Določanje pravilnika za prijavo

Pravilnik za prijavo določa, kdaj prehod zahteva drugi faktor (2FA) in kdaj prijavo zavrne. Pravila se lahko nanašajo na obseg in način prijave ter na omrežje, osebo, skupino Windows, državo, upravljavca omrežja, program in čas. Primeri: „upravljanje samo z 2FA“, „ključi od zunaj samo s kodo“, „prijave SQL nikoli od zunaj“, „dostop do podatkov samo iz Slovenije“.

V področju Anmelderichtlinie (Pravilnik za prijavo) je na zavihku Anmelderegeln (Pravila za prijavo) vsako pravilo vnos v drevesu, pod njim pa so njegovi pogoji in izjeme. Stolpci Bereich (Obseg), Verfahren (Postopek) in Wirkung (Učinek) navedejo vrednosti z besedami, na primer Verwaltung (Upravljanje) in Zweiten Faktor verlangen (Zahtevaj drugi faktor); shranjene vrednosti (Admin, RequireTotp) pogovorno okno prikaže v oklepajih. Pravilo urejate v pogovornem oknu Anmelderegel (Pravilo za prijavo), ki pravilo z vsemi pogoji in izjemami shrani v enem koraku. Upošteva se vsako pravilo, ki se ujema z zahtevo, zavrnitev pa ima prednost pred vsem drugim; vrstni red pravil zato ni pomemben. Če se z zahtevo ne ujema nobeno pravilo, odločajo samo pravice.

S predlogo (za običajne primere): Odprite Anmelderichtlinie in pod Weitere (Več) izberite predlogo. Pri prvih dveh predlogah aplikacija vpraša za omrežje podjetja (na primer 10.0.0.0/8; več omrežij ločite z vejico) in predlaga omrežja, ki jih vaša pravila že navajajo:

Vsaka predloga shrani svoja pravila skupaj z omrežji v enem koraku. Če predlogo uporabite znova, na primer z drugim omrežjem podjetja, posodobi pravila, ki jih je ustvarila (prepozna jih po oznaki „Vorlage: …“, Predloga: …), namesto da bi dodala nova; kar ste jim dodali sami, na primer izjeme, ostane. Nato učinek preverite pri osebi z Personen und Schlüssel (Osebe in ključi) > Rechte (Pravice) > Anmeldung und Rechte … (Prijava in pravice …).

Ročno:

1. Odprite Anmelderichtlinie, zavihek Anmelderegeln, in izberite Neue Anmelderegel … (Novo pravilo za prijavo …). Obstoječe pravilo odprete z dvoklikom ali z Anmelderegel bearbeiten … (Uredi pravilo za prijavo …); dvoklik na pogoj odpre pravilo, ki mu pogoj pripada. Anmelderegel löschen … (Izbriši pravilo za prijavo …) izbriše izbrano pravilo skupaj z njegovimi izjemami.

2. Zgoraj izberite, kaj pravilo naredi:

   Polje	Vrednosti	Pomen
   Wirkung (Učinek)	zahtevaj 2FA (RequireTotp), zavrni (Deny)	zahteva se 2FA ali pa je prijava zavrnjena
   Bereich (Obseg)	dostop do podatkov in upravljanje (All), dostop do podatkov (Data), upravljanje (Admin)	vse, samo podatkovni vmesniki ali samo upravljanje
   Anmeldeverfahren (Način prijave)	vsak način prijave (Any), osebni ključ (PersonalKey), račun Windows (Windows), prijava SQL z geslom (SqlLogin), ključ storitve (ApiKey)	za kateri način prijave pravilo velja
   Notiz (Opomba)	besedilo	opomba za vas, brez učinka
   Modus (Način delovanja)	najprej preizkusi (Report), uveljavi (Enforce)	ali pravilo odloča ali samo prikaže, kaj bi naredilo; glejte 6. korak

   Vrednosti izberete s seznamov v nemščini, ki tehnično vrednost navajajo v oklepaju; pod načinom delovanja je opisano, kaj izbrana možnost povzroči.

