Guacamole mit Keycloak oder Entra ID absichern: Anmeldung, zweiter Faktor, Netz
Ein Zugangsportal bündelt den Weg zu vielen Systemen – und ist deshalb selbst eines der lohnendsten Ziele. Dieser Beitrag zeigt, wie Guacamole mit NetBird, einem Identitätsanbieter wie Keycloak oder Microsoft Entra ID und einem zweiten Faktor abgesichert wird.
Das Wichtigste in Kürze
- Ein Zugangsportal wird in drei Schichten geschützt: Wer es überhaupt erreicht, wie man sich anmeldet und was man danach sehen darf.
- Guacamole kann die Anmeldung per OpenID Connect oder SAML an einen Identitätsanbieter abgeben – mit dem zweiten Faktor, der dort ohnehin gilt.
- Für den Fall, dass der Identitätsanbieter ausfällt, gehört ein Notfallzugang dazu, der sicher verwahrt ist.
In Fernwartung im Browser haben wir festgehalten, dass ein Zugangsportal wie Apache Guacamole zu einem kritischen System wird: Wer es übernimmt, erreicht alles, was daran hängt. Dieser Beitrag beschreibt, wie der Schutz konkret aufgebaut wird – nicht als Einzelmaßnahme, sondern in Schichten, von denen jede für sich einen Angriff aufhält.
Drei Schichten, drei Fragen
| Schicht | Frage | Umsetzung |
|---|---|---|
| Netz | Wer kann das Portal überhaupt erreichen? | Nur über das Mesh, nicht offen aus dem Internet |
| Identität | Wer ist die Person, die sich anmeldet? | Anmeldung beim Identitätsanbieter mit zweitem Faktor |
| Berechtigung | Was darf diese Person danach sehen? | Verbindungen nach Gruppen freigegeben |
Der Wert liegt in der Kombination. Ein gestohlenes Kennwort nützt nichts ohne den zweiten Faktor; ein übernommener zweiter Faktor nützt nichts ohne ein angemeldetes Gerät im Mesh; und selbst mit beidem sieht die Person nur die Verbindungen ihrer Gruppe.
Schicht 1: nicht aus dem Internet erreichbar
Die wirksamste einzelne Maßnahme ist, das Portal gar nicht erst öffentlich erreichbar zu machen. Liegt Guacamole in einem Netz, das nur über NetBird zugänglich ist, sehen Angreifer aus dem Internet keine Anmeldeseite, die sie abklopfen könnten. Eine Zugriffsregel legt fest, welche Gruppen das Portal erreichen dürfen – auf genau dem Port, auf dem es läuft.
Für externe Dienstleister bedeutet das: Sie bekommen einen NetBird-Zugang, der ausschließlich das Portal erreicht. Von dort geht es nur zu den Verbindungen, die für sie freigegeben sind.
Schicht 2: Anmeldung beim Identitätsanbieter
Guacamole kann die Anmeldung an einen Identitätsanbieter abgeben – über OpenID Connect oder SAML. In Frage kommen Microsoft Entra ID, wenn ohnehin Microsoft 365 im Einsatz ist, oder ein selbst betriebener Anbieter wie Keycloak. Die Person meldet sich dann dort an, mit den Regeln, die dort gelten – einschließlich des zweiten Faktors.
Einige technische Punkte, die man vorher kennen sollte:
- Die Anmeldeerweiterungen kümmern sich nur um die Anmeldung. Welche Verbindungen es gibt und wer sie nutzen darf, verwaltet Guacamole weiterhin selbst, üblicherweise in seiner Datenbank. Beide Erweiterungen arbeiten zusammen.
- Die OpenID-Connect-Anbindung nutzt das sogenannte implizite Verfahren. Im Identitätsanbieter muss dafür eine entsprechende Einstellung für diese Anwendung aktiv sein. Wer dieses Verfahren grundsätzlich nicht zulassen möchte, nimmt SAML.
- Gruppen aus dem Identitätsanbieter übernehmen. Werden die Gruppen bei der Anmeldung mitgeliefert, lassen sich die Freigaben in Guacamole daran knüpfen. Dann genügt es, eine Person im Identitätsanbieter in die richtige Gruppe zu setzen.
