> ## Documentation Index > Fetch the complete documentation index at: https://docs.iru.com/llms.txt > Use this file to discover all available pages before exploring further. # Authentifizierungsrichtlinien > Legen Sie in Iru Identity fest, wer sich bei jeder Anwendung anmelden kann und welche Faktoren nachgewiesen werden müssen – mit Regeln für Authentifizierungsrichtlinien, die bei jeder Anmeldung ausgewertet werden. Eine **Authentifizierungsrichtlinie** ist das Regelwerk, das Iru anwendet, wenn sich jemand bei einer Anwendung anmeldet. Sie betrachtet die Anmeldung, wertet eine Reihe von Bedingungen aus, die Sie definieren, und erzeugt eine einzige **Entscheidung** (zulassen oder verweigern). Sie verwalten Richtlinien im Dashboard unter **Policies → Authentication policies**. Mit einer Richtlinie können Sie Anforderungen formulieren wie *„Anmeldung nur von einem verwalteten, verschlüsselten Gerät zulassen“* oder *„nur aktuelle macOS-Versionen zulassen“* und diese für jeden Benutzer und jede Anmeldung einheitlich durchsetzen. Eine Richtlinie wird erst wirksam, wenn sie **einer oder mehreren Anwendungen zugewiesen** ist. Die Richtlinie einer Anwendung regelt die Anmeldung bei dieser Anwendung; siehe [Eine Richtlinie Anwendungen zuweisen](#assign-a-policy-to-applications). ## Wie eine Richtlinie aufgebaut ist Eine Richtlinie ist eine Menge von **Regeln**, die als Baum von **Bedingungen** angeordnet sind. Iru durchläuft den Baum bei jeder Auswertung der Richtlinie von oben: * **Verzweigungsbedingungen** leiten die Anmeldung je nach Kontext auf unterschiedliche Pfade. Beispielsweise verzweigt eine Richtlinie nach der Art des sich anmeldenden Geräts, sodass ein macOS- Gerät anhand der macOS-Anforderungen und ein Windows-Computer anhand der Windows-Anforderungen geprüft wird. * **Anforderungsbedingungen** prüfen, ob etwas zutrifft, zum Beispiel, dass die Festplatte eines Geräts verschlüsselt ist oder dass es verwaltet wird. Jede nicht erfüllte Anforderung wird als **Verstoß** erfasst. Wenn der Durchlauf abgeschlossen ist, ist die Richtlinie entweder bestanden (keine Verstöße) oder nicht bestanden (ein oder mehrere Verstöße). ```mermaid theme={null} flowchart TD start["Anmeldung bei einer zugewiesenen App"] --> branch{"Um welche Art von
Gerät handelt es sich?"} branch -->|"macOS"| mac["macOS-
Anforderungen prüfen"] branch -->|"Windows"| win["Windows-
Anforderungen prüfen"] branch -->|"Mobil"| ios["Mobile
Anforderungen prüfen"] mac --> decision{"Alle Anforderungen
erfüllt?"} win --> decision ios --> decision decision -->|"Ja"| allow["Zulassen: Anmeldung ausstellen"] decision -->|"Nein"| deny["Verweigern: Verstöße erfassen"] ``` Der Editor für Authentifizierungsrichtlinien: ein Trigger-Knoten, verbunden mit einem Knoten Enforce Device Health, der sich in die Spalten macOS, Windows, iOS und Android verzweigt. Jede Plattform listet Prüfungen des Gerätezustands wie FileVault, BitLocker, Jailbroken, Passcode Set und OS Version auf, jeweils auf Enabled, Disabled oder Ignored gesetzt. ## Wie eine Richtlinie bei der Anmeldung ausgewertet wird ```mermaid theme={null} sequenceDiagram participant U as Person participant A as Anwendung participant I as Iru Identity U->>A: App öffnen A->>I: Iru um Authentifizierung bitten I->>I: Identität des Benutzers bestätigen I->>I: Zugewiesene Richtlinie auswerten alt Richtlinie bestanden I-->>A: Single Sign-On ausstellen A-->>U: Zugriff gewähren else Richtlinie nicht bestanden I-->>U: Verweigern und erklären, was fehlte end ``` Jede Anmeldung bei einer Anwendung erzeugt eine Entscheidung, und Iru zeichnet diese Entscheidung einschließlich aller Verstöße auf, sodass Sie später im [Aktivitätsprotokoll](/de/identity/administration/activity-log) nachvollziehen können, was passiert ist. Eine Richtlinie entscheidet, **ob** eine Anmeldung