So setzen Sie den Zugriff je Vertrauenssituation um

Wer mit welchem Gerät von wo auf welche Daten zugreift, stellen Sie in der Verwaltungsanwendung mit Personen, Regeln, Schlüsseln, Datenbank-Identitäten und der Anmelderichtlinie ein; der Datendienst setzt es bei jeder Anmeldung durch und weist es nach. Die neun Situationen unten reichen vom Firmen-PC über das private Gerät bis zur Frage „Warum durfte das?“, jeweils mit der Prüfung, dass es wirkt.

Der Dienst unterscheidet Anfragen nach dem, was er bei jeder Anmeldung sicher kennt: die Person, das Anmeldeverfahren (Windows-Konto, persönlicher Schlüssel, SQL-Anmeldung), den einzelnen Schlüssel, die Herkunft (Netz der Adresse) und die Zeit. Daraus und aus Ihren Regeln folgt, ob eine Anmeldung erlaubt ist, einen Code braucht oder abgelehnt wird, und was sie danach erreicht.

Den Zustand eines Geräts – verwaltet oder privat, verschlüsselt, mit Virenschutz – kennt der Dienst nicht. Er unterscheidet Geräte über ihren eigenen Schlüssel und ihre Herkunft, nicht über eine Prüfung des Geräts (siehe Hinweise). Was der Dienst feststellt und was nicht, erklärt Zero Trust und private Geräte.

1. Öffnen Sie Anmelderichtlinie und wählen Sie Weitere > Vorlagen der Richtlinie > Büro ohne Code, außen mit Code. Geben Sie Ihr Firmennetz an, etwa 10.0.0.0/8.
2. Öffnen Sie Personen und Schlüssel und wählen Sie Neue Person …. Wählen Sie im Schritt Anmeldung das Windows-Konto der Person und haken Sie ihre Regeln an.

Prüfen: Person markieren, Rechte > Anmeldung und Rechte …. In der Zeile des Windows-Kontos steht im Firmennetz „erlaubt“, außen „Code nötig“.

Alle Schritte mit Schlüssel für das Homeoffice: So richten Sie den Zugang einer Person nach Ort ein.

1. Markieren Sie die Person und wählen Sie Schlüssel > Schlüssel ausstellen …. Benennen Sie den Schlüssel nach dem Gerät, etwa „Laptop privat“, Zweck Arbeitsplatz.
2. Klappen Sie die Person auf, Register Schlüssel, und markieren Sie den neuen Schlüssel. Setzen Sie in seiner Maske, was für dieses Gerät gelten soll: Nur lesen, ein frühes Datum unter Läuft ab (UTC), und als Einschränkungen eine Datenquelle (Nur Datenquelle) oder ein Netz (siehe Einschränken).
3. Geben Sie den Einmal-Link aus der Meldung an die Person weiter.

Mit der Anmelderichtlinie aus dem vorigen Abschnitt verlangt der Dienst von außen einen Code.

Prüfen: Anmeldung und Rechte … zeigt eine Zeile für diesen Schlüssel, mit der Entscheidung je Herkunft und der Regel, die sie bewirkt.

Grenzen: Dass das Gerät privat ist, weiß der Dienst nur über diesen Schlüssel. Stellen Sie deshalb je Gerät einen eigenen Schlüssel aus: Geht ein Gerät verloren, sperren Sie nur dessen Schlüssel.

Hintergrund und Grenzen beim Datendienst: So lassen Sie private Geräte zu

1. Öffnen Sie Regeln und wählen Sie Neue Regel. Haken Sie Nur lesen an.
2. Wählen Sie Merkmal hinzufügen … und legen Sie an: Datenquelle mit dem Namen der Datenquelle, Objektart views, Methode GET.
3. Wählen Sie unter Objekte nur die Sichten, die Makler sehen dürfen, etwa eine Sicht der Verträge ohne Gesundheitsangaben.
4. Legen Sie die Person an, geben Sie ihr diese Regel und stellen Sie ihr einen Schlüssel aus wie unter Privates Gerät, mit einem Ablaufdatum.

