Seminar Tyk API Security mit OAuth2, JWT, OIDC und mTLS

Inhaltsverzeichnis

• Beschreibung
• Zielgruppe
• Voraussetzungen
• Inhalte
• Praxisstruktur

Beschreibung

Dieses Vertiefungsseminar behandelt die Absicherung von APIs mit Tyk. Der Schwerpunkt liegt auf Client-Authentifizierung, Upstream-Authentifizierung, Security Policies, Access Keys, OAuth2, JWT, OpenID Connect, HMAC, mTLS, Zertifikaten, granularen Pfad- und Methodenrechten sowie Schutzmechanismen gegen Fehlkonfigurationen, Missbrauch und unkontrollierte Last.

Zielgruppe

Security Engineers, API-Architekten, Plattformteams, Administratoren und Entwickler, die Sicherheitskonzepte in Tyk entwerfen, implementieren oder prüfen.

Voraussetzungen

Sichere Kenntnisse zu HTTP, REST, TLS-Grundlagen und Authentifizierungsprinzipien. Tyk-Grundkenntnisse werden empfohlen.

Inhalte

• Sicherheitsmodell von Tyk mit Gateway, Dashboard, Keys, Sessions, Policies und API-Definitionen.
• API-Key-basierte Zugriffe, Policy-Vererbung, partitionierte Policies, Quotas, Rate Limits und Ablaufregeln.
• OAuth2-, JWT- und OpenID-Connect-Szenarien inklusive Token-Prüfung, Claims, Scopes und Schlüsselrotation.
• mTLS, Zertifikatsverwaltung, TLS-Profile, Client-Zertifikate und sichere Upstream-Kommunikation.
• Granulare Pfad- und Methodenberechtigungen, Allow-/Block-Strategien, Header-Härtung und CORS-Bewertung.
• Security-Tests, Fehlersuche, Auditierbarkeit und Dokumentation von Sicherheitsentscheidungen.

Praxisstruktur

1. Schutzbedarf ableiten: APIs werden nach Exposition, Datenklasse, Consumer-Typ und Integrationsmuster bewertet.
2. Policy-Modell aufbauen: Zugriffsrechte, Quotas und Rate Limits werden in wiederverwendbare Policies übersetzt.
3. Token-Prüfung konfigurieren: JWT- und OIDC-Szenarien werden mit Claims, Scopes und Fehlerfällen getestet.
4. Transport absichern: mTLS- und Zertifikatsszenarien werden für Client- und Upstream-Kommunikation umgesetzt.
5. Kontrollen validieren: Positiv- und Negativtests prüfen, ob Zugriffe, Limits und Sperren erwartungsgemäß greifen.