Privater Anwendungszugriff
Verwalten Sie private Endpunkte, Agenten, Geräte- und Netzwerkrichtlinien, Workload-Identitäten, Sitzungen und Auditnachweise.
- Voraussetzungen prüfenPrüfen Sie Aktivierung der Plattform, Mandantenprofil und separat bereitgestellten registrierten Agenten.
- Endpunkt registrierenBinden Sie das genaue HTTPS-Ziel an Mandant, Anwendung, Agent und Profil und reichen Sie es zur Freigabe ein.
- Zugriff zuweisenBeantragen Sie befristeten Zugriff und prüfen Sie Netzwerk-, Geräte- und Identitätsrichtlinie.
- ÜberwachenPrüfen Sie Agenten-Lease, Zertifikat, Endpunktzustand, Entscheidungen und Sitzungen.
- WiderrufenWiderrufen Sie offengelegten Endpunkt, Zugang, Workload-Token oder Zuweisung und bestätigen Sie den Status.
Grenzen und Einrichtung
Privater Zugriff bleibt deaktiviert, sofern die Plattform ihn nicht einschaltet. Der Dienst baut keine eingehenden Verbindungen zum Kundennetz auf, und das Repository enthält keinen Agenten. Ein Kundenagent fragt ausgehend über signiertes Mutual TLS ab; dieser Steuerkanal ist kein allgemeiner Proxy. Mandantenverwalter registrieren einen genau festgelegten HTTPS-Endpunkt. Vor der Zustellung ist eine unabhängige God-Freigabe erforderlich.
- Prüfen Sie Aktivierung, Mandantenanwendung, Profil und registrierten Agenten.
- Tragen Sie genaues HTTPS-Ziel und erlaubte Pfade ein; geben Sie keine Zugangsdaten an.
- Reichen Sie den Endpunkt zur Freigabe ein und warten Sie auf den Status „freigegeben“.
Agenten, Zertifikate und Geräte
Für die Agentenregistrierung werden einmaliger Bootstrap, kundenseitiger privater Schlüssel, kurzlebiges Zertifikat und signierte Anfragen verwendet. Der Schlüssel wird nicht hochgeladen. Rotation und Widerruf sind getrennt; ein Widerruf macht alle Agentenzertifikate ungültig. Gerätezustand ist ein Assurance-Signal, kein Gesundheitsnachweis. Prüfen Sie Aktualität der Nachweise, bevor Sie sie in Richtlinien auswerten.
- Erstellen Sie die Registrierung für den vorgesehenen Mandantenconnector und schützen Sie das einmalige Token.
- Erzeugen Sie den Schlüssel lokal und bestätigen Sie einen registrierten, kompatiblen Agentenstatus.
- Rotieren Sie vor Ablauf; widerrufen Sie kompromittierte Agenten oder veraltete Gerätezertifikate.
Netzwerkzonen und Richtlinien
Richtlinien können Mandant, Anwendung, Rolle, Ressource, Gerätesicherheit, Authentifizierungsstärke, Sitzungsalter und Netzwerksignale berücksichtigen. Eine Nur-Bericht-Richtlinie zeigt die mögliche Entscheidung, blockiert aber keinen Zugriff. Richtlinien sind versioniert; prüfen Sie sie vor Veröffentlichung in der Vorschau. Diagnosen und Netzwerksignale allein gewähren keinen Zugriff.
- Prüfen Sie Mandanten- und Anwendungsumfang, Signale, Priorität und Durchsetzungsmodus.
- Zeigen Sie eine repräsentative Anfrage in der Vorschau an und vergleichen Sie die erwartete Entscheidung.
- Prüfen Sie nach Veröffentlichung die echte Entscheidung; korrigieren Sie den Umfang statt Assurance-Prüfungen abzuschalten.
