Access conditions¶
Das Modul Access conditions legt Regeln fest, die — sobald sie mit einer access policy verknüpft sind — den Benutzern die Verbindung zum Benutzerportal anhand eines technischen Kriteriums erlauben oder verwehren (IP-Adresse, Zeitfenster, Browser, Betriebssystem, Zertifikat, Attribut des Benutzerprofils usw.).
Eine Bedingung wird zum Zeitpunkt der Verbindung ausgewertet: ist sie gültig, wird die zugehörige Aktion angewendet (erlauben oder verwehren).
Liste der Bedingungen¶
Die Tabelle zeigt alle vorhandenen Bedingungen, paginiert nach 15, 25 oder 50 Einträgen.
| Spalte | Beschreibung |
|---|---|
| Name | Bezeichnung der Bedingung, mit vorangestelltem Symbol, das den Typ und die Entscheidung anzeigt (erlauben oder verwehren). |
| Type | Typ der Bedingung (siehe nachstehende Tabelle). |
| Condition | Textliche Zusammenfassung der konfigurierten Parameter (IP-Bereiche, Datumsangaben, Browser usw.). |
Das Suchfeld oben rechts filtert die Liste nach Namen.
Eine Bedingung hinzufügen¶
Ein Klick auf die Schaltfläche + öffnet das Formular zum Erstellen. Felder, die allen Typen gemeinsam sind:
| Feld | Beschreibung |
|---|---|
| Condition type | Pflichtfeld. Legt die Art der Regel fest (siehe nachstehende Tabelle). Nach dem ersten Speichern nicht mehr änderbar. |
| Name | Pflichtfeld. |
| Description | Freier Text. |
| Access | Zwei Möglichkeiten: Allow if valid (Standard) oder Deny if valid. |
| Notify the user if invalid | Ist die Option aktiviert, sieht der Benutzer eine Meldung, wenn die Bedingung den Zugriff verwehrt. |
| Log if invalid | Ist die Option aktiviert, wird bei einer Verweigerung ein Eintrag ins Protokoll geschrieben. |
Verfügbare Typen¶
| Typ | Durchgeführte Prüfung | Client erforderlich |
|---|---|---|
| Connection address | URL, über die der Benutzer den Tenant CyberElements erreicht. | Nein |
| Antispyware | Vorhandensein eines aktiven Antispyware-Programms auf dem Arbeitsplatz. | Ja |
| Antivirus | Vorhandensein eines aktiven Virenschutzes auf dem Arbeitsplatz. | Ja |
| Windows Security Center | Zustand der Sicherheitseinstellungen von Windows (automatische Aktualisierung, Einstellungen des Internet Explorer, UAC). | Ja |
| Certificate | Zertifikat, das der Browser vorlegt, um sich an der Weboberfläche zu authentifizieren. | Nein |
| Date | Datumsbereich, Zeitfenster, Monatsliste, Wochentage. | Nein |
| IP | IP- oder Domänenadresse, IP-Bereich oder Subnetz. | Nein |
| MD5 | Vorhandensein einer Datei unter einem bestimmten Pfad mit einer erwarteten MD5-Prüfsumme. | Ja |
| Meta-rule | Logische Verknüpfung (AND / OR) von mindestens zwei anderen vorhandenen Bedingungen. | Hängt von den verknüpften Bedingungen ab |
| Browser | Vom Client verwendeter Browser. | Nein |
| Operating system | Auf dem Arbeitsplatz erkanntes Betriebssystem. | Ja, außer wenn Use the User-Agent aktiviert ist |
| Firewall | Vorhandensein einer aktiven Firewall. | Ja |
| System | Lokale Prüfung (Datei, Volumenummer, Seriennummer der Festplatte, laufender Prozess, Registrierungsschlüssel). | Ja |
| User | Vorhandensein oder Wert eines Attributs des Benutzerprofils. | Nein |
| FIDO2 | Authentifizierung des Benutzers über einen FIDO2-/WebAuthn-Schlüssel. | Nein |
Die Spalte „Client erforderlich“
Einige Prüfungen betreffen den Zustand des Arbeitsplatzes: sie werden lokal durchgeführt und setzen daher voraus, dass der Client von CyberElements auf dem Arbeitsplatz des Benutzers installiert ist. Fehlt der Client, kann eine Bedingung, die ihn benötigt, nicht ausgewertet werden und gilt als ungültig — was insbesondere für Verbindungen aus Cleanroom Desktop gilt.
Parameter je Typ¶
| Feld | Beschreibung |
|---|---|
| Domain | Hostteil der URL des Tenants (ohne https:// und ohne Pfad). Zulässig sind Buchstaben, Ziffern, Bindestriche, der Punkt und Zeichen regulärer Ausdrücke. |
Es werden zwei Modi angeboten:
| Modus | Beschreibung |
|---|---|
| User authenticated using a certificate (Standard) | Prüft, dass sich der Benutzer mit einem Zertifikat authentifiziert hat. |
| Test certificate's contents | Vergleicht zusätzlich ein Feld des Zertifikats mit einem Feld des Benutzerprofils. |
Zusätzliche Felder für den zweiten Modus:
| Feld | Beschreibung |
|---|---|
| Certificate field | Auswahlliste: DN field of the user certificate, CN field of the user certificate (Standard), Email field of the user certificate, O field of the user certificate, OR field of the user certificate oder PEM-encoded certificate for client X509. |
| User profile field | Feld des Benutzerprofils, dessen Wert verglichen wird. |
Mindestens eine der vier Optionen muss aktiviert sein; die aktiven Optionen werden mit einem logischen AND verknüpft.
