Stopnjevanje dostopa glede na lokacijo

Ista oseba dela v pisarni, od doma brez VPN, pri stranki in na poti. S pravilnikom prijave v omrežju podjetja za dostop do podatkov zadošča običajna prijava, od zunaj pa je potrebna še koda 2FA (dvostopenjsko preverjanje identitete), brez dodatne konfiguracije odjemalca in brez dodatnega programa. Za skrbništvo je koda potrebna vedno, tudi v pisarni.

Prehod lokacije razlikuje le po izvoru zahteve (omrežni naslov oziroma naslov, ki ga posreduje zaupanja vreden posredniški strežnik) in po postopku prijave; pravilnik prijave povezuje oboje. Z vseh lokacij je prehod dosegljiv prek HTTPS; nešifrirana vrata HTTP odgovarjajo le na samem strežniku (glejte Nastavitev protokola HTTPS in potrdila).

Zakaj skrbništvo vedno zahteva kodo. V skrbništvu je mogoče spreminjati osebe, ključe in pravila, torej vse druge dostope. Zato zanj velja fiksna spodnja meja Gateway:Store:RequireAdminTotp (privzeto true): koda je potrebna pri vsakem postopku prijave in z vsakega izvora. Izjema za omrežje podjetja v pravilu prijave tega ne spremeni. Spodnjo mejo je mogoče izklopiti le v konfiguracijski datoteki strežnika (glejte Konfiguracija); tega ne priporočamo.

1. Nastavite HTTPS s potrdilom, ki mu odjemalci zaupajo; glejte Nastavitev protokola HTTPS in potrdila. Če je pred prehodom posredniški strežnik, ga vpišite kot zaupanja vrednega; sicer bi vsak klicatelj z naslovom posredniškega strežnika veljal za „notranjega“.

2. Najprej naj vsaka oseba, ki bo delala od zunaj, nastavi svoj 2FA; glejte „Nastavitev ali ponastavitev 2FA“ (dokumentacija aplikacije za upravljanje).

   Upoštevajte vrstni red. Če koda za dostop do podatkov (3. korak) postane obvezna, preden ima oseba nastavljen 2FA, jo prehod od zunaj zavrne z 403, takoj ko poteče njen rok za nastavitev (TotpEnrolHours, privzeto 24 ur). V omrežju podjetja lahko dela naprej.

3. V aplikaciji za upravljanje odprite Anmelderichtlinie (pravilnik prijave), zavihek Anmelderegeln (pravila prijave), in ustvarite pravilo za dostop do podatkov z omrežjem podjetja kot izjemo (except_from, tukaj 10.0.0.0/8); glejte „Določanje pravilnika za prijavo“ (dokumentacija aplikacije za upravljanje):

   Pravilo	Področje	Postopek	Učinek	Izjema
   Podatki z osebnim ključem od zunaj le s kodo	Data	PersonalKey	RequireTotp	10.0.0.0/8
   Prijave SQL Server le v omrežju podjetja (neobvezno)	All	SqlLogin	Deny	10.0.0.0/8

   Pravilo „Verwaltung nur mit zweitem Faktor“ (skrbništvo samo z 2FA; področje Admin), ki ga vsebuje vsaka nova shramba, pustite nespremenjeno; spodnja meja tam kodo tako ali tako zahteva.

4. Za predstavitev pri stranki izdajte poseben ključ, namesto da bi uporabili osebnega: samo za branje in izvzet iz 2FA. V aplikaciji za upravljanje je to ključ „Präsentation“ (predstavitev) na zahtevo, ki se omogoči le za ure termina (glejte „Nastavitev dostopa osebe glede na lokacijo“ (dokumentacija aplikacije za upravljanje)). Prek vmesnika je mogoč tudi ključ, ki je omejen na eno podatkovno zbirko in ob koncu dneva poteče:

   POST /admin/v1/issue-key
   Content-Type: application/json
    
   { "person": "Vertrieb Präsentation", "label": "Power BI beim Kunden", "readOnly": true,
     "totpExempt": true, "databases": [ "fachdaten" ], "expiresAt": "2026-10-08T18:00:00Z",
     "delivery": "link" }

5. Po želji dostop do podatkov omejite na države, na primer „samo Nemčija“. Za to potrebujete naloženo geolokacijsko zbirko (glejte Preverjanje vzorcev prijav in njihovega izvora). Omrežje podjetja izvzemite z njegovimi naslovi, ker zahteva od tam nima države, pravilo in izjeme pa ustvarite v enem koraku:

   POST /admin/v1/save-sign-in-rule
   Content-Type: application/json
    
   { "scope": "Data", "effect": "Deny", "label": "samo Nemčija",
     "exceptCountries": [ "DE" ], "exceptFrom": [ "10.0.0.0/8" ],
     "exceptions": [ { "persons": [ "Frank Mustermann" ], "countries": [ "TH" ],
                       "until": "2026-11-02T00:00:00Z", "label": "dopust" } ] }

   Izjema Franku Mustermannu do 2. novembra dovoli dostop tudi s Tajske in nato sama poteče. Kaj velja zanj na Tajskem, pokaže explain-sign-in z izvorom { "name": "Tajska", "address": null, "country": "TH" }; podrobnosti so v razdelku Časovno omejene izjeme.

6. Preverite od zunaj (mobilno omrežje ali omrežje zunaj izjeme): dostop do podatkov z osebnim ključem zahteva kodo, v pisarni ne. V aplikaciji za upravljanje stran Anmeldung und Rechte (prijava in pravice) osebe prikaže isto za vsak izvor, ne da bi se morala oseba prijaviti.

Razveljavitev. Če pravilo zaklene osebe, ki jih ni smelo, ga v aplikaciji za upravljanje izklopite. Če je prizadeto tudi skrbništvo, ukaz remove-sign-in-rule pravilo odstrani na strežniku (glejte Ukazi na strežniku).

• Neznan izvor zajame vsako pravilo: zahteva, katere izvora prehod ne more ugotoviti, torej ne velja za „notranjo“.
• Država je le ocena. VPN, posredniški strežnik ali mobilno omrežje lahko izvor premakne v drugo državo. Pravilo po državi dopolnjuje ključe, omrežja in 2FA, ne nadomešča jih. Država, ki je ni mogoče ugotoviti, ne velja za „Nemčijo“.
• Po predstavitvi ključ za poročila zaklenite ali počakajte, da poteče.
• Na vlaku prijava v aplikacijo za upravljanje traja dlje, predvsem ker aplikacija ob tem poveže svoje množice. Prekinjene zahteve gonilnik samodejno ponovi.

• „Nastavitev dostopa osebe glede na lokacijo“ (dokumentacija aplikacije za upravljanje) – isto v aplikaciji za upravljanje, v osmih korakih
• HTTP: pravilnik prijave in 2FA