Seminar Passbolt Installation und sicherer Betrieb auf Linux

Der sichere Selbstbetrieb von Passbolt beginnt vor dem Installationsbefehl. Namensauflösung, TLS, Zeitabgleich, SMTP, Datenbank, Schlüsselmaterial und Updateverfahren müssen gemeinsam geplant werden, weil Ausfälle oder Fehlkonfigurationen unmittelbar Anmeldung und Wiederherstellung betreffen können.

Das Seminar setzt eine vollständige Laborumgebung sowohl paketbasiert als auch containerbasiert auf und leitet daraus ein belastbares Betriebsmodell ab.

Nutzen des Seminars

Teilnehmende können eine aktuelle Passbolt-5-Instanz planen, auf einem unterstützten Linux-System oder mit Docker Compose installieren, sicher konfigurieren und für den Regelbetrieb übergeben. Sie kennen die betriebskritischen Dateien und Schlüssel, können Healthchecks auswerten und vermeiden verbreitete Fehler bei TLS, SMTP, Zeitdienst und Container-Tags.

Zielgruppe

Linux-Administratoren, Container- und Platform-Teams, System Engineers, DevOps-Verantwortliche und technische Betreiber, die Passbolt selbst hosten oder eine bestehende Installation übernehmen.

Seminarinhalte

Architektur- und Betriebsplanung

• Komponenten von Webanwendung, API, Datenbank, Webserver, GnuPG und E-Mail
• Community und Pro im Selbstbetrieb sowie Abgrenzung zu Cloud
• Ressourcenbedarf, unterstützte Plattformen und Umgebungsprüfung
• Namensauflösung, Reverse Proxy, Firewall und ausgehende Verbindungen
• Administrations-, Backup- und Notfallzuständigkeiten

Vorbereitung der Infrastruktur

• Bereitstellen eines minimalen Linux-Systems
• NTP als Voraussetzung für zuverlässige GPG-Authentifizierung
• Datenbankwahl zwischen MariaDB, MySQL und PostgreSQL
• SMTP-Anforderungen einschließlich OAuth-Unterstützung für Exchange Online für Einladungen, Benachrichtigungen und Wiederherstellung
• TLS-Zertifikate, sichere Weiterleitung und Schutz der Administrationsoberfläche

Paketbasierte Installation

• Einrichten des Paketquellen- und Prüfsummenverfahrens
• Installation auf Debian beziehungsweise Ubuntu und Einordnung von RPM-Plattformen
• Datenbankbenutzer mit minimalen Rechten
• Web-Konfigurationsassistent und initialer Healthcheck
• Erzeugen oder Importieren des GPG-Server-Schlüssels
• Erstadministrator, Browser-Erweiterung und Recovery Kit

Containerbasierte Installation

• Aufbau des Docker-Compose-Stacks und persistente Daten
• Feste Image-Versionen und kontrollierte Aktualisierung
• Umgebungsvariablen, Docker Secrets und Schutz sensibler Werte
• TLS-Terminierung, SMTP, Datenbankverbindung und Basisadresse
• Rootless-Varianten und Kubernetes- beziehungsweise Helm-Einordnung

Härtung und sichere Konfiguration

• Dateirechte für Konfiguration und GPG-Schlüsselring
• TLS- und Cookie-Einstellungen, sichere Header und Proxy-Vertrauen
• Deaktivieren unnötiger Funktionen und Einschränken von Import oder Export
• MFA, Passphrasenrichtlinie und administrative Rollen
• Schutz von Protokollen vor versehentlicher Geheimnisoffenlegung

Inbetriebnahme und Regelbetrieb

• Kommandozeilen-Healthcheck, API-Status und Statusbericht mit PHP- und Datenbank-Lebenszykluswarnungen
• E-Mail-Test, Warteschlange und Fehlerdiagnose
• Datenbankbasierte Sessions in Version 5.15 ausschließlich als nicht produktiv empfohlene Beta-Option
• Updateverfahren für Pakete und Container
• Basissicherung von Datenbank, GPG-Schlüsseln, Konfiguration und TLS
• Übergabecheckliste mit dokumentierten Betriebsparametern

Praktische Übungen

• Entwerfen einer kleinen Zielarchitektur mit DNS, TLS, SMTP und Datenbank
• Installieren und Konfigurieren einer paketbasierten Passbolt-Instanz
• Aufbauen eines zweiten Stacks mit Docker Compose und fester Image-Version
• Erzeugen, prüfen und sichern des GPG-Server-Schlüssels
• Einrichten von TLS und Testen der Proxy- und Cookie-Konfiguration
• Anlegen des Erstadministrators und vollständige Benutzerregistrierung
• Ausführen von Healthcheck, API-Status und E-Mail-Test
• Härten der Konfiguration und Erstellen einer Betriebsübergabe

Methodik und Praxisbezug

Die Installation wird nicht nur demonstriert, sondern in getrennten Laborumgebungen durchgeführt. Fehler in DNS, Zeitdienst, SMTP, TLS und Dateirechten werden gezielt erzeugt, diagnostiziert und behoben.

Editionen und technische Abgrenzung

Paket- und Containerbetrieb gelten für die selbst gehosteten Editionen. Kubernetes und Helm werden als weiterführende Betriebsoption behandelt. Die Aktivierung einer Pro-Subskription ändert Unternehmensfunktionen, nicht die grundlegenden Anforderungen an Datenbank, GPG-Schlüssel, TLS, SMTP und Backup.