Zugriff für Externe und Dritte

Externe Personen, die eine einzige Anwendung brauchen, für einen festgelegten Zeitraum und von einem festgelegten Ort, und die diesen Zugang verlieren, sobald der Auftrag endet.

Beim Zugriff für Externe ist es am teuersten und zugleich am häufigsten, dass zu viel Zugriff gewährt wird. Die externe Person braucht nur eine Anwendung; was sie meist erhält, ist derselbe Zugriff, den Angestellte haben, weil diese Gruppe schon existierte und es schneller ging, sie wiederzuverwenden.

Der Aufbau, der hier funktioniert, ist bewusst eng: eine Gruppe, die nur für die Externen existiert, eine Zugriffsregel auf eine Ressource und eine Geräteanforderung, die begrenzt, von wo und womit sie sich verbinden dürfen.

Einrichtung

1
Eine eigene Gruppe
Legen Sie eine Gruppe an, die es nur für diesen Auftrag gibt: Öffnen Sie People → Groups → Create group, geben Sie den Namen ein und wählen Sie Create group. Nehmen Sie sonst nichts darin auf. Siehe Gruppen.
2
Die Person in diese Gruppe einladen
Öffnen Sie People → Members → Invite member, füllen Sie Full name und Email address aus und lassen Sie Role auf User. Wählen Sie unter Auto-assigned groups nur die Gruppe der Externen und dann Send Invitation. Nehmen Sie die Gruppe später aus dem Eintrag der Person, endet die Regelung auf allen ihren Geräten, solange die Gruppenweitergabe eingeschaltet bleibt. Siehe Mitglieder hinzufügen.
3
Per Anmeldung registrieren lassen
Bitten Sie die externe Person, sich per Anmeldung zu verbinden, nie mit einem Registrierungsschlüssel. Ein mit einem Schlüssel registriertes Gerät hat keinen Eigentümer und läuft nie ab. Weder das Sperren noch das Entfernen der Person würde sich darauf auswirken, und der Sitzungsablauf würde dafür nicht gelten.
4
Eine Gruppe für das, woran die Person arbeitet
Ziel der Zugriffsregel ist eine Gruppe, die nur die Maschine enthält, an der die Person arbeitet. Legen Sie sie wie die Gruppe der Externen unter People → Groups → Create group an. Öffnen Sie dann diese Maschine unter Devices, fügen Sie die Gruppe unter Assigned groups hinzu und wählen Sie Save changes. Braucht die Person eine Netzwerkressource, überspringen Sie diesen Schritt: Die Zugriffsregel legen Sie dann im nächsten Schritt bei der Ressource an.
5
Eine Zugriffsregel, eine Ressource, ein Port
Quelle: die Gruppe der Externen. Ziel: die Gruppe aus dem vorigen Schritt. Beides wählen Sie unter Access → Access rules → Create access rule. Für eine einzelne Netzwerkressource legen Sie die Regel stattdessen bei der Ressource an: Wählen Sie auf der Seite ihres Netzwerks in der Spalte Access rules der Ressource Add Access rule; die Ressource ist dann das feste Ziel.

Protokoll und Port: genau das, was die Anwendung nutzt. Eine neue Regel beginnt mit any protocol, was jeden Port öffnet; ändern Sie das also. Richtung: One-way. Speichern Sie mit Create access rule.
6
Begrenzen, von wo aus sich die Person verbinden darf
Hängen Sie eine Geräteanforderung an diese Zugriffsregel an. Öffnen Sie die Regel dazu erneut, indem Sie unter Access → Access rules auf ihre Zeile klicken, und wählen Sie im Abschnitt Device requirements die Schaltfläche New requirement. Öffnen Sie jede der beiden unten beschriebenen Prüfungen, stellen Sie sie ein und wählen Sie Save. Wählen Sie dann Continue, geben Sie der Anforderung einen Namen und wählen Sie Create Device requirement. Zurück im Regeleditor wählen Sie Save access rule: Erst dann gilt die Anforderung für die Regel.

