Activer Zero Trust pour les terminaux et vérifier l'accès

L'inscription du terminal sur la plateforme, son autorisation Zero Trust, l'établissement de la connexion et l'accès aux ressources métier sont des étapes distinctes. Une licence de plateforme incluant Zero Trust n'autorise pas automatiquement chaque terminal. Un terminal autorisé ou un nœud connecté n'a pas nécessairement accès à tous les services.

Les commandes ci-dessous utilisent les libellés anglais vérifiés de l'interface.

Préparation

1. Utilisez un compte superadministrateur disposant du droit d'opération sur les terminaux. L'autorisation Zero Trust des terminaux n'est proposée qu'aux superadministrateurs. Si l'option manque ou n'est pas utilisable, vérifiez le type de compte, les droits et le périmètre de terminaux administrable.
2. Vérifiez que la licence de plateforme comprend Zero Trust et que le nombre d'autorisations restantes suffit. Consultez le manuel des bases de la plateforme pour voir ou modifier la licence. Une licence valide ne signifie pas que le terminal cible est déjà autorisé.
3. Choisissez des terminaux pilotes contrôlés et vérifiez l'installation du client, l'inscription sur la plateforme et le réseau. Préparez le nœud cible ou service interne, son protocole et son port, ainsi qu'une source de test qui ne devrait pas être autorisée. Pour un service interne routé, préparez aussi un nœud de routage capable d'atteindre le réseau cible.
4. Avec les responsables identité et réseau, vérifiez les paramètres de connexion et d'identité Zero Trust, les exigences d'identité terminal ou utilisateur, le DNS, le réseau et le relais. Notez la configuration existante et obtenez l'approbation du changement. La connexion automatique ne remplace ni la connexion utilisateur, ni le contrôle d'accès, ni les conditions réseau.

Autoriser les terminaux

1. Ouvrez la liste des terminaux et recherchez les pilotes par nom ou groupe. Choisissez Select in bulk puis cochez les terminaux à traiter ; un seul suffit. Après un changement de page ou de recherche, contrôlez à nouveau la sélection sans supposer qu'elle a été conservée.
2. Dans la barre d'action, choisissez Endpoint Authorization et vérifiez le périmètre. Sélectionnez Zero trust security, puis examinez les nombres de terminaux sélectionnés autorisés et non autorisés ainsi que la capacité restante. Ne sélectionnez que les produits à modifier.
3. Choisissez Add Authorization et confirmez. Attendez le résultat ; l'envoi ou la fermeture de la fenêtre ne prouve pas que chaque terminal est autorisé.
4. Après réussite, contrôlez les autorisations de chaque cible dans la liste. Si la cible est déjà dans l'état demandé, vérifiez son état actuel. En cas de capacité insuffisante ou de résultat partiel, ne supposez ni réussite ni échec global : vérifiez chaque terminal et la capacité restante, puis ne relancez que les changements nécessaires. Contrôlez aussi l'existence des terminaux et le périmètre administrable.

