Seminar Pomerium – Kubernetes, Ingress Controller und Gateway API

Deklarative Anwendungsressourcen werden mit identitätsbasiertem Zugriff verbunden. Namespace-Grenzen, Zertifikatsverantwortung, Policy-Governance und aktuelle Grenzen der Gateway API bleiben dabei eindeutig.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Clusterarchitektur
5. Installation im Cluster
6. Ingress Controller
7. TLS und cert-manager
8. Gateway API und HTTPRoute
9. RBAC und GitOps
10. Skalierung und Upgrade
11. Praxisübungen
12. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: Kubernetes-Administration, Plattformengineering, DevOps, Cloud Engineering, Security Engineering und GitOps-Teams.

Voraussetzungen: Praktische Kubernetes-Kenntnisse zu Deployments, Services, Ingress, Secrets und RBAC sowie Pomerium-, DNS- und TLS-Grundlagen.

Lernziele

• die Zusammenhänge von Clusterarchitektur fachlich einordnen
• die Konfigurationsschritte zu Installation im Cluster reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Clusterarchitektur

Dieses Kapitel behandelt Clusterarchitektur. Ausgangspunkt ist, Cluster-, Namespace- und Plattformgrenzen erfassen. Anschließend werden Pomerium-Dienste, Controller und Databroker zuordnen und Load Balancer und DNS planen. Die technische Umsetzung wird durch die Schritte zentralen und dezentralen Route-Besitz vergleichen und Servicekonten und minimale RBAC-Rechte definieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Cluster-, Namespace- und Plattformgrenzen erfassen
2. Pomerium-Dienste, Controller und Databroker zuordnen
3. Load Balancer und DNS planen
4. zentralen und dezentralen Route-Besitz vergleichen
5. Servicekonten und minimale RBAC-Rechte definieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Installation im Cluster

Dieses Kapitel behandelt Installation im Cluster. Ausgangspunkt ist, Namespace und Servicekonten anlegen. Anschließend werden Konfigurationen und Secrets getrennt bereitstellen und Pomerium-Komponenten und Controller ausrollen. Die technische Umsetzung wird durch die Schritte Readiness, Liveness und Ressourcen prüfen und Basisfunktion mit Testanwendung abnehmen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Namespace und Servicekonten anlegen
2. Konfigurationen und Secrets getrennt bereitstellen
3. Pomerium-Komponenten und Controller ausrollen
4. Readiness, Liveness und Ressourcen prüfen
5. Basisfunktion mit Testanwendung abnehmen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Ingress Controller

Dieses Kapitel behandelt Ingress Controller. Ausgangspunkt ist, Ingress mit Host und Serviceziel erstellen. Anschließend werden TLS-Secret und Zertifikatsquelle zuordnen und Pomerium-spezifische Eigenschaften ergänzen. Die technische Umsetzung wird durch die Schritte Policy-Verweis festlegen und Controller-Ereignisse und erzeugte Konfiguration prüfen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Ingress mit Host und Serviceziel erstellen
2. TLS-Secret und Zertifikatsquelle zuordnen
3. Pomerium-spezifische Eigenschaften ergänzen
4. Policy-Verweis festlegen
5. Controller-Ereignisse und erzeugte Konfiguration prüfen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

TLS und cert-manager

Dieses Kapitel behandelt TLS und cert-manager. Ausgangspunkt ist, Frontend- und Upstream-Zertifikate inventarisieren. Anschließend werden Ausstellung mit cert-manager oder internem Prozess planen und Secret-Zugriffe begrenzen. Die technische Umsetzung wird durch die Schritte CA-Bundles und Upstream-mTLS bereitstellen und Erneuerung und Reload testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Frontend- und Upstream-Zertifikate inventarisieren
2. Ausstellung mit cert-manager oder internem Prozess planen
3. Secret-Zugriffe begrenzen
4. CA-Bundles und Upstream-mTLS bereitstellen
5. Erneuerung und Reload testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Gateway API und HTTPRoute

Dieses Kapitel behandelt Gateway API und HTTPRoute. Ausgangspunkt ist, GatewayClass, Gateway und HTTPRoute zuordnen. Anschließend werden Unterstützungsstand der Version prüfen und Listener, Hostnamen und Parent References definieren. Die technische Umsetzung wird durch die Schritte HTTPRoute mit geschütztem Backend verbinden und nicht unterstützte Funktionen dokumentieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. GatewayClass, Gateway und HTTPRoute zuordnen
2. Unterstützungsstand der Version prüfen
3. Listener, Hostnamen und Parent References definieren
4. HTTPRoute mit geschütztem Backend verbinden
5. nicht unterstützte Funktionen dokumentieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

RBAC und GitOps

Dieses Kapitel behandelt RBAC und GitOps. Ausgangspunkt ist, Namespace- und Teamverantwortung festlegen. Anschließend werden RBAC auf notwendige Rollen reduzieren und Pflichtfelder automatisiert prüfen. Die technische Umsetzung wird durch die Schritte Repositories nach Plattform und Anwendung strukturieren und Notfalländerungen mit Ablauf regeln überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Namespace- und Teamverantwortung festlegen
2. RBAC auf notwendige Rollen reduzieren
3. Pflichtfelder automatisiert prüfen
4. Repositories nach Plattform und Anwendung strukturieren
5. Notfalländerungen mit Ablauf regeln

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Skalierung und Upgrade

Dieses Kapitel behandelt Skalierung und Upgrade. Ausgangspunkt ist, Replikate über Fehlerdomänen verteilen. Anschließend werden PodDisruptionBudget und Ressourcenlimits festlegen und Autoscaling an belastbare Metriken binden. Die technische Umsetzung wird durch die Schritte Upgrade in Vorstufe prüfen und Rollback und Wiederanlauf dokumentieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Replikate über Fehlerdomänen verteilen
2. PodDisruptionBudget und Ressourcenlimits festlegen
3. Autoscaling an belastbare Metriken binden
4. Upgrade in Vorstufe prüfen
5. Rollback und Wiederanlauf dokumentieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. Pomerium und Controller im Laborcluster installieren
2. Anwendung per Ingress mit TLS und Policy schützen
3. HTTPRoute erstellen und Grenzen dokumentieren
4. RBAC für Plattform- und Anwendungsteam trennen
5. Zertifikatsrotation und Rolling Upgrade testen

Didaktik und Arbeitsweise

Drei Tage sind erforderlich, weil mehrere technische Verantwortungsbereiche gemeinsam aufgebaut, getestet und in einen belastbaren Betriebs- oder Migrationsprozess überführt werden. Theorie allein reicht für diese Lernziele nicht aus.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.