Was hat sich geändert

Jede Inhaltsänderung wird versioniert. Wählen Sie eine Version, um sie mit der vorherigen zu vergleichen.

Version 8 → 9

Aktualisierung

Neues Modul zum Genehmigungsentwurf: wo Genehmigung konfiguriert wird, wie Fenster und Genehmigerzahl funktionieren, sowie Genehmigungen für Lieferanten, externe Benutzer und Skriptläufe. Das Modul enthält jetzt Diagramme und am Ende eine Liste, was zuerst zu prüfen ist.

2 Lektionen aktualisiertDauer

Inhaltliche Aktualisierung. Eingeschriebene Lernende wurden benachrichtigt.

Dauer von 20 auf 21 Minuten geändert.

Wo Genehmigung konfiguriert wird und wie das Fenster zählt

"Setzen Sie eine Genehmigung davor" kann in Monopam drei verschiedene Einstellungen meinen. Sie liegen an verschiedenen Orten und verhalten sich unterschiedlich, der erste Entwurfsschritt ist also zu benennen, welche Sie brauchen. | Sie wollen eine Genehmigung, bevor | Konfigurieren Sie | Fenster für den Anfragenden | | --- | --- | --- | | Jemand sich mit einer Ressource verbindet | `Approvement` auf dem Tab `Advanced` der Ressourceneinstellungen, mit den Genehmigern | Eine einfache Verbindungsanfrage erhält feste 8 Stunden ab jetzt, und diese Länge lässt sich an der Ressource nicht ändern. ~~Die~~Ein anderes Fenster läuft über die Option `Scheduled` im Verbindungsfenster, die nur ~~sichtbar~~erscheint, wenn die Ressource eine Genehmigung verlangt~~, lässt~~. Die Anfrage hat dann den ~~Anfragenden stattdessen ein gewähltes Fenster beantragen~~Typ `Scheduled Connection`, und ihr Detail zeigt die `Requested Access Period` | | Jemand ein geschütztes Vault-Feld anzeigt | Genehmigung auf `Required` im Workflow der Vault Access Policy | Die in der Anfrage gewünschte Dauer | | Ein bestimmter Shell-Befehl läuft | Eine Regel für privilegierte Befehle mit dem Verhalten `Requires Approval` | Ein Lauf genau dieser Befehlszeile innerhalb von 60 Minuten | ::diagram pam-approval-places Ein Dienstleister, der zwei genehmigte Stunden auf einem Server braucht, ist also eine Ressource mit eingeschaltetem `Approvement` plus eine `Scheduled`-Anfrage für diese zwei Stunden. Schließt das Fenster, endet der Zugriff von selbst. Niemand muss daran denken, ihn zu entfernen. ### Was eine späte Genehmigung mit dem Fenster macht Eine Richtliniengenehmigung hat einen Dauertyp. Er bestimmt, was geschieht, wenn der Genehmiger langsamer ist als erhofft. | Typ | Regel | Anfrage für 14:00 bis 16:00, genehmigt um 15:15 | | --- | --- | --- | | `OnRequest` | Das Fenster verschiebt sich auf den Genehmigungszeitpunkt und behält seine Länge | 15:15 bis 17:15 | | `OnSchedule` | Das Fenster bleibt genau dort, wo der Anfragende es gesetzt hat | 15:15 bis 16:00. Die Verzögerung ist verloren | Nutzen Sie `OnSchedule`, wenn der Zeitpunkt selbst zählt, etwa ein mit dem Fachbereich vereinbartes Änderungsfenster. Nutzen Sie `OnRequest`, wenn die Person einfach eine bestimmte Arbeitszeit braucht. ### Wie viele Genehmiger Ein Approval-Element nennt Genehmiger und legt fest, wie viele nötig sind. | Einstellung | Bedeutung | | --- | --- | | `RequireAll` | Jeder benannte Genehmiger muss zustimmen | | `MinimumApprovalCount` | Beliebige N der benannten Genehmiger genügen | | `RequireBySelf` | Der Anfragende wird als Genehmiger ergänzt, und die nötige Zahl steigt um eins | Sechs benannte Personen mit `MinimumApprovalCount` 3 bedeutet: beliebige drei der sechs. Mit `RequireBySelf` braucht die Anfrage vier Genehmigungen: die eigene Bestätigung des Anfragenden und drei weitere. `RequireBySelf` ist als bewusster Schritt "ich bestätige, dass ich das beantrage" nützlich, nicht als Mittel, die Zahl unabhängiger Genehmiger zu senken. Eine Anfrage ohne benannten Genehmiger verschwindet nicht. Sie zeigt das Badge `No approver`, und ein Super-Administrator kann entscheiden. Behandeln Sie das Badge dennoch als Konfigurationsfehler, der zu beheben ist. ### Deny oder Genehmigung für einen Befehl? Beide Verhalten stoppen eine Befehlszeile, bevor sie die Shell erreicht. Wählen Sie nach der Frage, ob der Befehl je legitim ist. - Aus einer vermittelten Sitzung nie legitim: `Deny`. - Legitim, aber selten und folgenreich, etwa der Neustart eines produktiven Datenbankhosts: `Requires Approval`. Eine zweite Person bezeugt jeden Lauf. - Routine: keines von beiden. Jede Genehmigung kostet Aufmerksamkeit, und Genehmiger, die fünfzigmal am Tag gefragt werden, lesen nicht mehr. ### Was dauerhafte Privilegien wirklich verringert Aufzeichnung und Rotation sind wertvoll, doch mit ihnen besteht der Zugriff weiterhin ständig. Ein Privileg ist erst dann nicht mehr "dauerhaft", wenn es standardmäßig fehlt: eine Freigabe, die von selbst endet, wenn ihr Fenster schließt, oder ein Genehmigungsschritt, der jedes Mal zwischen einer Person und einem Geheimnis steht. Fragt jemand, welche Kontrollen dauerhafte Privilegien verringern, sind das die zwei zu nennenden Arten. > Tipp: Beklagt ein Anfragender, das genehmigte Fenster sei kürzer als beantragt, sehen Sie zuerst auf den Dauertyp. Bei `OnSchedule` zehrt eine späte Genehmigung absichtlich am Fenster.

