Seminar Pomerium – Architektur und Zero-Trust-Grundlagen

Pomerium wird als identitätsbewusste Zugriffsschicht zwischen Nutzenden und geschützten Diensten eingeordnet. Vertrauensgrenzen, Anfrageweg und Abgrenzung zu VPN, Bastion Host und klassischem Reverse Proxy stehen im Mittelpunkt.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Zero Trust und Schutzmodell
5. Logische Komponenten
6. Anfrageweg und Sitzung
7. Routen und Richtlinien
8. Einsatzmuster und Lernpfad
9. Praxisübungen
10. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: IT-Architektur, Security Engineering, Plattformbetrieb, IAM-Verantwortung, Anwendungsbetrieb und technische Projektleitung.

Voraussetzungen: Grundverständnis von HTTP, TLS, Identitätsanbietern und Reverse Proxies; praktische Pomerium-Erfahrung ist nicht erforderlich.

Lernziele

• die Zusammenhänge von Zero Trust und Schutzmodell fachlich einordnen
• die Konfigurationsschritte zu Logische Komponenten reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Zero Trust und Schutzmodell

Dieses Kapitel behandelt Zero Trust und Schutzmodell. Ausgangspunkt ist, Schutzobjekte und Nutzergruppen inventarisieren. Anschließend werden bestehende Netzvertrauensannahmen dokumentieren und Identität, Kontext, Route und Ziel trennen. Die technische Umsetzung wird durch die Schritte Authentifizierung und Autorisierung als getrennte Kontrollen modellieren und ein Zero-Trust-Zielbild für eine Beispielanwendung erstellen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Schutzobjekte und Nutzergruppen inventarisieren
2. bestehende Netzvertrauensannahmen dokumentieren
3. Identität, Kontext, Route und Ziel trennen
4. Authentifizierung und Autorisierung als getrennte Kontrollen modellieren
5. ein Zero-Trust-Zielbild für eine Beispielanwendung erstellen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Logische Komponenten

Dieses Kapitel behandelt Logische Komponenten. Ausgangspunkt ist, Proxy als Eintritts- und Weiterleitungsdienst zuordnen. Anschließend werden Authenticate als Schnittstelle zum Identitätsanbieter einordnen und Authorize als Entscheidungspunkt für jede Anfrage beschreiben. Die technische Umsetzung wird durch die Schritte Databroker für Sitzungen, Claims und Konfiguration erfassen und monolithische und getrennte Bereitstellung vergleichen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Proxy als Eintritts- und Weiterleitungsdienst zuordnen
2. Authenticate als Schnittstelle zum Identitätsanbieter einordnen
3. Authorize als Entscheidungspunkt für jede Anfrage beschreiben
4. Databroker für Sitzungen, Claims und Konfiguration erfassen
5. monolithische und getrennte Bereitstellung vergleichen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Anfrageweg und Sitzung

Dieses Kapitel behandelt Anfrageweg und Sitzung. Ausgangspunkt ist, DNS und Eingangszertifikat prüfen. Anschließend werden nicht authentifizierte Anfrage bis zur Anmeldung verfolgen und Rückkehr vom Identitätsanbieter und Sitzungsaufbau nachvollziehen. Die technische Umsetzung wird durch die Schritte Policy-Entscheidung und Upstream-Weiterleitung analysieren und Ablehnung, Ablauf und erneute Anmeldung dokumentieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. DNS und Eingangszertifikat prüfen
2. nicht authentifizierte Anfrage bis zur Anmeldung verfolgen
3. Rückkehr vom Identitätsanbieter und Sitzungsaufbau nachvollziehen
4. Policy-Entscheidung und Upstream-Weiterleitung analysieren
5. Ablehnung, Ablauf und erneute Anmeldung dokumentieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Routen und Richtlinien

Dieses Kapitel behandelt Routen und Richtlinien. Ausgangspunkt ist, From-Endpunkt und Upstream-Ziel festlegen. Anschließend werden Protokoll und TLS-Anforderungen bestimmen und erforderliche Nutzer- und Gruppenmerkmale formulieren. Die technische Umsetzung wird durch die Schritte Allow- und Deny-Logik in verständliche Regeln zerlegen und positive und negative Testfälle definieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. From-Endpunkt und Upstream-Ziel festlegen
2. Protokoll und TLS-Anforderungen bestimmen
3. erforderliche Nutzer- und Gruppenmerkmale formulieren
4. Allow- und Deny-Logik in verständliche Regeln zerlegen
5. positive und negative Testfälle definieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Einsatzmuster und Lernpfad

Dieses Kapitel behandelt Einsatzmuster und Lernpfad. Ausgangspunkt ist, Anwendungen, Standorte und Identitätsquellen erfassen. Anschließend werden Verfügbarkeits- und Wiederanlaufziele festhalten und zentrale und dezentrale Bereitstellungsmuster vergleichen. Die technische Umsetzung wird durch die Schritte DNS-, Zertifikats-, IdP- und Datenbankabhängigkeiten bewerten und passende Vertiefungsseminare priorisieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Anwendungen, Standorte und Identitätsquellen erfassen
2. Verfügbarkeits- und Wiederanlaufziele festhalten
3. zentrale und dezentrale Bereitstellungsmuster vergleichen
4. DNS-, Zertifikats-, IdP- und Datenbankabhängigkeiten bewerten
5. passende Vertiefungsseminare priorisieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. Anfragefluss als Sequenzdiagramm erstellen
2. Störung einer zuständigen Komponente zuordnen
3. minimale Route mit Identitätsbedingung spezifizieren
4. VPN-Altzugang und identitätsbewussten Zielzugang vergleichen

Didaktik und Arbeitsweise

Ein Tag ist für das klar abgegrenzte Architektur- und Orientierungsziel ausreichend. Produktive Installation, tiefe Policy-Entwicklung und Betriebsautomatisierung sind bewusst nicht Bestandteil dieses Formats.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.