Prüfen: Anmeldung und Rechte … für die Person; der Baum unter Regeln zeigt, was die Regel erlaubt.

Grenzen: Der Dienst gibt ganze Objekte frei. Welche Kunden und welche Spalten eine Sicht zeigt, legt die Datenbank fest – über die Sicht selbst oder einen Zeilenschutz in SQL Server. Schützenswerte Spalten gehören deshalb nicht in die freigegebene Sicht. Siehe So legen Sie eine Regel an.

Hintergrund und Grenzen beim Datendienst: So beschränken Sie Vermittler auf ihre Kunden

• Ein Bericht, der täglich liest: Schlüssel ausstellen mit Zweck Arbeitsplatz, in seiner Maske Nur lesen und Ohne zweiten Faktor anhaken – Excel und Power BI können keinen Code abfragen.
• Eine Präsentation: Schlüssel ausstellen mit Zweck Präsentation auf Abruf. Er liest nur, ruht und gilt erst, wenn Sie ihn mit Schlüssel > Schlüssel freischalten … für die Stunden des Termins freigeben.

Prüfen: Im Register Schlüssel zeigt Zustand „ruht“ oder „frei bis … UTC“.

Grenzen: Was Excel oder Power BI einmal geladen hat, liegt in der Datei auf dem Gerät. Der Dienst regelt den Zugriff, nicht die Kopie. Siehe So geben Sie einen Präsentationsschlüssel aus und ersetzen einen verlorenen Schlüssel.

Hintergrund und Grenzen beim Datendienst: So trennen Sie Berichte und Aktualisierung

Arbeitet eine Abteilung bisher mit einer gemeinsamen SQL-Server-Anmeldung, deren Kennwort alle kennen, melden sich die Personen künftig als sie selbst an, und der Dienst wechselt für sie auf die gemeinsame Anmeldung.

1. Öffnen Sie Identitäten und wählen Sie Neue Datenbank-Identität. Wählen Sie die Datenquelle, geben Sie den Namen zur Auswahl ein und wählen Sie die Art Sammelanmeldung (Login) mit der Anmeldung in SQL Server.
2. Klappen Sie die Identität auf, Register Zuordnungen, und ordnen Sie die Personen oder die Windows-Gruppe der Abteilung zu.

Prüfen: Im Protokoll, Register Audit, stehen bei jeder Anfrage die Person und die Identität.

Siehe So richten Sie Datenbank-Identitäten ein. Ein Programm ohne Person meldet sich mit einem Dienstschlüssel an; den legt die Konfiguration des Dienstes fest, nicht diese Anwendung.

Hintergrund und Grenzen beim Datendienst: So binden Sie eine Fachanwendung an

1. Legen Sie mit Neue Person … die Person an und geben Sie ihr nur die Regeln für den Auftrag.
2. Tragen Sie in der Maske ihres Schlüssels unter Läuft ab (UTC) das Ende des Auftrags ein.
3. Am Ende des Auftrags: Person markieren, Person sperren ….

Prüfen: Die Übersicht zeigt mit der Karte Schlüssel laufen ab, wessen Schlüssel in den nächsten 14 Tagen ablaufen. Der Nachweisbericht Austritte und Sperren listet, wer wann gesperrt wurde.

Hintergrund und Grenzen beim Datendienst: So vergeben Sie Zugang auf Zeit

1. Klappen Sie die Person auf, Register Schlüssel, und markieren Sie den Schlüssel des Geräts.
2. Wählen Sie Schlüssel > Schlüssel neu ausstellen …: Der alte ist gesperrt, der neue hat dieselben Einstellungen. Bekommt die Person kein Ersatzgerät, wählen Sie stattdessen Schlüssel sperren ….
3. Wählen Sie Weitere > Darunter zeigen > Sitzungen der Person, markieren Sie eine offene Sitzung des Geräts und wählen Sie Zweiter Faktor und Sitzung > Sitzung beenden.

