Geräteanforderungen
Was ein Gerät erfüllen muss, damit eine Zugriffsregel für das Gerät gilt - Client-Version, Betriebssystem, Standort, lokales Netz oder ein laufender Prozess.
Eine Geräteanforderung ist ein wiederverwendbarer Satz von Prüfungen. Hängen Sie sie an eine Zugriffsregel an, dann gewährt die Zugriffsregel nur noch den Quellgeräten Zugriff, die die Prüfungen bestehen. Ein Gerät, das sie nicht mehr besteht, verliert diesen Zugriff mit der nächsten Aktualisierung, die SXAccess ihm schickt - ohne Änderung an seinen Gruppen und ohne Zutun einer Administratorin.
Anforderungen sperren ein Gerät nie vollständig, sie knüpfen nur eine bestimmte Zugriffsregel an Bedingungen. Eine Maschine, die die Prüfungen einer Zugriffsregel nicht besteht, behält alles, was ihr andere Zugriffsregeln gewähren.
Eine Anforderung, die von einer Zugriffsregel verwendet wird, lässt sich erst löschen, wenn Sie sie aus jeder Zugriffsregel entfernt haben.
Eine Anforderung anlegen und anhängen
- 1
Die Prüfungen hinzufügen
Öffnen Sie Access → Device requirements → Add requirement. Klicken Sie im Schritt Checks auf jede Prüfung, die Sie brauchen, stellen Sie sie ein und wählen Sie Save; ihre Zeile zeigt dann On. Wählen Sie Continue.
- 2
Einen Namen vergeben
Geben Sie unter Name of the Device requirement einen Namen ein, der sagt, was die Anforderung verlangt, etwa
macOS 14 oder neuer; Namen sind eindeutig. Ergänzen Sie bei Bedarf eine Beschreibung und wählen Sie Create Device requirement. - 3
An eine Zugriffsregel anhängen
Öffnen Sie die Zugriffsregel unter Access → Access rules. Wählen Sie im Abschnitt Device requirements der Regel Browse, kreuzen Sie die Anforderung an, wählen Sie Add 1 requirement und speichern Sie die Regel mit Save access rule. Mit New requirement im selben Abschnitt legen Sie eine Anforderung an, ohne den Editor zu verlassen.
- 4
Prüfen, ob sie greift
Die Spalte Used by der Anforderungsliste zählt die Zugriffsregeln, an denen die Anforderung hängt. Auf der Seite eines Quellgeräts, das eine Prüfung nicht besteht, listet der Reiter Accessible devices nicht mehr auf, was diese Zugriffsregel erreicht, es sei denn, eine andere Zugriffsregel erreicht es ebenfalls.
sxaccess info -dauf diesem Gerät zeigt dasselbe.
Die fünf Prüfungen
| Prüfung | Was sie prüft | Typischer Einsatz |
|---|---|---|
SXAccess Client Version (sx_version_check) | Eine Mindestversion der SXAccess-Software auf dem Gerät | Einen alten Client mit bekanntem Fehler aus sensiblen Zugriffsregeln heraushalten |
Operating System (os_version_check) | Je Plattform, ob sie erlaubt ist, und optional eine Mindestversion. Bei macOS, iOS und Android wird die Betriebssystemversion verglichen, bei Linux und Windows die Kernel-Version | Einen Mindest-Patch-Stand durchsetzen |
Country & Region (geo_location_check) | Länder und Städte, als Positiv- oder Sperrliste | Produktionszugriff auf Länder beschränken, in denen Sie tätig sind |
Device Network Range (device_network_range_check) | Die lokalen Netzadressen des Geräts, abgeglichen mit einer CIDR-Liste, erlaubt oder gesperrt | Anwesenheit in einem Firmen-LAN verlangen |
Process (process_check) | Ob bestimmte Programme laufen, je Plattform über den Pfad angegeben | Einen EDR-Agenten oder einen Dienst zur Festplattenverschlüsselung verlangen |
SXAccess Client Version
Die Prüfung ist bestanden, wenn die Version, die ein Gerät meldet, mindestens dem gesetzten Minimum entspricht. Die Seite des Geräts zeigt diese Version als Agent version. Die SXAccess-Apps und der CLI-Agent haben getrennte Versionsnummern; sehen Sie also nach, was Ihre Geräte melden, bevor Sie ein Minimum wählen.
Alles nach dem ersten Bindestrich wird ignoriert: 1.2.3-beta zählt als 1.2.3 und erfüllt damit bereits ein Minimum von 1.2.3. Was übrig bleibt, muss eine einfache Versionsnummer aus drei durch Punkte getrennten Zahlen sein. Ein Gerät, das etwas anderes meldet, etwa einen nach einem Commit benannten Build, scheitert immer.
