2.16 Gesamttrainer – APIs, SaaS und Automatisierung

Richtige Antwort: B

SaaS bedeutet Software as a Service. Eine Software wird als Dienst über ein Netzwerk beziehungsweise das Internet bereitgestellt.

Richtige Antwort: B

CRM bedeutet Customer Relationship Management. Ein CRM-System verwaltet Kunden, Interessenten, Kontakte, Angebote und Vertriebsprozesse.

Richtige Antwort: A

Slack unterstützt Kommunikation, Kanäle, Nachrichten und Zusammenarbeit innerhalb eines Unternehmens.

Eine API ist eine Programmierschnittstelle. Sie ermöglicht es unterschiedlichen Programmen, Daten auszutauschen oder Funktionen eines anderen Systems aufzurufen.

CRUD bedeutet:

• Create
• Read
• Update
• Delete

Es beschreibt die grundlegenden Operationen zum Erstellen, Lesen, Ändern und Löschen von Daten.

Richtige Antwort: B

GET /users/15

GET ruft Daten ab. /users/15 bezeichnet den Benutzer mit der ID 15.

Richtige Antwort: C

PATCH /users/15

Request-Body:

{
  "department": "IT"
}

PATCH verändert einzelne Felder einer Ressource.

PUT ersetzt normalerweise eine vollständige Ressource.

PATCH verändert nur einzelne Felder.

Merksatz:

PUT ersetzt vollständig. PATCH ändert teilweise.

Idempotenz bedeutet, dass eine Anfrage mehrfach ausgeführt werden kann, ohne dass sich das Ergebnis nach der ersten erfolgreichen Ausführung weiter verändert.

GET, PUT und DELETE sind normalerweise idempotent.

POST ist normalerweise nicht idempotent.

401 Unauthorized bedeutet, dass die Authentifizierung fehlt oder ungültig ist.

403 Forbidden bedeutet, dass die Identität bekannt ist, aber die benötigte Berechtigung fehlt.

Merksatz:

401: Wer bist du?
403: Du bist bekannt, darfst das aber nicht.

Die E-Mail-Adresse ist bereits einem vorhandenen Benutzerkonto zugeordnet.

Vor einem erneuten POST-Request sollte der bestehende Benutzer gesucht werden.

Der Workflow sollte mindestens 60 Sekunden warten und die Anfrage anschließend begrenzt erneut versuchen.

Zusätzlich sollten Rate Limit, Batch-Verarbeitung und Anzahl der Anfragen geprüft werden.

Richtige Antwort: B

JSON verwendet:

• doppelte Anführungszeichen
• geschweifte Klammern für Objekte
• kein zusätzliches Komma nach dem letzten Feld

Die Ausgabe lautet:

IT

department ist ein verschachteltes Objekt. Das Feld name enthält den Wert IT.

Datenmapping bedeutet, dass Felder eines Quellsystems passenden Feldern eines Zielsystems zugeordnet werden.

Beispiel:

Ein API-Key ist ein geheimer Schlüssel, der einem Benutzer, Programm oder Projekt zugeordnet wird und den Zugriff auf eine API ermöglicht.

Er sollte geschützt gespeichert und nur mit den notwendigen Rechten ausgestattet werden.

Im Authorization-Header:

Authorization: Bearer ***

Das Token muss wie ein Passwort geschützt werden.

Benutzer, Anwendungen und Workflows erhalten nur die Rechte, die sie für ihre Aufgabe tatsächlich benötigen.

Ein Workflow zum Senden von Nachrichten benötigt beispielsweise keinen Zugriff zum Löschen von Benutzern.

Mögliche Probleme:

• zu umfangreiche Rechte
• Abhängigkeit von einer einzelnen Person
• Ausfall beim Mitarbeiterwechsel
• schlechte Nachvollziehbarkeit
• Vermischung persönlicher und technischer Zugriffe

Besser ist ein eigener Service Account mit begrenzten Rechten.

Beim Webhook meldet das Quellsystem ein Ereignis aktiv.

Beim Polling fragt das Zielsystem regelmäßig nach neuen oder geänderten Daten.

Merksatz:

Beim Webhook wird gesendet. Beim Polling wird nachgefragt.

Richtige Antworten: A und C

Webhooks reagieren meist sofort und verursachen nur bei einem tatsächlichen Ereignis eine Übertragung.

Webhook-Endpunkte müssen trotzdem abgesichert werden.

• Event-ID prüfen
• bereits verarbeitete Ereignisse speichern
• vorhandene Ressource suchen
• Idempotency-Key verwenden
• doppelte Trigger erkennen

Bei einem Replay-Angriff wird eine bereits gültige Nachricht erneut gesendet.

Dadurch könnten Aktionen wie Benutzeranlage, Zahlung oder Aufgabenerstellung mehrfach ausgeführt werden.

Schutz bieten Event-ID, Zeitstempel und Signaturprüfung.

Richtige Antwort: A

{{$json.email}}

{{$json.firstName + " " + $json.lastName}}

Ergebnis:

Max Mustermann

Eine If-Node eignet sich für zwei Wege, beispielsweise wahr oder falsch.

Eine Switch-Node eignet sich für mehrere mögliche Werte, beispielsweise verschiedene Abteilungen.

Im Ja-Pfad sollte der Workflow beispielsweise:

• stoppen
• vorhandenen Benutzer aktualisieren
• oder eine manuelle Prüfung starten

Ein doppeltes Benutzerkonto darf nicht erstellt werden.

Richtige Antworten: C, D und E

Diese Fehler können vorübergehend sein.

400 und 403 benötigen zunächst eine Korrektur der Anfrage beziehungsweise der Berechtigungen.