3. Pod Gilt nur für (Velja samo za) določite, za katere zahteve pravilo velja, pod Gilt nicht für (Ne velja za) pa, katere zahteve trajno izvzame. Izberite Hinzufügen … (Dodaj …), nato vrsto in vrednost:

   Vrsta	Vrednost	Od kod prehod to ve
   Netz (Omrežje)	omrežje, na primer 10.0.0.0/8, ali ime enega od omrežij, določenih v prehodu	iz naslova zahteve
   Person (Oseba)	oseba s seznama	iz osebnega ključa, računa Windows ali prijave SQL osebe
   Windows-Gruppe (Skupina Windows)	ime ali SID	samo pri prijavi z računom Windows
   Land (Država)	država s seznama	ugotovljeno: izpeljano iz naslova; VPN ali mobilno omrežje jo lahko spremeni
   Netzbetreiber (Upravljavec omrežja)	avtonomni sistem, na primer AS3320; seznam ponudi ponudnike, ki so zapisani v dnevniku prijav	ugotovljeno: izpeljano iz naslova
   Programm (Program)	na primer Power Query, WinHTTP, Browser, PowerShell	navedeno: ime sporoči program sam in je lahko katero koli
   Zeitfenster (Časovno okno)	dnevi in čas od–do, na primer pon.–pet. 06.00–20.00	ura prehoda v njegovem časovnem pasu, ne UTC

   Znotraj ene vrste zadostuje ena vrednost, med različnimi vrstami pa morajo biti izpolnjene vse. Če pod Gilt nur für ni nobenega pogoja, pravilo velja za vsako zahtevo. Aplikacija vrednost preveri, preden jo prevzame, na primer kodo države s seznamom.

4. Če pravilo v nekaterih primerih določen čas ne sme veljati, izberite Neue Ausnahme … (Nova izjema …) in vnesite opombo, konec v UTC ali Ohne Ende (Brez konca) ter pogoje. Izjema izvzame samo zahteve, pri katerih so hkrati izpolnjeni vsi njeni pogoji, na primer „Marko Horvat iz Tajske do 2. novembra“. Potrebuje vsaj en pogoj ali konec. Potekla izjema nikogar več ne izvzame in ostane shranjena, dokler je ne odstranite.
5. Pod Was die Regel tut (Kaj pravilo naredi) preberite povzetek pravila z besedami. Če bi pravilo lahko zavrnilo vašo lastno prijavo v upravljanje, se nad gumbi prikaže rdeče opozorilo.

6. Izberite Speichern (Shrani). Aplikacija pravilo z vsemi pogoji in izjemami shrani v enem koraku.

   Novo pravilo je najprej v načinu Erst erproben (Najprej preizkusi): prehod ga oceni pri vsaki prijavi, vendar na odločitev ne vpliva.

7. Na zavihku Erprobung (Preizkus) za vsako pravilo in različico preverite, koliko prijav bi zadelo, od koliko oseb in izvorov ter koliko bi jih izjema izvzela. Posamezne prijave so v področju Anmeldungen (Prijave) na zavihku Ereignisse (Dogodki) označene z „nur Probe“ (samo preizkus).
8. Če je rezultat ustrezen, pravilo označite na zavihku Erprobung in izberite Weitere > Erprobte Regel durchsetzen … (Uveljavi preizkušeno pravilo …) ali pa pravilo odprite in Modus nastavite na Durchsetzen (Uveljavi). Zavrnitev, ki zadeva tudi upravljanje, aplikacija uveljavi šele po potrditvi.

Rezultat: Uveljavljeno pravilo velja od naslednje prijave. Drevo pod pravilom prikazuje njegove pogoje („Nur für …“, samo za; „Nicht für …“, ne za) in izjeme s koncem; pravilo v preizkusu je označeno z „(Probe)“ (preizkus).

