Seminar Firezone – Terraform auf AWS, Azure und GCP

Hochverfügbare Gateway-Cluster werden auf AWS, Azure und GCP mit Terraform, sicheren States und Secrets, NAT, festen IPs, Tests, Driftkontrolle, Updates und Pipelines bereitgestellt.

Das viertägige Format verbindet fachliche Planung, geführte Konfiguration, Sicherheitsprüfung und Betriebsübergabe. Jeder Arbeitsschritt erhält einen messbaren Prüfpunkt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Ausgangslage, Schutzbedarf und technische Abhängigkeiten vollständig erfassen
• Firezone-Komponenten und Konfigurationen reproduzierbar planen und umsetzen
• Least Privilege, sichere Geheimnisverwaltung und klare Verantwortlichkeiten anwenden
• Positiv-, Negativ-, Ausfall- und Änderungsfälle systematisch prüfen
• Ergebnisse in eine belastbare Architektur- und Betriebsdokumentation überführen

Zielgruppe

Cloud Engineering, DevOps, Plattform- und Netzwerkautomation, Firezone-Administration und IT-Architektur.

Voraussetzungen

Gute Terraform-, Linux-, Cloud-Netzwerk-, NAT- und Firezone-Gateway-Kenntnisse.

Seminarinhalte

1. Schritt 1: Zielarchitektur
   Cloudkonto, Region, Zonen, Netze, Subnetze, NAT, Gateways, IPs und Logging gliedern. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
2. Schritt 2: Projektstruktur
   Provider, Module, Umgebungen, Variablen, Outputs und Versionsgrenzen festlegen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
3. Schritt 3: State-Sicherheit
   Remote State, Verschlüsselung, Zugriff, Locking, Backup und Wiederherstellung umsetzen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
4. Schritt 4: Secrets
   Enrollment-Tokens nur zur Laufzeit injizieren und aus Plan, State und Logs fernhalten. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
5. Schritt 5: AWS
   VPC, Subnetze, Routen, Security Groups, Compute, Zonen, NAT und statische Egress-IPs bereitstellen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
6. Schritt 6: Azure
   Virtuelles Netz, Subnetze, NSGs, Routen, Compute, Zonen, NAT und Public IPs bereitstellen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
7. Schritt 7: GCP
   VPC, Subnetze, Firewall, Routen, Compute, Zonen, Cloud NAT und reservierte IPs bereitstellen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
8. Schritt 8: Firezone-Anbindung
   Site, Bootstrap, Gatewaynamen, Labels und Tokenübergabe mit Cloud-Lebenszyklus verbinden. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
9. Schritt 9: Pipeline
   Format, Validate, statische Prüfung, Planreview, Vier-Augen-Freigabe und Apply standardisieren. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
10. Schritt 10: Abnahme
    Instanz, Dienst, Kontrollverbindung, DNS, Ressourcenzugriff, Egress-IP und Gateway-Anzahl testen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
11. Schritt 11: Hochverfügbarkeit
    Zonenausfall, Instanzverlust, NAT-Störung, Tokenfehler und fehlerhafte Route prüfen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
12. Schritt 12: Updates
    Image- und Gatewayversion, rollierenden Ersatz, Reserve und Rollback planen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
13. Schritt 13: Drift
    Regelmäßige Pläne, Cloud-Policy, Import und Verbot unkontrollierter Konsolenänderungen etablieren. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
14. Schritt 14: Multi-Cloud-Standard
    Eingaben, Outputs, Tags, Sicherheitskontrollen und Runbooks vereinheitlichen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
15. Schritt 15: Betriebsübergabe
    Repository, State, Owner, Pipeline, Kosten, Monitoring und Notfallverfahren dokumentieren. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.

Praxisübungen

1. Zielarchitektur anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
2. Secrets anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
3. GCP anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
4. Abnahme anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
5. Drift anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.

Methodik

Fachliche Einordnung, Live-Demonstrationen, geführte Konfiguration, strukturierte Laboraufgaben und gemeinsame Auswertung werden kombiniert. Fehler werden nicht nur korrigiert, sondern ihrer Ursache in Identität, Policy, DNS, Netzwerk, Gateway, Client oder Zielressource zugeordnet.