เปิดใช้ Zero Trust สำหรับอุปกรณ์และตรวจสอบการเข้าถึง

การลงทะเบียนอุปกรณ์กับแพลตฟอร์ม การให้สิทธิ์ Zero Trust การสร้างการเชื่อมต่อ และการเข้าถึงทรัพยากรธุรกิจเป็นคนละขั้นตอน แพลตฟอร์มมีใบอนุญาต Zero Trust ไม่ได้หมายความว่าอุปกรณ์ทุกเครื่องได้รับสิทธิ์แล้ว และอุปกรณ์ที่ได้รับสิทธิ์หรือโหนดที่เชื่อมต่อแล้วไม่ได้รับอนุญาตให้เข้าถึงทุกบริการโดยอัตโนมัติ

รายการควบคุมด้านล่างใช้ชื่อภาษาอังกฤษที่ตรวจสอบจากส่วนติดต่อแล้ว

เตรียมก่อนเปิดใช้งาน

1. ใช้บัญชีผู้ดูแลสูงสุดที่มีสิทธิ์ดำเนินการกับอุปกรณ์ปลายทาง ตัวเลือกสิทธิ์ Zero Trust สำหรับอุปกรณ์เปิดให้เฉพาะผู้ดูแลสูงสุด หากไม่เห็นตัวเลือกหรือใช้งานไม่ได้ ให้ตรวจชนิดบัญชี สิทธิ์ และขอบเขตอุปกรณ์ที่จัดการได้
2. ตรวจว่าใบอนุญาตแพลตฟอร์มมี Zero Trust และมีสิทธิ์เหลือเพียงพอ การดูและเปลี่ยนใบอนุญาตอธิบายในคู่มือพื้นฐานแพลตฟอร์ม ใบอนุญาตที่ใช้ได้ไม่ได้หมายความว่าอุปกรณ์เป้าหมายได้รับสิทธิ์แล้ว
3. เลือกอุปกรณ์นำร่องที่ควบคุมได้ ตรวจว่าติดตั้งไคลเอนต์ ลงทะเบียนกับแพลตฟอร์ม และเครือข่ายทำงาน เตรียมโหนดปลายทางหรือบริการภายใน โพรโทคอลและพอร์ตธุรกิจ รวมถึงแหล่งทดสอบที่ไม่ควรได้รับอนุญาต หากเข้าบริการภายในผ่านเส้นทาง ต้องเตรียมโหนดกำหนดเส้นทางที่เข้าถึงเครือข่ายเป้าหมายได้ด้วย
4. ตรวจ การตั้งค่าการเชื่อมต่อและตัวตน Zero Trust ข้อกำหนดตัวตนอุปกรณ์หรือผู้ใช้ DNS เครือข่าย และเงื่อนไขรีเลย์ร่วมกับผู้ดูแลตัวตนและเครือข่าย บันทึกการตั้งค่าเดิมและรับอนุมัติการเปลี่ยน การเชื่อมต่ออัตโนมัติไม่แทนการลงชื่อเข้าใช้ การควบคุมการเข้าถึง หรือเงื่อนไขเครือข่าย

ให้สิทธิ์อุปกรณ์

1. เปิดรายการอุปกรณ์ในคอนโซล ค้นหาอุปกรณ์นำร่องตามชื่อหรือกลุ่ม เลือก Select in bulk แล้วทำเครื่องหมายอุปกรณ์ที่ต้องการ สามารถเลือกเพียงเครื่องเดียวได้ เมื่อเปลี่ยนหน้าหรือเงื่อนไขค้นหา ให้ตรวจการเลือกอีกครั้ง ไม่ควรสมมติว่ารายการเดิมยังถูกเลือก
2. ในแถบการทำงานของอุปกรณ์ที่เลือก ให้เปิด Endpoint Authorization และตรวจขอบเขต เลือกการ์ด Zero trust security ตรวจจำนวนที่ได้รับและไม่ได้รับสิทธิ์ในชุดที่เลือก รวมทั้งจำนวนสิทธิ์คงเหลือ เลือกเฉพาะผลิตภัณฑ์ที่ต้องการเปลี่ยนครั้งนี้
3. เลือก Add Authorization ในตัวเลือกการทำงานและยืนยัน แล้วรอผล การส่งคำขอหรือปิดหน้าต่างไม่ได้พิสูจน์ว่าทุกเครื่องได้รับสิทธิ์สำเร็จ
4. หลังข้อความสำเร็จ ให้กลับไปตรวจข้อมูลสิทธิ์ของอุปกรณ์แต่ละเครื่องในรายการ หากแจ้งว่าอยู่ในสถานะเป้าหมายแล้วให้ตรวจสถานะปัจจุบัน หากสิทธิ์ไม่เพียงพอหรือเสร็จเพียงบางส่วน อย่าสมมติว่าทั้งชุดสำเร็จหรือล้มเหลว ให้ตรวจแต่ละเครื่องและจำนวนคงเหลือ แล้วลองใหม่เฉพาะที่จำเป็น รวมถึงตรวจว่าอุปกรณ์มีอยู่และอยู่ในขอบเขตจัดการของบัญชี