Primeri

• Neznan izvor velja kot „povsod“. Če izvora zahteve ni mogoče ugotoviti, zanjo velja vsako pravilo. Če je pred prehodom posredniški strežnik (proxy), mora biti vpisan v konfiguraciji kot zaupanja vreden (Security:TrustedProxies), sicer prehod vidi samo naslov posredniškega strežnika.
• Država in upravljavec omrežja sta namig, ne dokaz. VPN, posredniški strežnik ali mobilno omrežje lahko izvor spremeni. Zahteva, pri kateri države ali upravljavca omrežja ni mogoče ugotoviti, in zahteva brez navedbe programa spadata v obseg pravila in ne izpolnita pogojev nobene izjeme. Lastna in zasebna omrežja nimajo ne države ne upravljavca omrežja, zato omrežje podjetja izvzemite z vrsto Netz (Omrežje), ne z državo.
• Program kot edini pogoj izjeme izvzame vsakogar, ki sporoči to ime. Povežite ga z osebami, omrežji ali koncem; aplikacija vas na to opozori.
• Ključi storitev ne morejo uporabljati 2FA, zato je zanje dovoljen samo učinek Deny.
• Programi brez pogovornega okna (Excel, Power BI) kode ne morejo vnesti. Zanje so na voljo samo ključi za branje z možnostjo Ohne zweiten Faktor (Brez 2FA); glejte Ustvarjanje osebe in izdaja ključa.
• Ne zaklenite se. Pravilo Deny za Admin izključi tudi vas. Novo pravilo najprej preizkusite in ga preverite z drugo prijavo, preden se odjavite. Postopek za zasilni dostop opisuje stran Ponovna pridobitev dostopa, ko je skrbništvo zaklenjeno (dokumentacija podatkovnega prehoda).
• Pravila iz datoteke (zavihek Regeln aus der Datei (Pravila iz datoteke)): Če so v konfiguracijski datoteki prehoda še pravila prijave (Gateway:Security:SignInRules), jih stran prikaže na tem zavihku. Ne veljajo: s skrbniško shrambo veljajo samo pravila na zavihku Anmelderegeln (Pravila prijave); vnosi v datoteki so služili le kot začetna vrednost, prehod pa ob zagonu opozori nanje. Odstranite jih iz datoteke na strežniku; nato zavihek izgine.

• Nastavitve (zavihek Einstellungen (Nastavitve)): Vsaka nastavitev ima svoje polje z enoto in vrstico z opisom učinka. Prazno polje pomeni, da velja vrednost iz konfiguracije prehoda. Spremenite polja in izberite Speichern (Shrani); Verwerfen (Zavrzi) znova prikaže shranjene vrednosti. Vrednost zunaj dovoljenega obsega prehod zavrne.

  Polje (ime v prehodu)	Pomen	Privzeto, obseg
  Gültigkeit einer Anmeldung mit Code (Veljavnost prijave s kodo) (totp_session_hours)	kako dolgo velja seja po sprejeti kodi	10 ur, od 1 do 168
  Frist zum Einrichten des zweiten Faktors (Rok za nastavitev 2FA) (totp_enrol_hours)	koliko časa po izdaji ključa si oseba lahko sama nastavi 2FA; glejte Nastavitev ali ponastavitev 2FA	24 ur, 0 = nikoli
  Name der Installation (Ime namestitve) (installation_name)	ime, pod katerim aplikacije za preverjanje pristnosti prikazujejo vnos za 2FA; glejte Sprememba imena namestitve	ime iz namestitve
  Laufzeit selbst ausgestellter Schlüssel (Veljavnost sami izdanih ključev) (self_service_key_days)	osebam dovoli, da si same izdajo ključe, in določi njihovo veljavnost v dneh	0 = izklopljeno
  Gültigkeit eines Einmal-Links (Veljavnost enkratne povezave) (mail_link_hours)	veljavnost enkratne povezave, poslane po e-pošti; glejte Pošiljanje povabila po e-pošti	72 ur, od 1 do 720
  Höchstdauer einer Freischaltung (Najdaljša aktivacija) (max_activation_hours)	najdaljša aktivacija ključa na zahtevo; glejte Izdaja predstavitvenega ključa in zamenjava izgubljenega ključa	12 ur

  Vrednosti in meje določa prehod (HTTP: skrbništvo, množica Settings (dokumentacija podatkovnega prehoda)).

• Nastavitev ali ponastavitev 2FA
• Nastavitev dostopa osebe glede na lokacijo
• Referenčni priročnik: HTTP: prijava, razdelek „Pravilnik prijave in 2FA“ (dokumentacija podatkovnega prehoda)