GitHub Radar — Pomerium
Envoy ve Open Policy Agent mimarisiyle kurumsal VPN gereksinimini kaldıran, Go ile geliştirilmiş açık kaynak kimlik ve bağlam duyarlı erişim proxy'si.
Pomerium, geleneksel kurumsal ağlarda yıllardır güvenlik açığı yaratan geniş çaplı VPN tünelleri ve statik IP izin listeleri yerine Google’ın BeyondCorp prensiplerini uygulayarak iç web uygulamalarına ve mikroservislere istemcisiz, kimlik ve bağlam duyarlı güvenli erişim sağlamak amacıyla Go diliyle geliştirilmiş açık kaynaklı bir ters vekil sunucusudur (Identity-Aware Proxy - IAP) 1. Kullanıcıların şirket ağına bir kez bağlandıktan sonra tüm iç ağda serbestçe hareket etmesine izin veren eski çevre güvenliği modellerine karşı Pomerium; her bir HTTP ve TCP isteğini katman 7 seviyesinde yakalayarak kimlik sağlayıcı (IdP) doğrulaması, cihaz güven durumu ve dinamik yetkilendirme ilkeleriyle anlık olarak denetleyen modern bir sıfır güven (Zero Trust) sistem aracıdır 2.
Açık kaynak bulut güvenliği ve BeyondCorp mimarisi çevrelerinde 5,1 bin yıldız ve son commit 1 gün önce düzeyinde canlı bir geliştirici güveni inşa eden depo, aktif olarak yönetilen 89 açık issue ve düzenli yama takvimini simgeleyen son sürüm v0.33.4 (Ekim 2026) metrikleriyle olgunluğunu sergilemektedir.
Mimari Deep-Dive: Pomerium
Pomerium’un sistem mimarisinde yarattığı en büyük mühendislik sıçraması, kurumsal kimlik denetimini hantal bir dış geçit olmaktan çıkarıp endüstri standardı Envoy vekil motoru ile doğrudan entegre edilmiş yüksek performanslı, dağıtık ve durumsuz (stateless) bir mikroservis yapısı olarak kurgulamasıdır. Proje bütünüyle saf Go diliyle geliştirilmiştir 1. Go seçimi; platformlar arası tek bir ikili dosya derleyebilmek, Kubernetes ortamlarında düşük kaynak tüketimiyle konteynerize edilebilmek ve goroutine tabanlı eşzamanlılıkla mikroservis bileşenleri arasında gRPC üzerinden alt milisaniyelik RPC çağrıları yönetebilmek amacıyla yapılmıştır.
Sistemin kalbinde yer alan ilk temel mimari sütun veri düzlemi (data plane) ile denetim düzleminin (control plane) ayrıştırılmasıdır 2. Pomerium, ham ağ trafiğini doğrudan Go çalışma zamanında karşılayıp bellek çöp toplayıcısına (GC) yük bindirmek yerine, veri düzlemi olarak C++ ile yazılmış yüksek verimli Envoy çekirdeğini kullanır. Pomerium denetim düzlemi, rota ve yetki kurallarını Envoy’un dinamik xDS yapılandırma API’leri üzerinden anlık olarak veri düzlemine iletir. Envoy’un harici yetkilendirme filtresi (ext_authz), gelen her istemci isteğini gRPC soketleri üzerinden Pomerium yetkilendirme motoruna ileterek kararın bellek içi hızlarda verilmesini sağlar.
İkinci kritik sütun Open Policy Agent (OPA) ve Rego tabanlı ilke değerlendirme motorudur 2. Pomerium, salt statik rol bazlı erişim denetimi (RBAC) yerine istek anındaki bağlamı (kullanıcının e-posta adresi, IdP grupları, coğrafi konumu, IP aralığı, istek saati ve mTLS ile doğrulanan cihaz kimliği) değerlendirir. Databroker servisi; Okta, Google Workspace, Azure AD veya GitHub gibi kimlik sağlayıcılardan gelen kullanıcı iddialarını ve oturum durumlarını senkronize ederek bellek içi Redis veya Postgres üzerinde önbelleğe alır. Bu sayede her istekte kimlik sağlayıcıya harici ağ çağrısı yapma zorunluluğu ortadan kalkar ve erişim kararları 1 milisaniyenin altında tamamlanır.
