So erlauben Sie den Zugriff auf Reisen

Der Datenzugriff ist nur aus Deutschland erlaubt. Ein Mitarbeiter arbeitet zwei Wochen aus Thailand und braucht in dieser Zeit seine Daten – nur er, nur von dort, nur bis zu seiner Rückkehr, und mit Code.

Eine Anmelderegel nach Land lehnt alles außerhalb Deutschlands ab. Eine befristete Ausnahme an dieser Regel befreit genau die Kombination aus Person und Land bis zu einem Zeitpunkt. Danach greift die Regel wieder von selbst; der Ablauf steht im Änderungsprotokoll.

1. Geodatenbank laden, falls noch nicht geschehen (set-geoip-source, update-geoip, siehe Verwaltung). Ohne sie hat keine Anfrage ein Land, und die Regel lehnt alles von außen ab.

2. Regel mit Ausnahme in einem Schritt speichern (save-sign-in-rule); gibt es die Regel schon, mit ihrer id, dann ersetzt der Befehl sie samt allen Ausnahmen:

   { "id": 7, "scope": "Data", "effect": "Deny", "label": "nur Deutschland",
     "exceptCountries": [ "DE" ], "exceptFrom": [ "10.0.0.0/8" ],
     "exceptions": [ { "persons": [ "Frank Mustermann" ], "countries": [ "TH" ],
                       "until": "2026-11-02T00:00:00Z", "label": "Dienstreise" } ] }

   until ist UTC. Wählen Sie das Ende großzügig für die Zeitzone des Reiseziels.

3. Prüfen: explain-sign-in mit einer Herkunft { "name": "Thailand", "address": "203.0.113.7", "country": "TH" } zeigt für Frank allowed oder code und unter spared die Ausnahme; für eine andere Person denied.

Ergebnis: Frank arbeitet bis zum 2. November aus Thailand; jede andere Person und Frank aus jedem anderen Land außerhalb Deutschlands bleiben abgewiesen. Ab dem Ende greift die Regel ohne weiteren Schritt.

• Das Land ist ein Hinweis, kein Beweis. Ein VPN des Hotels oder ein Mobilfunknetz kann ein anderes Land zeigen. Meldet Frank eine Ablehnung, zeigt SignInEvents das erkannte Land; ergänzen Sie die Ausnahme dann um dieses Land oder um das Netz (from).
• Nichtwissen befreit nie. Eine Anfrage ohne erkennbares Land erfüllt die Ausnahme nicht.
• Befund newCountry. Die erste Anmeldung aus Thailand meldet die Anmeldemusterprüfung als Frage an die Person (Stufe ask), auch wenn sie erlaubt war; das ist so gewollt.
• Eine abgelaufene Ausnahme bleibt stehen, bis Sie sie entfernen.

• So stufen Sie den Zugang nach Lage ab
• HTTP: Anmeldung – befristete Ausnahmen
• Zero Trust und private Geräte