Eğitimlere dön

Kimlik ve erişim yönetimi: OIDC, SAML ve passkey

Uygulamalarınıza güvenli giriş, tek oturum açma, çok faktörlü doğrulama ve çok kiracılı yetkilendirme eklemek; protokollerin nasıl çalıştığını anlayarak.

Süre: 6 gün (48 saat) Seviye: Orta-ileri düzey Hedef kitle: Backend ve frontend geliştiriciler, güvenlik mühendisleri
OIDC OAuth 2.0 SAML Passkey RBAC

Eğitime genel bakış

Giriş ekranı küçük görünür, ama kimlik sistemi bir uygulamanın en çok saldırı alan yüzeyidir. Bu eğitimde OAuth 2.0, OpenID Connect ve SAML’in nasıl çalıştığını akış akış inceliyor, passkey (WebAuthn) ile parolasız girişi kuruyor ve çok kiracılı bir uygulamada rol ve özniteliğe dayalı yetkilendirmeyi tasarlıyoruz. MicroFrame’in kimlik ve yetki bileşenlerini geliştirirken karşılaştığımız tuzakları örnek olarak kullanıyoruz.

Kurs içeriği

1. Kimliğin temelleri

  • Kimlik doğrulama ve yetkilendirme farkı
  • Kimlik sağlayıcı, istemci ve kaynak sunucusu
  • Oturum ve token
  • Tehdit modeli: oturum çalma, CSRF, açık yönlendirme

2. OAuth 2.0

  • Authorization code akışı
  • PKCE
  • Client credentials ve makine kimliği
  • Token exchange ve kimliğine bürünme
  • Scope ve audience

3. OpenID Connect

  • ID token ve claim’ler
  • Discovery ve JWKS
  • Token doğrulama: imza, issuer, audience, süre
  • Oturum kapatma ve front-channel logout

4. SAML 2.0

  • Assertion ve metadata
  • SP ve IdP başlatmalı akış
  • İmza doğrulama ve replay koruması
  • Uygulama: bir uygulamaya OIDC ile giriş

5. Federasyon

  • Kurumsal kimlik sağlayıcılar: Entra ID, Google Workspace
  • JIT kullanıcı oluşturma
  • Hesap bağlama
  • SCIM ile kullanıcı senkronu

6. Çok faktörlü doğrulama

  • TOTP ve e-posta kodu
  • Güvenilir cihaz
  • Risk tabanlı adım yükseltme
  • Deneme sınırları ve kaba kuvvet koruması

7. Passkey ve WebAuthn

  • Kayıt ve giriş seremonisi
  • RP ID ve origin kuralları
  • Platform ve gezici doğrulayıcılar
  • Sık yapılan hatalar
  • Uygulama: passkey ile parolasız giriş

8. Tarayıcı oturumu

  • BFF deseni: token’ı tarayıcıda tutmamak
  • Çerez özellikleri: __Host-, SameSite, HttpOnly
  • Çerez boyutu ve sunucu tarafı oturum
  • Hesap kurtarma ve parola sıfırlama güvenliği

9. Yetkilendirme modelleri

  • RBAC
  • ABAC ve politika motorları
  • İzin kodlarını tasarlamak
  • Ret varsayılan: fail-closed

10. Çok kiracılık

  • Kiracı sınırını mimariyle korumak
  • Kiracı bağlamını taklit edilemez yerden almak
  • Kiracılar arası erişimin test edilmesi

11. Servis hesapları

  • Makine token’ları ve ömürleri
  • En az yetki
  • Token iptali ve rotasyon

12. Denetim

  • Denetim kaydı: kim, neyi, ne zaman
  • Değiştirilemez kayıt
  • Uyum raporları
  • Uygulama: rol ve kiracıya göre korunan bir API

Program akışı

Her modül yaklaşık 4 saat, yani yarım gün sürer; toplam 48 saat.

    1. gün: modül 1 ve 2
    1. gün: modül 3 ve 4
    1. gün: modül 5 ve 6
    1. gün: modül 7 ve 8
    1. gün: modül 9 ve 10
    1. gün: modül 11 ve 12

Ön koşullar

  • Web uygulaması geliştirme deneyimi (backend ya da frontend)
  • HTTP, çerez ve yönlendirme kavramları
  • Kendi seçtiğiniz dilde bir geliştirme ortamı

Eğitim formatı

  • Yerinde ya da uzaktan: ofisinizde veya canlı sanal oturumlarla.
  • Uygulamalı: her gün, o günün konusunu çalışan bir örnek üzerinde uyguladığınız lab oturumlarıyla biter.
  • Lab ortamı: katılımcılara önceden hazırlanmış bir çalışma ortamı ve örnek kod deposu verilir.
  • Ekibinize göre: içerik ve örnekler, eğitimden önce yaptığımız kısa bir görüşmeyle ekibinizin kullandığı teknolojilere uyarlanır.
  • Materyaller: sunumlar, lab yönergeleri ve referans kod eğitimden sonra da sizde kalır.
Başlamaya hazır mısınız?

Projenize başlamaya hazır mısınız?

Fikirlerinizi hayata geçirmek için size nasıl yardımcı olabileceğimizi konuşalım.

İletişime geçin Hizmetler