Seminar Keylime – Installation und Erstinbetriebnahme

Überblick

Das Seminar behandelt eine vollständige, getestete Referenzinstallation mit erstem Agenten. Theorie, Konfiguration und technische Prüfung werden in einem durchgängigen Szenario verbunden, sodass aus einzelnen Funktionen ein nachvollziehbarer Betriebs- oder Sicherheitsprozess entsteht.

Zwei Tage sind erforderlich, da Grundlagen und Konfiguration zunächst belastbar aufgebaut und anschließend mit Vertiefung, negativen Prüffällen, Fehleranalyse und Betriebsübergabe abgesichert werden. Im Mittelpunkt stehen reproduzierbare Arbeitsschritte, positive und negative Testfälle sowie eine dokumentierte technische Abnahme.

Inhaltsübersicht

1. Zielbild und Installationsvariante wählen
2. Systemvoraussetzungen prüfen
3. Konten, Verzeichnisse und PKI vorbereiten
4. Registrar installieren und testen
5. Verifier installieren und anbinden
6. Tenant-Umgebung konfigurieren
7. Agent installieren und TPM prüfen
8. Agent registrieren und aktivieren
9. Erste Attestation durchführen
10. Negativtest und technische Abnahme ausführen

Lernziele

• Eine vollständige, getestete referenzinstallation mit erstem agenten fachlich einordnen und für ein konkretes Einsatzszenario planen.
• Zielbild und Installationsvariante wählen.
• Systemvoraussetzungen prüfen.
• Konten, Verzeichnisse und PKI vorbereiten.
• Registrar installieren und testen.
• Positive und negative Prüfergebnisse technisch bewerten, Fehler schichtweise lokalisieren und die Betriebs- oder Freigabeentscheidung dokumentieren.

Seminarinhalte Schritt für Schritt

Schritt 1: Zielbild und Installationsvariante wählen

Labor, Pilot und Produktion werden nach Hosttrennung, Datenbank, Zertifikatsbetrieb und Agentenzahl unterschieden; Paket-, Ansible- und Containerweg werden eingeordnet. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 2: Systemvoraussetzungen prüfen

Betriebssystem, Laufzeitabhängigkeiten, TPM-Gerätezugriff, DNS, Ports, Zeitsynchronisation, Speicher und Berechtigungen werden anhand einer Checkliste validiert. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 3: Konten, Verzeichnisse und PKI vorbereiten

Dienstkonten, Dateirechte, Konfigurations- und Logpfade sowie getrenntes Zertifikatsmaterial werden angelegt. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 4: Registrar installieren und testen

Datenbankzugang, Netzadresse und TLS-Parameter werden konfiguriert; Dienststart, Erreichbarkeit und API-Version werden geprüft. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 5: Verifier installieren und anbinden

Persistenz, Registrar-Verbindung, Attestierungsintervalle, Zertifikate und Dienstgesundheit werden eingerichtet. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 6: Tenant-Umgebung konfigurieren

Administrative Clientzertifikate, Zieladressen, Vertrauensanker und Versionsabfragen werden für sichere Verwaltungszugriffe vorbereitet. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 7: Agent installieren und TPM prüfen

Eindeutige Agent-ID, Registrar- und Verifier-Ziele, TLS-Material, EK/AK-Erzeugung und lokale TPM-Berechtigungen werden kontrolliert. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 8: Agent registrieren und aktivieren

Registrar-Aufnahme, Identitätsprüfung und Verifier-Zuordnung werden in der korrekten Reihenfolge ausgeführt und mit Statusabfragen dokumentiert. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 9: Erste Attestation durchführen

Quote, Baseline, Verifier-Zustand und komponentenübergreifende Logs werden bei einem positiven Durchlauf abgeglichen. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 10: Negativtest und technische Abnahme ausführen

Eine kontrollierte Fehlkonfiguration oder Richtlinienabweichung muss erkannt werden; offene Härtungs-, Backup- und Automatisierungsmaßnahmen werden festgehalten. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Praxisübungen

• Voraussetzungscheck für TPM, Netzwerk, Uhrzeit und Pakete durchführen.
• Registrar und Verifier mit mTLS und Persistenz installieren.
• Agent registrieren, zuordnen und erstmals attestieren.
• Negativtest erzeugen und Fehler über mehrere Komponenten verfolgen.
• Abnahmeprotokoll für eine Pilotinstallation erstellen.

Einordnung in den Lernpfad

Nach dem Architekturseminar der zentrale Praxiseinstieg. Anschließend folgen Authentifizierung, Pull-Modell, Integritätsrichtlinien und Betrieb.