Country & Region, auf Allow gesetzt, mit den Ländern, aus denen die Person arbeitet: Ein Land, an das Sie nicht gedacht haben, wird abgelehnt statt erlaubt, und ebenso ein Gerät, dessen Standort sich nicht bestimmen lässt. Operating System, mit einer Mindestversion für die Plattform, die die Person nutzt, und jeder anderen Plattform auf Block: Eine Plattform, die Sie auf der Voreinstellung lassen, ist in jeder Version erlaubt.
7
Den Ablauf der Gerätesitzungen eingeschaltet lassen
Ein per Anmeldung registriertes Gerät muss sich erneut anmelden, wenn seine Sitzung abläuft; das begrenzt, wie lange eine Maschine ihren Zugriff behält, ohne dass die externe Person nachweist, wer sie ist. Die Einstellung ist standardmäßig mit 24 Stunden eingeschaltet und liegt unter Settings → Security → Expire device sessions und Session length. Die Dauer gilt für die ganze Organisation; auf der Seite eines Geräts können Sie Session Expiration nur ein- oder ausschalten. Lassen Sie den Schalter für die Maschinen der Person also eingeschaltet. Siehe Organisationseinstellungen.
8
Prüfen, was die Person erreicht
Sobald sich die Person angemeldet hat, öffnen Sie ihr Gerät unter Devices. Assigned groups sollte nur All und die Gruppe der Externen zeigen. Der Reiter Accessible devices sollte nur auflisten, was die Zugriffsregel erreicht: die Zielgeräte oder, bei einer Ressource, die Routing-Geräte ihres Netzwerks. Alles Weitere dort stammt aus einer anderen Zugriffsregel, die eine der Gruppen des Geräts nennt, All eingeschlossen. Ist die Liste leer, prüfen Sie, ob das Gerät die Geräteanforderung erfüllt und zur Gruppe der Externen gehört.

Was jede Maßnahme tatsächlich begrenzt

Maßnahme	Begrenzt	Wo
Gruppe der Externen	Wer. Wird sie aus dem Eintrag entfernt, endet der Zugriff sofort auf jedem Gerät, solange die Gruppenweitergabe eingeschaltet ist	Gruppen
Zugriffsregel	Was, über welches Protokoll und welche Ports	Zugriffsregeln
Prüfung Country & Region	Aus welchen Ländern sie sich verbinden dürfen. Ein Gerät, dessen Standort sich nicht bestimmen lässt, wird abgelehnt	Geräteanforderungen
Prüfung Operating System	Welche Plattformen und wie aktuell. Eine Plattform, die nicht auf Block steht, ist erlaubt	Geräteanforderungen
Ablauf der Gerätesitzungen	Wie lange ein Gerät angemeldet bleibt, bevor sich die externe Person erneut anmelden muss	Organisationseinstellungen

Wenn der Auftrag endet

Wählen Sie auf der Mitgliedsseite der externen Person Remove from this organization. Das löscht im selben Schritt jedes Gerät, das sie per Anmeldung registriert hat, und ihre Zugriffstoken; es bleibt also nichts übrig, das noch widerrufen werden müsste. Muss die Person sofort ausgeschlossen werden, bevor Sie dazu kommen, sperren Sie sie zuerst: Eine Sperre verweigert sofort den Zugriff auf Dashboard und API und lässt ihre Geräte ablaufen.

Löschen Sie danach die Zugriffsregel und die Gruppe der Externen, oder behalten Sie beide für den nächsten Auftrag. Eine Gruppe, die noch von einer Zugriffsregel verwendet wird, lässt sich nicht löschen; löschen Sie also zuerst die Regel. Die vollständige Reihenfolge steht unter Offboarding und gilt für Externe genauso wie für Angestellte.

Wann dieser Aufbau nicht passt

Kann der Dritte SXAccess gar nicht ausführen - etwa ein externes System, das einen Ihrer Webhooks aufruft -, greift diese Regelung nicht. SXAccess verbindet nur Geräte, auf denen es läuft; einen Dienst aus dem öffentlichen Internet erreichbar machen kann es nicht. Ein solches System braucht einen Dienst, den Sie auf anderem Weg außerhalb von SXAccess bereitstellen.