Anwendungen und Zugriffsbereiche verwalten

Für Ping64 gilt: Anwendungen in der einheitlichen Identitätsverwaltung verwalten Anwendungseinträge, verknüpfen Authentifizierungsanbieter und legen Benutzerzugriffe fest. Dies ist getrennt von der Zero-Trust-Anwendungsveröffentlichung. Ein Eintrag oder eine Anbieterverknüpfung allein schließt die Single-Sign-on-Anbindung nicht ab und garantiert keine Anmeldung.

Die folgenden englischen Bedienelemente entsprechen der geprüften Oberfläche und werden deutsch erläutert.

Vorbereitung

• Prüfen Sie die Rechte zum Anzeigen, Erstellen und Bearbeiten von Anwendungen. Zum Löschen können zusätzliche Rechte erforderlich sein.
• Klären Sie mit den Anwendungsverantwortlichen Namen, internen Namen, Authentifizierungsanforderungen, Benutzer oder Gruppen, Anwendungskonfiguration und Netzwerk. Bereiten Sie einen passend konfigurierten Anbieter vor, der nicht bereits einer anderen Anwendung zugeordnet ist; siehe Authentifizierungsanbieter konfigurieren.
• Testen Sie zunächst mit autorisierten Konten und begrenztem Umfang. Bewerten und genehmigen Sie nach Organisationsvorgaben die Auswirkungen einer Zugriffserweiterung, Anbieteränderung oder Deaktivierung auf bestehende Benutzer und Abläufe.

Anwendung erstellen und prüfen

1. IAM > Applications & Access > Applications: Öffnen Sie in der Identitätsverwaltung die Anwendungsliste und wählen Sie Create (Erstellen).
2. Geben Sie Name und Internal Application Name (interner Anwendungsname) ein. Beide sind Pflichtfelder; der interne Name muss den Organisationsregeln entsprechen und darf nicht bereits verwendet werden.
3. Öffnen Sie Provider (Anbieter), wählen Sie einen geeigneten Authentifizierungsanbieter und bestätigen Sie. Richten Sie ihn vorher ein; ist er bereits einer anderen Anwendung zugeordnet, benötigen Sie einen verfügbaren Anbieter.
4. Wählen Sie bei Access mode (Zugriffsmodus) entweder Specific users/groups only (bestimmte Benutzer/Gruppen): Öffnen Sie Access Permissions (Zugriffsberechtigungen) und wählen Sie die berechtigten Benutzer oder ihre tatsächliche Gruppe aus und bestätigen Sie die Auswahl. Eine übergeordnete Gruppe umfasst nicht zwingend alle Untergruppen. Oder wählen Sie All users (alle Benutzer), nachdem Sie die erweiterte Reichweite und Sicherheitsanforderungen geprüft haben.
5. Prüfen Sie den Status, ergänzen Sie bei Bedarf eine Beschreibung, kontrollieren Sie Anbieter und Umfang und speichern Sie. Lesen Sie die Erfolgs- oder Fehlermeldung; die Rückkehr zur Liste allein beweist keinen Erfolg.
6. Öffnen Sie die Anwendung erneut und prüfen Sie Status, Anbieter und Umfang. Schließen Sie mit den Verantwortlichen die anwendungsseitige Authentifizierung und Integration ab und testen Sie berechtigte und unberechtigte Konten kontrolliert. Kontostatus, Anbieter, Anwendungskonfiguration und Netzwerk können das Ergebnis beeinflussen.

Moduswechsel: All users leert die ausgewählten Benutzer und Gruppen. Für eine Rückkehr zum eingeschränkten Modus müssen Sie die Auswahl erneut treffen, prüfen und speichern; die alte Liste bleibt nicht voraussetzungsgemäß erhalten.

Zugriff einschränken und bestehende Sitzungen: Das Entfernen einer Benutzerberechtigung, Ändern der Gruppenzugehörigkeit oder Einschränken des Anwendungszugriffs beendet bestehende Anwendungssitzungen nicht garantiert sofort. Die Sitzungsbehandlung kann je Anwendung unterschiedlich sein. Bewerten Sie vor der Änderung bestehende Sitzungen und geschäftliche Auswirkungen und testen Sie danach sowohl bestehende Sitzungen als auch eine erneute Anmeldung. Muss der Zugriff sofort unterbunden werden, stimmen Sie zusätzliche Maßnahmen gemäß dem Sicherheitsverfahren der Organisation mit den Anwendungsverantwortlichen ab und überprüfen Sie das Ergebnis. Erfolgreiches Speichern allein belegt keine Zugriffssperre.

Verzeichnisgruppen und Anwendungszugriff: Bei OIDC-Anwendungen prüft die gruppenbasierte Autorisierung die Verwaltungsgruppe des Benutzers in der Identitätsverwaltung; synchronisierte Verzeichnisgruppenmitgliedschaften werden dafür nicht direkt verwendet. Ein neu synchronisiert angelegter Benutzer hat zunächst keine Verwaltungsgruppe. Eine Verzeichnisgruppe zu synchronisieren und in der Anwendung auszuwählen, gewährt ihren Mitgliedern daher nicht automatisch Zugriff. Prüfen und setzen Sie für eine Gruppenfreigabe zunächst die Verwaltungsgruppe des Benutzers in der Benutzerverwaltung gemäß den Organisationsvorgaben und speichern Sie anschließend den angegebenen Zugriffsbereich der Anwendung. Alternativ können berechtigte Benutzer bei Bedarf direkt in der Anwendung ausgewählt werden. Bewerten Sie Änderungen vorab und testen Sie danach sowohl mit zugelassenen als auch mit nicht zugelassenen Konten.

