Seminar Pomerium – Intensivseminar Plattformbetrieb, Kubernetes und Security

Eine produktionsnahe Plattform wird eingerichtet und durch Skalierung, automatisierte Änderungen, Störungen und Wiederherstellung geführt. Schwerpunkt ist ein belastbarer Betriebsstandard für Kubernetes- und klassische Plattformumgebungen.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Tag 1 – Kubernetes-Zielarchitektur
5. Tag 1 – Ingress und Gateway API
6. Tag 2 – Hochverfügbarkeit und Databroker
7. Tag 2 – Kapazität und Recovery
8. Tag 3 – Terraform und Repository
9. Tag 3 – CI/CD und Rollback
10. Tag 4 – Metriken, Logs und Traces
11. Tag 4 – Troubleshooting
12. Tag 5 – Hardening und Governance
13. Tag 5 – Upgrade und Betriebsabnahme
14. Praxisübungen
15. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: Plattformengineering, SRE, Kubernetes- und Cloud-Administration, DevSecOps, Datenbankbetrieb, Security Operations und Observability Engineering.

Voraussetzungen: Gute Pomerium-Grundkenntnisse und praktische Erfahrung mit Kubernetes, Terraform, PostgreSQL, TLS, Logging und CI/CD; Laborcluster erforderlich.

Lernziele

• die Zusammenhänge von Tag 1 – Kubernetes-Zielarchitektur fachlich einordnen
• die Konfigurationsschritte zu Tag 1 – Ingress und Gateway API reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Tag 1 – Kubernetes-Zielarchitektur

Dieses Kapitel behandelt Tag 1 – Kubernetes-Zielarchitektur. Ausgangspunkt ist, Namespaces, Servicekonten und Zuständigkeiten festlegen. Anschließend werden Controller und Pomerium-Dienste einordnen und DNS, Load Balancer und TLS planen. Die technische Umsetzung wird durch die Schritte Secrets und Konfigurationen trennen und Basisdeployment mit Health Checks abnehmen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Namespaces, Servicekonten und Zuständigkeiten festlegen
2. Controller und Pomerium-Dienste einordnen
3. DNS, Load Balancer und TLS planen
4. Secrets und Konfigurationen trennen
5. Basisdeployment mit Health Checks abnehmen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 1 – Ingress und Gateway API

Dieses Kapitel behandelt Tag 1 – Ingress und Gateway API. Ausgangspunkt ist, Ingress-Ressource mit Host und Backend erstellen. Anschließend werden TLS-Secret zuordnen und Policy- und Routeneigenschaften prüfen. Die technische Umsetzung wird durch die Schritte HTTPRoute-Unterstützung und Grenzen bewerten und Fehlkonfigurationen mit Negativtests erkennen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Ingress-Ressource mit Host und Backend erstellen
2. TLS-Secret zuordnen
3. Policy- und Routeneigenschaften prüfen
4. HTTPRoute-Unterstützung und Grenzen bewerten
5. Fehlkonfigurationen mit Negativtests erkennen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 2 – Hochverfügbarkeit und Databroker

Dieses Kapitel behandelt Tag 2 – Hochverfügbarkeit und Databroker. Ausgangspunkt ist, Replikate aus Servicezielen ableiten. Anschließend werden Proxy und Authorize skalieren und Databroker mit PostgreSQL verbinden. Die technische Umsetzung wird durch die Schritte Datenbankrechte und TLS absichern und Instanz- und Datenbankausfall testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Replikate aus Servicezielen ableiten
2. Proxy und Authorize skalieren
3. Databroker mit PostgreSQL verbinden
4. Datenbankrechte und TLS absichern
5. Instanz- und Datenbankausfall testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 2 – Kapazität und Recovery

Dieses Kapitel behandelt Tag 2 – Kapazität und Recovery. Ausgangspunkt ist, Metriken für Sättigung und Latenz auswählen. Anschließend werden Anmelde- und Autorisierungsspitzen simulieren und Ressourcenlimits und Skalierung anpassen. Die technische Umsetzung wird durch die Schritte Konfiguration, Secrets und Datenbank sichern und Restore durchführen und RTO/RPO messen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Metriken für Sättigung und Latenz auswählen
2. Anmelde- und Autorisierungsspitzen simulieren
3. Ressourcenlimits und Skalierung anpassen
4. Konfiguration, Secrets und Datenbank sichern
5. Restore durchführen und RTO/RPO messen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 3 – Terraform und Repository

