Nhóm truy cập
Nhóm truy cập tổ chức các nút Zero Trust và tài nguyên mạng để chính sách, tuyến và cấu hình khác tham chiếu. Chính sách xác định nguồn nào được phép hoặc bị từ chối truy cập đích nào, cùng giao thức, hướng và cổng. Tạo nhóm không tự cấp quyền; lưu chính sách cũng không chứng minh mọi nút đã nhận cấu hình hoặc dịch vụ đích có thể truy cập.
Chương này hướng dẫn tạo và quản lý nhóm truy cập cùng thành viên. Trước khi thay đổi thành viên, kiểm tra chính sách truy cập, tuyến và cấu hình khác sử dụng nhóm, rồi xác minh các truy cập bị ảnh hưởng sau thay đổi.
Chuẩn bị
- Dùng tài khoản có quyền quản lý nhóm và chính sách Zero Trust. Xác nhận các nút liên quan đã kết nối và tài nguyên mạng cần thiết đã sẵn sàng.
- Xác định nguồn, đích, giao thức và cổng cần cho phép hoặc hạn chế, cũng như nhu cầu truy cập ngược. Chọn phạm vi tối thiểu đáp ứng nghiệp vụ và chuẩn bị đối tượng thử được phép và không được phép.
- Kiểm tra chính sách, tuyến và tham chiếu nhóm hiện có. Nhiều cấu hình có thể ảnh hưởng cùng đường truy cập; không kết luận kết quả chỉ từ một chính sách mới.
- Khi truy cập dịch vụ nội bộ, kiểm tra khả năng đến đích và chuyển tiếp của nút định tuyến, dịch vụ đích, tường lửa và đường về. Xem Cấu hình tuyến mạng Zero Trust.
Tạo nhóm và quản lý thành viên
Trước tiên kiểm tra thành viên, mục đích và các tham chiếu từ chính sách, tuyến cùng cấu hình khác của nhóm truy cập hiện có. Dùng lại nhóm phù hợp thay vì tạo mới cho mỗi lần truy cập. Trước khi đổi thành viên, đánh giá tác động đến mọi tham chiếu và hoạt động hiện có. Chỉ tạo theo các bước dưới đây khi không có nhóm phù hợp. Thành viên nhóm hệ thống All do hệ thống quản lý, không sửa thủ công như nhóm thông thường.
- Trong Zero Trust, mở 「Access Groups」 dưới phần kiểm soát truy cập và chọn 「Create Access Group」.
- Nhập tên phân biệt mục đích rồi lưu. Nhóm mới không tự chứa nút hoặc tài nguyên mạng; cần cấu hình thành viên tiếp theo.
- Mở chi tiết nhóm. Trong 「Endpoints」 chọn 「Add Endpoints」, chọn nút cần thiết và xác nhận. Để thêm tài nguyên mạng có sẵn, chọn 「Bind Network Resources」 trong 「Network Resources」, chọn và xác nhận.
- Quay lại chi tiết kiểm tra hai danh sách. Trước khi thay đổi thành viên, kiểm tra chính sách, tuyến và cấu hình khác sử dụng nhóm cùng tác động; sau khi loại thành viên, kiểm tra lại nghiệp vụ liên quan.
Một nhóm có thể được dùng lại trong nhiều cấu hình. Tên chỉ xác định mục đích, không đồng nghĩa thành viên đã được cấp quyền truy cập cụ thể.
Nhóm hệ thống All được hệ thống duy trì theo trạng thái nút. Trang không cho đổi tên, xóa hoặc thêm và loại thành viên thủ công. Phạm vi có thể thay đổi khi các nút thay đổi. Trước khi dùng nhóm trong chính sách hoặc tuyến, đánh giá quyền truy cập mà nút mới có thể nhận được và kiểm thử bằng thiết bị có kiểm soát.
Trong Referenced By ở chi tiết nhóm, xem các tham chiếu đã tải từ chính sách, tuyến, nhóm máy chủ tên và vùng tùy chỉnh. Danh sách không bao gồm mọi phụ thuộc có thể có, chẳng hạn xuất bản ứng dụng hoặc cài đặt quản lý DNS; tải thất bại không đồng nghĩa không có tham chiếu. Trước khi đổi hoặc xóa, hãy kiểm tra riêng các cấu hình liên quan. Đối tượng đã tắt cũng có thể ngăn việc xóa.
Ngày cập nhật