Dostop z zasebnih naprav

Zaposleni dela tudi na lastnem prenosniku, ki ni v domeni in ga podjetje ne upravlja. S te naprave naj dostopa le do podatkov, ki jih potrebuje na poti, in to s kodo iz aplikacije za preverjanje pristnosti. Dostop mora biti mogoče kadar koli preklicati ločeno, ne da bi to vplivalo na službeni računalnik.

Prehod zasebne naprave kot take ne prepozna (glejte Zero Trust in zasebne naprave). Razlikuje pa postopek prijave: službeni računalnik se prijavi z računom Windows, zasebna naprava z lastnim osebnim ključem. Ta ključ omejite na potrebno, pravilo prijave pa za osebne ključe zunaj omrežja podjetja zahteva 2FA (dvostopenjsko preverjanje identitete).

1. Nastavite 2FA za osebo, če tega še ni storila: ukaz enroll-totp skrbniškega vmesnika z "delivery": "link" ali "mail", ali pa ga oseba nastavi ob prvi prijavi.

2. Izdajte ključ z ukazom issue-key:

   { "person": "Erika Muster", "label": "Zasebni prenosnik", "expiresAt": "2027-03-31T00:00:00Z",
     "readOnly": true, "databases": [ "fachdaten" ], "delivery": "link" }

   Pravice izhajajo le iz pravil osebe; ključ jih omeji, nikoli pa ne razširi.

3. Ustvarite pravilo prijave z ukazom save-sign-in-rule, če še ne obstaja:

   { "scope": "Data", "method": "PersonalKey", "effect": "RequireTotp",
     "label": "Ključi od zunaj le s kodo", "exceptFrom": [ "10.0.0.0/8" ] }

   Pod exceptFrom vpišite omrežja podjetja. Prej preverite z ukazom explain-sign-in; glejte Preverjanje pravila pred uveljavitvijo.

4. Nastavitev na prenosniku: ključ vpišite v gonilnik ODBC (Access). Pred prvo poizvedbo gonilnik v pogovornem oknu zahteva kodo in sejo ohrani, dokler je program odprt. Excel in Power BI kode ne moreta zahtevati: zanju izdajte lasten ključ samo za branje, izvzet iz 2FA; glejte Ločevanje poročil in osveževanja.
5. Preverjanje: explain-sign-in za osebo z izvorom iz interneta za nov ključ prikaže code. Po prvi pravi prijavi je dogodek v SignInEvents z Method = personalKey in Outcome = totpSuccess; v PersonalKeys ključ prikazuje „nazadnje uporabljen“ z izvorom.

Rezultat: Prenosnik doseže le alias fachdaten, samo za branje, od zunaj le s kodo, dokler ključ ne poteče. Na službeni računalnik osebe to ne vpliva.

• Podatkov na prenosniku prehod ne nadzoruje. Prenesene podatke hranijo Excel, Power BI ali Access. Kjer to ni sprejemljivo, sprostite le poglede brez občutljivih stolpcev (glejte Omejitev zastopnikov na njihove stranke).
• En ključ na napravo. Če se prenosnik izgubi, prekličete le ta ključ; glejte Ukrepanje ob izgubljeni napravi.
• Omrežja na ključu (from) vežejo ključ na znana omrežja, na primer domače omrežje s stalnim naslovom. Za prenosnike na poti je to redko primerno.
• Samopostrežba: Osebe lahko ključe izdajo tudi same; taki ključi vedno potečejo, omrežij ali izvzetja iz 2FA pa zanje ni mogoče določiti (glejte HTTP: prijava).
• Poti po menijih aplikacije za upravljanje opisuje „Priročnik za skrbnike aplikacije WKL Database Gateway Manager“.

• Zero Trust in zasebne naprave
• Stopnjevanje dostopa glede na lokacijo
• HTTP: prijava