Strona główna
Produkty
Szkolenia
Autoryzacja i zarządzanie dostępem (OAuth2, JWT, Keycloak)

Autoryzacja i zarządzanie dostępem (OAuth2, JWT, Keycloak)

Współczesne aplikacje B2B i B2C wymagają bezpiecznego i skalowalnego mechanizmu uwierzytelniania oraz autoryzacji. Źle zaprojektowany system dostępu prowadzi do podatności bezpieczeństwa, problemów z integracją oraz trudności w zarządzaniu użytkownikami. Szkolenie Autoryzacja i zarządzanie dostępem (OAuth2, JWT, Keycloak) powstało po to, aby nauczyć zespoły projektować i wdrażać bezpieczne systemy logowania, SSO oraz kontroli uprawnień w architekturach nowoczesnych aplikacji.

nettoCena: 2 740,00 zł netto.3 370,20 zł brutto (w tym VAT 630,20 zł)

Widoczna cena nie zawiera podatku VAT (23%)
Certyfikat ukończenia
Dodatkowe materiały po szkoleniu
30-dniowe wsparcie szkoleniowca
Praktyczne zadania
Możliwość płatności w ratach (umowa bezpośrednio z Quality Island). Pobierzcie wzór umowy (wersja Word)

Zobaczcie opinie o szkoleniu

Organizacja Dla kogo Czego się nauczycie Jak pracujemy Atuty szkoleń Wymagania wstępne Program kursu Możliwości finansowania Kroki FAQ

Autoryzacja to nie tylko logowanie użytkownika. To decyzje dotyczące:

modelu uprawnień
zarządzania tokenami
integracji z zewnętrznymi dostawcami tożsamości
ochrony API i mikroserwisów

Podczas szkolenia Autoryzacja i zarządzanie dostępem uczestnicy:

rozumieją standard OAuth2 i OpenID Connect
projektują system oparty o JWT
konfigurują i integrują Keycloak
wdrażają role i polityki dostępu
zabezpieczają API i komunikację między usługami

Szkolenie ma charakter warsztatowy, implementujemy i testujemy zabezpieczone API.

Organizacja

2 dni (2 x 7 h) w godzinach 8:00 do 15:00
Dodatkowe materiały po szkoleniu
Certyfikat uczestnictwa
Nagranie z całego szkolenia (dodatkowo płatne)
30-dniowe wsparcie ekspertów
Praktyczne zadania
Wieloletni praktyk, ekspert w obszarze testów

Forma szkolenia
Szkolenie realizowane jest online (na żywo, na profesjonalnej platformie do pracy zdalnej ClickMeeting) lub stacjonarnie, w zależności od wybranego terminu. W obu przypadkach pracujemy warsztatowo, z aktywnym udziałem uczestników.
Czas trwania
Szkolenie trwa 2 dni (po 7 godzin pracy warsztatowej), z przerwami. Skupiamy się na konkretach, bez „rozciągania programu”.
Poziom
Szkolenie jest przeznaczone dla poziomu junior → mid→ senior.

Dla kogo

To szkolenie jest dla Was, jeśli:

jesteście backend developerami lub fullstack developerami
pracujecie w DevOps lub obszarze bezpieczeństwa
wdrażacie system SSO
projektujecie system B2B lub B2C
zarządzacie użytkownikami i rolami w systemie

To szkolenie nie jest dla Was, jeśli:

nie pracujecie z backendem
szukacie wprowadzenia do podstaw HTTP
nie projektujecie systemów uwierzytelniania

Czego się nauczycie

Po szkoleniu będziecie potrafić:

rozumieć i wdrażać OAuth2 i OpenID Connect
projektować bezpieczny system JWT
konfigurować Keycloak
wdrażać role i polityki dostępu
zabezpieczać mikroserwisy
unikać typowych podatności bezpieczeństwa

Jak pracujemy

To szkolenie ma formę warsztatową. Pracujecie, testujecie i popełniacie błędy tu i teraz, dokładnie tak, jak w realnym projekcie.

Nasze podejście:

80% praktyki, konfiguracja i integracja systemu uwierzytelniania
analiza przepływu tokenów
implementacja zabezpieczonego API
symulacja ataków i błędów konfiguracji
dyskusja o kompromisach bezpieczeństwo vs wygoda
tłumaczenie „jak ta decyzja wpłynie na bezpieczeństwo systemu”

Atuty szkoleń

Praktyka zamiast teorii

Szkolenia prowadzą praktycy, którzy na co dzień pracują z jakością i testami.
Zero „hello world”, realne przypadki i problemy z projektów.

Elastyczne formy płatności

Raty 0%, płatność odroczona lub dofinansowanie z BUR.
Pomagamy dobrać najlepszą opcję, bez presji i zbędnych formalności.

