Integration von Keycloak und API-Gateway als Grundlage einer skalierbaren Identity- und Service-Architektur
Erkenntnisse aus dem BMBF-Projekt BRAINCON2
Im Rahmen des vom Bundesministerium für Bildung und Forschung geförderten Projekts BRAINCON2 wurde eine moderne Identity- und Access-Management-Architektur entwickelt und experimentell erprobt. Ziel war es, eine technische Grundlage zu schaffen, die Lernende, Lehrkräfte und Bildungseinrichtungen über eine einheitliche, sichere und skalierbare Infrastruktur mit digitalen Lernservices verbindet.
Dabei stand insbesondere die Frage im Mittelpunkt, wie sich bestehende EdTech-Systeme langfristig interoperabel in föderale Bildungsinfrastrukturen integrieren lassen. Viele digitale Lernplattformen sind historisch gewachsen und basieren auf monolithischen Architekturen oder proprietären Authentifizierungsmechanismen. Diese Strukturen erschweren sowohl die Integration externer Identitätsanbieter als auch die Skalierung bei steigenden Nutzerzahlen.
Das Projekt BRAINCON2 verfolgte daher einen experimentellen Ansatz, um zentrale Architekturbausteine moderner Lernplattformen neu zu denken. Die Kombination aus Keycloak als Identity- und Access-Management-System, einem API-Gateway als zentraler Zugriffsschicht sowie einer serviceorientierten Backend-Architektur bildet die Grundlage für eine langfristig skalierbare und wartbare Plattform. Gleichzeitig liefern die im Projekt gewonnenen Erfahrungen wertvolle Erkenntnisse für andere Anbieter digitaler Bildungsplattformen, die vor ähnlichen Herausforderungen stehen.
Ausgangslage: typische Architekturprobleme vieler EdTech-Systeme
Die ursprüngliche Systemlandschaft basierte auf proprietären Single-Sign-On-Implementierungen, die historisch gewachsen waren und sich in der Praxis als sicherheitstechnisch kritisch, schwer wartbar und nur begrenzt skalierbar erwiesen. Unterschiedliche Kundeninstallationen nutzten teilweise eigene Authentifizierungsmechanismen, wodurch ein konsistentes Sicherheitsniveau nicht gewährleistet werden konnte.
Diese Situation ist in der EdTech-Branche weit verbreitet. Viele Plattformen sind über Jahre organisch entstanden und wurden schrittweise erweitert. Mit zunehmender Nutzung digitaler Lernangebote treten jedoch strukturelle Grenzen solcher Architekturen deutlich hervor.
Gleichzeitig bestand die Anforderung, Schulen und Bildungseinrichtungen aus verschiedenen Bundesländern mit ihren jeweils heterogenen Identitätsmanagementsystemen anzubinden. Ohne standardisierte Authentifizierungsprotokolle war eine übergreifende Nutzung mit einem einheitlichen Login kaum möglich.
Auch die bestehende Backend-Architektur war stark monolithisch geprägt. Steigende Nutzerzahlen führten zu Skalierungsproblemen, und selbst kleinere funktionale Änderungen konnten umfangreiche Anpassungen am Gesamtsystem erforderlich machen. Zudem fehlte eine zentrale Einstiegsschicht, die Zugriffe auf Backend-Services vereinheitlicht und gleichzeitig eine klare Trennung zwischen Clients und interner Systemstruktur ermöglicht.
Vor diesem Hintergrund wurde im Projekt BRAINCON2 ein grundlegender Architekturwechsel vorbereitet und umgesetzt.
Umsetzung: moderne Identity- und Servicearchitektur
Einführung von Keycloak als Identity-Management-System
Als zentrale Maßnahme wurde Keycloak als Identity- und Access-Management-Plattform eingeführt. Dadurch konnten etablierte Standards wie OAuth2, OpenID Connect und SAML genutzt werden, um externe Identity Provider anzubinden und gleichzeitig die bisherigen proprietären SSO-Lösungen vollständig abzulösen.
Für EdTech-Anbieter ist die Unterstützung solcher offenen Authentifizierungsstandards von besonderer Bedeutung. Nur so können Plattformen langfristig mit föderalen Bildungsinfrastrukturen, institutionellen Identity-Systemen oder landesweiten Bildungsclouds interoperabel betrieben werden.
Statt individueller Loginlösungen innerhalb der Anwendung wurden Authentifizierungsprozesse vollständig in Keycloak integriert. Hierzu wurden angepasste Themes und Authentifizierungs-Workflows entwickelt, sodass Login, Registrierung inklusive AGB-Bestätigung, Passwort-Recovery und Captcha-Mechanismen zentral über die Identity-Plattform abgewickelt werden.
Skalierbare Nutzerverwaltung über User Federation
Um eine hohe Skalierbarkeit der Anmeldedienste zu gewährleisten, verbleibt die eigentliche Nutzerdatenhaltung weiterhin im Backend der Plattform. Die Keycloak-Instanzen greifen über das Feature der User Federation auf diese Daten zu.
