Seminar Pomerium – Automatisierung mit Terraform und CI/CD

Manuell gepflegte Zugriffsregeln werden in einen kontrollierten Infrastructure-as-Code-Prozess überführt. Ziel sind nachvollziehbare Freigaben, reproduzierbare Deployments und ein belastbarer Rücknahmeweg.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Automatisierungsziel und Ressourcenmodell
5. Provider, Module und Repository
6. State, Identitäten und Secrets
7. Validierung und Policy-Tests
8. CI/CD und gestufter Rollout
9. Drift, Audit und Betrieb
10. Praxisübungen
11. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: DevOps, Plattformengineering, Cloud Engineering, Security Engineering, GitOps-Verantwortung und Terraform-Administration.

Voraussetzungen: Sichere Grundkenntnisse in Git und Terraform sowie Pomerium-Grundlagen zu Routen, Policies, TLS und Umgebungsstufen.

Lernziele

• die Zusammenhänge von Automatisierungsziel und Ressourcenmodell fachlich einordnen
• die Konfigurationsschritte zu Provider, Module und Repository reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Automatisierungsziel und Ressourcenmodell

Dieses Kapitel behandelt Automatisierungsziel und Ressourcenmodell. Ausgangspunkt ist, bestehende Routen, Policies und globale Einstellungen inventarisieren. Anschließend werden Ressourcen nach Umgebung und Verantwortungsbereich gruppieren und manuelle Sonderfälle und Ausnahmen kennzeichnen. Die technische Umsetzung wird durch die Schritte Abhängigkeiten und Bereitstellungsreihenfolge modellieren und Ownership für Code, Plattform und Freigabe festlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. bestehende Routen, Policies und globale Einstellungen inventarisieren
2. Ressourcen nach Umgebung und Verantwortungsbereich gruppieren
3. manuelle Sonderfälle und Ausnahmen kennzeichnen
4. Abhängigkeiten und Bereitstellungsreihenfolge modellieren
5. Ownership für Code, Plattform und Freigabe festlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Provider, Module und Repository

Dieses Kapitel behandelt Provider, Module und Repository. Ausgangspunkt ist, Provider-Versionen verbindlich festlegen. Anschließend werden gemeinsame Variablen und sensible Werte trennen und Module für Standardrouten und Policy-Muster entwerfen. Die technische Umsetzung wird durch die Schritte Entwicklungs-, Test- und Produktionsumgebung abbilden und Import vorhandener Ressourcen planen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Provider-Versionen verbindlich festlegen
2. gemeinsame Variablen und sensible Werte trennen
3. Module für Standardrouten und Policy-Muster entwerfen
4. Entwicklungs-, Test- und Produktionsumgebung abbilden
5. Import vorhandener Ressourcen planen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

State, Identitäten und Secrets

Dieses Kapitel behandelt State, Identitäten und Secrets. Ausgangspunkt ist, Remote-State mit Zugriffskontrolle und Sperre einrichten. Anschließend werden Pipeline-Identität auf minimale Rechte begrenzen und Tokens und Schlüssel aus dem Repository fernhalten. Die technische Umsetzung wird durch die Schritte State auf sensitive Attribute prüfen und Rotation, Widerruf und Notfallzugriff dokumentieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Remote-State mit Zugriffskontrolle und Sperre einrichten
2. Pipeline-Identität auf minimale Rechte begrenzen
3. Tokens und Schlüssel aus dem Repository fernhalten
4. State auf sensitive Attribute prüfen
5. Rotation, Widerruf und Notfallzugriff dokumentieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Validierung und Policy-Tests

Dieses Kapitel behandelt Validierung und Policy-Tests. Ausgangspunkt ist, Format- und Initialisierungsprüfung ausführen. Anschließend werden Plan-Ausgabe archivieren und maschinell prüfen und unerwartete Löschungen und Rechteausweitungen blockieren. Die technische Umsetzung wird durch die Schritte Positiv- und Negativtests für Policies definieren und Freigabekriterien aus Testergebnissen ableiten überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Format- und Initialisierungsprüfung ausführen
2. Plan-Ausgabe archivieren und maschinell prüfen
3. unerwartete Löschungen und Rechteausweitungen blockieren
4. Positiv- und Negativtests für Policies definieren
5. Freigabekriterien aus Testergebnissen ableiten

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

CI/CD und gestufter Rollout

Dieses Kapitel behandelt CI/CD und gestufter Rollout. Ausgangspunkt ist, Branch- und Merge-Regeln festlegen. Anschließend werden Plan, Review und Apply als getrennte Phasen konfigurieren und Änderung zuerst in einer Teststufe ausbringen. Die technische Umsetzung wird durch die Schritte Smoke-Tests für Anmeldung, Policy und Upstream ausführen und Produktionsfreigabe und Rollback praktisch erproben überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Branch- und Merge-Regeln festlegen
2. Plan, Review und Apply als getrennte Phasen konfigurieren
3. Änderung zuerst in einer Teststufe ausbringen
4. Smoke-Tests für Anmeldung, Policy und Upstream ausführen
5. Produktionsfreigabe und Rollback praktisch erproben

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Drift, Audit und Betrieb

Dieses Kapitel behandelt Drift, Audit und Betrieb. Ausgangspunkt ist, periodische Drift-Prüfung einrichten. Anschließend werden Änderungsautor, Ticket und Freigabe verknüpfen und Notfalländerungen mit Ablaufdatum versehen. Die technische Umsetzung wird durch die Schritte Alarmierung bei unerwarteter Abweichung definieren und Provider- und Plattform-Upgrades kontrolliert validieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. periodische Drift-Prüfung einrichten
2. Änderungsautor, Ticket und Freigabe verknüpfen
3. Notfalländerungen mit Ablaufdatum versehen
4. Alarmierung bei unerwarteter Abweichung definieren
5. Provider- und Plattform-Upgrades kontrolliert validieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. Route in ein Terraform-Modul überführen
2. Pipeline mit Planprüfung und Produktionsfreigabe erstellen
3. Rechteausweitung automatisch blockieren
4. Drift erzeugen und bereinigen
5. Rollback nach fehlerhafter Policy durchführen

Didaktik und Arbeitsweise

Zwei Tage sind erforderlich, weil neben der Konfiguration auch Integration, Negativtests, Fehlerdiagnose und dokumentierte Rücknahme praktisch bearbeitet werden. Ein eintägiges Format würde diese Betriebsnachweise nicht abdecken.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.