Zuweisungen, Sitzungen und Trennung
Zuweisungen gelten für Nutzer, Gruppen oder Pakete und können Freigabe und Ablauf verlangen. Nutzer trennen eigene Sitzungen; Mandantenverwalter beenden Sitzungen ihrer Anwendung. Die nur God erlaubte Notfalltrennung der Anwendung erfordert aktuelle phishingresistente Step-up-Prüfung und widerruft App-Sitzungen, Endpunkte, hinterlegte Legacy-Zugangsdaten und Tokenfamilien. Sie widerruft keinen Agenten, den weitere Anwendungen nutzen, und löscht kein Upstream-Cookie.
- Beantragen Sie die genaue Anwendungszuweisung und prüfen Sie die Freigabe vor Verwendung.
- Bestätigen Sie vor dem Beenden einer Sitzung Nutzer und Anwendung im Inventar.
- Schließen Sie bei Notfalltrennung die echte Step-up-Prüfung ab und kontrollieren Sie Widerruf und Audit.
Workload-Identitäten und Geheimnisse
Workload-Identitäten haben Eigentümer, Vertrauensbeziehungen, Zugangsdaten, Tokens, Paketzuteilungen, Prüfungen und Vorfälle. Lesen und Schreiben erfordern jeweils eigene Berechtigungen. Beantragen Sie nur nötige Vertrauens- oder Paketzugriffe und schließen Sie Eigentümer- oder unabhängige Freigabe ab. Widerrufen Sie offengelegte Tokens oder Zertifikate. Hinterlegen Sie keine Geheimnisse in Profildaten, Auditnotizen oder Exporten.
- Prüfen Sie Eigentümer, Mandant, Zugangsdaten und Prüfstatus der Identität.
- Beantragen Sie die konkrete Vertrauens- oder Paketzuteilung mit Zweck und nötiger Freigabe.
- Rotieren Sie Zugänge und widerrufen Sie offengelegte Tokens oder Zertifikate; bestätigen Sie den inaktiven Status.
Diagnosen, Audit und Aufbewahrung
Diagnosen zeigen begrenzte Ereignisse, kategorisierte Entscheidungen, Latenz, Agentenaktualität und Zertifikatsablauf. Anfrageinhalte, Zugangsdaten, Tokens, rohe IP-Adressen und User-Agents werden ausgelassen. Audit, Nachweispakete, Aufbewahrung, Sperren und Exporte sind getrennte berechtigungspflichtige Funktionen. Behandeln Sie Downloads als vertraulich. Verwaltungs-API-Kontrakt: /api/auth/management/openapi.json.
- Prüfen Sie Mandant und Anwendung, Agentenaktualität, Zustand und Ablehnungskategorie.
- Verwenden Sie für Untersuchungsnachweise Audit oder Nachweispakete und begrenzen Sie den Umfang.
- Prüfen Sie Rechte und Sperren vor Export oder Aufbewahrungsänderung und kontrollieren Sie den Audit-Eintrag.
Häufig gestellte Fragen
Macht die Endpunktregistrierung ihn sofort verfügbar?
Nein. Er bleibt ausstehend, bis unabhängige Freigabe und aktuelle Bindungsprüfungen erfolgreich sind.
Ist der Kundenagent enthalten?
Nein. Stellen Sie ihn separat bereit; die Registrierung belegt keinen funktionierenden Agentenlaufzeitprozess.
Kann der Agent jeden internen Host erreichen?
Nein. Er erhält ein genau freigegebenes Ziel und Pfadregel, keine beliebigen Ziele.
Widerruft das Beenden der Sitzung den Agenten?
Nein. Widerrufen Sie sein Zertifikat separat; die Sitzungsaktion hat engeren Umfang.
Löscht die Notfalltrennung Upstream-Cookies?
Nein. Upstream-Sitzungen hängen von Kundenconnector und Abmeldefunktion der Anwendung ab.
Kann ein gesundes Gerät eine Ablehnung überstimmen?
Nein. Maßgeblich bleibt die aktive Richtlinie von Mandant und Anwendung.