OAuth 2.1 und OpenID Connect für Java-Entwickler

Dieser Workshop geht der sicheren Authentifizierung und Autorisierung in Web-Anwendungen auf den Grund. Sie lernen anhand von praktischen und von Ihnen selbst in Java implementierten Beispielen die Basics von OAuth 2 und OpenID Connect (OIDC) kennen und erfahren, wie die GrantTypes funktionieren, wozu Scopes dienen, was PKCE ist und die kompletten Abläufe in einer Web-Anwendung kennen und verstehen.

Zielgruppe

Der Workshop richtet sich an alle Personen aus der Softwareentwicklung, die einen tieferen Einblick in die Arbeitsweise der Autorisierungs- und Authentifizierungsspezifikationen OAuth 2 und OpenID Connect (OIDC) bekommen möchten.

Voraussetzungen

Vorkenntnisse im Umfeld Authentifizierung/Autorisierung sind hilfreich, aber nicht Voraussetzung. Da die Abläufe und Verifizierungen in Java-Code implementiert werden, sind entsprechend aktuelle Java-Kenntnisse und der Umgang mit einer Java-IDE unbedingt erforderlich.

• 1. Technische Voraussetzungen

  • Notebook/Laptop

  • Java-IDE nach Wahl (z. B. IntelliJ IDEA, Eclipse, VS Code, Netbeans, etc.)

  • JDK 17+

  • Docker und Docker Compose V2 installiert und lauffähig (ggf. lokale Admin-Rechte auf dem Rechner erteilen)

  • Internetzugriff (ggf. Proxy/Firewall-/VPN-Konfigurationen etc. überprüfen)

  • separater HTTP Client, wenn die IDE diesen nicht mitbrint (z. B. Insomnia, Postman, REST-Client for VS Code Plugin, etc.)

  • Brower

Zur Workshop-Durchführung wird Zoom verwendet mittels eines DSGVO-konformen On-Premise-Connectors. Wir bitten Sie, ein Mikrofon oder Headset sowie einen aktuellen Browser zu nutzen.

Inhalt

Für die sichere Authentifizierung und Autorisierung in Webanwendungen und Microservices haben sich die Protokolle OAuth 2.0 und OpenID Connect (OIDC) als Standards etabliert. Häufig fehlt jedoch noch das grundlegende Verständnis, was diese Spezifikationen beschreiben und wie sie funktionieren.

In diesem 1-tägigen Workshop lernen Sie anhand einer manuellen, beispielhaften Implementierung in Java den kompletten Ablauf einer Webanwendung kennen und verstehen. Dabei implementieren Sie für einen Client (Webanwendung) die Benutzerauthentifizierung mittels Authorization-Code-Grant, inkl. Proof-Key-for-Code-Exchange (PKCE). Mit dem so erhaltenen (JSON-Web-)Token rufen Sie einen Endpunkt in einem Resource Server auf. Der Resource Server muss dann seinerseits das übermittelte signierte Token verifizieren und auf Gültigkeit prüfen. Auch mit dieser Implementierung werden Sie vertraut gemacht und lernen, wie sich ein Client automatisch konfigurieren kann.
Während der Implementierung stehen Best Practices und Empfehlungen für den Umgang mit Token im Vordergrund. Sie machen sich mit den gültigen OAuth 2.1 Grant Types vertraut und lernen die Unterschiede zwischen der neuen OAuth 2.1 Version und der mittlerweile fast 12 Jahre alten 2.0 Version kennen. Außerdem erhalten Sie nützliche Tipps für den Einsatz von OIDCs und JWTs in Single-Page-Applikationen.

Hinweis:
Viele der Implementierungsbeispiele in dieser Schulung werden in einer produktiven Umgebung normalerweise von einer entsprechenden OIDC-Bibliothek abstrahiert und automatisch ausgeführt. Dabei bleibt oft unklar, welche Schritte ein Client genau ausführt oder welche Maßnahmen im Rahmen der Protokolle ergriffen werden müssen, um eine erfolgreiche und sichere Authentifizierung zu gewährleisten.

Durch die praktischen Übungen werden diese Abläufe und Details veranschaulicht und vermittelt. Dies ermöglicht, ein tieferes Verständnis der Protokolle zu entwickeln und erleichtert die Fehlersuche.

Agenda

• OAuth 2 und OIDC Grundlagen: Grant Types, Access, ID & Refresh Token, JSON Web Token (JWT)

• Änderungen von OAuth 2.1 gegenüber OAuth 2.0

• Best Practices für den Umgang mit Token in server- und clientseitigen (z. B. Single-Page-App) Webanwendungen

• Authentifizierung von Benutzern mit einem Client über Autorization Code Grant + PKCE (Proof-Key for Code Exchange)

• Verifikation von signierten JSON Web Tokens zur Authentifizierung/Autorisierung in einem Backend Resource Server mit Autokonfiguration

Leistungen Ihres Workshoptickets

• Workshopunterlagen

• Teilnahmebescheinigung

Durchführung

Ist die Durchführung der Veranstaltung aufgrund höherer Gewalt, wegen Verhinderung eines Referenten, wegen Störungen am Veranstaltungsort oder aufgrund zu geringer Teilnehmerzahl (weniger als 50%) nicht möglich, werden die Teilnehmer spätestens 7 Tage vorher informiert.

Die Teilnehmeranzahl ist auf max. 10 Personen begrenzt.