Operating System
Im Dashboard hat die Prüfung für jede Plattform (Linux, Windows, macOS, iOS und Android) einen eigenen Reiter, und jeder beginnt mit Allow und All versions. Mit Equal or greater than setzen Sie ein Minimum, mit Block schließen Sie die Plattform aus. Eine Plattform, die Sie unverändert lassen, bleibt erlaubt.
Über die API ist es umgekehrt: Eine ausgelassene Plattform wird abgelehnt, nicht übersprungen. Eine Prüfung, die nur darwin nennt, lässt jedes Windows- und Linux-Gerät scheitern, für das die Zugriffsregel gilt. Führen Sie also jede Plattform auf, die Sie erlauben wollen; ein Minimum von 0 erlaubt jede Version. macOS (darwin), iOS und Android werden nach der Betriebssystemversion verglichen, Linux und Windows nach der Kernel-Version.
{ "os_version_check": { "android": { "min_version": "13" }, "ios": { "min_version": "17.3.1" }, "darwin": { "min_version": "14.2.1" }, "linux": { "min_kernel_version": "5.3.3" }, "windows": { "min_kernel_version": "10.0.1234" } }}Country & Region
SXAccess ermittelt den Standort eines Geräts bei jeder Verbindung aus der öffentlichen Adresse, von der aus es sich verbindet; die Seite des Geräts zeigt ihn als Region. Die Prüfung erwartet eine Liste von Ländern, optional auf Städte eingeschränkt, und eine Aktion: Allow (allow) lässt nur die aufgeführten Orte zu, Block (deny) schließt sie aus. Die Positivliste ist der sicherere Standard: Ein Land, an das Sie nicht gedacht haben, wird abgelehnt statt erlaubt.
Ein Gerät, dessen Standort sich nicht bestimmen lässt, scheitert an der Prüfung, gleich welche Aktion Sie gewählt haben.
{ "geo_location_check": { "locations": [ { "country_code": "DE" }, { "country_code": "AT", "city_name": "Vienna" } ], "action": "allow" }}
Device Network Range
Eine Netzbereichsprüfung vergleicht die Netze der eigenen Netzwerkschnittstellen des Geräts mit der Liste. Sie prüft auf das exakte Präfix, nicht darauf, ob ein Netz im anderen enthalten ist: Eine Schnittstelle mit 10.20.30.7/24 passt zu 10.20.30.0/24, aber nicht zu 10.0.0.0/8. Führen Sie die Präfixe so auf, wie sie auf den Geräten tatsächlich konfiguriert sind. Mit Allow besteht ein Gerät in einem der aufgeführten Netze, mit Block scheitert es.
Nur Geräte mit dem CLI-Agenten melden ihre Schnittstellen. Ein Gerät mit einer der SXAccess-Apps meldet keine und scheitert daher an dieser Prüfung, gleich welche Aktion Sie gewählt haben.
{ "device_network_range_check": { "ranges": ["192.168.1.0/24", "10.20.30.0/24"], "action": "allow" }}Process
Eine Prozessprüfung führt Programme über ihren absoluten Pfad auf, je ein Pfad pro Plattform (Linux, macOS und Windows), und ist bestanden, wenn jeder aufgeführte Prozess läuft. Ein Eintrag ohne Pfad für die Plattform des Geräts lässt dieses Gerät scheitern.
Nur Geräte mit dem CLI-Agenten melden Prozesse. Ein Gerät mit einer der SXAccess-Apps, ob unter macOS, Windows, iOS oder Android, scheitert an einer Prozessprüfung immer, statt sie zu überspringen; eine Zugriffsregel mit Prozessprüfung schließt solche Geräte also vollständig aus.
{ "process_check": { "processes": [ { "linux_path": "/usr/local/bin/endpoint-agent", "mac_path": "/Applications/EndpointAgent.app/Contents/MacOS/agent", "windows_path": "C:\\Program Files\\EndpointAgent\\agent.exe" } ] }}Plattformabdeckung
SXAccess Client Version, Operating System und Country & Region gelten für jedes Gerät. Device Network Range und Process werden nur für Geräte mit dem CLI-Agenten ausgewertet: Die SXAccess-Apps unter macOS, Windows, iOS und Android melden weder Schnittstellen noch Prozesse, daher scheitern diese Geräte an beiden Prüfungen, statt sie zu überspringen. Verwenden Sie diese beiden Prüfungen bei Zugriffsregeln, deren Quellen Server und andere Maschinen mit dem CLI-Agenten sind.