Seminar Pomerium – Routen, PPL und kontextbasierte Autorisierung

Zugriffsrichtlinien müssen fachlich nachvollziehbar, technisch eindeutig und testbar sein. Route und Policy werden getrennt modelliert, robuste PPL-Regeln entwickelt und in einen kontrollierten Review- und Testprozess überführt.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Routenmodell
5. PPL-Grundstruktur
6. Claims und Gruppen
7. Kontextbasierte Kriterien
8. Muster und Anti-Patterns
9. Teststrategie
10. Policy as Code
11. Praxisübungen
12. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Engineering, IAM, Plattformbetrieb, DevSecOps, Anwendungsarchitektur und technische Policy-Verantwortung.

Voraussetzungen: Pomerium-Grundlagen, sichere YAML-, Claim-, Gruppen- und Logikkenntnisse sowie eine Testumgebung mit mehreren Testidentitäten.

Lernziele

• die Zusammenhänge von Routenmodell fachlich einordnen
• die Konfigurationsschritte zu PPL-Grundstruktur reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Routenmodell

Dieses Kapitel behandelt Routenmodell. Ausgangspunkt ist, From-Adresse, Host und optionalen Pfad festlegen. Anschließend werden Upstream-Ziel und Protokoll bestimmen und TLS- und Hostname-Verhalten definieren. Die technische Umsetzung wird durch die Schritte Header-Weitergabe begrenzen und Timeouts und Antwortverhalten festlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. From-Adresse, Host und optionalen Pfad festlegen
2. Upstream-Ziel und Protokoll bestimmen
3. TLS- und Hostname-Verhalten definieren
4. Header-Weitergabe begrenzen
5. Timeouts und Antwortverhalten festlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

PPL-Grundstruktur

Dieses Kapitel behandelt PPL-Grundstruktur. Ausgangspunkt ist, Allow- und Deny-Blöcke fachlich formulieren. Anschließend werden Kriterien und Matcher unterscheiden und logische Operatoren einsetzen. Die technische Umsetzung wird durch die Schritte Deny-Vorrang mit Konflikten testen und fehlende Werte bewusst behandeln überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Allow- und Deny-Blöcke fachlich formulieren
2. Kriterien und Matcher unterscheiden
3. logische Operatoren einsetzen
4. Deny-Vorrang mit Konflikten testen
5. fehlende Werte bewusst behandeln

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Claims und Gruppen

Dieses Kapitel behandelt Claims und Gruppen. Ausgangspunkt ist, benötigte Claims aus Rollen ableiten. Anschließend werden Gruppenwerte und Mehrfachwerte normalisieren und Groß-/Kleinschreibung und Namensräume festlegen. Die technische Umsetzung wird durch die Schritte fehlende und veraltete Gruppen testen und IdP-Änderungen mit Policy-Tests koppeln überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. benötigte Claims aus Rollen ableiten
2. Gruppenwerte und Mehrfachwerte normalisieren
3. Groß-/Kleinschreibung und Namensräume festlegen
4. fehlende und veraltete Gruppen testen
5. IdP-Änderungen mit Policy-Tests koppeln

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Kontextbasierte Kriterien

Dieses Kapitel behandelt Kontextbasierte Kriterien. Ausgangspunkt ist, verfügbare Kontextsignale und Vertrauensquellen inventarisieren. Anschließend werden Authentisierungsstärke dem Schutzbedarf zuordnen und Geräte-, Netzwerk- oder Sitzungsmerkmale qualitätsgesichert verwenden. Die technische Umsetzung wird durch die Schritte Step-up für sensible Routen planen und Grenzfälle mit fehlendem Kontext prüfen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. verfügbare Kontextsignale und Vertrauensquellen inventarisieren
2. Authentisierungsstärke dem Schutzbedarf zuordnen
3. Geräte-, Netzwerk- oder Sitzungsmerkmale qualitätsgesichert verwenden
4. Step-up für sensible Routen planen
5. Grenzfälle mit fehlendem Kontext prüfen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Muster und Anti-Patterns

Dieses Kapitel behandelt Muster und Anti-Patterns. Ausgangspunkt ist, rollen- und attributbasierte Muster vergleichen. Anschließend werden privilegierte Administration separat modellieren und temporäre Ausnahme mit Ablaufdatum entwerfen. Die technische Umsetzung wird durch die Schritte breite Wildcards erkennen und duplizierte Bedingungen in Bausteine überführen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. rollen- und attributbasierte Muster vergleichen
2. privilegierte Administration separat modellieren
3. temporäre Ausnahme mit Ablaufdatum entwerfen
4. breite Wildcards erkennen
5. duplizierte Bedingungen in Bausteine überführen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Teststrategie

Dieses Kapitel behandelt Teststrategie. Ausgangspunkt ist, Testmatrix aus Rollen, Claims und Kontext erstellen. Anschließend werden erwartete Entscheidung pro Fall dokumentieren und fehlende und manipulierte Werte simulieren. Die technische Umsetzung wird durch die Schritte Deny-Konflikte und Grenzwerte testen und Regressionstests als Freigabekriterium verwenden überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Testmatrix aus Rollen, Claims und Kontext erstellen
2. erwartete Entscheidung pro Fall dokumentieren
3. fehlende und manipulierte Werte simulieren
4. Deny-Konflikte und Grenzwerte testen
5. Regressionstests als Freigabekriterium verwenden

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Policy as Code

Dieses Kapitel behandelt Policy as Code. Ausgangspunkt ist, Repository-Struktur nach Anwendung und Umgebung festlegen. Anschließend werden Format- und Syntaxprüfung automatisieren und fachliche und technische Reviewer benennen. Die technische Umsetzung wird durch die Schritte Rechteausweitungen sichtbar machen und Rezertifizierung und Aufräumprozess definieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Repository-Struktur nach Anwendung und Umgebung festlegen
2. Format- und Syntaxprüfung automatisieren
3. fachliche und technische Reviewer benennen
4. Rechteausweitungen sichtbar machen
5. Rezertifizierung und Aufräumprozess definieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. technische Route erstellen
2. PPL-Regeln für Rollen und Kontext entwickeln
3. Deny-Vorrang nachweisen
4. Negativtestmatrix ausführen
5. Policy in Git-basiertes Review-Modell überführen

Didaktik und Arbeitsweise

Drei Tage sind erforderlich, weil mehrere technische Verantwortungsbereiche gemeinsam aufgebaut, getestet und in einen belastbaren Betriebs- oder Migrationsprozess überführt werden. Theorie allein reicht für diese Lernziele nicht aus.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.