Certyfikat potwierdzający realne kompetencje

Po szkoleniu otrzymujecie certyfikat w języku angielskim, możliwy do udostępnienia rekruterom i pracodawcom.
Zakres certyfikatu jasno opisuje zdobyte umiejętności.

Profesjonalna forma online

Interaktywne zajęcia na stabilnej platformie:
współdzielenie ekranu, Q&A, nagrania, materiały i aktywny kontakt z trenerem.

Wsparcie po szkoleniu

Nie zostawiamy Was samych po ostatnim slajdzie.
Macie pytania po szkoleniu? Możecie do nas wrócić z konkretnym problemem.

Gwarancja zadowolenia

Jeśli szkolenie nie spełni Waszych oczekiwań, porozmawiamy.
A jeśli macie uzasadnione zastrzeżenia, zwracamy pieniądze.

Wymagania wstępne

znajomość HTTP i REST
doświadczenie w backendzie
podstawowa wiedza o architekturze aplikacji webowych
własny laptop z dostępem do internetu

Jeśli zamiast szkolenia potrzebujecie wsparcia w uporządkowaniu bezpieczeństwa (IAM, dostęp, testy bezpieczeństwa, proces QA/DevSecOps) i podejścia do jakości w projekcie, zobaczcie:
audyt QA i doradztwo jakościowe dla firm.

Program kursu

Wprowadzenie do uwierzytelniania vs autoryzacji, różnice, pojęcia, kontekst

czym jest uwierzytelnianie (authentication), a czym autoryzacja (authorization)
identity vs access control
modele RBAC, ABAC, ACL
SSO i federacja tożsamości
podstawowe pojęcia: access token, ID token, refresh token
typowe błędy koncepcyjne w projektowaniu systemów logowania

Architektura OAuth 2.0, role (Client, Resource Owner, Authorization Server)

Resource Owner, kto jest właścicielem tożsamości
Client, aplikacja publiczna vs poufna
Authorization Server, wydawanie tokenów
Resource Server, ochrona zasobów
przepływ autoryzacji krok po kroku
różnica między trust boundary a security boundary

Typy grantów w OAuth 2.0, Authorization Code, Client Credentials, PKCE

Authorization Code Flow, dla aplikacji webowych
PKCE, ochrona aplikacji publicznych
Client Credentials, komunikacja machine- to- machine
dlaczego nie używać Implicit Flow
kiedy stosować który grant
zagrożenia związane z błędnym doborem flow

OpenID Connect, rozszerzenie OAuth2 do tożsamości użytkownika

czym jest OpenID Connect (OIDC)
ID Token vs Access Token
endpoint userinfo
discovery document (.well-known/ openid- configuration)
scope: openid, profile, email
integracja logowania federacyjnego (np. Google, Azure AD)

Tokeny JWT, budowa, dekodowanie, podpisywanie i weryfikacja

struktura JWT (header, payload, signature)
algorytmy podpisu (HS256, RS256)
weryfikacja podpisu po stronie API
claims standardowe (iss, sub, aud, exp, iat)
zagrożenia: token tampering, brak walidacji aud
różnica między JWT signed i encrypted

Scenariusze logowania użytkowników w aplikacjach webowych i mobilnych

logowanie w SPA (Authorization Code+ PKCE)
backend- for- frontend (BFF pattern)
aplikacje mobilne a redirect URI
komunikacja frontend → backend → authorization server
logowanie federacyjne
logout i invalidacja sesji

Zarządzanie sesjami i bezpieczeństwo tokenów, wygaśnięcie, odświeżanie, przechowywanie

access token vs refresh token
rotacja refresh tokenów
przechowywanie tokenów (httpOnly cookies vs localStorage)
ochrona przed XSS i CSRF
krótkie TTL jako element bezpieczeństwa
unieważnianie tokenów (revocation endpoint)

Wprowadzenie do Keycloak, instalacja, konfiguracja, zarządzanie użytkownikami i rolami

instalacja lokalna (Docker)
konfiguracja realm
tworzenie klientów (public/ confidential)
definiowanie ról i grup
mapowanie ról do tokenów
konfiguracja polityk dostępu

Integracja aplikacji z Keycloak (np. Spring Boot/ Node.js/ frontend)

zabezpieczenie API w Spring Boot
middleware w Node.js (keycloak-connect/ passport)
integracja SPA z Keycloak
weryfikacja JWT w Resource Server
konfiguracja CORS i redirect URIs
debugowanie problemów autoryzacyjnych

Dobre praktyki i checklisty bezpieczeństwa dla autoryzacji i zarządzania dostępem

minimalizacja zakresów (scopes)
zasada najmniejszych uprawnień
walidacja tokenów po stronie backendu
rotacja kluczy podpisujących (JWKS)
ochrona endpointów administracyjnych
checklisty bezpieczeństwa przed wdrożeniem produkcyjnym
monitoring prób nieautoryzowanego dostępu

Powiązane szkolenia

Wiele możliwości finansowania szkoleń i kursów

Środki własne

Opłać szkolenie od razu, szybko i bez formalności.
Przelew online, BLIK lub karta. Bez prowizji i ukrytych kosztów.

