Seminar Pomerium – Installation und Grundkonfiguration

Von einer leeren Zielumgebung wird eine nachvollziehbar dokumentierte Pomerium-Basisinstallation aufgebaut. Sichere Startwerte und ein belastbarer Abnahmepfad für die erste geschützte Anwendung stehen im Vordergrund.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Planung und Plattform
5. DNS und TLS
6. Installation und Dienst
7. Globale Konfiguration
8. Erste Route
9. Logging und Basismonitoring
10. Abnahme und Übergabe
11. Praxisübungen
12. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: Linux-Administration, Plattformbetrieb, DevOps, Netzwerkbetrieb, Security Engineering und IAM-Integration.

Voraussetzungen: Sichere Grundlagen in Linux, DNS, TLS, HTTP und Reverse Proxies; Zugriff auf eine Laborumgebung und einen OIDC-fähigen Identitätsanbieter.

Lernziele

• die Zusammenhänge von Planung und Plattform fachlich einordnen
• die Konfigurationsschritte zu DNS und TLS reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Planung und Plattform

Dieses Kapitel behandelt Planung und Plattform. Ausgangspunkt ist, geschützte Anwendung und Einstiegspunkt festlegen. Anschließend werden Installationsvariante für Binary, Paket oder Container auswählen und Ressourcen- und Netzwerkvoraussetzungen prüfen. Die technische Umsetzung wird durch die Schritte Servicekonto, Verzeichnisse und Dateirechte planen und Abnahmekriterien definieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. geschützte Anwendung und Einstiegspunkt festlegen
2. Installationsvariante für Binary, Paket oder Container auswählen
3. Ressourcen- und Netzwerkvoraussetzungen prüfen
4. Servicekonto, Verzeichnisse und Dateirechte planen
5. Abnahmekriterien definieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

DNS und TLS

Dieses Kapitel behandelt DNS und TLS. Ausgangspunkt ist, Routennamen definieren. Anschließend werden DNS auf den Eingangspunkt setzen und Zertifikatsbeschaffung oder Automation planen. Die technische Umsetzung wird durch die Schritte privaten Schlüssel restriktiv bereitstellen und Upstream-Zertifikate und interne CAs prüfen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Routennamen definieren
2. DNS auf den Eingangspunkt setzen
3. Zertifikatsbeschaffung oder Automation planen
4. privaten Schlüssel restriktiv bereitstellen
5. Upstream-Zertifikate und interne CAs prüfen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Installation und Dienst

Dieses Kapitel behandelt Installation und Dienst. Ausgangspunkt ist, Artefakt oder Image aus dem freigegebenen Kanal beziehen. Anschließend werden Version und Integrität intern prüfen und Konfigurations- und Datenverzeichnisse anlegen. Die technische Umsetzung wird durch die Schritte Dienstdefinition oder Containerstart erstellen und Start, Stopp, Neustart und Wiederanlauf testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Artefakt oder Image aus dem freigegebenen Kanal beziehen
2. Version und Integrität intern prüfen
3. Konfigurations- und Datenverzeichnisse anlegen
4. Dienstdefinition oder Containerstart erstellen
5. Start, Stopp, Neustart und Wiederanlauf testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Globale Konfiguration

Dieses Kapitel behandelt Globale Konfiguration. Ausgangspunkt ist, gemeinsame Schlüssel sicher erzeugen. Anschließend werden externe Basis- und Authenticate-Adresse festlegen und Identitätsanbieterparameter eintragen. Die technische Umsetzung wird durch die Schritte Log-Level und Verwaltungsendpunkte konfigurieren und Syntax und Pflichtwerte vor dem Start prüfen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. gemeinsame Schlüssel sicher erzeugen
2. externe Basis- und Authenticate-Adresse festlegen
3. Identitätsanbieterparameter eintragen
4. Log-Level und Verwaltungsendpunkte konfigurieren
5. Syntax und Pflichtwerte vor dem Start prüfen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Erste Route

Dieses Kapitel behandelt Erste Route. Ausgangspunkt ist, From-Adresse und Upstream-Ziel definieren. Anschließend werden TLS-Verhalten zum Upstream festlegen und erlaubte Testidentität auswählen. Die technische Umsetzung wird durch die Schritte Deny-Fall für nicht berechtigte Identitäten sicherstellen und Anmeldung, Weiterleitung und Ablehnung prüfen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. From-Adresse und Upstream-Ziel definieren
2. TLS-Verhalten zum Upstream festlegen
3. erlaubte Testidentität auswählen
4. Deny-Fall für nicht berechtigte Identitäten sicherstellen
5. Anmeldung, Weiterleitung und Ablehnung prüfen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Logging und Basismonitoring

Dieses Kapitel behandelt Logging und Basismonitoring. Ausgangspunkt ist, Logs zentral bereitstellen. Anschließend werden Health-Endpunkt und Prozessstatus überwachen und Log-Rotation und Aufbewahrung festlegen. Die technische Umsetzung wird durch die Schritte Neustart unter Testlast beobachten und Änderung mit Sicherung und Rücknahme durchführen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Logs zentral bereitstellen
2. Health-Endpunkt und Prozessstatus überwachen
3. Log-Rotation und Aufbewahrung festlegen
4. Neustart unter Testlast beobachten
5. Änderung mit Sicherung und Rücknahme durchführen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Abnahme und Übergabe

Dieses Kapitel behandelt Abnahme und Übergabe. Ausgangspunkt ist, Secret-Ablage gegen Vorgaben prüfen. Anschließend werden positive und negative Tests protokollieren und DNS-, Zertifikats- und IdP-Abhängigkeiten dokumentieren. Die technische Umsetzung wird durch die Schritte Backup und Wiederherstellung testen und Patch- und Upgrade-Verantwortung festlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Secret-Ablage gegen Vorgaben prüfen
2. positive und negative Tests protokollieren
3. DNS-, Zertifikats- und IdP-Abhängigkeiten dokumentieren
4. Backup und Wiederherstellung testen
5. Patch- und Upgrade-Verantwortung festlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. Core-Instanz in einer leeren Umgebung installieren
2. DNS und Eingangszertifikat vorbereiten
3. IdP und restriktive Testroute anbinden
4. Neustart und Konfigurationsrollback durchführen
5. Basisinstallation mit Positiv- und Negativtests abnehmen

Didaktik und Arbeitsweise

Zwei Tage sind erforderlich, weil neben der Konfiguration auch Integration, Negativtests, Fehlerdiagnose und dokumentierte Rücknahme praktisch bearbeitet werden. Ein eintägiges Format würde diese Betriebsnachweise nicht abdecken.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.