Gibt es keinen zentralen Identitätsanbieter, bringt Guacamole eine eigene Erweiterung für Einmalkennwörter mit. Jede Person richtet dann bei der ersten Anmeldung eine Authenticator-App ein. Das ist weniger komfortabel als eine zentrale Anmeldung, aber deutlich besser als ein Kennwort allein.
Schicht 3: Rechte nach Gruppen
Nach der Anmeldung entscheidet Guacamole, welche Verbindungen eine Person sieht. Hier gilt derselbe Grundsatz wie bei jeder Berechtigung: so wenig wie möglich, und nach Gruppen statt nach Einzelpersonen. Ein Softwarehersteller sieht die Server seiner Anwendung, der Maschinenlieferant seine Steuerung, die eigene IT die Verwaltungszugänge.
Besonders schützenswerte Verbindungen – etwa Verwaltungszugänge auf die Virtualisierung oder die Firewall – bekommen zusätzlich eine Aufzeichnung. Und die Zugangsdaten der Zielsysteme bleiben im Portal hinterlegt, statt an Personen herausgegeben zu werden.
Eine bewusste Ausnahme ist der Backup-Server. Seine Verwaltungszugangsdaten gehören nicht ins Portal: Hängt das Portal an der zentralen Anmeldung, würde ein übernommenes Konto sonst bis zur Sicherung reichen – genau das, was die Trennung der Datensicherung verhindern soll.
Der Notfallzugang
Eine zentrale Anmeldung hat eine Kehrseite: Fällt der Identitätsanbieter aus, kommt niemand mehr ins Portal – auch nicht die IT, die den Ausfall beheben soll. Dafür braucht es einen Notfallzugang:
- Ein lokales Konto in Guacamole mit starkem Kennwort und eigenem zweiten Faktor.
- Kennwort versiegelt verwahrt, zum Beispiel im Tresor, mit dokumentiertem Zugriff.
- Jede Nutzung wird bemerkt und nachträglich begründet.
- Einmal im Jahr getestet, ob der Zugang noch funktioniert.
Aufwand
Die Anbindung an einen vorhandenen Identitätsanbieter ist in einem Tag erledigt, einschließlich Test. Die Einbindung ins Mesh ist eine Zugriffsregel. Mehr Zeit braucht die Frage, welche Gruppen es geben soll und wer welche Verbindungen braucht – und auch hier gilt, dass diese Übersicht für sich schon wertvoll ist.
Wo die Grenzen liegen
- Die Sicherheit hängt am Identitätsanbieter. Ist er schwach abgesichert, ist es das Portal auch. Der zweite Faktor muss dort für alle gelten, die das Portal nutzen, ohne Ausnahmen für „nur kurz“.
- Externe ohne eigenes Konto. Dienstleister, die kein Konto in Ihrem Identitätsanbieter haben, brauchen entweder ein Gastkonto oder einen lokalen Zugang mit eigenem zweiten Faktor. Beides gehört befristet.
- Aktualisierungen. Keine Schicht ersetzt ein aktuelles Portal. Guacamole und seine Erweiterungen gehören in den regulären Aktualisierungsplan.
Fazit
Ein Zugangsportal ist so sicher wie seine schwächste Schicht. Mit Guacamole hinter NetBird, einer Anmeldung über Keycloak oder Entra ID mit zweitem Faktor und Freigaben nach Gruppen entsteht ein Schutz, bei dem ein einzelner Fehler – ein gestohlenes Kennwort, ein verlorenes Telefon – nicht reicht. Ein getesteter Notfallzugang sorgt dafür, dass die zentrale Anmeldung nicht selbst zum Ausfallrisiko wird. Wie die zentrale Identität über mehrere Systeme hinweg aufgebaut wird, steht in Eine Identität für alles.
Wir setzen diese Schichten um und stimmen sie auf Ihren vorhandenen Identitätsanbieter ab – siehe Netzwerk & IT-Sicherheit und Cloud & Microsoft 365.
