Sicherheit des Dashboard-Zugriffs

Das Dashboard kann auf alle Endbenutzer Ihrer Umgebungen zugreifen. Deshalb gilt für den Zugriff darauf auf jedem Tarif eine feste Sicherheitsbasis. Keine Kontoeinstellung kann diese Schutzmaßnahmen abschalten.

Multi-Faktor-Anmeldung

Jede Anmeldung am Dashboard muss eine Multi-Faktor-Authentifizierung verwenden. War eine Anmeldung nicht multi-faktorbasiert, fordert das Dashboard Sie auf, sich mit einem zweiten Faktor erneut anzumelden, bevor es in Ihren Umgebungen etwas anzeigt oder ändert.
Mitglieder mit der Rolle owner oder admin müssen einen Passkey oder einen Sicherheitsschlüssel verwenden, um in Umgebungen zu arbeiten. Ein Bestätigungscode aus einer Authentifizierungs-App reicht für diese Rollen nicht aus.

Sitzungen

Regel	Wert
Leerlaufzeitüberschreitung	30 Minuten ohne Aktivität
Maximale Sitzungsdauer	12 Stunden, unabhängig von der Aktivität
Sitzungen pro Person	5; eine sechste Anmeldung beendet die älteste Sitzung
Abmelden	Beendet die Sitzung sofort

Eine Sitzung ist an den Browser gebunden, der sie gestartet hat: an einen Schlüssel, den der Browser erzeugt und nicht exportieren kann, und an ein Gerätecookie. Eine Anfrage, die einen anderen Schlüssel oder ein anderes Gerätecookie vorlegt, beendet die Sitzung. KeenAuth sendet dem Inhaber der Sitzung dazu eine E-Mail mit einem Sicherheitshinweis (höchstens eine pro Stunde).

Die Sitzung überwacht außerdem das Netzwerk, das Sie verwenden:

Wenn sich Ihr IPv4-/24- oder IPv6-/56-Netzwerk ändert, fordert das Dashboard Sie auf, sich erneut anzumelden, bevor es fortfährt.
Wenn sich Ihr Netzwerkanbieter (autonomes System) ändert, endet die Sitzung. Ist der Anbieter einer Adresse nicht bekannt, gilt diese Regel nicht, und die oben genannte Netzwerkregel bleibt trotzdem in Kraft.

Sensible Aktionen

Teamverwaltung, benutzerdefinierte Rollen, Übertragung des Eigentums, Schließen des Kontos, Erstellen von production-Umgebungen, Löschen von Umgebungen, Ändern des Issuer-Modus, Tarif- und Abrechnungsänderungen, Zugriffsgewährungen für den Plattform-Support und Sicherheitseinstellungen des Dashboards werden nur akzeptiert, wenn Sie sich in den letzten 5 Minuten angemeldet haben. Andernfalls fordert das Dashboard Sie auf, sich erneut anzumelden, und fährt danach fort. Dieselbe Liste finden Sie unter Dashboard-Team verwalten.

So wird der Zugriff auf eine Umgebung geprüft

Das Dashboard besitzt keinen allgemeinen Schlüssel zu Ihren Umgebungen. Für jede Umgebung, die Sie öffnen, erhält es ein kurzlebiges Zugriffstoken:

Es ist 5 Minuten gültig und gilt nur für eine einzige Umgebung.
Es ist an den Schlüssel Ihres Browsers gebunden und kann deshalb nicht aus einem anderen Browser verwendet werden.
Es enthält die Berechtigungen, die Ihnen Ihre Rollen in dieser Umgebung geben.

Die Region, in der die Umgebung liegt, prüft bei jeder Anfrage erneut die Signatur, die Umgebung, das Konto und jede Berechtigung. Was das Dashboard ausblendet oder anzeigt, dient nur der Bequemlichkeit. Die Entscheidung fällt dort, wo die Daten liegen.

Wenn eine Rolle entfernt wird

Wird eine Ihrer Rollen widerrufen oder werden Sie aus einem Konto entfernt, werden Ihre Dashboard-Sitzungen und Zugriffstoken für dieses Konto widerrufen. Das Beenden Ihrer Mitgliedschaft wartet nicht auf die Gültigkeitsdauer des Tokens von 5 Minuten.

Single Sign-On für das Dashboard

Im Business- und im Enterprise-Tarif kann ein Konto verlangen, dass sich seine Mitglieder über den Identitätsanbieter des Unternehmens am Dashboard anmelden. Inhaber und Administratoren verwalten dies auf dem Bildschirm Dashboard-Sicherheit (/account/security). Jede Änderung dort ist eine sensible Aktion: Sie müssen sich in den letzten 5 Minuten angemeldet haben.

