Offboarding

Was zu tun ist, wenn jemand geht - in der Reihenfolge, die zuerst den Zugriff entzieht und erst danach aufräumt.

Nichts, was Sie an einem Mitglied ändern, wartet auf dessen nächste Anmeldung. Rolle und Sperrstatus werden bei jeder Anfrage gelesen und nicht in einer Sitzung zwischengespeichert. Bei eingeschalteter Gruppenweitergabe, dem Standard, verschiebt eine Änderung seiner Gruppen außerdem sofort die Geräte, die es schon hat.

Beim Offboarding wird leicht übersehen, was der Person nicht gehört: mit einem Registrierungsschlüssel registrierte Maschinen, die Registrierungsschlüssel selbst und die Zugriffstoken von Dienstkonten, die sie genutzt hat. Das Sperren oder Entfernen des Mitglieds wirkt sich auf nichts davon aus. Entziehen Sie zuerst der Person selbst den Zugriff und gehen Sie den Rest danach sorgfältig durch.

Die bewährte Reihenfolge

1
Das Mitglied sperren
Schalten Sie unter People → Members in seiner Zeile Blocked ein, oder öffnen Sie das Mitglied und nutzen Sie Block user unter Profile. Das wirkt sofort: Jede Anfrage des Mitglieds an Dashboard und API wird abgelehnt, auch solche mit seinen eigenen Zugriffstoken, und jedes Gerät, das es per Anmeldung registriert hat, läuft ab und wird getrennt. Der Eintrag bleibt erhalten, sodass Sie den Rest dieser Liste in Ruhe abarbeiten können. Den Eigentümer können Sie erst sperren, wenn die Eigentümerschaft übertragen wurde.
2
Maschinen berücksichtigen, die per Schlüssel registriert wurden
Ein mit einem Registrierungsschlüssel registriertes Gerät hat weder Eigentümer noch Sitzung; weder das Sperren noch das Entfernen des Mitglieds wirkt sich darauf aus. Um die Maschinen zu finden, die die Person eingerichtet hat, gehen Sie von ihren Schlüsseln aus. Öffnen Sie Activity, erweitern Sie den Zeitraum und wählen Sie die Person im Mitgliederfilter: Jeder Eintrag Enrollment key created nennt einen Schlüssel, den sie angelegt hat. Unter Devices zeigt eine mit Schlüssel registrierte Maschine No email an der Stelle, an der andere Geräte ihren Eigentümer zeigen, und sie gehört zunächst den Gruppen ihres Schlüssels an. Entscheiden Sie für jede einzeln: löschen oder behalten und auf ihrer Seite die Assigned groups prüfen. Die automatisch zugewiesenen Gruppen eines Schlüssels jetzt zu ändern, verschiebt die Geräte nicht, die dieser Schlüssel bereits registriert hat.
3
Die Schlüssel widerrufen, die die Person nutzen konnte
Wählen Sie unter Access → Enrollment keys bei jedem Schlüssel, den die Person lesen konnte, Revoke. Ein kopierter Schlüssel bleibt gültig, bis er widerrufen wird, abläuft oder sein Nutzungslimit erreicht. Das Widerrufen ist endgültig und verhindert nur neue Registrierungen: Geräte, die der Schlüssel bereits registriert hat, bleiben; deshalb gab es für sie einen eigenen Schritt.
4
Die Token der Dienstkonten austauschen, auf die die Person Zugriff hatte
Das Entfernen einer Person löscht ihre eigenen Zugriffstoken, nicht die Token eines Dienstkontos, das sie genutzt hat. Legen Sie für jedes dieser Dienstkonten ein neues Token an, stellen Sie die Anwendung, die es nutzt, darauf um und löschen Sie dann das alte Token; siehe Dienstkonten und Token.
5
Das Mitglied entfernen
Wählen Sie unter Profile im Bereich Remove from this organization die Schaltfläche Remove member und bestätigen Sie. Das löscht in einem Schritt jedes Gerät, das die Person per Anmeldung registriert hat, und alle ihre Zugriffstoken. Ihr Anmeldekonto wird nicht gelöscht; andere Organisationen, denen sie angehört, sind nicht betroffen. Den Eigentümer können Sie erst entfernen, wenn die Eigentümerschaft übertragen wurde.

