Bật Zero Trust cho thiết bị đầu cuối và kiểm tra truy cập

Đăng ký thiết bị vào nền tảng, cấp quyền Zero Trust, thiết lập kết nối Zero Trust và truy cập tài nguyên nghiệp vụ là các bước khác nhau. Nền tảng có giấy phép Zero Trust không có nghĩa từng thiết bị đã được cấp quyền; thiết bị đã cấp quyền hoặc nút đã kết nối cũng không mặc nhiên được truy cập mọi dịch vụ.

Các thao tác dưới đây dùng tên tiếng Anh đã được kiểm tra trên giao diện.

Chuẩn bị

1. Dùng tài khoản siêu quản trị có quyền thao tác thiết bị đầu cuối. Tùy chọn cấp quyền Zero Trust chỉ dành cho siêu quản trị. Nếu không thấy hoặc không thao tác được, kiểm tra loại tài khoản, quyền và phạm vi thiết bị quản lý.
2. Xác nhận giấy phép nền tảng bao gồm Zero Trust và còn đủ số quyền. Tham khảo hướng dẫn nền tảng để xem hoặc thay đổi giấy phép. Giấy phép hợp lệ không đồng nghĩa thiết bị đích đã được phân quyền.
3. Chọn thiết bị thử nghiệm được kiểm soát, xác nhận đã cài ứng dụng khách, đăng ký vào nền tảng và mạng hoạt động. Chuẩn bị nút đích hoặc dịch vụ nội bộ, giao thức và cổng nghiệp vụ, cùng nguồn thử nghiệm không được phép truy cập. Với dịch vụ nội bộ qua tuyến, chuẩn bị thêm nút định tuyến có thể đến mạng đích.
4. Cùng quản trị viên danh tính và mạng xác nhận cấu hình kết nối và danh tính Zero Trust, yêu cầu danh tính thiết bị hoặc người dùng, DNS, mạng và điều kiện chuyển tiếp. Ghi lại cấu hình hiện tại và nhận phê duyệt thay đổi. Kết nối tự động không thay thế đăng nhập người dùng, kiểm soát truy cập hoặc điều kiện mạng.

Cấp quyền cho thiết bị

1. Mở danh sách thiết bị trong bảng điều khiển, tìm thiết bị thử nghiệm theo tên hoặc nhóm. Chọn Select in bulk và đánh dấu thiết bị cần xử lý; có thể chỉ chọn một thiết bị. Sau khi đổi trang hoặc điều kiện tìm kiếm, kiểm tra lại lựa chọn, không giả định lựa chọn cũ được giữ.
2. Trên thanh thao tác của thiết bị đã chọn, mở Endpoint Authorization và kiểm tra phạm vi đích. Chọn thẻ Zero trust security, xem số thiết bị đã cấp quyền, chưa cấp quyền và số quyền còn lại. Chỉ chọn sản phẩm cần thay đổi lần này.
3. Chọn Add Authorization trong mục thao tác và xác nhận, rồi chờ thông báo kết quả. Đóng cửa sổ hoặc gửi yêu cầu không chứng minh mọi thiết bị đã được cấp quyền thành công.
4. Sau thông báo thành công, kiểm tra thông tin quyền của từng thiết bị trong danh sách. Nếu đã ở trạng thái yêu cầu, kiểm tra trạng thái hiện tại. Khi thiếu giấy phép hoặc hoàn tất một phần, không giả định cả lô thành công hay thất bại: kiểm tra từng thiết bị và số quyền còn lại, chỉ thử lại đối tượng cần thiết. Kiểm tra cả sự tồn tại và phạm vi quản lý của thiết bị.