Verbindung und Verzeichnis einrichten

Die SAML- oder OpenID-Connect-Verbindung, das SCIM-Verzeichnis und die verifizierten Domains für die Anmeldung am Dashboard richten Sie im Admin-Portal ein. Wählen Sie auf dem Bildschirm Dashboard-Sicherheit Admin-Portal öffnen. Der Link wird einmal geöffnet und läuft nach 5 Minuten ab.

Single Sign-On verlangen

Wenn Single Sign-On verlangt wird, müssen sich Mitglieder des Kontos über die Verbindung zum Identitätsanbieter des Kontos anmelden. Ein Mitglied, das auf andere Weise angemeldet war, wird aufgefordert, sich mit Single Sign-On erneut anzumelden, bevor das Dashboard fortfährt. Dieselbe Regel gilt für Anmeldungen über die Kommandozeile (CLI) für das Konto.
Sie können die Anforderung nur einschalten, wenn Sie selbst mit Single Sign-On angemeldet sind oder wenn das Konto mindestens einen Notfall-Inhaber hat. So wird verhindert, dass das Konto durch eine nicht funktionierende Verbindung ausgesperrt wird.
Die Anforderung lässt sich immer ausschalten, auch nach einer Herabstufung des Tarifs.

Notfall-Inhaber

Ein Inhaber kann bis zu 2 Inhaber als Notfall-Inhaber kennzeichnen. Nur Inhaber können diese Kennzeichnung setzen oder entfernen.
Ist der Identitätsanbieter nicht erreichbar, kann sich ein Notfall-Inhaber ohne Single Sign-On anmelden, und zwar ausschließlich mit einem Passkey oder einem Sicherheitsschlüssel.
Jede Anmeldung eines Notfall-Inhabers wird im Audit-Protokoll des Kontos erfasst und per E-Mail an die Inhaber des Kontos gemeldet.

Rollen für Verzeichnisgruppen

Sie können den Mitgliedern einer SCIM-Gruppe aus Ihrem Verzeichnis eine Dashboard-Rolle zuweisen. Wählen Sie auf dem Bildschirm Dashboard-Sicherheit unter Rollen für Verzeichnisgruppen die Option Gruppe zuordnen und geben Sie die ID der Gruppe (im Admin-Portal angezeigt), die Rolle und den Geltungsbereich ein.

Ein Konto kann bis zu 20 Gruppenzuordnungen haben. Die Rolle owner wird nie über eine Gruppe vergeben: Das Eigentum gehört immer einer Person.
Sie können nur Rollen zuordnen, die Sie sich selbst zuweisen dürfen. Das Anlegen und Entfernen von Zuordnungen erfordert die Berechtigung zur Teamverwaltung.
Mitglieder einer zugeordneten Gruppe erhalten die Rolle innerhalb von etwa 5 Minuten. Ein Mitglied, das die Gruppe verlässt, verliert die Rolle bei der nächsten Synchronisierung. Eine Person in der Gruppe, die noch nicht Mitglied des Kontos ist, wird als Mitglied hinzugefügt.
Eine Rolle, die aus einer Gruppe stammt, ist auf dem Bildschirm Team mit „(aus einer Verzeichnisgruppe)“ gekennzeichnet. Sie kann dort nicht widerrufen werden. Ändern Sie dazu die Gruppe in Ihrem Verzeichnis oder entfernen Sie die Zuordnung.
Das Entfernen einer Zuordnung entfernt sofort die Rollen, die sie vergeben hat. Manuell vergebene Rollen werden durch die Gruppensynchronisierung nie geändert, und ein Mitglied, das aus dem Konto entfernt oder dort gesperrt wurde, wird nicht wieder hinzugefügt.
Kann das Verzeichnis nicht erreicht werden, bleiben Rollen aus Gruppen höchstens 1 Stunde nach der letzten erfolgreichen Synchronisierung erhalten. Danach werden sie entfernt, bis das Verzeichnis wieder antwortet. Ein Synchronisierungsfehler fügt nie eine Rolle hinzu.
Nach einer Herabstufung unter den Business-Tarif werden Rollen aus Gruppen entfernt.

Noch nicht verfügbar

Kontoeinstellungen, die die Lebensdauer von Sitzungen verkürzen, für jedes Mitglied eine phishingresistente Anmeldung verlangen oder Bestätigungscodes aus einer Authentifizierungs-App für owner und admin zulassen.
E-Mail-Hinweise bei einer Anmeldung aus einem neuen Land oder von einem neuen Gerät.