ตั้งค่าและตรวจการเข้าถึงนำร่อง

1. ในการตั้งค่า Zero Trust ให้ตรวจวิธียืนยันตัวตนและการเชื่อมต่ออัตโนมัติ หากการตั้งค่าเดิมตรงความต้องการไม่ต้องบันทึก เฉพาะเมื่อจำเป็นต้องเปลี่ยน ให้ผู้ดูแลที่มีสิทธิ์ประเมินการตั้งค่าทั้งหน้าและผลของการเปลี่ยนแปลงพร้อมกัน แก้ไขและบันทึกตามการตั้งค่าการเชื่อมต่อและตัวตน Zero Trust แล้วตรวจผล หากใช้ตัวตนผู้ใช้ ให้ลงชื่อเข้าใช้และเชื่อมต่อบนอุปกรณ์ตามข้อกำหนดองค์กร หากใช้ตัวตนอุปกรณ์ยังต้องเป็นไปตามเงื่อนไขอุปกรณ์และเครือข่าย ตรวจข้อยกเว้นตัวตนระดับโหนดตามจำเป็น แต่อย่าผ่อนข้อกำหนดเองเพียงเพื่อแก้ปัญหา
2. เปิดรายการโหนด Zero Trust หาโหนดของอุปกรณ์นำร่อง แล้วตรวจสถานะเริ่มต้นและการเชื่อมต่อ อุปกรณ์อาจใช้เวลารับสิทธิ์และการตั้งค่า หากยังไม่เริ่มต้นหรือไม่เชื่อมต่อ ให้ตรวจไคลเอนต์ ตัวตนบัญชี เครือข่าย บริการแพลตฟอร์ม และข้อความบนหน้า โหนดเชื่อมต่อไม่ได้หมายถึงเข้าถึงบริการธุรกิจสำเร็จ
3. ตรวจสมาชิกกลุ่มเข้าถึงเดิมและนโยบายที่เปิดใช้งานก่อน โดยตรวจต้นทาง ปลายทาง การดำเนินการ ทิศทาง โพรโทคอล พอร์ต และการตรวจความปลอดภัยที่ใช้ หากตรงตามความต้องการให้ใช้ซ้ำโดยไม่ต้องสร้างหรือแก้ไข หากจำเป็นต้องปรับ ให้ผู้มีสิทธิ์ประเมินผลต่อโหนดและงานอื่นก่อนดำเนินการด้านล่าง ดูการตั้งค่าทั้งหมดในนโยบายการเข้าถึง ตั้งสิทธิ์สำหรับการเข้าถึงที่ต้องการ: สร้างหรือเลือกกลุ่มต้นทางที่เหมาะสมในการควบคุมการเข้าถึงตามความจำเป็นและเปิดรายละเอียด เฉพาะเมื่อโหนดนำร่องยังไม่อยู่ในกลุ่มต้นทาง ให้เลือก Add Endpoints ในแท็บ Endpoints เลือกโหนดนำร่องและยืนยัน หากต้องการนโยบายใหม่ ในหน้านโยบายเลือก Create หากมีนโยบายอยู่แล้ว หรือ Create Policy หากรายการว่าง จากนั้นสร้างนโยบาย เลือกต้นทางและโหนดหรือกลุ่มปลายทาง ตั้ง Accept ทิศทางและโพรโทคอลตามธุรกิจ สำหรับ TCP หรือ UDP ให้ป้อนพอร์ตบริการจริง เช่น 443 หากเว้นว่างหมายถึงทุกพอร์ต บันทึก ตรวจว่าเปิดนโยบาย และรอให้โหนดที่เกี่ยวข้องรับการตั้งค่า
4. หากเป้าหมายเป็นบริการภายในที่เข้าผ่านโหนดกำหนดเส้นทาง ให้ตั้งเป้าหมาย โหนด ขอบเขตที่มีผล และกลุ่มเป้าหมายนโยบายตาม ตั้งค่าเส้นทางเครือข่าย Zero Trust ด้วย หากเว้นกลุ่มเป้าหมายนโยบายของเส้นทางไว้ ระบบจะสร้างกฎอนุญาตเริ่มต้น ไม่ใช่ปฏิเสธเริ่มต้น หากต้องจำกัดการเข้าถึง ให้เลือกกลุ่มเป้าหมายและตรวจนโยบาย ไฟร์วอลล์ปลายทาง และเส้นทางขากลับ
5. เข้าบริการจากอุปกรณ์นำร่องและตรวจผลธุรกิจจริง จากนั้นทดสอบข้อจำกัดจากแหล่งที่ไม่ควรได้รับอนุญาต พร้อมตรวจนโยบายและเส้นทางเดิม หากผลผิดคาดให้ตรวจสิทธิ์ สถานะโหนด ตัวตน ต้นทางและปลายทางนโยบาย โพรโทคอลและพอร์ต DNS เส้นทาง และบริการ อย่าตัดสินขอบเขตความปลอดภัยทั้งหมดจากการเชื่อมต่อครั้งเดียวหรือนโยบายเดียว