Płatność ratalna

Rozłóż płatność na raty 0%, bez dodatkowych opłat.
Każdą kwotę powyżej 2000 zł możecie podzielić nawet na 6 rat.

Odroczona płatność

Zapiszcie się dziś, zapłać dopiero za 3 miesiące.
Elastyczne podejście, w razie potrzeby możemy czasowo wstrzymać płatność.

Dofinansowanie Z BUR

Szkolenie może być objęte dofinansowaniem w ramach BUR, zazwyczaj 50 do 80% kosztów.
Pomagamy sprawdzić możliwości i prowadzimy przez formalności krok po kroku.

Czytaj więcej

Szkolenie w 5 krokach

Prosty zapis na szkolenie

Wybieracie termin szkolenia i zapisujecie się w kilka sekund.
Bez skomplikowanych formularzy i zbędnych formalności.

Wybór formy płatności

Decydujecie, jak chcecie zapłacić:
jednorazowo, w ratach 0%, z odroczoną płatnością lub z dofinansowaniem (np. BUR).
Jeśli trzeba, pomagamy dobrać najlepszą opcję.

Przygotowanie do szkolenia

Przed szkoleniem otrzymujecie informacje organizacyjne i wskazówki techniczne.
Dzięki temu wchodzicie na szkolenie przygotowani, bez stresu i improwizacji.

Udział w szkoleniu (praktyka)

Bierzecie udział w intensywnym, praktycznym szkoleniu.
Celem szkolenia jest wdrożenie bezpiecznej i skalowalnej architektury autoryzacji, a nie tylko poznanie teorii.

Materiały i dalsze wsparcie

Po szkoleniu otrzymujecie materiały oraz certyfikat.
Opcjonalnie możecie dokupić nagranie szkolenia i wracać do materiału, kiedy chcecie.
W razie pytań, jesteśmy dostępni także po zakończeniu szkolenia.

Najczęściej zadawane pytania

Czy szkolenie obejmuje Keycloak w praktyce?

Tak, konfiguracja i integracja.

Czy omawiamy OAuth2 i OpenID Connect?

Tak, w praktycznym kontekście.

Czy poruszamy temat SSO i federacji tożsamości?

Tak.

Czy szkolenie jest techniczne?

Tak, skupione na implementacji.

Czy omawiamy role i polityki dostępu?

Tak, w kontekście RBAC i ABAC.

Czy poruszamy temat mikroserwisów?

Tak, w kontekście zabezpieczania komunikacji.

Czy dostępne jest nagranie?

Tak, jako opcja dodatkowo płatna.

Czy szkolenie można dopasować do organizacji?

Tak, szczególnie przy wdrażaniu SSO.

Czy omawiamy JWT w szczegółach?

Tak, wraz z analizą struktury tokena.

Czy szkolenie pomoże poprawić bezpieczeństwo systemu?

Tak, szczególnie w kontekście autoryzacji i kontroli dostępu.

Zobaczcie również: szkolenia QA i IT, wśród których znajdziecie praktyczne kursy z cyberbezpieczeństwa, testów bezpieczeństwa aplikacji, OWASP, testowania API, automatyzacji testów oraz jakości oprogramowania.

Macie pytania? Porozmawiajmy o szkoleniu

Nie macie pewności, czy to szkolenie jest dla Was? Zastanawiacie się, czy poziom będzie odpowiedni, jak wygląda program albo która forma finansowania ma sens w Waszym przypadku?

Porozmawiajcie z naszym konsultantem, który:

pomoże ocenić, czy to szkolenie realnie wesprze Wasze cele,
doradzi najlepszą formę udziału (indywidualnie / firmowo),
wyjaśni kwestie organizacyjne i finansowe (raty, płatność odroczona, BUR).

Bez sprzedażowej presji. Konkretna rozmowa o Waszej sytuacji.

Umówcie bezpłatną konsultację (15 do 20 minut, online)
lub napiszcie bezpośrednio: szkolenia@qualityisland.pl

Umówcie się na bezpłatną konsultację

Autoryzacja i zarządzanie dostępem kontakt w sprawie szkolenia

      DOSKONAŁA  
   Na podstawie 81 opinii 
    
 
 
 
   
 
 
       Opublikowano na Google  
   
   Piotr Bochenek 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Właśnie ukończyłem szkolenie Testera Oprogramowania ze stażem. Dobrze ulokowane pieniądze. Pełen profesjonalizm, zaangażowaniem i wiedza prowadzących kurs. Jeśli szukacie firmy, która organizuje szkolenia z zakresu IT, to jest jedyny słuszny wybór. Na pewno znowu skorzystam z Waszej oferty szkoleń i to niejeden raz. Pozdrowienia dla Tomka Stelmacha i całej ekipy Quality Island. Polecam.
  