Backoff bedeutet, dass die Wartezeit zwischen mehreren Wiederholungsversuchen schrittweise erhöht wird.

Beispiel:

• 5 Sekunden
• 15 Sekunden
• 30 Sekunden
• 60 Sekunden

Die Ressource könnte im Zielsystem bereits erstellt worden sein, obwohl n8n keine Antwort empfangen hat.

Ein erneuter POST-Request könnte dadurch eine doppelte Ressource erzeugen.

Vor dem Retry sollte geprüft werden, ob der Datensatz bereits existiert.

• Passwörter
• API-Keys
• Bearer-Tokens
• Refresh Tokens
• Client Secrets
• private Schlüssel
• besonders vertrauliche personenbezogene Daten

Nein.

Es handelt sich um einen Teilerfolg.

Erfolgreiche und fehlgeschlagene Schritte müssen getrennt dokumentiert werden. Zusätzlich sollte eine manuelle Aufgabe oder Fehlermeldung erstellt werden.

Das Prinzip der Datenminimierung wird verletzt.

Es dürfen nur die Daten übertragen werden, die für den festgelegten Zweck benötigt werden.

• HTTPS
• Signaturprüfung
• API-Key oder Bearer-Token
• Event-ID
• Zeitstempel
• IP-Filter
• Rate Limit
• Eingabevalidierung
• Schutz vor Replay-Angriffen

Damit Tests keine unbeabsichtigten Änderungen an echten Daten, Benutzern, Projekten oder Kommunikationskanälen verursachen.

Testsysteme sollten eigene Daten, Credentials und Endpoints verwenden.

Ein Audit-Log protokolliert sicherheitsrelevante Aktionen.

Beispiele:

• Benutzer angelegt
• Rolle geändert
• Token erzeugt
• MFA deaktiviert
• Administratorrecht vergeben
• Workflow verändert

1. Eingangsdaten validieren
2. vorhandenes Konto suchen
3. Benutzerkonto anlegen
4. Gruppen zuweisen
5. Hardware-Aufgabe erstellen
6. Ergebnis dokumentieren

• Daten bleiben zunächst erhalten.
• Audit-Logs bleiben nachvollziehbar.
• E-Mails und Dateien können übertragen werden.
• Abhängigkeiten können geprüft werden.
• Das Konto kann bei einem Fehler wieder aktiviert werden.

Richtige Antworten: A, B, D, E und F

Administratorrechte dürfen beim Offboarding nicht erweitert werden.

Bereits aktive Sitzungen, App-Passwörter, OAuth-Verbindungen, API-Tokens oder VPN-Zertifikate könnten weiterhin gültig sein.

Diese Zugänge müssen zusätzlich beendet oder widerrufen werden.

1. Ist der Workflow aktiv?
2. Ist der richtige Trigger eingerichtet?
3. Wurde das Ereignis im Quellsystem ausgelöst?
4. Ist die Webhook-URL korrekt?
5. Wird die richtige HTTP-Methode verwendet?
6. Ist der Endpoint erreichbar?
7. Ist die Authentifizierung gültig?
8. Gibt es einen Eintrag im Trigger-Log?
9. Wurde eine Test- mit einer Produktiv-URL verwechselt?

• Rolle des Benutzers oder Service Accounts
• Gruppenmitgliedschaften
• API-Scopes
• Administratorfreigabe
• Berechtigung für die konkrete Ressource
• verwendetes Credential

• DNS-Fehler
• Netzwerkverbindung unterbrochen
• Port geschlossen
• Firewall blockiert
• TLS-Zertifikatsfehler
• Verbindung zurückgesetzt
• Timeout ohne Serverantwort

Ein HTTP-Statuscode kann nur empfangen werden, wenn der Server eine HTTP-Response zurücksendet.

1. Trigger prüfen
2. Eingangsdaten prüfen
3. Netzwerk prüfen
4. Endpoint und Methode prüfen
5. Authentifizierung prüfen
6. Berechtigungen prüfen
7. Statuscode auswerten
8. Response-Body lesen
9. Ergebnis dokumentieren

1. Das Personalsystem sendet einen signierten Webhook.
2. n8n prüft Signatur, Event-ID und Zeitstempel.
3. Pflichtfelder und Datentypen werden validiert.
4. Nur notwendige Mitarbeiterdaten werden übernommen.
5. Der vorhandene Benutzer wird über seine E-Mail-Adresse oder Mitarbeiter-ID gesucht.
6. Ist kein Benutzer vorhanden, wird das Konto über POST angelegt.
7. Gruppen und Rollen werden nach dem Least-Privilege-Prinzip zugewiesen.
8. Das Ticketsystem erhält eine Aufgabe zur Hardwarebereitstellung.
9. Slack erhält eine Nachricht ohne Passwörter oder vertrauliche Daten.
10. Jede API-Response wird auf Statuscode und Inhalt geprüft.
11. Vorübergehende Fehler erhalten einen begrenzten Retry mit Backoff.
12. Dauerhafte Fehler werden protokolliert und an die IT gemeldet.
13. Teilerfolge werden eindeutig dokumentiert.
14. Secrets werden ausschließlich über geschützte Credentials verwendet.
15. Die Event-ID wird als verarbeitet gespeichert.

Vereinfachte Darstellung:

Personalsystem
      |
      | signierter Webhook
      v
     n8n
      |
      v
Daten validieren
      |
      v
Event-ID prüfen
      |
      v
Benutzer suchen
   /        \
 gefunden   nicht gefunden
   |             |
   v             v
prüfen       Konto anlegen
                 |
                 v
          Gruppen zuweisen
                 |
                 v
          Hardware-Ticket
                 |
                 v
          Slack informieren
                 |
                 v
          Ergebnis protokollieren