Gerätevertrauen ist eine der Bedingungen, die eine
Authentifizierungsrichtlinie
durchsetzen kann. Nachfolgend erfahren Sie, woher Geräteinformationen stammen und welche
Signale eine Richtlinie verlangen kann.
Woher Geräteinformationen stammen
Der Gerätezustand stammt von der Iru Access-App (derselben App, mit der sich Benutzer anmelden), die auf dem Gerät ausgeführt wird. Wenn ein Gerät zum ersten Mal eingerichtet wird, bestätigt Iru, dass es sich um ein echtes, registriertes Gerät handelt; von da an meldet Iru Access die Zustandssignale des Geräts an Iru, wo Ihre Authentifizierungsrichtlinien sie verwenden können. Iru Access meldet diese Signale bei der Registrierung eines Geräts, bei jeder Anmeldung des Benutzers und (auf Computern) bei einem regelmäßigen Check-in im Hintergrund. Richtlinien, die einen bestimmten Gerätezustand verlangen, behandeln diese Momentaufnahmen als zeitkritisch. Wenn die Zustands- oder Play Integrity-Momentaufnahme eines Geräts fehlt oder älter als 24 Stunden ist, verweigert die Richtlinie die Anmeldung. Lassen Sie Iru Access installiert und check-in-fähig, damit die Signale für die Durchsetzung aktuell genug bleiben.Gerätesignale sind nur für Geräte verfügbar, auf denen Iru Access
registriert ist. Führen Sie die App daher ein, bevor Sie Gerätevertrauen verlangen. Wie Benutzer
Iru Access einrichten, erfahren Sie unter Authentifikatoren.
Was „vertrauenswürdig“ bedeuten kann
Eine Anforderung an das Gerätevertrauen ist eine Kombination von Signalen, die Sie auswählen. Einfach ausgedrückt kann eine Richtlinie verlangen, dass ein Gerät:Bekannt und verifiziert
Das Gerät ist ein echtes, erkanntes Gerät und kein unbekanntes oder gefälschtes.
Iru kann bestätigen, dass ein Gerät attestiert ist, bevor es seinen Signalen vertraut.
Verwaltet
Das Gerät ist in der Geräteverwaltung Ihrer Organisation registriert. Iru
ermittelt dies anhand der von Iru Access gemeldeten Verwaltungsnachweise, etwa eines
Registrierungsprofils auf einem Mac, einer MDM-Registrierung auf einem Windows-Computer oder einer Konfiguration als verwaltete App
auf einem Mobilgerät.
Verschlüsselt
Die Festplattenverschlüsselung des Geräts ist aktiviert, sodass ruhende Daten geschützt sind, wenn
das Gerät verloren geht oder gestohlen wird.
Intakt
Das Gerät erfüllt den von Ihnen verlangten Zustand; zum Beispiel sind seine Schutz-
funktionen aktiviert und es läuft eine akzeptable Betriebssystemversion.
Wie eine Richtlinie Gerätevertrauen nutzt
Eine Richtlinie berücksichtigt zunächst, auf welcher Plattform sich ein Gerät befindet, und wendet dann die Anforderungen an, die Sie für diese Plattform festgelegt haben. Die verfügbaren Signale unterscheiden sich je nach Plattform, da jedes Betriebssystem unterschiedliche Schutzmechanismen bereitstellt.macOS
macOS
Auf einem Mac meldet Iru Access eine umfangreiche Reihe von Signalen: aktivierte Festplattenverschlüsselung
(FileVault), aktivierte Firewall, aktivierter System Integrity Protection, ein versiegeltes
(verifiziertes) Systemvolume und die Betriebssystemversion. Verlangen Sie die
Kombination, die Ihre Richtlinie benötigt.
Windows
Windows
Unter Windows meldet Iru Access ebenfalls eine umfangreiche Reihe: aktivierte Festplattenverschlüsselung (BitLocker),
aktivierte Firewall, aktivierter Schutz durch Microsoft Defender Antivirus, aktiviertes Secure Boot,
aktivierte Speicherintegrität, ein vorhandener Hardware-Sicherheitschip (TPM) und der
Betriebssystem-Build. Wenn Ihre Organisation statt Microsoft Defender ein Antivirenprogramm eines Drittanbieters verwendet,
testen Sie dieses Signal, bevor Sie es durchsetzen.
iOS
iOS
Auf einem Mobilgerät meldet Iru Access eine kleinere Auswahl: ob ein Code
(Bildschirmsperre) festgelegt ist, und die Betriebssystemversion.
Was einige macOS-Signale bedeuten: System Integrity Protection (SIP) verhindert, dass selbst
ein Administrator geschützte Systemdateien ändert; ein Signed System Volume
(SSV) ist ein kryptografisch versiegeltes, manipulationssicheres Systemvolume; und die
Single-Sign-On-(SSO-)Erweiterung ist die macOS-Komponente, mit der Iru App-
Anmeldungen auf dem Gerät vermitteln kann. Wenn Sie diese verlangen, bestätigen Sie, dass die grundlegenden Schutzmechanismen des Geräts
intakt sind.
Nur die Plattformen, die Sie in einer Richtlinie aktivieren, dürfen sich bei den
von ihr geregelten Anwendungen anmelden. Wenn eine Plattform deaktiviert bleibt, wird Geräten auf dieser
Plattform der Zugriff verweigert.
Eine Anforderung an das Gerätevertrauen erstellen
1
Iru Access einführen
Stellen Sie sicher, dass auf den Geräten, denen Sie vertrauen möchten, Iru Access installiert und
registriert ist. Sie können die App über Ihr MDM bereitstellen, und Benutzer schließen die Einrichtung über
eine Einladung ab. Ohne die App hat Iru keine Signale für das Gerät. Plattformspezifische
Einführungsschritte, einschließlich Skripten zur verwalteten Registrierung, finden Sie unter
Authentifikatoren und
Iru Access bereitstellen.
2
Richtlinie öffnen oder erstellen
Bearbeiten Sie unter Policies → Authentication policies die Richtlinie, die
Gerätevertrauen durchsetzen soll.
3
Zulässige Plattformen aktivieren
Aktivieren Sie jede Geräteplattform, die zugelassen werden soll, und lassen Sie die übrigen deaktiviert,
um sie zu verweigern.
4
Erforderliche Signale festlegen
Verlangen Sie für jede Plattform die benötigten Signale zum Gerätezustand, etwa
aktivierte Verschlüsselung, Verwaltung und eine Mindestversion des Betriebssystems.
5
Zuweisen und überprüfen
Weisen Sie die Richtlinie den relevanten Anwendungen zu und testen Sie die Anmeldung von einem verwalteten
Gerät, um das Ergebnis zu bestätigen.
Nächste Schritte
Authentifizierungsrichtlinien
Gerätevertrauen mit Anforderungen an Authentifikatoren und Risiko kombinieren.
Authentifikatoren
Iru Access ist sowohl das Anmeldemittel der Benutzer als auch die Quelle der Gerätesignale.
Risiko und adaptiver Zugriff
Kontextbezogenes Risiko zusätzlich zum Gerätevertrauen berücksichtigen.
Systemarchitektur
Sehen, wie Gerätesignale durch Iru fließen.