dargestellt.

Seminarangebot und Lernpfade