Der Backend-Server wurde dafür um zusätzliche Endpunkte erweitert, sodass mehrere Keycloak-Instanzen parallel betrieben werden können, ohne redundante Benutzerverwaltung aufzubauen.
Dieser Ansatz erwies sich als besonders praktikabel. Bestehende Nutzerstrukturen konnten erhalten bleiben, während gleichzeitig moderne Identity-Management-Funktionen integriert wurden. Für Plattformanbieter mit großen Nutzerbeständen bietet dieses Modell einen realistischen Migrationspfad zu standardisierten Authentifizierungssystemen.
Einführung eines API-Gateways
Parallel zur IAM-Integration wurde ein API-Gateway eingeführt, das als zentrale Einstiegsschicht für alle Backend-Services fungiert. Die Umsetzung erfolgte mit Spring Cloud Gateway, da diese Technologie optimal in die bestehende Java- und Spring-basierte Systemlandschaft integriert werden konnte.
Das Gateway übernimmt zentrale Funktionen wie:
- Routing von Serviceanfragen
- Sicherheitsprüfungen
- Lastverteilung
- Monitoring und Logging
Durch diese zentrale Zugriffsschicht wird eine klare Trennung zwischen Clients und internen Services erreicht. Gleichzeitig erleichtert das Gateway die Integration zusätzlicher Dienste und APIs.
Refaktorierung der Backend-Architektur
Parallel dazu wurde die zuvor monolithische Serverarchitektur schrittweise in eine serviceorientierte, stateless ausgelegte Struktur überführt. Ressourcenintensive Funktionen wie Cronjobs oder PDF-Generierung wurden in eigenständige Services ausgelagert.
Diese Architektur ermöglicht eine horizontale Skalierung der Plattform sowie eine unabhängige Weiterentwicklung einzelner Komponenten. Für wachsende Lernplattformen ist dies eine entscheidende Voraussetzung, um neue Funktionen integrieren zu können, ohne die Stabilität des Gesamtsystems zu gefährden.
Integration interoperabler Lernstandards
Ergänzend wurde ein Service entwickelt, der Lernergebnisse wie Lernstatistiken, Zertifikate und Prüfungsergebnisse über den xAPI-Standard an das persönliche Wallet der Lernenden zurückspielen kann.
Dies erfolgt über einen Connector zu einem Learning Record Store. Lernende können ihre Nachweise dadurch selbstbestimmt speichern und bei Bedarf selektiv teilen, ohne dass persönliche Daten zentral an Dritte übertragen werden müssen.
Dieser Ansatz unterstützt langfristig Szenarien wie portable Bildungsnachweise oder institutionsübergreifende Lernbiografien.
Erkenntnisse für andere EdTech-Plattformen
Die im Projekt gewonnenen Erfahrungen zeigen mehrere zentrale Architekturprinzipien, die auch für andere Anbieter digitaler Lernplattformen relevant sein können.
Standardisierte Authentifizierungssysteme erleichtern Interoperabilität.
Der Einsatz von Lösungen wie Keycloak ermöglicht die Integration unterschiedlicher Identitätsanbieter und reduziert gleichzeitig Sicherheitsrisiken proprietärer SSO-Implementierungen.
API-Gateways schaffen klare Systemgrenzen.
Eine zentrale Zugriffsschicht vereinfacht Sicherheitsmechanismen, Monitoring und Lastverteilung und entkoppelt Clients von internen Servicearchitekturen.
Serviceorientierte Architekturen erleichtern Skalierung.
Durch die Aufteilung monolithischer Systeme in unabhängige Services lassen sich einzelne Funktionen gezielt erweitern oder skalieren.
Open-Source-Technologien können strategische Vorteile bieten.
Sie ermöglichen langfristige Kontrolle über Architekturentscheidungen und reduzieren Abhängigkeiten von proprietären Plattformlösungen.
Fazit
Durch die Einführung von Keycloak und eines API-Gateways konnte im Projekt BRAINCON2 eine einheitliche, sichere und skalierbare Zugriffsarchitektur geschaffen werden, die sowohl interne als auch externe Systeme integriert.
Die Ablösung proprietärer Authentifizierungslösungen reduziert Sicherheitsrisiken und Wartungsaufwand erheblich, während standardisierte Protokolle die Anbindung externer Identitätsanbieter erleichtern. Gleichzeitig schafft die neue Architektur eine klare Trennung zwischen Clients und Backend-Services und verbessert die Skalierbarkeit der Plattform.
Die im Projekt gewonnenen Erkenntnisse zeigen, dass experimentelle Architekturentwicklungen einen wichtigen Beitrag zur Weiterentwicklung des deutschen EdTech-Ökosystems leisten können. Die erprobten Konzepte bieten Orientierung für Plattformanbieter, die ihre Systeme in Richtung moderner, interoperabler und skalierbarer Lerninfrastrukturen weiterentwickeln möchten
Schreibe einen Kommentar