Benutzer mit Access Screens authentifizieren

Access Screens erzwingen eine benutzerbezogene, identitätsgestützte Authentifizierung, bevor jemand ein geschütztes System erreicht: Sie ersetzen geteilte Zugangsdaten und statisches IP-Vertrauen durch eine Browser-Anmeldung, die an Ihr Verzeichnis gebunden ist, samt vollständigem Audit-Trail.

Wenn Ihre Benutzer bereits bei einem vorhandenen Identity Provider (OIDC-Protokoll) registriert sind, können sie diese Zugriffsmethode nutzen, um sich auch gegenüber lokalen Knoten stark zu authentifizieren.

Wann Access Screens einzusetzen sind

Setzen Sie Access Screens ein, wenn:

• Sie eine benutzerbezogene Authentifizierung benötigen, die an ein Verzeichnis gebunden ist, statt an geteilte Zugangsdaten oder statische IP-Adressen
• der Zugriff sich nach einem voreingestellten Timeout automatisch entziehen soll
• Sie einen Audit-Trail darüber benötigen, wer sich wann und an welchem System authentifiziert hat
• Benutzer sich im Browser authentifizieren sollen, bevor sie eine Enclave erreichen

Voraussetzungen

Access Screens basieren auf dem sicheren OIDC-Protokoll. Sie funktionieren mit Ihrem OIDC-Identitätsanbieter, darunter Microsoft Entra ID, Active Directory und Tailscale (Microsoft Entra ID wird in dieser Anleitung verwendet).

Einen neuen Screen erstellen

Verwenden Sie im Menü Access Screens die Funktion Create template, um einen neuen Screen zu erstellen.

Klicken Sie auf den neu erstellten Eintrag, um den Texteditor zu öffnen. Hier können Sie Benutzer auf die Nutzungsbedingungen (Richtlinien) hinweisen, die für den Zugriff auf Ihr Netzwerk gelten.

Folgende Einstellungen können in einem Access Screen vorgenommen werden:

• Security Level: die Schutzstufe, für die dieser Access Screen gilt: Niedrig, Mittel oder Hoch.
• Directory: welches OIDC-Verzeichnis zur Authentifizierung der Benutzer genutzt wird (Microsoft Entra ID, Active Directory oder Tailscale).
• Preset Access Timeout: wie lange der Zugriff eines Benutzers autorisiert bleibt, bevor er automatisch entzogen wird und sich der Benutzer erneut authentifizieren muss. Die Voreinstellungen sind 15 Minuten, 1 Stunde oder 8 Stunden. Genau dies ermöglicht es dem Netzwerk, sich nach Ablauf eines nicht mehr benötigten Zugriffs wieder zu "härten".

Kopieren Sie in der Access Screens-Liste die URL des soeben erstellten Access Screens. Teilen Sie diese mit den Benutzern, die sich gegenüber Access Gate authentifizieren müssen.

Benutzerablauf

1. Ein Benutzer öffnet seinen Browser und ruft https://auth.{your-domain}/access_form?url=cui-access auf.
2. Der Access Screen wird geladen, und der Benutzer akzeptiert die für diesen Access Screen festgelegte Richtlinie.
3. Der Benutzer wird zum Authentifizierungsportal von Microsoft Entra ID weitergeleitet.
4. Nach erfolgreicher Authentifizierung wird der Benutzer zur Callback-URL https://auth.{your-domain}/access_authorize weitergeleitet.

Der Zugriff wird basierend auf dem Ergebnis des Workflows gewährt oder verweigert, und ein Audit-Trail wird aufgezeichnet.

Wird die Anfrage genehmigt, wird die IP-Adresse des Benutzers automatisch dem Proxy hinzugefügt und für die im Access Screen festgelegte Dauer autorisiert. Dies geschieht im Hintergrund. Der Benutzer kann anschließend seinen normalen Arbeitsablauf fortsetzen: Verbindungen zu Anwendungen, Datenbanken und anderen Diensten herstellen, während die Zugriffsregeln der Enklave vollständig durchgesetzt werden.

Anmeldung mit Active Directory

Verwendet der Access Screen ein Active Directory-Verzeichnis (LDAP), melden sich Benutzer direkt auf dem Screen mit ihrem Verzeichniskonto an. Access Gate prüft Benutzername und Passwort beim Verzeichnisserver. Benutzer melden sich daher mit ihrem User Principal Name (UPN) an, zum Beispiel user@example.com.

• Geben Sie den UPN genau so ein, wie er im Konto hinterlegt ist. Sein Suffix kann vom Domänennamen abweichen: Prüfen Sie das Attribut userPrincipalName des Kontos im Active Directory.
• Andere Formen funktionieren nicht: EXAMPLE\user, der Kontoname allein (user) und der Anzeigename (zum Beispiel Alice Salmon).

Über Access Screens melden sich Verzeichnisbenutzer an. Die Verwaltungskonsole von Access Gate verwendet eigene, lokale Administratorkonten.

Wenn die Anmeldung fehlschlägt

• "internal error (check logs)": Die Seite des Access Screens war beim Absenden bereits abgelaufen. Die Logs zeigen invalid csrf state, und das Verzeichnis wird gar nicht kontaktiert. Das passiert auch mit einer Seite, die vor einem Neustart von Access Gate geöffnet wurde. Laden Sie den Access Screen neu und melden Sie sich sofort an. Laden Sie nach einem fehlgeschlagenen Versuch die Seite neu, bevor Sie es erneut versuchen, statt sie noch einmal abzusenden.
• "permission denied": Das Verzeichnis hat den Benutzernamen oder das Passwort abgelehnt. Prüfen Sie das oben beschriebene Namensformat und das Passwort.
• Das Verzeichnis ist nicht erreichbar oder sein Zertifikat wird abgelehnt: Siehe die Liste zur Fehlerbehebung unter Benutzerverzeichnis synchronisieren (LDAP und Active Directory).

Beispiel-Log

Zusammenfassung

Wir haben einen Access Screen erstellt, der an Ihren OIDC-Identitätsanbieter gebunden ist: Benutzer authentifizieren sich über den Browser, bevor ihre IP für ein voreingestelltes Timeout Zugriff auf die Enclave erhält.

Greifen Sie hierzu, wenn Sie eine benutzerbezogene, identitätsgestützte Authentifizierung und einen Audit-Trail vor Ihren geschützten Systemen benötigen, statt einer IP oder geteilten Zugangsdaten zu vertrauen.