Genehmigungen für Lieferanten, externe Benutzer und Skriptläufe

Bei Dritten zahlt sich Just-in-Time-Zugriff am meisten aus. Begleiten wir eine Dienstleisterin, Deniz von einem Wartungslieferanten, durch das ganze Leben ihres Zugriffs. ::diagram pam-vendor-access ### 1. Die Einladung ist selbst eine Anfrage Ein Super-Admin nutzt `Invite External User`. Das legt kein Konto an. Es erzeugt eine Genehmigungsanfrage. - Genehmiger sind die Super-Admins **außer dem Anfragenden**. Nur wenn es einen einzigen Super-Admin gibt, genehmigt diese Person ihre eigene Anfrage. - Je E-Mail-Adresse kann es eine offene Einladung geben. Eine zweite für dieselbe Adresse wird abgelehnt, solange die erste aussteht. - Nach der Genehmigung erhält Deniz eine Registrierungs-E-Mail und wird externe Benutzerin mit Ablaufdatum. Eine genehmigte Einladung lässt sich über `Requests` nicht zurücknehmen, denn die E-Mail ist bereits versandt. War die Genehmigung ein Fehler, beenden Sie den Zugriff dort, wo das Konto lebt: `Deactivate` auf der Seite `Users`, oder Sie lassen es ablaufen. ### 2. Ablauf und `Extend Access` Endet der Zugriffszeitraum, wird das Konto deaktiviert. `Extend Access` setzt ein neues Enddatum und reaktiviert ein Konto, das **durch Ablauf** deaktiviert wurde. Ein Konto, das ein Administrator absichtlich deaktiviert hat und das nicht abgelaufen war, reaktiviert es nicht. Ein neues Datum überstimmt nie eine bewusste Entscheidung. ### 3. Die Leitplanken des Lieferanten Deniz' Konto gehört zu einer Lieferantenorganisation, und der Lieferant trägt Einstellungen, die für alle seine Benutzer gelten. | Lieferanteneinstellung | Wirkung | Achtung | | --- | --- | --- | | `Require approval for every connection (JIT)` | Jede Verbindung der Lieferantenbenutzer braucht eine Genehmigung, auf jeder Ressource | Bei einer Ressource ohne eigenen Genehmigungsablauf geht die Anfrage an jeden Super-Admin. Sorgen Sie dafür, dass sie damit rechnen | | `Allowed Sites` | Die Benutzer des Lieferanten dürfen sich nur mit Ressourcen der gewählten Sites verbinden | Eine Ressource ohne Site gilt als **außerhalb**. Der Benutzer sieht "This resource's site is not allowed for your vendor organization.", auch mit gültiger Richtlinie | Die Lösung im zweiten Fall ist, die Ressource der richtigen Site zuzuweisen, nicht den Lieferanten zu lockern. Eine Richtlinie entscheidet, was ein Benutzer erreichen darf. `Allowed Sites` ist eine getrennte Prüfung beim Anlegen der Sitzung und erneut beim Verbinden. ### 4. Skripte auf vielen Servern Die Script Library hat zwei optionale Schranken. **Publish Approval** heißt, dass eine neue Skriptversion einen Genehmiger braucht, bevor sie überhaupt laufen kann. **Run Approval** heißt, dass eine Laufanfrage einen Genehmiger braucht. Eine Laufanfrage kann viele Ressourcen umfassen und wird einmal für den ganzen Stapel genehmigt, nicht einmal je Server. Genehmiger sollten die Zielliste daher so sorgfältig lesen wie das Skript. ### 5. Wenn der Zugriff früher endet als genehmigt Meldet ein Benutzer, dass eine genehmigte Freigabe vor ihrem Ende nicht mehr funktioniert, gibt es zwei übliche Ursachen. | Prüfung | Bedeutung | | --- | --- | | Der Status der Anfrage ist `Cancelled` | Jemand hat die Freigabe widerrufen | | Die Freigabe gilt für Datenbankabfragen und die Anfrage ist nicht storniert | Eine solche Freigabe kann ein Nutzungslimit tragen. Vergleichen Sie die genutzte Anzahl mit dem Limit: Sind die erlaubten Läufe verbraucht, ist die Freigabe vorbei, auch wenn die Uhr noch läuft | ### Was zuerst zu prüfen ist, wenn sich ein Lieferantenbenutzer nicht verbinden kann 1. Ist das Konto aktiv? Ein abgelaufenes Konto ist deaktiviert, und `Extend Access` holt es zurück. Ein absichtlich deaktiviertes Konto bleibt deaktiviert. 2. Liegt die Ressource in einer der `Allowed Sites` des Lieferanten? Eine Ressource ohne Site gilt als außerhalb. 3. Wartet eine Anfrage? Mit `Require approval for every connection (JIT)` braucht jede Verbindung eine Genehmigung, und bei einer Ressource ohne eigenen Genehmigungsablauf wartet die Anfrage auf die Super-Admins.