 
      Opublikowano na Google  
   
   Agnieszka Gaj 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Jestem na końcówce 4-miesięcznego projektu szkoleniowo-stażowego "Tester manualno-automatyzujący".

Szkoleniowcy (Tomasz, Robert, Łukasz) praktycznie podchodzili do każdego tematu, omówienia były szczegółowe, nie pozostawiali żadnego pytania bez odpowiedzi. Tomek często wykraczał poza podstawowe kwestie - dzięki temu dowiedziałam się więcej niż oczekiwałam (m.in. o testach wydajnościowych, dostępności cyfrowej i różnorodnych narzędziach AI).

Z perspektywy osoby, która sama szkoliła innych, najbardziej doceniam to, że szkoleniowcy wiedzą, na jakich etapach mogą nas wysłać w nieznane i zaufać, że sami sprostamy rzuconemu wyzwaniu. Takie podejście właśnie najbardziej rozwija i daje największą satysfakcję wszystkim.

Możliwość pracy przy realnym projekcie była dla mnie bezcenna - wyniosłam wiele z tego doświadczenia, mogłam sobie udowodnić, że po szkoleniach potrafię więcej niż mi się wydaje i jestem gotowa na kolejne większe challenge :)

Jestem bardzo zadowolona z tego kursu.
  
 
      Opublikowano na Google  
   
   Marta Sz 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Rwelacyjne szkolenie z Accessibillity oraz pracy z WCAG. Prowadzący wyjaśnił wszystkie wątpliwośći oraz przekazał wiedzę jak poprawnie pracowac z WCAG
  
 
      Opublikowano na Google  
   
   Jacek G 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Brałem udział w projekcie szkoleniowo-stażowy dla testera oprogramowania trwającym 4 miesiące. To były dobrze ulokowane pieniądze. Tomek który wprowadzał Nas w tajniki zawodu był zawsze przygotowany, profesjonalny i dzielił się wiedzą często wykraczającą poza ramy projektu. Z kolei praktyka to REALNA praca na żywym organiźmie. Ten kurs oceniam 10/10.
Kilka dni temu znów skorzystałem z oferty Quality Island, tym razem "Wprowadzenie do programowania dla testerów – JAVA". To szkolenie prowadził Łukasz który stanął na wysokości zadania. 2 dni intensywnych wykładów i praktyk.
Gorąco polecam! Do następnego razu team Quality Island! ;)
  
 
      Opublikowano na Google  
   
   Łukasz Nogański 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Bardzo dziękuję za super szkolenie z JMetera. W ciągu dwudniowego kursu przekazane zostało bardzo dużo wiedzy i informacji jak korzystać z narzędzia oraz projektować testy wydajnościowe. Polecam :-)
  
 
      Opublikowano na Google  
   
   Elżbieta S-K 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Bardzo dobre szkolenie z API i Postmana, pozwala zrozumieć czym jest samo API i oferuje dużo zadań i dobrych praktyk w Postmanie.
  
 
      Opublikowano na Google  
   
   Maciej Jaroszewski 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Jestem w trakcie projektu szkoleniowo-stażowego. Jak do tej pory wszystko odbywa się w bardzo przyjaznej i profesjonalnej atmosferze. Uczestniczyłem już w dwóch 'większych' kursach i kilku 'mniejszych' prezentacjach, które wchodzą w skład w/w szkolenia. Zaprezentowana dotychczas tematyka jest 'serwowana' w wyjątkowo ciekawy i angażujący sposób. Z czystym sercem polecam.
  
 
      Opublikowano na Google  
   
   Jagoda T. 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Brałam udział w jednym z szkoleń - szkolenie z zakresu WCAG. Profesjonalne podejście i wyczerpujące przedstawienie tematu spowodowało że wyciągnęłam ogrom wiedzy z tego szkolenia - napewno powrócę tutaj ! :) dziękuję
  
 
      Opublikowano na Google  
   
   Patrycja Morszczyzna 
 
 
 
 Trustindex sprawdza, czy pierwotnym źródłem recenzji jest Google. Szkolenie Wprowadzenie do testowania API – Postman uważam za strzał w dziesiątkę. Wsparcie merytoryczne na każdym etapie szkolenia, a przede wszystkim nastawienie na praktyczne wykorzystanie wiedzy teoretycznej sprawiły, że szkolenie oceniam bardzo wysoko.

Idealny początek przygody z  testowania API na solidnych fundamentach teoretyczno-praktycznych.