| Option | Beschreibung |
|---|---|
| Date | Datumsbereich (Beginn, Ende). Das Enddatum darf nicht vor dem Anfangsdatum liegen. |
| Hour | Zeitfenster (HH:MM). Die Endzeit muss nach der Anfangszeit liegen (es sei denn, die Bedingung erstreckt sich über mehrere Tage). |
| Month | Zwölf Kontrollkästchen, standardmäßig alle aktiviert. |
| Day of the week | Sieben Kontrollkästchen, standardmäßig alle aktiviert. |
Drei sich gegenseitig ausschließende Modi:
| Modus | Felder |
|---|---|
| IP or domain list | Eine oder mehrere IPv4-Adressen, getrennt durch ;. |
| IP range | Anfangs- und End-IP. |
| Subnetwork | IP und Maske (CIDR 0 bis 32). |
| Feld | Beschreibung |
|---|---|
| File path | Vollständiger Pfad (zum Beispiel C:\Test.ext). |
| MD5 checksum | Hexadezimalzahl mit 32 Zeichen. |
Ein Link erlaubt es, das von CyberElements bereitgestellte Windows-Werkzeug zur MD5-Prüfsummenbildung herunterzuladen.
| Feld | Beschreibung |
|---|---|
| Logical operator | AND (Standard) oder OR. |
| Component rules | Ziehen Sie mindestens zwei Bedingungen per Drag-and-drop aus der linken in die rechte Spalte. Eine Metaregel kann weder sich selbst referenzieren noch eine Metaregel, die bereits in ihrer eigenen Hierarchie verwendet wird. |
Kontrollkästchen für die zu erkennenden Browser: Internet Explorer 7 bis 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Die Option Other schaltet ein freies Textfeld für den genauen Namen eines anderen Browsers frei. Standardmäßig ist Internet Explorer aktiviert.
Verbindungen aus Cleanroom Desktop gezielt erfassen
Die Plattform sieht Cleanroom Desktop als Browser: er weist sich mit einem User-Agent der Form Cleanroom Desktop 1.2.3.4 aus. Other zu aktivieren und Cleanroom Desktop einzugeben erfasst daher die Zugriffe aus diesem Client. Mit einer Zugriffsrichtlinie verknüpft, erlaubt die Bedingung, bestimmte Ressourcen dem Desktop-Client und andere dem Benutzerportal vorzubehalten.
| Option | Beschreibung |
|---|---|
| Use the User-Agent | Ist die Option aktiviert, stützt sich die Erkennung auf die Kopfzeile User-Agent und nicht auf den lokalen Agenten. |
| Systemliste | Kontrollkästchen (Windows XP bis 11, Windows Server 2003 bis 2022, Linux, MacOS X, Vista, 9x, NT, CE usw.). Die Option Other schaltet ein freies Textfeld frei. Mindestens ein Kästchen muss aktiviert sein. |
Lokale Prüfung, in einem dieser Modi:
| Modus | Beschreibung | Auswertung der Liste |
|---|---|---|
| File | Liste der zu prüfenden Dateipfade. | Alle müssen vorhanden sein (AND). |
| C:\ volume number | Liste der Volumenummern (ein herunterladbares Werkzeug hilft, sie zu ermitteln). | Eine einzige muss übereinstimmen (OR). |
| Hard disk serial number | Liste der Seriennummern. | Eine einzige muss übereinstimmen (OR). |
| Running process | Liste der Prozessnamen. | Alle müssen ausgeführt werden (AND). |
| Registry Key | Liste der Schlüssel oder Werte in der Form HKEY_LOCAL_MACHINE\path\name=value. |
Alle müssen vorhanden sein, gegebenenfalls mit dem angegebenen Wert (AND). |
Geben Sie in jedem Modus den Wert ein und klicken Sie auf Add, um ihn in die Tabelle zu übernehmen. Jede Zeile lässt sich einzeln löschen (mit Bestätigung).
Die Logik unterscheidet sich von Modus zu Modus
Die beiden Hardwaremodi — C:\ volume number und Hard disk serial number — sind erfüllt, sobald ein einziger Wert der Liste übereinstimmt: dort führt die Liste die zugelassenen Arbeitsplätze auf. Die drei anderen Modi verlangen, dass alle Werte bestätigt werden.
| Feld | Beschreibung |
|---|---|
| Attribute name | Zu prüfendes Attribut des Benutzerprofils (zum Beispiel mail, employeeID, mobile). |
| Attribute value | Optional. Ausdruck, der mit dem zurückgegebenen Wert verglichen wird. Bleibt das Feld leer, prüft die Bedingung nur, dass das Attribut einen Wert enthält. |
| Exclusive comparison | Ist die Option aktiviert, muss der Ausdruck ab dem Anfang des Wertes übereinstimmen; andernfalls darf er an beliebiger Stelle im Wert übereinstimmen. |
Unterstützte Domänentypen
Diese Bedingung ist nicht auf Verzeichnisse beschränkt: bei einer LDAP-Domäne werden die Attribute aus dem Verzeichnis gelesen, bei einer lokalen Domäne aus der Datenbank. Bei den übrigen Domänentypen — insbesondere SAML — wird kein Attribut zurückgegeben, sodass die Bedingung dort nie gültig ist, was je nach Einstellung auf Allow oder Deny ins Gewicht fällt.
Eine Bedingung ändern¶
Wählen Sie die Bedingung in der Liste aus und klicken Sie auf das Symbol Properties, oder doppelklicken Sie auf die Zeile. Es erscheinen dieselben Felder wie beim Erstellen, außer Type, das nur lesbar wird.
Eine Bedingung löschen¶
Wählen Sie eine oder mehrere Bedingungen aus und klicken Sie auf die Schaltfläche ×. Das Löschen verlangt eine Bestätigung. Mehrfachauswahl ist möglich.