Bedingte Zugriffsrichtlinien

Bedingte Zugriffsrichtlinien berücksichtigen im Allgemeinen verschiedene Faktoren, um zu beurteilen, ob der Zugriff auf eine bestimmte Ressource oder einen bestimmten Dienst zugelassen oder verweigert wird. Durch deren Implementierung können Organisationen wirksam Sicherheitsmaßnahmen durchsetzen, die auf ihre individuellen Anforderungen und Bedürfnisse abgestimmt sind.

In einer Hochverfügbarkeits- oder Load-Balancing-Umgebung kann es bis zu 5 Minuten dauern, bis Änderungen an den bedingten Zugriffsrichtlinien vollständig angewendet werden.

1. Um die Bedingten Zugriffsrichtlinien von Devolutions Server in der Weboberfläche anzuzeigen, gehen Sie zu Administration – Configuration– Server Settings.

1. Klicken Sie unter Security auf Conditional Access Policies.

Anmeldung über die Weboberfläche konfigurieren

1. Wählen Sie Login im Dropdown-Menü Target aus und klicken Sie auf die Plus-Schaltfläche (Add).

1. Wählen Sie einen Richtliniennamen und eine Aktion aus den Menüs Action when matched und Action when not matched.

   • Continue: Zur nächsten Richtlinie wechseln. Wenn es die letzte Richtlinie ist, wird die Standardaktion angewendet.
   • Access Denied: Der Benutzerzugriff wird verweigert. Benutzer erhalten einen Fehler und können sich nicht anmelden.
   • Access Allowed: Der Benutzerzugriff wird zugelassen. Abhängig von der Konfiguration kann eine 2FA erforderlich sein.

1. Klicken Sie im Abschnitt Rules auf die Plus-Schaltfläche (Add).

1. Wählen Sie im Dropdown-Menü aus, ob die Regel für Folgendes gilt:

   • Authentication type
   • Time
   • IP Addresses
   • Geo IP
   • Users
   • Users Groups
   • Administrator

1. Klicken Sie auf Add, um das Fenster zu schließen.
2. Wählen Sie All oder Any unter Rules – Rule validation aus.

   • All: Alle Regeln müssen erfüllt sein, um fortzufahren.
   • Any: Der Benutzer kann sich anmelden, sobald eine Regel erfüllt ist.

1. Klicken Sie auf Is Active, um die Richtlinie zu aktivieren oder zu deaktivieren.

1. Klicken Sie auf Add, um die Richtlinie zu speichern.

Multifaktor-Authentifizierung über die Weboberfläche konfigurieren

Wählen Sie MFA im Dropdown-Menü Target aus.

1. Wählen Sie eine Default action when no policy matches zwischen den folgenden Optionen:

   • MFA Required: MFA wird für alle Benutzer erzwungen. Für alle Benutzer wird ein Standard-MFA-Typ festgelegt.
   • MFA Skipped: MFA wird nicht erzwungen.
   • MFA Optional per User: MFA wird individuell erzwungen. Der Administrator entscheidet, wer MFA verwendet und welches Produkt oder welche Technologie dabei zum Einsatz kommt. Wählen Sie diese Option, wenn nicht alle Benutzer für die Multifaktor-Authentifizierung eingerichtet sind.

Wenn die MFA-Verwendung auf MFA Optional per User eingestellt ist, muss die MFA-Methode in Administration – Users für jeden Benutzer konfiguriert werden. Bearbeiten oder fügen Sie einen Benutzer hinzu und gehen Sie dann zum Abschnitt Multifactor, um sie zu konfigurieren. Sie können für den Benutzer auch einen MFA-Typ festlegen, wenn dieser ein anderes Produkt als die Standardmethode verwendet. Siehe Multifactor (Edit User).

1. Wählen Sie zurück im Abschnitt Multifactor aus, an wen die Zurücksetzungs-E-Mail gesendet werden soll: an Administrator(s) oder an eine Specific email (in diesem Fall müssen Sie die E-Mail-Adresse im Feld Specific email angeben).
2. Aktivieren Sie die Kontrollkästchen neben den unterstützten Authentifikatoren, die Sie aktivieren möchten. Sie können so viele auswählen, wie erforderlich.

Die derzeit unterstützten Multifaktor-Authentifikatoren sind Authenticator (TOTP), Yubikey, Email, SMS, Duo und Radius. Sie müssen sie separat gemäß den daneben stehenden Anweisungen konfigurieren. Für die MFAs Email und SMS (ohne Twilio) müssen E-Mails zuvor in Devolutions Server konfiguriert werden.

1. Wählen Sie die Default-MFA unter den im vorherigen Schritt aktivierten aus.
2. Wählen Sie alternative Anmeldemöglichkeiten zwischen Email und Backup codes aus. Diese Optionen werden angeboten, wenn Benutzer keinen Zugriff auf ihre gewohnte Methode haben.

   
3. Klicken Sie auf Save.
4. Um eine Regel zu den Conditional Access Policies hinzuzufügen, gehen Sie zurück zu Administration – Configuration– Server Settings – Security – Conditional Access Policies.
5. Wählen Sie MFA im Dropdown-Menü Target aus und klicken Sie auf die Plus-Schaltfläche (Add).

1. Wählen Sie einen Richtliniennamen und eine Aktion aus den Menüs Action when matched und Action when not matched.

   • Continue: Zur nächsten Richtlinie wechseln. Wenn es die letzte Richtlinie ist, wird die Standardaktion angewendet.
   • MFA Required: MFA wird für alle Benutzer erzwungen. Für alle Benutzer wird ein Standard-MFA-Typ festgelegt.
   • MFA Skipped: MFA wird nicht erzwungen.
   • MFA Optional per User: MFA wird individuell erzwungen. Der Administrator entscheidet, wer MFA verwendet und welches Produkt oder welche Technologie dabei zum Einsatz kommt. Wählen Sie diese Option, wenn nicht alle Benutzer für die Multifaktor-Authentifizierung eingerichtet sind.

1. Klicken Sie im Abschnitt Rules auf die Plus-Schaltfläche (Add).

1. Wählen Sie im Dropdown-Menü aus, ob die Regel für Folgendes gilt:

   • Authentication type
   • Time
   • IP Addresses
   • Geo IP
   • Users
   • Users Groups
   • Administrator

     
2. Klicken Sie auf Add, um das Fenster zu schließen.
3. Wählen Sie All oder Any unter Rules – Rule validation aus.

All: Alle Regeln müssen erfüllt sein, um fortzufahren. Any: Der Benutzer kann sich anmelden, sobald eine Regel erfüllt ist.

1. Klicken Sie auf Is Active, um die Richtlinie zu aktivieren oder zu deaktivieren.

1. Klicken Sie auf Add, um die Richtlinie zu speichern.

Siehe auch

• Devolutions Academy – Enforce MFA for users from Devolutions Server web interface