Seminar Keylime – Pull-Modell, Enrollment und Tenant-CLI

Überblick

Das Seminar behandelt den vollständigen Agentenlebenszyklus im verifierinitiierten Pull-Betrieb. Theorie, Konfiguration und technische Prüfung werden in einem durchgängigen Szenario verbunden, sodass aus einzelnen Funktionen ein nachvollziehbarer Betriebs- oder Sicherheitsprozess entsteht.

Die eintägige Dauer ist angemessen, weil der Themenbereich klar abgegrenzt ist und Einordnung, Laborumsetzung, Negativtest sowie Dokumentation in einem geschlossenen Arbeitsablauf durchgeführt werden können. Im Mittelpunkt stehen reproduzierbare Arbeitsschritte, positive und negative Testfälle sowie eine dokumentierte technische Abnahme.

Inhaltsübersicht

1. Agentenidentität und Voraussetzungen prüfen
2. Registrar-Enrollment nachvollziehen
3. Tenant-CLI konfigurieren
4. Agent dem Verifier hinzufügen
5. Aktivierung und erste Prüfung beobachten
6. Richtlinie oder Parameter aktualisieren
7. Status und Historie auswerten
8. Agent kontrolliert entfernen

Lernziele

• Den vollständigen agentenlebenszyklus im verifierinitiierten pull-betrieb fachlich einordnen und für ein konkretes Einsatzszenario planen.
• Agentenidentität und Voraussetzungen prüfen.
• Registrar-Enrollment nachvollziehen.
• Tenant-CLI konfigurieren.
• Agent dem Verifier hinzufügen.
• Positive und negative Prüfergebnisse technisch bewerten, Fehler schichtweise lokalisieren und die Betriebs- oder Freigabeentscheidung dokumentieren.

Seminarinhalte Schritt für Schritt

Schritt 1: Agentenidentität und Voraussetzungen prüfen

Agent-ID, Netzwerkadresse, TPM-Zugriff, Zertifikate und Uhrzeit werden kontrolliert; doppelte oder unklare Identitäten werden bereinigt. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 2: Registrar-Enrollment nachvollziehen

Der Agent meldet Identitäts- und Attestierungsdaten an; gespeicherte Informationen und Status werden vor der Verifier-Zuordnung geprüft. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 3: Tenant-CLI konfigurieren

Zieladressen, Zertifikate, Vertrauensanker und Standardoptionen werden gesetzt und durch Versions- sowie Statusabfragen bestätigt. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 4: Agent dem Verifier hinzufügen

Agentenadresse, Richtlinien und optionale Nutzdaten werden übergeben; der Verifier legt den Prüfzustand an. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 5: Aktivierung und erste Prüfung beobachten

Challenge, Quote, Antwort und Zustandswechsel werden in Logs und Statusausgabe verfolgt. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 6: Richtlinie oder Parameter aktualisieren

Eine validierte Änderung wird neu zugeordnet und bei der folgenden Attestation gegen den erwarteten Zustand geprüft. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 7: Status und Historie auswerten

Letzte erfolgreiche Prüfung, Fehlergrund, Erreichbarkeit, Policy-Version und Zeitbezug werden zu einem Betriebsbild zusammengeführt. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 8: Agent kontrolliert entfernen

Verifier-Zuordnung, Registrar-Eintrag, provisionierte Schlüssel und lokale Konfiguration werden in definierter Reihenfolge beendet. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Praxisübungen

• Agent registrieren und Registrar-Status prüfen.
• Agent über Tenant-CLI mit einer Baseline dem Verifier hinzufügen.
• Attestierungszyklus und Zustandswechsel in Logs verfolgen.
• Policy aktualisieren und Agent anschließend kontrolliert entfernen.

Einordnung in den Lernpfad

Direkt nach Installation. Danach folgen Authentifizierung, Secure Payloads, Revocation und bei Edge-Szenarien das Push-Modell.