Zugriffsgruppen

Zugriffsgruppen bündeln Zero-Trust-Knoten und Netzwerkressourcen zur Verwendung in Richtlinien, Routen und anderen Konfigurationen. Eine Richtlinie beschreibt erlaubte oder verweigerte Quellen und Ziele sowie Protokoll, Richtung und Ports. Eine Gruppe allein erteilt keine Zugriffsrechte. Das Speichern einer Richtlinie beweist weder deren Empfang durch alle Knoten noch die Erreichbarkeit des Zieldienstes.

Dieses Kapitel erläutert das Erstellen und Verwalten von Zugriffsgruppen und ihren Mitgliedern. Prüfen Sie vor Änderungen der Mitgliedschaft die zugreifenden Richtlinien, Routen und weiteren Konfigurationen und überprüfen Sie den betroffenen Zugriff nach der Änderung.

Vorbereitung

• Verwenden Sie ein Administratorkonto mit Rechten für Zero-Trust-Gruppen und -Richtlinien. Prüfen Sie die Verbindung der beteiligten Knoten und bereiten Sie benötigte Netzwerkressourcen vor.
• Bestimmen Sie zu erlaubende oder einzuschränkende Quellen, Ziele, Protokolle und Ports sowie den Bedarf für Gegenrichtung. Wählen Sie den kleinsten geschäftlich erforderlichen Umfang und bereiten Sie erlaubte und nicht erlaubte Testobjekte vor.
• Prüfen Sie vorhandene Richtlinien, Routen und Gruppenverwendungen. Mehrere Konfigurationen können einen Pfad beeinflussen; eine einzelne neue Regel belegt das Gesamtergebnis nicht.
• Prüfen Sie bei internen Diensten Zielerreichbarkeit und Weiterleitung des Routingknotens sowie Zieldienst, Firewall und Rückweg. Siehe Zero-Trust-Netzwerkrouten konfigurieren.

Gruppe erstellen und Mitglieder verwalten

Prüfen Sie zunächst Mitglieder, Zweck und Verweise vorhandener Zugriffsgruppen aus Richtlinien, Routen und anderen Konfigurationen. Geeignete Gruppen können wiederverwendet werden; für jeden Zugriff ist keine neue Gruppe nötig. Bewerten Sie vor Mitgliedsänderungen die Auswirkungen auf alle Verweise und bestehende Abläufe. Erstellen Sie nur dann eine Gruppe nach den folgenden Schritten, wenn keine geeignete vorhanden ist. Die Mitgliedschaft der Systemgruppe All wird vom System verwaltet und nicht wie bei normalen Gruppen manuell geändert.

1. Öffnen Sie in Zero Trust unter Zugriffskontrolle „Access Groups“ und wählen Sie „Create Access Group“.
2. Geben Sie einen aussagekräftigen Namen ein und speichern Sie. Eine neue Gruppe enthält nicht automatisch Knoten oder Ressourcen; richten Sie die Mitglieder anschließend ein.
3. Öffnen Sie die Gruppendetails. Wählen Sie unter „Endpoints“ „Add Endpoints“, wählen Sie die benötigten Knoten und bestätigen Sie. Für bestehende Ressourcen wählen Sie unter „Network Resources“ „Bind Network Resources“, wählen die Ressourcen und bestätigen.
4. Prüfen Sie beide Listen in den Details. Kontrollieren Sie vor Mitgliederänderungen die Verwendung in Richtlinien, Routen und anderen Einstellungen sowie die Auswirkungen; prüfen Sie betroffene Dienste nach dem Entfernen erneut.

Eine Gruppe kann mehrfach verwendet werden. Ihr Name bezeichnet den Zweck, verleiht den Mitgliedern aber keine bestimmten Zugriffsrechte.

Die Systemgruppe All wird anhand des Knotenzustands vom System verwaltet. Auf der Seite lässt sich die Gruppe weder umbenennen noch löschen; Mitglieder lassen sich nicht manuell hinzufügen oder entfernen. Ihr Umfang kann sich mit den Knoten ändern. Bewerten Sie vor der Nutzung in Richtlinien oder Routen den möglichen Zugriff neuer Knoten und testen Sie mit kontrollierten Endpunkten.

Unter Referenced By in den Gruppendetails sehen Sie geladene Verweise aus Richtlinien, Routen, Nameservergruppen und benutzerdefinierten Zonen. Die Liste erfasst nicht alle möglichen Abhängigkeiten, etwa Anwendungsveröffentlichung oder DNS-Verwaltungseinstellungen; ein Ladefehler bedeutet nicht, dass keine Verweise bestehen. Prüfen Sie vor Änderung oder Löschung weitere zugehörige Konfigurationen separat. Auch deaktivierte Objekte können das Löschen verhindern.

• Zugriffsrichtlinien