Seminar Pomerium – Intensivseminar Architektur, Identität und Policy

Der Intensivpfad verbindet Zero-Trust-Architektur mit einer praktisch aufgebauten Pomerium-Umgebung. Identität, Sitzung, Route, Policy, Transportverschlüsselung, Maschinenzugriff, Nicht-HTTP-Dienste und Migration werden in einem Laborpfad zusammengeführt.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Tag 1 – Zielbild und Komponenten
5. Tag 1 – Installation und erste Route
6. Tag 2 – OIDC, Claims und Gruppen
7. Tag 2 – Sitzungen und MFA
8. Tag 3 – Routenmodell
9. Tag 3 – PPL und Kontext
10. Tag 4 – TLS und mTLS
11. Tag 4 – Service Accounts und programmatischer Zugriff
12. Tag 5 – TCP- und UDP-Zugriffe
13. Tag 5 – Migration und Pilot
14. Praxisübungen
15. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: Security- und IAM-Architektur, Plattformengineering, DevOps, Netzwerk- und PKI-Betrieb, Anwendungsintegration und technische Projektleitung.

Voraussetzungen: Solide Kenntnisse in HTTP, TLS, DNS, Linux, OIDC und Git; Laborumgebung mit IdP, Webanwendung und mindestens einem TCP-Dienst.

Lernziele

• die Zusammenhänge von Tag 1 – Zielbild und Komponenten fachlich einordnen
• die Konfigurationsschritte zu Tag 1 – Installation und erste Route reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Tag 1 – Zielbild und Komponenten

Dieses Kapitel behandelt Tag 1 – Zielbild und Komponenten. Ausgangspunkt ist, Anwendungen und Identitäten inventarisieren. Anschließend werden Vertrauensgrenzen und Schutzbedarfe klassifizieren und Proxy, Authenticate, Authorize und Databroker zuordnen. Die technische Umsetzung wird durch die Schritte Request Flow mit Anmeldung und Policy modellieren und Zielarchitektur und Abnahmekriterien festlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Anwendungen und Identitäten inventarisieren
2. Vertrauensgrenzen und Schutzbedarfe klassifizieren
3. Proxy, Authenticate, Authorize und Databroker zuordnen
4. Request Flow mit Anmeldung und Policy modellieren
5. Zielarchitektur und Abnahmekriterien festlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 1 – Installation und erste Route

Dieses Kapitel behandelt Tag 1 – Installation und erste Route. Ausgangspunkt ist, Installationsvariante und Servicekonto vorbereiten. Anschließend werden DNS und Eingangszertifikat bereitstellen und globale Schlüssel und Basisadressen konfigurieren. Die technische Umsetzung wird durch die Schritte erste Route zu einer Webanwendung anlegen und erlaubten und abgelehnten Zugriff dokumentieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Installationsvariante und Servicekonto vorbereiten
2. DNS und Eingangszertifikat bereitstellen
3. globale Schlüssel und Basisadressen konfigurieren
4. erste Route zu einer Webanwendung anlegen
5. erlaubten und abgelehnten Zugriff dokumentieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 2 – OIDC, Claims und Gruppen

Dieses Kapitel behandelt Tag 2 – OIDC, Claims und Gruppen. Ausgangspunkt ist, OIDC-Client mit minimalen Scopes registrieren. Anschließend werden Issuer und Redirects prüfen und ID-Token- und UserInfo-Claims erfassen. Die technische Umsetzung wird durch die Schritte Gruppen und Mehrfachwerte normalisieren und Claim-Qualität mit Negativfällen absichern überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. OIDC-Client mit minimalen Scopes registrieren
2. Issuer und Redirects prüfen
3. ID-Token- und UserInfo-Claims erfassen
4. Gruppen und Mehrfachwerte normalisieren
5. Claim-Qualität mit Negativfällen absichern

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 2 – Sitzungen und MFA

Dieses Kapitel behandelt Tag 2 – Sitzungen und MFA. Ausgangspunkt ist, Sitzungs- und Token-Laufzeiten vergleichen. Anschließend werden Claim-Aktualisierung beobachten und MFA-Kontext als Policy-Eingabe einordnen. Die technische Umsetzung wird durch die Schritte Step-up und erneute Anmeldung planen und Logout, Kontosperre und Rollenentzug testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Sitzungs- und Token-Laufzeiten vergleichen
2. Claim-Aktualisierung beobachten
3. MFA-Kontext als Policy-Eingabe einordnen
4. Step-up und erneute Anmeldung planen
5. Logout, Kontosperre und Rollenentzug testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 3 – Routenmodell