Maschinen, die die Person registriert hat

Ein per Anmeldung registriertes Gerät hat diese Person als Eigentümer und wird mit ihr entfernt. Ein mit einem Registrierungsschlüssel registriertes Gerät hat keinen Eigentümer: Ein Build-Server, den die Person aufgesetzt hat, gehört der Organisation, nicht ihr, er läuft nie ab, und nichts, was Sie am Mitglied ändern, betrifft ihn.

Das ist so gewollt und zugleich die Lücke, die gern übersehen wird. Suchen Sie diese Maschinen wie in Schritt 2 beschrieben, und entscheiden Sie für jede bewusst, was damit geschieht.

Was den Schaden vorab begrenzt

Offboarding fällt leichter, wenn diese Einstellungen schon vorher richtig gesetzt waren:

Ablauf der Gerätesitzungen. Unter Settings → Security ist Expire device sessions standardmäßig eingeschaltet, mit einer Session length von 24 Stunden. Ein per Anmeldung registriertes Gerät muss sich erneut anmelden, wenn diese Zeit abgelaufen ist; keine Maschine behält ihren Zugriff also lange, ohne dass sich ihr Eigentümer anmeldet.
Gruppenweitergabe. Enable user group propagation unter People → Groups → Settings ist standardmäßig eingeschaltet. Ist sie eingeschaltet, wandern die vorhandenen Geräte eines Mitglieds mit, wenn sich seine Gruppen ändern; siehe Gruppenweitergabe.
Schlüssel nur, wo sich niemand anmeldet. Registrieren Sie die Maschinen von Personen per Anmeldung und behalten Sie Registrierungsschlüssel Servern vor, mit kurzem Expires in und nur dort wiederverwendbar, wo mehrere Maschinen denselben Schlüssel brauchen. So bleibt die Liste der Maschinen ohne Eigentümer kurz genug, um sie zu prüfen.

Weder der Sitzungsablauf noch die Gruppenweitergabe gilt für mit Schlüssel registrierte Maschinen - deshalb brauchen sie den sorgfältigen Durchgang oben.

Woran Sie erkennen, dass es gewirkt hat

Unter People → Members ist die Person verschwunden, und unter Devices steht keine der Maschinen mehr, die sie per Anmeldung registriert hat. Prüfen Sie für jede mit Schlüssel registrierte Maschine, die Sie behalten haben, was sie noch erreicht: Öffnen Sie sie unter Devices und sehen Sie sich den Reiter Accessible devices an.

Dieselbe Liste liefert die API. Sie enthält nur Geräte, keine Routen, Ressourcen oder Ports, dafür aber auch Geräte, die offline sind. Im Aufruf unten ist DEVICE_ID das Feld id des Geräts aus GET /api/devices. Stellen Sie die Abfrage mit dem Zugriffstoken eines Eigentümers oder Administrators. Für einen Netzwerkadministrator, einen Auditor oder ein gewöhnliches Mitglied liefert der Aufruf bei jedem Gerät, das nicht das eigene ist, eine leere Liste; eine leere Antwort mit deren Token beweist also nichts.

shell - was ein Gerät erreicht

curl -sS "https://app.sxaccess.com/api/devices/$DEVICE_ID/reachable-devices" \  -H "Authorization: Token $SXACCESS_TOKEN"

Was die Aktivität verzeichnet

Die Seite Activity verzeichnet jeden Schritt. Das Sperren erscheint als Member blocked, gefolgt von Device login expired für jedes Gerät, das dabei abgelaufen ist. Das Entfernen erscheint als Device deleted für jedes Gerät, das mit dem Mitglied gelöscht wurde, und als Member deleted für die Mitgliedschaft. Widerrufene Schlüssel erscheinen als Enrollment key revoked, die ersetzten Dienstkonto-Token als API token deleted. Mit dem Filter nach Ereignistyp finden Sie sie schnell; siehe Aktivitätsprotokoll.