Managed Service mit privilegiertem Zugriff erbringen

Was hat sich geändert

Jede Inhaltsänderung wird versioniert. Wählen Sie eine Version, um sie mit der vorherigen zu vergleichen.

Version 1 → 2

Kleine Korrektur

2 Lektionen aktualisiert

Kleine Korrekturen wie Tipp- oder Übersetzungsfehler. Lernende werden nicht benachrichtigt.

Ihre Konten beim Kunden, ohne das Passwort

Provider arbeiten beim Kunden oft mit einem eigenen Konto: einem verwalteten Administratorkonto, einem Monitoring-Konto. Es in jedem Tenant neu anzulegen bedeutet viele Kopien eines Passworts, die bei der ersten Rotation auseinanderlaufen. Ein **geteilter Vault-Eintrag** vermeidet das. ### So funktioniert es Öffnen Sie im Haupt-Tenant den Vault-Eintrag und wählen Sie **Share to Tenants** (oder **Share Vault Item** im Reiter **Shared Vault Items** des Tenants). Der Kunden-Tenant erhält einen schreibgeschützten Vault-Eintrag gleichen Namens, markiert als `Shared from provider`. Das Geheimnis wird **nicht kopiert**: Jede Nutzung liest es in diesem Moment aus dem Haupt-Tenant. Ein im Haupt-Tenant rotiertes Passwort ist sofort in jedem Tenant aktuell. ### Zwei Nutzungsmodi - `Sessions only` (Standard): Der Eintrag öffnet Sitzungen. Sein Geheimnis wird nicht angezeigt, nicht über die Vault-API exportiert und nicht in Skript-Token eingesetzt. - `Sessions and reveal`: Die eigenen Vault-Richtlinien des Tenants entscheiden, wer es anzeigen darf. Nur verwenden, wenn der Tenant den Wert selbst braucht. Der Tenant weist den geteilten Eintrag wie jeden anderen Vault-Eintrag Ressourcen, Spaces und Richtlinien zu. Bearbeiten oder rotieren kann er ihn nicht. ### Eine Freigabe beenden Aussetzen, fortsetzen oder widerrufen Sie im Haupt-Tenant. Eine ausgesetzte, widerrufene oder abgelaufene Freigabe funktioniert für neue Sitzungen in diesem Tenant sofort nicht mehr. **Revoke** entfernt zudem den Vault-Eintrag des Tenants samt Zuweisungen; erneutes Teilen erzeugt einen neuen Eintrag, der neu zugewiesen werden muss. ::diagram msp-shared-vault-item ### Grenzen - Nicht geteilt werden: persönliche Vault-Einträge, selbst geteilte Einträge und die Typen `OTP`, `Single Sign-On`, `Ephemeral`, `Pool` und `Kubernetes Token`. - Der Benutzername eines geteilten Eintrags bleibt für Tenant-Benutzer sichtbar, die den Eintrag sehen dürfen. - Bei einem Remote-Tenant funktioniert ein geteilter Eintrag nur, solange die Verbindung zum Provider steht. > Tipp: Geben Sie jeder Freigabe einen `Reason` und bei Projektarbeit ein Datum unter `Share ends`.

Nachweise für Sie und den Kunden

Ein Managed Service wird daran gemessen, was er belegen kann. Monopam schreibt die Arbeit des Providers in das Audit-Protokoll **beider** Seiten, sodass keine auf das Wort der anderen angewiesen ist. ### Was aufgezeichnet wird | Ereignis | Wo | | --- | --- | | `Provider Access Granted`, `Provider Access Changed`, `Provider Access Revoked` | Haupt-Tenant | | `Provider Session Started` | Haupt-Tenant und Kunden-Tenant | | `Provider Session Rejected`, mit `Reason` | Kunden-Tenant | | `Credential Shared`, `Credential Share Changed` | Haupt-Tenant und Kunden-Tenant | Anfragen und Genehmigungen gehören zur selben Spur: die Anfrage, dann die Genehmigung oder Ablehnung, mit dem Anfragenden. ::diagram msp-evidence-both-sides ### Wer es war Jeder Audit-Eintrag aus einer delegierten Sitzung trägt die Akteurdetails `Provider Session`, `Provider Role` und `Grant Id`. Eine Aktion im Kunden-Tenant lässt sich so auf eine benannte Person des Providers, ihre damalige Rolle und die erlaubende Freigabe zurückführen. In der Liste `Users` des Tenants tragen Provider-Mitarbeiter das Badge `Provider`. ### Nutzung geteilter Vault-Einträge Jede Nutzung eines geteilten Vault-Eintrags wird im Haupt-Tenant protokolliert, höchstens ein Eintrag pro Minute und Freigabe. ### Sitzungen und Aufzeichnungen Was in einer Sitzung geschieht, wird wie bei jeder Monopam-Sitzung aufgezeichnet; der Kurs zum Sitzungsmanagement behandelt Aufzeichnung, Live-Sitzungen und Sitzungsnotizen. Diese Lektion ergänzt die Antwort auf die Frage, die ein Kunde zuerst stellt: Wer vom Provider war drin, und auf wessen Entscheidung. > Tipp: Beginnen Sie eine Service-Review mit **System → Provider Access** für die Liste der Freigaben und nutzen Sie dann die Audits des Kunden-Tenants für die Eintritte des Zeitraums.