Üçüncü sütun ise arka uç servislerine güvenli kimlik aktarımı sağlayan imzalı JWT zinciridir (X-Pomerium-Jwt-Assertion) 3. Pomerium, istemci kimliğini doğruladıktan sonra isteği iç ağdaki hedef servise iletirken başlığa ES256 ile kriptografik olarak imzalanmış kısa ömürlü bir JWT ekler. Hedef uygulama (örneğin Grafana, ArgoCD veya şirket içi bir Go servisi), harici bir oturum açma kütüphanesine veya OAuth2 akışına ihtiyaç duymadan, yalnızca Pomerium’un JWKS uç noktasından çektiği genel anahtarla bu başlığı doğrular ve kullanıcı kimliğini doğrudan öğrenir.
Kod ve Topluluk Sağlığı
Pomerium, kurumsal ayrıcalıklı erişim yönetimi (PAM) alanındaki deneyimlerinin ardından projeyi 2019 yılında başlatan Bobby DeSimone liderliğinde çekirdek bir mühendislik kadrosu ve küresel açık kaynak topluluğu tarafından sürdürülmektedir 1. Kendi kendini yöneten açık kaynak Pomerium Core sürümünün yanı sıra kurumsal konsol ve yönetilen denetim düzlemi sunan girişim, Benchmark liderliğinde gerçekleşen Seri A yatırım turuyla güçlü bir finansal ve operasyonel desteğe kavuşmuştur.
Depodaki 89 açık issue sayısı, bir milyarı aşkın Docker indirmesine ulaşan ve binlerce üretim kümesinde çalışan bir altyapı projesi için dikkat çekici derecede düşük ve temiz bir envanteri temsil eder. Bakımcı ekibi hata bildirimlerine ve güvenlik raporlarına saatler içinde ilk yanıtı vermekte, Envoy güvenlik yamalarını upstream sürümlerle eşzamanlı olarak hızla depoya dahil etmektedir 5. Çekirdek depoya sunulan her çekme isteği (PR); katı Go linter denetimlerinden, Envoy entegrasyon senaryolarından ve uçtan uca OIDC kimlik sağlayıcı simülasyonlarından geçer. Sürümleme takvimi semantik kurallara titizlikle uymaktadır. health_score bu bölümden türer: issue kapanma hızı, sürüm düzeni, bakımcı ekibi. Ajanın tahminidir; künyede öyle yazılır. Projenin endüstri standardı Envoy altyapısı, aktif bakımcı ilgisi ve kurumsal kimlik güvenliğindeki öncü konumu dikkate alınarak health_score: 9.1 takdir edilmiştir.
Production Riski: Gerçekten Kullanılır mı?
Pomerium’u kurumsal üretim hatlarına dahil etmeyi değerlendiren altyapı mimarları için lisanslama açısından hiçbir hukuki risk bulunmamaktadır; proje Apache 2.0 lisansı ile dağıtılmakta olup şirket içi sunucularda, genel bulutlarda veya Kubernetes kümelerinde kısıtlamasız kullanım serbestisi sunar 6.
Pomerium’un üretimde tartışmasız hayat kurtardığı senaryolar oldukça belirgindir: Şirket içi dahili web panellerine (Kubernetes Dashboard, Kibana, Prometheus, dahili yönetim araçları) harici VPN istemcisi kurma zorunluluğunu ortadan kaldırmak, tek bir merkezi noktadan çok faktörlü kimlik doğrulaması (MFA) ve cihaz uyumluluk kuralları uygulamak ve eski yazılımlara tek satır kod değiştirmeden güvenli SSO katmanı kazandırmak. Envoy tabanlı veri düzlemi sayesinde yüz binlerce eşzamanlı HTTP/2 ve gRPC bağlantısı minimum gecikmeyle proxy edilir.
Buna karşın, operasyonel olarak yönetilmesi gereken kritik sınırlar vardır. İlk risk kimlik sağlayıcı bağımlılığıdır; merkezi IdP (Okta, Azure AD vb.) kesintiye uğradığında yerel oturum önbelleklerinin süresi dolunca kimlik doğrulama akışı kilitlenebilir, bu nedenle acil durum erişim anahtarları (break-glass) önceden tanımlanmalıdır. İkinci risk ise Envoy bellek eşikleridir; yüksek eşzamanlılıkta Envoy kaynak yöneticisinin bellek sınırlarına ulaşması durumunda akışların sıfırlanmaması için doğru pod bellek limitleri yapılandırılmalıdır 4. Doğru mimari yapılandırmayla Pomerium, kurumsal VPN çağını kapatmak isteyen modern bulut yerel altyapılar için en yetkin ve güvenilir açık kaynak kimlik proxy’sidir.