Sind mehrere Zugänge betroffen, sperrt Person sperren … alle Schlüssel und beendet alle Sitzungen auf einmal.

Prüfen: Zustand des Schlüssels zeigt „gesperrt“, Gesperrt am den Zeitpunkt in UTC. Siehe So sperren Sie einen Schlüssel oder eine Person.

Hintergrund und Grenzen beim Datendienst: So reagieren Sie auf ein verlorenes Gerät

1. Öffnen Sie Anmeldungen, Register Hinweise oder Herkunft, und wählen Sie die Zeile des Netzes.
2. Wählen Sie Herkunft sperren … und bestätigen Sie.

Grundsätzlich lassen Sie Windows-Konto und SQL-Anmeldung nur im Firmennetz zu: Anmelderichtlinie, Weitere > Vorlagen der Richtlinie > Außen nur Schlüssel.

Prüfen: Die neue Anmelderegel steht unter Anmelderichtlinie; Anmeldung und Rechte … zeigt für eine Person „abgelehnt“ bei dieser Herkunft. Siehe So prüfen Sie Anmeldungen und ihre Herkunft.

• Vorab, für eine Person: Rechte > Anmeldung und Rechte … zeigt je Anmeldeart und Herkunft, ob die Anmeldung erlaubt ist, einen Code braucht oder abgelehnt wird, und welche Regel das bewirkt. Der Dienst rechnet dabei wie bei einer echten Anmeldung.
• Nach einer Abweisung: Zugang wiederherstellen … zeigt die letzten Abweisungen mit Ursache und Abhilfe.
• Wer hat was getan: Protokoll, Register Audit (Zugriffe) und Änderungsprotokoll (wer wann welche Regel geändert hat).
• Für Prüfer: Protokoll > Weitere > Nachweisberichte: Rechteübersicht, MFA-Abdeckung, Austritte und Sperren, Verwaltungsänderungen, als Excel-Datei und PDF.

Siehe So erzeugen Sie Nachweisberichte.

Hintergrund und Grenzen beim Datendienst: So vollziehen Sie eine Zugriffsentscheidung nach

Anmelderegeln und Regeln wirken sofort nach dem Speichern. Prüfen Sie deshalb gleich danach mit Anmeldung und Rechte … zwei oder drei typische Personen, etwa eine im Büro und eine mit Schlüssel von außen. Ändern oder Löschen der Regel wirkt ebenso sofort. Halten Sie bei einer Regel, die die Verwaltung betrifft, eine zweite Anmeldung offen, bis die Prüfung bestanden ist (siehe So legen Sie die Anmelderichtlinie fest).

Hintergrund und Grenzen beim Datendienst: Zero Trust und private Geräte

• Gerätezustand: Ob ein Gerät verwaltet, verschlüsselt oder geschützt ist, prüft der Dienst nicht. Verlangt Ihre Richtlinie das, braucht es eine Geräteverwaltung (MDM) oder eine Prüfung vor dem Dienst; im Dienst bilden Sie das Ergebnis über eigene Schlüssel und Netze ab.
• Lokale Kopien: Der Dienst entscheidet, welche Daten eine Anfrage erhält. Was eine Anwendung danach speichert – eine Excel-Datei, eine Access-Tabelle –, liegt außerhalb seiner Kontrolle.
• Herkunft: Der Dienst sieht die Adresse, von der die Anfrage kommt. Hinter einem Proxy zählt sie nur, wenn der Proxy in der Konfiguration des Dienstes als vertrauenswürdig eingetragen ist.
• Windows-Gruppen kennt Anmeldung und Rechte … nicht: Der Dienst erfährt sie erst bei einer Windows-Anmeldung.
• Zeiten stehen überall in UTC.

• So richten Sie den Zugang einer Person nach Ort ein
• So legen Sie die Anmelderichtlinie fest
• So legen Sie eine Person an und stellen ihr einen Schlüssel aus
• So legen Sie eine Regel an
• So sperren Sie einen Schlüssel oder eine Person
• Zero Trust und private Geräte
• So erlauben Sie den Zugriff auf Reisen