ยกเลิกและให้สิทธิ์ใหม่

การยกเลิกสิทธิ์อาจขัดจังหวะการเข้าถึง Zero Trust ของอุปกรณ์ ก่อนเปลี่ยนให้ยืนยันเจ้าของ บริการที่พึ่งพา การอนุมัติ และแผนกู้คืน อย่าใช้เป็นขั้นตอนเริ่มต้นสำหรับปัญหาเครือข่ายทั่วไป

1. เลือกอุปกรณ์ในรายการ เปิด Endpoint Authorization เลือก Zero trust security เปลี่ยนการทำงานเป็น Remove Authorization และยืนยัน
2. ตรวจสถานะสิทธิ์แต่ละเครื่อง รวมทั้งโหนดและการเข้าถึงธุรกิจที่เกี่ยวข้อง การทำงานเป็นชุดอาจสำเร็จเพียงบางเครื่อง ต้องตรวจผลบนหน้าและผลจริงของอุปกรณ์แยกกัน
3. การยกเลิกสิทธิ์ Zero Trust สำเร็จจะลบข้อยกเว้นตัวตนอุปกรณ์ระดับโหนดเดิมของอุปกรณ์นั้น เมื่อให้สิทธิ์ใหม่ให้ตรวจ การยืนยันตัวตนโหนด และการตั้งค่าส่วนกลางอีกครั้ง อย่าสมมติว่าข้อยกเว้นเดิมกลับมาเอง ตั้งค่าใหม่ตามการอนุมัติองค์กร แล้วตรวจการเชื่อมต่อและการเข้าถึงธุรกิจ หากหน้าจอแจ้งว่าอุปกรณ์ไม่มีสิทธิ์อยู่แล้ว การยกเลิกซ้ำจะไม่ดำเนินการล้างข้อยกเว้นข้างต้น อย่าพึ่งพาการยกเลิกซ้ำเพื่อล้างข้อยกเว้นเดิม ให้ตรวจและปรับการตั้งค่าตัวตนตามขั้นตอนอนุมัติก่อนเปิดสิทธิ์อีกครั้ง

หลังยกเลิกสิทธิ์สำเร็จ ยังต้องตรวจการอัปเดตสถานะโหนดและการรับการตั้งค่าของอุปกรณ์แยกกัน อย่าสมมติว่าการเชื่อมต่อเดิมหรือการเข้าถึงงานทั้งหมดสิ้นสุดทันทีเมื่อส่งคำขอ หากต้องแยกทันที ให้ใช้การควบคุมเครือข่ายหรือฝั่งบริการปลายทางที่ได้รับอนุมัติตามขั้นตอนเหตุการณ์ขององค์กรด้วย และตรวจผลจากอุปกรณ์ที่ควบคุม การยกเลิกสิทธิ์ไม่ได้หมายความว่าโหนด กลุ่มเข้าถึง เส้นทาง หรือนโยบายถูกลบโดยอัตโนมัติ เมื่อเลิกใช้งานถาวรให้ตรวจความเชื่อมโยงและผลกระทบก่อนล้างแยกแต่ละรายการ ก่อนให้สิทธิ์อีกครั้งให้ทบทวนกลุ่ม นโยบาย และเส้นทางที่ยังเหลือเพื่อป้องกันการเปิดสิทธิ์โดยไม่ตั้งใจ

การแก้ไขปัญหา

• ไม่มีตัวเลือก Zero Trust: ตรวจบัญชีผู้ดูแลสูงสุดและสิทธิ์ดำเนินการอุปกรณ์ สิทธิ์จัดการอุปกรณ์ทั่วไปไม่ใช่สิทธิ์ Zero Trust
• สิทธิ์ไม่พอหรือสำเร็จบางส่วน: ตรวจใบอนุญาต จำนวนคงเหลือ สถานะเป้าหมาย และขอบเขตจัดการ ตรวจแต่ละเครื่องก่อนปรับหรือแบ่งชุดตามขั้นตอนให้สิทธิ์
• ได้รับสิทธิ์แต่โหนดไม่เชื่อมต่อ: ตรวจไคลเอนต์ การรับสิทธิ์และตั้งค่า ข้อกำหนดตัวตน การเข้าถึงบริการที่จำเป็น รวมทั้งสถานะโหนดและเครือข่าย
• โหนดเชื่อมต่อแต่ใช้บริการไม่ได้: ตรวจบริการเป้าหมาย นโยบายเข้าถึง เส้นทาง DNS และไฟร์วอลล์ หากผ่านเส้นทางให้ตรวจโหนดกำหนดเส้นทางและขากลับด้วย สิทธิ์และสถานะเชื่อมต่อไม่แทนการตรวจสิทธิ์ธุรกิจ