Benutzer mit Access Screens authentifizieren

Access Screens erzwingen eine benutzerbezogene, identitätsgestützte Authentifizierung, bevor jemand ein geschütztes System erreicht: Sie ersetzen geteilte Zugangsdaten und statisches IP-Vertrauen durch eine Browser-Anmeldung, die an Ihr Verzeichnis gebunden ist, samt vollständigem Audit-Trail.

Wenn Ihre Benutzer bereits bei einem vorhandenen Identity Provider (OIDC-Protokoll) registriert sind, können sie diese Zugriffsmethode nutzen, um sich auch gegenüber lokalen Knoten stark zu authentifizieren.

Wann Access Screens einzusetzen sind

Setzen Sie Access Screens ein, wenn:

• Sie eine benutzerbezogene Authentifizierung benötigen, die an ein Verzeichnis gebunden ist, statt an geteilte Zugangsdaten oder statische IP-Adressen
• der Zugriff sich nach einem voreingestellten Timeout automatisch entziehen soll
• Sie einen Audit-Trail darüber benötigen, wer sich wann und an welchem System authentifiziert hat
• Benutzer sich im Browser authentifizieren sollen, bevor sie eine Enclave erreichen

Voraussetzungen

Access Screens basieren auf dem sicheren OIDC-Protokoll. Sie funktionieren mit Ihrem OIDC-Identitätsanbieter, darunter Microsoft Entra ID, Active Directory und Tailscale (Microsoft Entra ID wird in dieser Anleitung verwendet).

Einen neuen Screen erstellen

Verwenden Sie im Menü Access Screens die Funktion Create template, um einen neuen Screen zu erstellen.

Klicken Sie auf den neu erstellten Eintrag, um den Texteditor zu öffnen. Hier können Sie Benutzer auf die Nutzungsbedingungen (Richtlinien) hinweisen, die für den Zugriff auf Ihr Netzwerk gelten.

Folgende Einstellungen können in einem Access Screen vorgenommen werden:

• Security Level: die Schutzstufe, für die dieser Access Screen gilt: Niedrig, Mittel oder Hoch.
• Directory: welches OIDC-Verzeichnis zur Authentifizierung der Benutzer genutzt wird (Microsoft Entra ID, Active Directory oder Tailscale).
• Preset Access Timeout: wie lange der Zugriff eines Benutzers autorisiert bleibt, bevor er automatisch entzogen wird und sich der Benutzer erneut authentifizieren muss. Die Voreinstellungen sind 15 Minuten, 1 Stunde oder 8 Stunden. Genau dies ermöglicht es dem Netzwerk, sich nach Ablauf eines nicht mehr benötigten Zugriffs wieder zu "härten".

Kopieren Sie in der Access Screens-Liste die URL des soeben erstellten Access Screens. Teilen Sie diese mit den Benutzern, die sich gegenüber Access Gate authentifizieren müssen.

Benutzerablauf

1. Ein Benutzer öffnet seinen Browser und ruft https://auth.{your-domain}/access_form?id=123456 auf.
2. Der Access Screen wird geladen, und der Benutzer akzeptiert die für diesen Access Screen festgelegte Richtlinie.
3. Der Benutzer wird zum Authentifizierungsportal von Microsoft Entra ID weitergeleitet.
4. Nach erfolgreicher Authentifizierung wird der Benutzer zur Callback-URL https://auth.{your-domain}/access_authorize weitergeleitet.

Der Zugriff wird basierend auf dem Ergebnis des Workflows gewährt oder verweigert, und ein Audit-Trail wird aufgezeichnet.

Wird die Anfrage genehmigt, wird die IP-Adresse des Benutzers automatisch dem Proxy hinzugefügt und für die im Access Screen festgelegte Dauer autorisiert. Dies geschieht im Hintergrund. Der Benutzer kann anschließend seinen normalen Arbeitsablauf fortsetzen: Verbindungen zu Anwendungen, Datenbanken und anderen Diensten herstellen, während die Zugriffsregeln der Enklave vollständig durchgesetzt werden.

Beispiel-Log

Zusammenfassung

Wir haben einen Access Screen erstellt, der an Ihren OIDC-Identitätsanbieter gebunden ist: Benutzer authentifizieren sich über den Browser, bevor ihre IP für ein voreingestelltes Timeout Zugriff auf die Enclave erhält.

Greifen Sie hierzu, wenn Sie eine benutzerbezogene, identitätsgestützte Authentifizierung und einen Audit-Trail vor Ihren geschützten Systemen benötigen, statt einer IP oder geteilten Zugangsdaten zu vertrauen.