Seminar Pomerium – Identitätsanbieter, OIDC und Sitzungsmanagement

Identitätsinformationen bilden die Grundlage jeder Zugriffsentscheidung. Das Seminar verbindet einen OIDC-fähigen Identitätsanbieter mit einem kontrollierten Sitzungslebenszyklus und einem verlässlichen Claim-Datenvertrag.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. OIDC-Vertrauensmodell
5. Client-Registrierung
6. Claims und Gruppen
7. Authenticate-Bereitstellung
8. Sitzungslebenszyklus
9. MFA und Step-up
10. Fehlerdiagnose
11. Praxisübungen
12. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: IAM-Administration, Identity Engineering, Security Engineering, Plattformbetrieb, Anwendungsintegration und Service Desk.

Voraussetzungen: Grundkenntnisse in OAuth 2.0, OpenID Connect, TLS, DNS und Gruppenverwaltung sowie Pomerium-Architekturgrundlagen.

Lernziele

• die Zusammenhänge von OIDC-Vertrauensmodell fachlich einordnen
• die Konfigurationsschritte zu Client-Registrierung reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

OIDC-Vertrauensmodell

Dieses Kapitel behandelt OIDC-Vertrauensmodell. Ausgangspunkt ist, Pomerium, Identitätsanbieter, Browser und Zielanwendung als Rollen darstellen. Anschließend werden Autorisierungsanfrage und Callback verfolgen und ID-Token, Access Token und UserInfo abgrenzen. Die technische Umsetzung wird durch die Schritte Issuer, Client-ID, Redirect-URI und Signaturprüfung zuordnen und Nonce, State und Zeitstempel als Schutzmechanismen prüfen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Pomerium, Identitätsanbieter, Browser und Zielanwendung als Rollen darstellen
2. Autorisierungsanfrage und Callback verfolgen
3. ID-Token, Access Token und UserInfo abgrenzen
4. Issuer, Client-ID, Redirect-URI und Signaturprüfung zuordnen
5. Nonce, State und Zeitstempel als Schutzmechanismen prüfen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Client-Registrierung

Dieses Kapitel behandelt Client-Registrierung. Ausgangspunkt ist, Anwendungsregistrierung beim IdP anlegen. Anschließend werden Callback- und Logout-Adressen exakt festlegen und Client-Geheimnis sicher speichern. Die technische Umsetzung wird durch die Schritte Scopes auf das fachliche Minimum begrenzen und Konfiguration mit Negativfällen abnehmen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Anwendungsregistrierung beim IdP anlegen
2. Callback- und Logout-Adressen exakt festlegen
3. Client-Geheimnis sicher speichern
4. Scopes auf das fachliche Minimum begrenzen
5. Konfiguration mit Negativfällen abnehmen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Claims und Gruppen

Dieses Kapitel behandelt Claims und Gruppen. Ausgangspunkt ist, benötigte Attribute aus Policies ableiten. Anschließend werden Claim-Namen, Datentypen und Mehrfachwerte dokumentieren und Gruppenverschachtelung und Größenlimits bewerten. Die technische Umsetzung wird durch die Schritte fehlende oder widersprüchliche Attribute behandeln und Testidentitäten für erlaubte und abgelehnte Fälle anlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. benötigte Attribute aus Policies ableiten
2. Claim-Namen, Datentypen und Mehrfachwerte dokumentieren
3. Gruppenverschachtelung und Größenlimits bewerten
4. fehlende oder widersprüchliche Attribute behandeln
5. Testidentitäten für erlaubte und abgelehnte Fälle anlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Authenticate-Bereitstellung

Dieses Kapitel behandelt Authenticate-Bereitstellung. Ausgangspunkt ist, Hosted-Variante und selbst betriebenen Dienst vergleichen. Anschließend werden DNS, TLS und Rückrufadressen planen und Skalierung und Health Checks bestimmen. Die technische Umsetzung wird durch die Schritte IdP-Ausfall und Wartungsfälle berücksichtigen und Betriebsgrenzen und Zuständigkeiten festhalten überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Hosted-Variante und selbst betriebenen Dienst vergleichen
2. DNS, TLS und Rückrufadressen planen
3. Skalierung und Health Checks bestimmen
4. IdP-Ausfall und Wartungsfälle berücksichtigen
5. Betriebsgrenzen und Zuständigkeiten festhalten

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Sitzungslebenszyklus

Dieses Kapitel behandelt Sitzungslebenszyklus. Ausgangspunkt ist, maximale Sitzungsdauer festlegen. Anschließend werden Token- und Sitzungslaufzeiten abstimmen und periodische Claim-Aktualisierung testen. Die technische Umsetzung wird durch die Schritte IdP-Logout, Pomerium-Sitzung und Anwendungslogout unterscheiden und Widerruf bei Rollenwechsel oder Kontosperre erproben überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. maximale Sitzungsdauer festlegen
2. Token- und Sitzungslaufzeiten abstimmen
3. periodische Claim-Aktualisierung testen
4. IdP-Logout, Pomerium-Sitzung und Anwendungslogout unterscheiden
5. Widerruf bei Rollenwechsel oder Kontosperre erproben

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

MFA und Step-up

Dieses Kapitel behandelt MFA und Step-up. Ausgangspunkt ist, Schutzbedarf je Route bestimmen. Anschließend werden vom IdP gelieferte Kontextmerkmale identifizieren und Step-up und erneute Anmeldung planen. Die technische Umsetzung wird durch die Schritte unsichere Fallbacks ausschließen und Auditnachweis für starke Authentisierung definieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Schutzbedarf je Route bestimmen
2. vom IdP gelieferte Kontextmerkmale identifizieren
3. Step-up und erneute Anmeldung planen
4. unsichere Fallbacks ausschließen
5. Auditnachweis für starke Authentisierung definieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Fehlerdiagnose

Dieses Kapitel behandelt Fehlerdiagnose. Ausgangspunkt ist, Zeitabweichung, DNS und TLS zuerst prüfen. Anschließend werden Issuer, Client-ID und Redirect-URI vergleichen und Token-Claims kontrolliert untersuchen. Die technische Umsetzung wird durch die Schritte Cookie-Domain und Proxy-Kette bewerten und fehlende Gruppen oder Scopes am Ursprung verfolgen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Zeitabweichung, DNS und TLS zuerst prüfen
2. Issuer, Client-ID und Redirect-URI vergleichen
3. Token-Claims kontrolliert untersuchen
4. Cookie-Domain und Proxy-Kette bewerten
5. fehlende Gruppen oder Scopes am Ursprung verfolgen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. OIDC-Client mit minimalen Scopes registrieren
2. Claims und Gruppen für mehrere Rollen testen
3. Sitzungsablauf und Claim-Aktualisierung beobachten
4. Logout und Kontosperre prüfen
5. Redirect-Schleife und fehlenden Claim diagnostizieren

Didaktik und Arbeitsweise

Zwei Tage sind erforderlich, weil neben der Konfiguration auch Integration, Negativtests, Fehlerdiagnose und dokumentierte Rücknahme praktisch bearbeitet werden. Ein eintägiges Format würde diese Betriebsnachweise nicht abdecken.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.