Configurer et vérifier l'accès pilote

1. Dans les paramètres Zero Trust, vérifiez le mode d’identité et la connexion automatique ; si les réglages existants conviennent, aucun enregistrement n’est nécessaire. Si une modification est indispensable, un administrateur habilité évalue la page entière et les changements simultanés, modifie et enregistre selon les paramètres de connexion et d’identité Zero Trust, puis vérifie le résultat. Avec l'identité utilisateur, connectez-vous et établissez la connexion Zero Trust sur le terminal selon les règles internes ; l'identité terminal exige également des conditions de terminal et de réseau adaptées. Vérifiez les exceptions de nœud si nécessaire sans assouplir les exigences d'identité de votre propre initiative pour dépanner.
2. Dans la liste des nœuds Zero Trust, repérez celui du terminal pilote et vérifiez son initialisation et sa connexion. La réception de l'autorisation et de la configuration peut prendre du temps. Si le nœud n'est pas initialisé ou connecté, contrôlez le client, l'identité, le réseau, les services de plateforme et les messages. L'état connecté ne prouve pas l'accès métier.
3. Vérifiez d’abord les membres des groupes existants et les politiques activées : source, cible, action, direction, protocole, ports et contrôles de sécurité applicables. Réutilisez les configurations adaptées sans les recréer ni les modifier inutilement. Si une modification est nécessaire, une personne habilitée doit d’abord évaluer son impact sur les autres nœuds et activités. Consultez la politique d’accès pour la configuration complète. Configurez les droits attendus : dans le contrôle d’accès, créez ou sélectionnez si nécessaire un groupe source adapté et ouvrez ses détails. Uniquement si le nœud pilote ne fait pas encore partie du groupe source, dans l’onglet Endpoints, choisissez Add Endpoints, sélectionnez le nœud pilote et confirmez. Si une nouvelle politique est nécessaire, sur la page des politiques sélectionnez Create si des politiques existent ou Create Policy si la liste est vide. Créez une politique avec cette source et le nœud ou groupe cible, puis choisissez Accept, la direction et le protocole selon le besoin. Pour TCP ou UDP, saisissez le port réel, par exemple 443 ; un champ vide signifie tous les ports. Enregistrez, vérifiez l'activation et attendez la réception de la configuration par les nœuds concernés.
4. Pour un service interne atteint par un nœud de routage, configurez également cible, nœud, périmètre effectif et groupes cibles de stratégie selon Configurer les routes réseau Zero Trust. Laisser vides les groupes cibles de stratégie de la route crée une règle d'autorisation par défaut ; ce n'est pas un refus par défaut. Pour limiter l'accès, choisissez les groupes cibles et vérifiez les stratégies, le pare-feu cible et le trajet retour.
5. Accédez au service depuis le terminal pilote et vérifiez le résultat métier, puis testez la restriction depuis une source non autorisée en examinant aussi les stratégies et routes existantes. En cas d'écart, vérifiez autorisation, état du nœud, identité, source et cible, protocole et port, DNS, route et service. Une connexion ou une stratégie isolée ne prouve pas toute la frontière de sécurité.

Retirer et rétablir l'autorisation

Le retrait peut interrompre l'accès Zero Trust du terminal. Vérifiez au préalable son propriétaire, les services dépendants, l'approbation et la restauration. N'en faites pas l'étape par défaut pour un incident réseau ordinaire.

1. Dans la liste des terminaux, sélectionnez la cible, ouvrez Endpoint Authorization, choisissez Zero trust security, passez à Remove Authorization et confirmez.
2. Vérifiez chaque état d'autorisation ainsi que les nœuds et accès métier concernés. Une opération groupée peut ne réussir que partiellement ; le résultat affiché et l'effet réel sur les terminaux doivent être vérifiés séparément.
3. Le retrait réussi supprime l'exception d'identité terminal existante au niveau du nœud. Lors d'une nouvelle autorisation, revérifiez l'identité du nœud et les paramètres globaux sans supposer que l'exception sera restaurée automatiquement. Reconfigurez-la selon l'autorisation interne, puis testez la connexion et l'accès métier. Si la page indique que le terminal n’est déjà plus autorisé, une nouvelle révocation n’effectue pas cette suppression de l’exception. Ne comptez pas sur une révocation répétée pour supprimer une ancienne exception ; avant de rétablir l’accès, vérifiez et ajustez les paramètres d’identité selon la procédure d’autorisation.

Après une révocation réussie, vérifiez séparément la mise à jour de l’état du nœud et la réception de la configuration par le terminal. Ne supposez pas que les connexions existantes ou tous les accès métier cessent à l’instant de l’envoi. Si une isolation immédiate est nécessaire, appliquez aussi les contrôles réseau ou côté service cible approuvés par la procédure d’incident et vérifiez depuis un terminal contrôlé. La révocation ne signifie pas que le nœud, les groupes d’accès, routes ou politiques sont supprimés automatiquement. Pour un retrait définitif, examinez les dépendances et les effets métier avant de les nettoyer séparément. Avant une nouvelle autorisation, examinez les groupes, politiques et routes restants afin d’éviter un rétablissement involontaire des accès.

Dépannage

• Option Zero Trust absente : vérifiez le compte superadministrateur et le droit d'opération sur les terminaux. L'autorisation générale de gestion des terminaux n'est pas l'autorisation Zero Trust.
• Capacité insuffisante ou résultat partiel : vérifiez licence, capacité restante, état des cibles et périmètre administrable ; contrôlez chaque terminal avant d'ajuster ou de traiter par lots selon la procédure d'autorisation.
• Autorisé mais nœud non connecté : vérifiez le client, la réception de l'autorisation et de la configuration, l'identité, l'accès aux services nécessaires, l'état du nœud et le réseau.
• Nœud connecté mais service inaccessible : vérifiez service, stratégies, route, DNS et pare-feu ; pour un accès routé, vérifiez aussi le nœud et le trajet retour. Autorisation et connexion ne remplacent pas la vérification des droits métier.