Dieses Kapitel behandelt Tag 3 – Terraform und Repository. Ausgangspunkt ist, Ressourcenbesitz und Ausnahmen festlegen. Anschließend werden Provider und Module strukturieren und Umgebungen und sensible Variablen trennen. Die technische Umsetzung wird durch die Schritte bestehende Ressourcen importieren und State und Sperrung absichern überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Ressourcenbesitz und Ausnahmen festlegen
2. Provider und Module strukturieren
3. Umgebungen und sensible Variablen trennen
4. bestehende Ressourcen importieren
5. State und Sperrung absichern

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 3 – CI/CD und Rollback

Dieses Kapitel behandelt Tag 3 – CI/CD und Rollback. Ausgangspunkt ist, Format-, Plan- und Sicherheitsprüfungen automatisieren. Anschließend werden Policy-Tests integrieren und Löschungen und Rechteausweitungen blockieren. Die technische Umsetzung wird durch die Schritte gestuften Apply mit Freigabe einrichten und Smoke-Test und Rollback erproben überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Format-, Plan- und Sicherheitsprüfungen automatisieren
2. Policy-Tests integrieren
3. Löschungen und Rechteausweitungen blockieren
4. gestuften Apply mit Freigabe einrichten
5. Smoke-Test und Rollback erproben

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 4 – Metriken, Logs und Traces

Dieses Kapitel behandelt Tag 4 – Metriken, Logs und Traces. Ausgangspunkt ist, Kernmetriken für Proxy, Authorize und Upstream auswählen. Anschließend werden Metrikendpunkt absichern und strukturierte Logs zentral sammeln. Die technische Umsetzung wird durch die Schritte OpenTelemetry-Trace-Export einbinden und Dashboards und Warnungen aus Servicezielen ableiten überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Kernmetriken für Proxy, Authorize und Upstream auswählen
2. Metrikendpunkt absichern
3. strukturierte Logs zentral sammeln
4. OpenTelemetry-Trace-Export einbinden
5. Dashboards und Warnungen aus Servicezielen ableiten

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 4 – Troubleshooting

Dieses Kapitel behandelt Tag 4 – Troubleshooting. Ausgangspunkt ist, DNS, TLS und Load Balancer prüfen. Anschließend werden IdP- und Sitzungsfehler abgrenzen und Policy-Ablehnung und Claims analysieren. Die technische Umsetzung wird durch die Schritte Databroker- und Datenbankprobleme erkennen und Upstream-Latenz isolieren und Runbook erstellen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. DNS, TLS und Load Balancer prüfen
2. IdP- und Sitzungsfehler abgrenzen
3. Policy-Ablehnung und Claims analysieren
4. Databroker- und Datenbankprobleme erkennen
5. Upstream-Latenz isolieren und Runbook erstellen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 5 – Hardening und Governance

Dieses Kapitel behandelt Tag 5 – Hardening und Governance. Ausgangspunkt ist, Bedrohungen und privilegierte Rollen erfassen. Anschließend werden Netzwerk-, Secret- und Dateirechte minimieren und Zertifikats- und Schlüsselrotation planen. Die technische Umsetzung wird durch die Schritte Policy-Ownership und Vier-Augen-Freigabe festlegen und Audit und Notfallzugriff absichern überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Bedrohungen und privilegierte Rollen erfassen
2. Netzwerk-, Secret- und Dateirechte minimieren
3. Zertifikats- und Schlüsselrotation planen
4. Policy-Ownership und Vier-Augen-Freigabe festlegen
5. Audit und Notfallzugriff absichern

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Tag 5 – Upgrade und Betriebsabnahme

Dieses Kapitel behandelt Tag 5 – Upgrade und Betriebsabnahme. Ausgangspunkt ist, Release- und Breaking-Change-Prüfung verankern. Anschließend werden Vorproduktion aktualisieren und Konfiguration und Datenbank sichern. Die technische Umsetzung wird durch die Schritte Rolling Upgrade und Rückfall planen und Funktions-, Last- und Sicherheitstests abnehmen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Release- und Breaking-Change-Prüfung verankern
2. Vorproduktion aktualisieren
3. Konfiguration und Datenbank sichern
4. Rolling Upgrade und Rückfall planen
5. Funktions-, Last- und Sicherheitstests abnehmen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. Pomerium mit Ingress und TLS im Cluster bereitstellen
2. Databroker an PostgreSQL anbinden und Failover testen
3. Terraform-Pipeline mit Policy-Prüfung aufbauen
4. Metriken, Logs und Traces korrelieren
5. Hardening-Review und Upgrade-Probe durchführen
6. Backup wiederherstellen und Serviceziele nachmessen

Didaktik und Arbeitsweise

Fünf Tage sind die maximale fachlich sinnvolle Verdichtung für den gebündelten Themenpfad. Die Übungen bauen auf derselben Laborumgebung auf; jeder Tag erweitert Konfiguration, Tests und Betriebsdokumentation.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.