zulässig ist und **was dafür zutreffen muss**. Ob einem Benutzer die Anwendung *zugewiesen* ist, ist eine separate Prüfung. Beide müssen erfolgreich sein, damit jemand eine App erreicht. Siehe [Zugriff zuweisen](/de/identity/applications/assigning-access). ## Was eine Richtlinie verlangen kann Ein Passkey oder ein Iru Access-Authentifikator ist für die Anmeldung **immer erforderlich**; das ist für alle integriert und nicht etwas, das eine Richtlinie aktiviert. Was eine Richtlinie zusätzlich hinzufügt, ist **Gerätevertrauen**: welche Geräte sich anmelden dürfen und in welchem Zustand sie sein müssen. Anmeldung von einem bekannten, intakten, verwalteten Gerät verlangen (zum Beispiel einem mit aktivierter Festplattenverschlüsselung. Siehe [Gerätevertrauen](/de/identity/authentication/device-trust). Anmeldung nur von den von Ihnen gewählten Geräteplattformen zulassen und alle anderen verweigern. Plattformspezifische Signale wie Festplattenverschlüsselung, eine Firewall oder eine Mindest- Betriebssystemversion verlangen. Siehe [Gerätevertrauen](/de/identity/authentication/device-trust). ## Was passiert, wenn eine Richtlinie nicht bestanden wird Wenn eine Anmeldung die Anforderungen einer Richtlinie nicht erfüllt, **verweigert** Iru sie und erfasst den Grund als einen oder mehrere **Verstöße**. Jeder Verstoß erfasst die nicht erfüllte Anforderung, was die Richtlinie erwartet hat und was tatsächlich festgestellt wurde; zum Beispiel eine Anforderung, dass die Festplattenverschlüsselung *aktiviert* sein muss, während sie als *deaktiviert* erkannt wurde. Wenn eine Richtlinie so konfiguriert ist, dass kein Pfad erfolgreich sein kann (zum Beispiel keine Geräte- plattform zugelassen ist, wird jede Anmeldung bei den von ihr geregelten Anwendungen verweigert. Überprüfen Sie die zugelassenen Plattformen der Richtlinie, bevor Sie sie breit zuweisen. ## Eine Richtlinie erstellen Wählen Sie unter **Policies → Authentication policies** die Option **Add policy** und geben Sie ihr einen eindeutigen Namen und eine Beschreibung. Am Namen erkennen Sie sie, wenn Sie sie Anwendungen zuweisen. Fügen Sie die Bedingungen hinzu, die die Anmeldung erfüllen muss. Sie können die Anmeldung nur von bestimmten Geräteplattformen zulassen und für jede davon Signale zum Gerätezustand verlangen, etwa dass die Festplattenverschlüsselung aktiviert ist oder das Gerät verwaltet wird. Die vollständige Liste der verfügbaren Signale finden Sie unter [Gerätevertrauen](/de/identity/authentication/device-trust). Verknüpfen Sie die Richtlinie mit den Anwendungen, die sie regeln soll. Ab diesem Zeitpunkt wird jede Anmeldung bei diesen Apps anhand dieser Richtlinie ausgewertet. Melden Sie sich als Testbenutzer bei einer zugewiesenen App an und bestätigen Sie das Ergebnis. Wenn der Zugriff unerwartet verweigert wird, überprüfen Sie die erfassten Verstöße im [Aktivitätsprotokoll](/de/identity/administration/activity-log). ## Eine Richtlinie Anwendungen zuweisen Eine Richtlinie bewirkt nichts, bis sie mit Anwendungen verknüpft ist. Jede Richtlinie führt eine Liste der Anwendungen, für die sie **gilt**, und Sie verknüpfen oder trennen Anwendungen auf der Seite der Richtlinie im Dashboard. Die zugewiesene Richtlinie einer Anwendung ist das, was Iru bei jeder Anmeldung bei dieser Anwendung auswertet. Fassen Sie Anwendungen mit denselben Sicherheitsanforderungen unter einer gemeinsamen Richtlinie zusammen. Wenn sich Ihre Anforderungen ändern, aktualisieren Sie eine Richtlinie, statt jede App zu bearbeiten. ## Nächste Schritte Die Anmeldedaten, mit denen Benutzer bei jeder Anmeldung ihre Identität nachweisen. Bekannte, intakte, verwaltete Geräte als Zugriffsbedingung verlangen. Den Zugriff daran anpassen, wie vertrauenswürdig eine Anmeldung erscheint. Sehen, wie die Auswertung aus Sicht des Benutzers aussieht.