Seminar Passbolt Intensivseminar II – Sicherheit, Identitätsintegration und Governance

Das zweite Intensivseminar konzentriert sich auf die zwei Bereiche, die im Unternehmensbetrieb untrennbar zusammengehören: technische Sicherheit und Identitätslebenszyklus. Berechtigungen, Schlüssel, Verzeichnisdaten, SSO und Wiederherstellung werden als gemeinsames Kontrollsystem behandelt.

Der Umfang fasst die Fachseminare zu Sicherheit und Härtung sowie Verzeichnisdiensten und SSO zusammen. API-Entwicklung, Backup und Migration werden bewusst dem Intensivseminar III zugeordnet, damit fünf Seminartage praktisch belastbar bleiben.

Nutzen des Seminars

Teilnehmende können das Passbolt-Sicherheitsmodell bewerten, eine Instanz anhand aktueller 5.15-Kontrollen härten und einen konsistenten Identitätsprozess mit LDAP oder SCIM, SSO, MFA und Recovery aufbauen. Einschränkungen und editionsabhängige Funktionen werden in Architektur und Governance korrekt berücksichtigt.

Zielgruppe

Erfahrene Passbolt-Administratoren, Security Engineers, IAM-Spezialisten, Active-Directory- und LDAP-Verantwortliche, Entra-ID- und Keycloak-Administratoren sowie technische Governance-Verantwortliche.

Seminarinhalte

Threat Modeling und OpenPGP

• Schutzgüter, Vertrauensgrenzen und realistische Angriffspfade
• Benutzer-, Server-, Metadaten- und Organisation-Recovery-Schlüssel
• Signaturen, Empfängerverschlüsselung und Prüfung der Serveridentität
• Recovery, Schlüsselverlust und Grenzen administrativer Wiederherstellung

Verschlüsselte Metadaten

• V5-Metadaten gegenüber veralteten Klartextformaten
• Persönliche und gemeinsam verwendete Metadatenschlüssel
• User-Friendly Mode gegenüber Zero-Knowledge-Verteilung
• Schlüsselfreigabe, Rotation und Auswirkungen auf Auditierbarkeit
• Migrationsrisiken für bestehende API- und Auswertungsintegrationen

Berechtigungen, Rollen und Richtlinien

• Ressourcen- und Ordnerrechte, Gruppenreichweite und Freigabebestätigungen
• RBAC und benutzerdefinierte Rollen mit der aktuellen Beschränkung auf die Benutzeroberfläche
• Passwort- und Ablaufregeln als Pro- beziehungsweise Cloud-Funktionen
• Secret History als editionsübergreifende, weiterhin als Beta gekennzeichnete Funktion
• Offboarding, Eigentumsübertragung und Incident-Response-Kontrollen

Server- und SSO-Härtung

• TLS, sichere Cookies, Reverse-Proxy-Vertrauen und Dateirechte
• Schutz von GPG-Schlüsselring, Datenbank-, SMTP- und Laufzeitgeheimnissen
• SSO-Egress-Schutz gegen private und interne Zieladressen in Passbolt 5.15
• Healthcheck-Warnungen, Protokollierung und sichere Diagnose
• Datenbankbasierte Sitzungen als nicht produktiv empfohlene Beta-Funktion

LDAP und Active Directory

• OpenLDAP und Active Directory als offiziell unterstützte Verzeichnisse
• LDAPS, Bind-Konto, Basis-DN, Attribute und Filter
• Simulationslauf vor Einladungen und produktiver Synchronisierung
• Benutzer-, Gruppen- und direkte Mitgliedschaftssynchronisierung ohne verschachtelte Gruppen
• Zeitplanung, Konflikte und Fehlerdiagnose bei größeren Verzeichnissen

SCIM-Provisionierung

• SCIM mit Entra ID oder Okta und sicherer Bearer-Token-Verwaltung
• Benutzeranlage, Attributänderung, Deaktivierung und zweistufige Löschung
• Schutz von Passbolt-Administratoren vor SCIM-Löschung in Version 5.15
• Grenzen: keine Gruppen, Bulk-Operationen oder E-Mail-Änderungen über SCIM
• Koexistenz und klare Abgrenzung zur LDAP-Synchronisierung

SSO, MFA und Account Recovery

• SSO mit Entra ID und Keycloak sowie Einordnung von Google und PingOne
• Sichere Benutzerzuordnung über verifizierte, eindeutige E-Mail-Adressen
• Redirect-Adressen, Client-Geheimnisse, Ablaufüberwachung und Rotation
• TOTP, YubiKey OTP und Duo mit geeigneten Ausweichverfahren
• Account Recovery, Organisation Recovery Key und kontrollierte Ausnahmewege

Praktische Übungen

• Erstellen eines Threat Models für eine selbst gehostete Passbolt-Umgebung
• Konfigurieren und Bewerten von Metadatenschlüssel- und Zero-Knowledge-Modi
• Analysieren von Ordnerrechten, RBAC-Wirkung und offenem API-Pfad
• Härten einer absichtlich fehlerhaft konfigurierten Instanz
• Simulieren und Ausführen einer LDAP-Synchronisierung
• Einrichten einer SCIM-Benutzerprovisionierung mit dokumentierten Grenzen
• Konfigurieren eines SSO-Ablaufs mit sicherer Benutzerzuordnung und Egress-Schutz
• Entwerfen eines MFA-, Recovery- und Break-Glass-Verfahrens

Methodik und Praxisbezug

Fortgeschrittene Sicherheits- und IAM-Laboraufgaben werden in einer vorhandenen Pro-Umgebung ausgeführt. Jede Konfiguration wird aus Benutzer-, Administrator-, API- und Angreiferperspektive geprüft.

Editionen und technische Abgrenzung

LDAP, SSO, SCIM, Account Recovery, Passwortregeln und Passwortablauf benötigen Passbolt Pro beziehungsweise Cloud. Kryptografie, MFA, Berechtigungen, UI-basiertes RBAC und Secret History sind auch in der Community Edition relevant. Secret History und datenbankbasierte Sitzungen werden als Beta-Funktionen behandelt.