Cấu hình và xác minh truy cập thử nghiệm

1. Trong cấu hình Zero Trust, kiểm tra phương thức danh tính và kết nối tự động; nếu cài đặt hiện có phù hợp thì không cần lưu. Chỉ khi cần thay đổi, quản trị viên có quyền đánh giá toàn bộ trang và các thay đổi đồng thời, sửa và lưu theo cấu hình kết nối và danh tính Zero Trust, rồi kiểm tra kết quả. Với danh tính người dùng, hoàn tất đăng nhập và kết nối trên thiết bị theo yêu cầu của tổ chức; danh tính thiết bị vẫn cần đáp ứng điều kiện thiết bị và mạng. Kiểm tra ngoại lệ danh tính cấp nút khi cần, không tự ý nới lỏng yêu cầu để khắc phục sự cố.
2. Mở danh sách nút Zero Trust, tìm nút của thiết bị thử nghiệm và kiểm tra khởi tạo, kết nối. Thiết bị có thể cần thời gian nhận quyền và cấu hình. Nếu chưa khởi tạo hoặc chưa kết nối, kiểm tra ứng dụng khách, danh tính, mạng, dịch vụ nền tảng và thông báo. Nút đã kết nối không chứng minh truy cập nghiệp vụ thành công.
3. Trước tiên kiểm tra thành viên nhóm truy cập hiện có và các chính sách đang bật theo nguồn, đích, hành động, hướng, giao thức, cổng và kiểm tra bảo mật áp dụng. Nếu phù hợp, hãy sử dụng lại mà không tạo hoặc sửa không cần thiết. Chỉ khi cần, người có quyền đánh giá tác động đến các nút và hoạt động khác trước khi điều chỉnh bên dưới. Xem cấu hình đầy đủ tại chính sách truy cập. Cấu hình quyền truy cập mong muốn: tạo hoặc chọn nhóm nguồn phù hợp trong kiểm soát truy cập khi cần và mở chi tiết. Chỉ khi nút thử nghiệm chưa thuộc nhóm nguồn, trong thẻ Endpoints, chọn Add Endpoints, chọn nút thử nghiệm rồi xác nhận. Nếu cần chính sách mới, trên trang chính sách chọn Create nếu đã có chính sách hoặc Create Policy nếu danh sách trống. Tạo chính sách chọn nguồn đó và nút hoặc nhóm đích, đặt Accept, hướng và giao thức theo nghiệp vụ. Với TCP hoặc UDP, nhập cổng thực tế, ví dụ 443; để trống nghĩa là mọi cổng. Lưu, kiểm tra đã bật và chờ các nút liên quan nhận cấu hình.
4. Nếu đích là dịch vụ nội bộ qua nút định tuyến, tiếp tục cấu hình đích, nút, phạm vi hiệu lực và nhóm đích chính sách theo Cấu hình tuyến mạng Zero Trust. Để trống nhóm đích chính sách của tuyến tạo quy tắc cho phép mặc định, không phải từ chối mặc định. Khi cần giới hạn, chọn nhóm đích và kiểm tra chính sách tương ứng, tường lửa đích và đường về.
5. Truy cập dịch vụ từ thiết bị thử nghiệm và xác nhận kết quả nghiệp vụ, sau đó kiểm tra giới hạn từ nguồn không được phép; đồng thời xem các chính sách và tuyến hiện có. Nếu kết quả khác dự kiến, kiểm tra quyền, trạng thái nút, danh tính, nguồn và đích chính sách, giao thức/cổng, DNS, tuyến và dịch vụ. Không kết luận toàn bộ ranh giới bảo mật chỉ từ một kết nối hoặc một chính sách.

Thu hồi và cấp lại

Thu hồi quyền có thể làm gián đoạn truy cập Zero Trust của thiết bị. Trước khi thay đổi, xác nhận chủ sở hữu, dịch vụ phụ thuộc, phê duyệt và phương án khôi phục. Không coi thu hồi là bước mặc định để xử lý sự cố mạng thông thường.

1. Chọn thiết bị trong danh sách, mở Endpoint Authorization, chọn Zero trust security, đổi thao tác thành Remove Authorization và xác nhận.
2. Kiểm tra trạng thái quyền từng thiết bị theo kết quả, đồng thời kiểm tra nút và truy cập nghiệp vụ liên quan. Một lô có thể chỉ thành công một phần; kết quả trên trang và hiệu lực thực tế cần được kiểm tra riêng.
3. Thu hồi quyền Zero Trust thành công sẽ xóa ngoại lệ danh tính thiết bị cấp nút hiện có của thiết bị đó. Khi cấp lại, kiểm tra xác thực danh tính nút và cấu hình toàn cục; không giả định ngoại lệ tự phục hồi. Cấu hình lại theo phê duyệt tổ chức rồi kiểm tra kết nối và truy cập nghiệp vụ. Nếu trang thông báo thiết bị đã ở trạng thái chưa được cấp quyền, thao tác thu hồi lặp lại sẽ không thực hiện việc xóa ngoại lệ nêu trên. Không dựa vào việc thu hồi lại để xóa ngoại lệ cũ; hãy kiểm tra và điều chỉnh cấu hình danh tính theo quy trình phê duyệt trước khi cấp lại quyền.

Sau khi thu hồi quyền thành công, vẫn phải xác nhận riêng việc cập nhật trạng thái nút và thiết bị nhận cấu hình. Không giả định mọi kết nối hiện có hoặc mọi truy cập nghiệp vụ chấm dứt ngay lúc gửi yêu cầu. Nếu cần cô lập ngay, đồng thời áp dụng biện pháp kiểm soát mạng hoặc phía dịch vụ đích đã được phê duyệt theo quy trình sự cố và xác minh từ thiết bị được kiểm soát. Thu hồi quyền không đồng nghĩa nút, nhóm truy cập, tuyến hoặc chính sách được tự động xóa. Khi ngừng sử dụng vĩnh viễn, kiểm tra tham chiếu và tác động nghiệp vụ rồi dọn từng phần. Trước khi cấp lại quyền, rà soát nhóm, chính sách và tuyến còn tồn tại để tránh vô tình khôi phục truy cập.

Khắc phục sự cố

• Không có tùy chọn Zero Trust: kiểm tra tài khoản siêu quản trị và quyền thao tác thiết bị. Quyền quản lý thiết bị chung không phải quyền Zero Trust.
• Thiếu số quyền hoặc hoàn tất một phần: kiểm tra giấy phép, số còn lại, trạng thái thiết bị và phạm vi quản lý; kiểm tra từng thiết bị trước khi điều chỉnh hoặc xử lý theo lô theo quy trình cấp quyền.
• Đã cấp quyền nhưng nút chưa kết nối: kiểm tra ứng dụng khách, việc nhận quyền và cấu hình, yêu cầu danh tính, khả năng truy cập dịch vụ cần thiết, trạng thái nút và mạng.
• Nút kết nối nhưng dịch vụ không dùng được: kiểm tra dịch vụ đích, chính sách truy cập, tuyến, DNS và tường lửa; với tuyến còn phải kiểm tra nút định tuyến và đường về. Quyền và trạng thái kết nối không thay thế việc kiểm tra quyền nghiệp vụ.