Dieses Kapitel behandelt Tag 3 – Routenmodell. Ausgangspunkt ist, From-, To- und Protokollparameter definieren. Anschließend werden Host- und Pfadzuordnung gestalten und Header- und Identitätsweitergabe begrenzen. Die technische Umsetzung wird durch die Schritte Timeouts und Upstream-TLS festlegen und Änderung und Rollback absichern überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. From-, To- und Protokollparameter definieren
2. Host- und Pfadzuordnung gestalten
3. Header- und Identitätsweitergabe begrenzen
4. Timeouts und Upstream-TLS festlegen
5. Änderung und Rollback absichern

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 3 – PPL und Kontext

Dieses Kapitel behandelt Tag 3 – PPL und Kontext. Ausgangspunkt ist, restriktive Standardhaltung und Deny-Regeln festlegen. Anschließend werden Claims, Gruppen und Kontextkriterien auswählen und logische Verknüpfungen lesbar strukturieren. Die technische Umsetzung wird durch die Schritte Deny-Vorrang und Konflikte prüfen und Positiv-, Negativ- und Grenztests automatisieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. restriktive Standardhaltung und Deny-Regeln festlegen
2. Claims, Gruppen und Kontextkriterien auswählen
3. logische Verknüpfungen lesbar strukturieren
4. Deny-Vorrang und Konflikte prüfen
5. Positiv-, Negativ- und Grenztests automatisieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 4 – TLS und mTLS

Dieses Kapitel behandelt Tag 4 – TLS und mTLS. Ausgangspunkt ist, Frontend- und Upstream-Verbindung getrennt erfassen. Anschließend werden Zertifikatsquellen und Schlüssel absichern und interne CAs und Trust Stores einbinden. Die technische Umsetzung wird durch die Schritte Upstream-mTLS konfigurieren und Rotation und Fehlerdiagnose durchführen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Frontend- und Upstream-Verbindung getrennt erfassen
2. Zertifikatsquellen und Schlüssel absichern
3. interne CAs und Trust Stores einbinden
4. Upstream-mTLS konfigurieren
5. Rotation und Fehlerdiagnose durchführen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 4 – Service Accounts und programmatischer Zugriff

Dieses Kapitel behandelt Tag 4 – Service Accounts und programmatischer Zugriff. Ausgangspunkt ist, interaktive und nicht interaktive Fälle klassifizieren. Anschließend werden browsergestützten Zugriff einordnen und editionabhängige Service Accounts prüfen. Die technische Umsetzung wird durch die Schritte JWT, Schlüssel und Namespaces modellieren und Rotation, Widerruf und Audit testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. interaktive und nicht interaktive Fälle klassifizieren
2. browsergestützten Zugriff einordnen
3. editionabhängige Service Accounts prüfen
4. JWT, Schlüssel und Namespaces modellieren
5. Rotation, Widerruf und Audit testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 5 – TCP- und UDP-Zugriffe

Dieses Kapitel behandelt Tag 5 – TCP- und UDP-Zugriffe. Ausgangspunkt ist, SSH-, RDP- und Datenbankpfade inventarisieren. Anschließend werden Route, Port und Clientzugriff definieren und CLI- oder Desktop-Tunnel starten. Die technische Umsetzung wird durch die Schritte DNS, lokale Ports und Vertrauen prüfen und Verbindungsaufbau und Abbruchverhalten dokumentieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. SSH-, RDP- und Datenbankpfade inventarisieren
2. Route, Port und Clientzugriff definieren
3. CLI- oder Desktop-Tunnel starten
4. DNS, lokale Ports und Vertrauen prüfen
5. Verbindungsaufbau und Abbruchverhalten dokumentieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 5 – Migration und Pilot

Dieses Kapitel behandelt Tag 5 – Migration und Pilot. Ausgangspunkt ist, Anwendungen nach Risiko priorisieren. Anschließend werden bestehende Gruppen und Regeln in PPL abbilden und Pilotgruppe und Parallelbetrieb festlegen. Die technische Umsetzung wird durch die Schritte Abnahme- und Rückfallkriterien definieren und Cutover und Stilllegung planen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Anwendungen nach Risiko priorisieren
2. bestehende Gruppen und Regeln in PPL abbilden
3. Pilotgruppe und Parallelbetrieb festlegen
4. Abnahme- und Rückfallkriterien definieren
5. Cutover und Stilllegung planen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. vollständige Laborplattform mit IdP und Policy aufbauen
2. Claim- und Sitzungsänderungen verfolgen
3. mTLS konfigurieren und rotieren
4. Maschinenzugriff mit minimalen Rechten einrichten
5. SSH- oder Datenbanktunnel testen
6. Migrationsplan für Anwendungen und Adminzugang erstellen

Didaktik und Arbeitsweise

Fünf Tage sind die maximale fachlich sinnvolle Verdichtung für den gebündelten Themenpfad. Die Übungen bauen auf derselben Laborumgebung auf; jeder Tag erweitert Konfiguration, Tests und Betriebsdokumentation.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.