Seminar Pomerium – Zertifikate, TLS und mTLS

Pomerium verarbeitet zwei getrennte TLS-Strecken: vom Client zum Proxy und vom Proxy zum geschützten Dienst. Für beide Seiten entsteht ein nachvollziehbares Zertifikats- und Vertrauensmodell mit Erneuerungs- und Störungsprozess.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. TLS-Strecken und Vertrauen
5. Frontend-Zertifikate
6. Interne PKI
7. Upstream-TLS
8. Upstream-mTLS
9. Kubernetes und cert-manager
10. Rotation und Trust-Wechsel
11. TLS-Troubleshooting
12. Praxisübungen
13. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: PKI-Administration, Plattformbetrieb, Kubernetes-Administration, Netzwerkbetrieb, Security Engineering und DevOps.

Voraussetzungen: Sichere Grundlagen in X.509, TLS, DNS und privaten Schlüsseln sowie Pomerium- und Reverse-Proxy-Grundkenntnisse.

Lernziele

• die Zusammenhänge von TLS-Strecken und Vertrauen fachlich einordnen
• die Konfigurationsschritte zu Frontend-Zertifikate reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

TLS-Strecken und Vertrauen

Dieses Kapitel behandelt TLS-Strecken und Vertrauen. Ausgangspunkt ist, Client, Pomerium und Upstream als TLS-Endpunkte darstellen. Anschließend werden SNI, Hostnamen und Zertifikatsnamen zuordnen und öffentliche und private Vertrauensanker trennen. Die technische Umsetzung wird durch die Schritte TLS-Terminierung und erneute Verschlüsselung markieren und Abnahmetests für beide Strecken definieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Client, Pomerium und Upstream als TLS-Endpunkte darstellen
2. SNI, Hostnamen und Zertifikatsnamen zuordnen
3. öffentliche und private Vertrauensanker trennen
4. TLS-Terminierung und erneute Verschlüsselung markieren
5. Abnahmetests für beide Strecken definieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Frontend-Zertifikate

Dieses Kapitel behandelt Frontend-Zertifikate. Ausgangspunkt ist, Routennamen und Zertifikatsumfang festlegen. Anschließend werden automatische oder manuelle Ausstellung auswählen und Challenge- und Erreichbarkeitsvoraussetzungen prüfen. Die technische Umsetzung wird durch die Schritte Schlüsselablage absichern und Erneuerung und Ablaufalarm testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Routennamen und Zertifikatsumfang festlegen
2. automatische oder manuelle Ausstellung auswählen
3. Challenge- und Erreichbarkeitsvoraussetzungen prüfen
4. Schlüsselablage absichern
5. Erneuerung und Ablaufalarm testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Interne PKI

Dieses Kapitel behandelt Interne PKI. Ausgangspunkt ist, Antrag mit Subject Alternative Names erstellen. Anschließend werden Schlüssel im vorgesehenen Sicherheitsniveau erzeugen und Kette und Verwendungszweck prüfen. Die technische Umsetzung wird durch die Schritte Root- und Intermediate-CAs verteilen und Sperrung und Ersatzprozess festlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Antrag mit Subject Alternative Names erstellen
2. Schlüssel im vorgesehenen Sicherheitsniveau erzeugen
3. Kette und Verwendungszweck prüfen
4. Root- und Intermediate-CAs verteilen
5. Sperrung und Ersatzprozess festlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Upstream-TLS

Dieses Kapitel behandelt Upstream-TLS. Ausgangspunkt ist, Upstream-Hostname und Zertifikatsname vergleichen. Anschließend werden interne CA als Trust Bundle bereitstellen und TLS-Vorgaben übernehmen. Die technische Umsetzung wird durch die Schritte vollständige Kette testen und deaktivierte Prüfung und Namensumgehung ausschließen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Upstream-Hostname und Zertifikatsname vergleichen
2. interne CA als Trust Bundle bereitstellen
3. TLS-Vorgaben übernehmen
4. vollständige Kette testen
5. deaktivierte Prüfung und Namensumgehung ausschließen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Upstream-mTLS

Dieses Kapitel behandelt Upstream-mTLS. Ausgangspunkt ist, Client-CA und Zertifikatsprofil bestimmen. Anschließend werden Client-Schlüssel und Zertifikat erzeugen und Material Pomerium zuweisen. Die technische Umsetzung wird durch die Schritte Upstream-Trust konfigurieren und erfolgreiche und abgelehnte Handshakes testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Client-CA und Zertifikatsprofil bestimmen
2. Client-Schlüssel und Zertifikat erzeugen
3. Material Pomerium zuweisen
4. Upstream-Trust konfigurieren
5. erfolgreiche und abgelehnte Handshakes testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Kubernetes und cert-manager

Dieses Kapitel behandelt Kubernetes und cert-manager. Ausgangspunkt ist, Issuer-Verantwortung festlegen. Anschließend werden Certificate-Ressource und Namen definieren und Secret-Zugriff per RBAC begrenzen. Die technische Umsetzung wird durch die Schritte Pomerium auf das Secret verweisen und Erneuerung und Pod-Reload beobachten überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Issuer-Verantwortung festlegen
2. Certificate-Ressource und Namen definieren
3. Secret-Zugriff per RBAC begrenzen
4. Pomerium auf das Secret verweisen
5. Erneuerung und Pod-Reload beobachten

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Rotation und Trust-Wechsel

Dieses Kapitel behandelt Rotation und Trust-Wechsel. Ausgangspunkt ist, Bestand und Ablaufdaten inventarisieren. Anschließend werden neues Zertifikat und gegebenenfalls neue CA vorbereiten und Trust Stores überlappend erweitern. Die technische Umsetzung wird durch die Schritte neues Material ausrollen und testen und altes Material nach Beobachtung entfernen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Bestand und Ablaufdaten inventarisieren
2. neues Zertifikat und gegebenenfalls neue CA vorbereiten
3. Trust Stores überlappend erweitern
4. neues Material ausrollen und testen
5. altes Material nach Beobachtung entfernen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

TLS-Troubleshooting

Dieses Kapitel behandelt TLS-Troubleshooting. Ausgangspunkt ist, Systemzeit und Ablaufdaten prüfen. Anschließend werden DNS, SNI und Hostnamen vergleichen und Kette und Trust Store untersuchen. Die technische Umsetzung wird durch die Schritte Schlüssel-Zertifikat-Paar und Dateirechte prüfen und mTLS-Client- und Serverseite getrennt analysieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Systemzeit und Ablaufdaten prüfen
2. DNS, SNI und Hostnamen vergleichen
3. Kette und Trust Store untersuchen
4. Schlüssel-Zertifikat-Paar und Dateirechte prüfen
5. mTLS-Client- und Serverseite getrennt analysieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. Frontend-Zertifikat bereitstellen
2. interne CA für Upstream einbinden
3. mTLS zu Testdienst konfigurieren
4. Zertifikatsrotation durchführen
5. cert-manager-Secret anbinden
6. Ablauf-, Ketten-, Namens- und Schlüsselfehler beheben

Didaktik und Arbeitsweise

Drei Tage sind erforderlich, weil mehrere technische Verantwortungsbereiche gemeinsam aufgebaut, getestet und in einen belastbaren Betriebs- oder Migrationsprozess überführt werden. Theorie allein reicht für diese Lernziele nicht aus.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.