Ändern und löschen

• Ändern: Öffnen oder bearbeiten Sie den Eintrag und ändern Sie bearbeitbare Angaben, Status, Anbieter oder Umfang. Öffnen Sie ihn nach dem Speichern erneut, prüfen Sie jedes Ergebnis und testen Sie die betreffenden Konten.
• Anbieterwechsel fehlgeschlagen: Grunddaten und Zugriffsbereich können bereits gespeichert sein, auch wenn der Anbieterwechsel fehlschlägt. Nehmen Sie keinen vollständigen Rollback an. Öffnen Sie die Anwendung erneut und prüfen Sie Anbieter, Status und Umfang einzeln; stellen Sie sie entsprechend dem tatsächlichen Ergebnis wieder her oder passen Sie sie an und prüfen Sie die Anmeldung.
• Löschen: Prüfen Sie Abhängigkeiten von Benutzern, Geschäftssystemen und Anbieter und bereiten Sie einen geprüften Migrations- oder Wiederherstellungsplan vor. Das Löschen beeinflusst Zugriffskonfiguration und zugehörige Anbieterkonfiguration sowie möglicherweise bestehende Authentifizierungen. Gehen Sie nicht von automatischer Wiederherstellung aus; prüfen Sie den tatsächlichen Zugriff mit den Verantwortlichen.

Zugriff anhand von Authentifizierungsereignissen untersuchen

Administrierende mit IAM-Leserecht können vorhandene Authentifizierungsereignisse im erlaubten Bereich prüfen, ohne allein für die Suche Anwendung oder Authentifizierungsanbieter neu zu konfigurieren. Zur Prüfung einer neuen Konfiguration die Anwendung, den Anbieter und den Zugriffsbereich wie oben kontrollieren und mit einem Pilotkonto eine kontrollierte Anmeldung über den normalen Einstieg durchführen. Speichern, Authentifizierungsanfrage, Ereignisschreiben und Anzeige sind getrennte Schritte.

1. Wählen Sie unter IAM > Event Audit den Zeitraum des untersuchten Ereignisses. Die erste Abfrage umfasst den aktuellen Tag und die vorherigen 29 Tage. Wählen Sie bei Bedarf Quelle sowie Erfolg oder Fehler und prüfen Sie in den Details Zeit, Anwendung, Benutzer, Authentifizierungsphase und verfügbare Fehlermeldungen. Schützen Sie personenbezogene und vertrauliche Daten gemäß Organisationsvorgaben.
2. Das Suchfeld gleicht die vollständige Anmeldekennung ab; es ist keine allgemeine Teilsuche nach Benutzername, Anwendungsname oder IP. Eine Teileingabe findet den Eintrag möglicherweise nicht. Für Anwendung, Benutzer, Client und IP gibt es weitere Filter; prüfen Sie deren Werte. Ist das Suchfeld nicht leer, hat dessen Kennung Vorrang. Nicht jedes Ereignis enthält jedes Feld.
3. Die Seite lädt höchstens 50 passende Ereignisse; die Tabellenseiten zeigen nur geladene Einträge und garantieren keine vollständige Abdeckung des Zeitraums. Grenzen Sie bei Bedarf Datum, Quelle, Ergebnis oder andere Bedingungen ein und suchen Sie erneut. Eine leere Liste beweist nicht, dass keine Authentifizierung stattfand. Diese Seite bietet keinen Export; wenden Sie sich für weitere Datensätze an Administration oder Support. Bei einer Fehlermeldung der Abfrage kann die Liste zuvor geladene Ergebnisse behalten. Betrachten Sie diese nicht als Ergebnis der aktuellen Filter. Prüfen Sie Netzwerk und Berechtigungen, fragen Sie erneut ab und bestätigen Sie den Erfolg der neuen Abfrage.
4. Prüfen Sie anhand von Ereignisphase und Anwendungsrückmeldung Benutzerstatus, Anwendungsberechtigung, Anbieter und Geschäftsanwendung getrennt. Ein einzelnes Erfolgsereignis belegt nicht den vollständigen Anmeldeablauf. Prüfen Sie bei fehlenden Einträgen auch, ob die Überwachung in der Umgebung aktiviert ist und Ereignisse geschrieben und aufbewahrt werden.

Fehlerbehebung

• Anwendung nicht gefunden: Die Suche filtert den angezeigten Namen möglicherweise nicht korrekt. Löschen Sie den Suchbegriff und prüfen Sie Liste und Rechte direkt.
• Speichern oder Anbieterauswahl nicht möglich: Prüfen Sie Pflichtfelder, doppelte interne Namen, Rechte und Anbieter; dieser kann bereits anderweitig zugeordnet sein.
• Unerwartetes Ergebnis: Prüfen Sie Meldung und erneut geöffneten Eintrag einschließlich Anbieter, Status und Umfang. Auch bei fehlgeschlagenem Anbieterwechsel können andere Einstellungen geändert sein.
• Berechtigter Benutzer kann sich nicht anmelden: Prüfen Sie Benutzerstatus und tatsächliche Gruppe, Anwendungsstatus und Umfang, Anbieter, Anwendungskonfiguration und Netzwerk. Speichern beweist keine funktionierende Integration.
• Unerwarteter Benutzer hat Zugriff: Prüfen Sie den All-users-Modus, zu weit gefasste Benutzer oder Gruppen und die anwendungseigenen Rechte.