Seminar Pomerium – Kompaktseminar Zero-Trust-Zugriff in drei Tagen

Das Kompaktformat vermittelt die Bausteine für einen realistischen Pilotbetrieb, ohne die Tiefe der spezialisierten Betriebs- und Securityseminare vorwegzunehmen. Es entsteht eine getestete Umgebung mit dokumentierten Grenzen und Vertiefungspfad.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Tag 1 – Architektur und Schutzmodell
5. Tag 1 – Installation und IdP
6. Tag 2 – Routen und PPL
7. Tag 2 – TLS und mTLS
8. Tag 3 – Kubernetes und HA
9. Tag 3 – Monitoring und Übergabe
10. Praxisübungen
11. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: Technische Projektleitung, Plattformbetrieb, DevOps, IAM- und Security-Teams sowie Anwendungsadministration.

Voraussetzungen: Grundlagen in HTTP, DNS, TLS, Linux und OIDC; Laborumgebung mit Identitätsanbieter und Testanwendung.

Lernziele

• die Zusammenhänge von Tag 1 – Architektur und Schutzmodell fachlich einordnen
• die Konfigurationsschritte zu Tag 1 – Installation und IdP reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Tag 1 – Architektur und Schutzmodell

Dieses Kapitel behandelt Tag 1 – Architektur und Schutzmodell. Ausgangspunkt ist, Anwendungen und Nutzergruppen inventarisieren. Anschließend werden Vertrauensgrenzen markieren und Pomerium-Komponenten und Anfrageweg zuordnen. Die technische Umsetzung wird durch die Schritte Authentifizierung und Autorisierung trennen und Pilotanwendung und Abnahmekriterien auswählen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Anwendungen und Nutzergruppen inventarisieren
2. Vertrauensgrenzen markieren
3. Pomerium-Komponenten und Anfrageweg zuordnen
4. Authentifizierung und Autorisierung trennen
5. Pilotanwendung und Abnahmekriterien auswählen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 1 – Installation und IdP

Dieses Kapitel behandelt Tag 1 – Installation und IdP. Ausgangspunkt ist, Installationsvariante und Servicekonto vorbereiten. Anschließend werden DNS und Eingangszertifikat einrichten und globale Schlüssel setzen. Die technische Umsetzung wird durch die Schritte OIDC-Client registrieren und Login und Sitzung mit Logs prüfen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Installationsvariante und Servicekonto vorbereiten
2. DNS und Eingangszertifikat einrichten
3. globale Schlüssel setzen
4. OIDC-Client registrieren
5. Login und Sitzung mit Logs prüfen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 2 – Routen und PPL

Dieses Kapitel behandelt Tag 2 – Routen und PPL. Ausgangspunkt ist, From- und Upstream-Ziel definieren. Anschließend werden Allow-Bedingung aus Gruppen ableiten und Deny und Standardhaltung festlegen. Die technische Umsetzung wird durch die Schritte Claim- und Kontextbedingungen ergänzen und Positiv- und Negativtests ausführen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. From- und Upstream-Ziel definieren
2. Allow-Bedingung aus Gruppen ableiten
3. Deny und Standardhaltung festlegen
4. Claim- und Kontextbedingungen ergänzen
5. Positiv- und Negativtests ausführen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 2 – TLS und mTLS

Dieses Kapitel behandelt Tag 2 – TLS und mTLS. Ausgangspunkt ist, Eingangszertifikat und Schlüssel absichern. Anschließend werden Upstream-CA und Namensprüfung festlegen und Client-Zertifikat für mTLS bereitstellen. Die technische Umsetzung wird durch die Schritte Vertrauensketten prüfen und Ablauf und Rotation planen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Eingangszertifikat und Schlüssel absichern
2. Upstream-CA und Namensprüfung festlegen
3. Client-Zertifikat für mTLS bereitstellen
4. Vertrauensketten prüfen
5. Ablauf und Rotation planen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 3 – Kubernetes und HA

Dieses Kapitel behandelt Tag 3 – Kubernetes und HA. Ausgangspunkt ist, Ingress Controller einordnen. Anschließend werden Gateway-API-Grenzen bewerten und Replikate und Lastverteilung planen. Die technische Umsetzung wird durch die Schritte persistenten Databroker mit PostgreSQL skizzieren und Backup- und Wiederanlaufanforderungen festlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Ingress Controller einordnen
2. Gateway-API-Grenzen bewerten
3. Replikate und Lastverteilung planen
4. persistenten Databroker mit PostgreSQL skizzieren
5. Backup- und Wiederanlaufanforderungen festlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 3 – Monitoring und Übergabe

Dieses Kapitel behandelt Tag 3 – Monitoring und Übergabe. Ausgangspunkt ist, Health Checks und Kernmetriken auswählen. Anschließend werden Logs für Authentifizierung, Entscheidung und Upstream sammeln und fehlerhaften Zugriff analysieren. Die technische Umsetzung wird durch die Schritte Konfiguration und Secrets sichern und Verantwortungen und nächste Vertiefungen festlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Health Checks und Kernmetriken auswählen
2. Logs für Authentifizierung, Entscheidung und Upstream sammeln
3. fehlerhaften Zugriff analysieren
4. Konfiguration und Secrets sichern
5. Verantwortungen und nächste Vertiefungen festlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. Basisinstallation mit OIDC und Route erstellen
2. Gruppen- und Claim-Policy mit Negativfall umsetzen
3. Upstream-mTLS konfigurieren
4. Produktionszielbild für Kubernetes oder HA ableiten
5. Betriebscheckliste für den Pilot erstellen

Didaktik und Arbeitsweise

Drei Tage bilden die notwendige Untergrenze für einen belastbaren Pilot, weil Architektur, Installation, Identität, Policy, TLS und Betrieb zusammenhängend geübt werden. Vertiefende Produktions- und Securitythemen bleiben den Spezialseminaren vorbehalten.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.