Sie können die vordefinierten Apps, die in Ihrer Organisation genutzt werden, konfigurieren und verwalten. Nach der Konfiguration werden diese Apps zum Definieren von Richtlinien und Transparenz in der Berichterstellung verwendet.
Für vordefinierte Apps müssen alle Hostnamen öffentlich auflösbar sein.
Wenn Sie eine App definieren müssen, die einen Hostnamen nutzt, der nur privat auflösbar ist (z. B. Split-Brain DNS) oder wenn Sie die öffentliche DNS-Antwort für einen bestimmten Hostnamen außer Kraft setzen möchten, erstellen Sie stattdessen eine benutzerdefinierte App.
- Navigieren Sie in Jamf Security Cloud zu Richtlinien > Zugriff > Zugriffsrichtlinie.
- Klicken Sie auf Richtlinie erstellen.
- Klicken Sie unter Vordefinierte App auf App auswählen.
Vordefinierte und benutzerdefinierte Apps
Eine vordefinierte App enthält alle üblichen Kriterien für die Datenverkehrsklassifizierung (z. B. Hostnamen), die erforderlich sind, damit die von Jamf Connect Zero-Trust-Netzwerkzugriff-Funktionen Datenverkehr von Geräten der genannten App zuordnen kann. In den meisten Fällen bedeutet dies, dass Sie keine zusätzlichen Hostnamen definieren müssen, es sei denn, Sie nutzen eine benutzerdefinierte Domäne für die App.
Für eine benutzerdefinierte App müssen Sie mindestens einen Hostnamen angeben, um den Datenverkehr der App zu klassifizieren. Wenn Sie dies nicht tun, wird der Datenverkehr nicht mit dieser Zugangsrichtlinie abgeglichen.
- Wählen Sie eine App aus der Liste aus.
- Klicken Sie auf Weiter.
- Wählen Sie eine Kategorie für die App.
- Klicken Sie auf Weiter.
- (Optional) Geben Sie im Feld App-Hostnamen einen Hostnamen an oder fügen Sie eine zeilengetrennte Liste von Hostnamen ein, die die App verwendet, und klicken Sie dann auf Hinzufügen.Hinweis: Überspringen Sie diesen Schritt, wenn Sie eine vordefinierte App verwenden, es sei denn, Sie müssen ihr einen benutzerdefinierten Hostnamen zuweisen.
Jeder Hostname muss als vollständig qualifizierter Domänenname (FQDN) angegeben und unter Verwendung einer konfigurierten benutzerdefinierten DNS-Zone öffentlich bzw. privat auflösbar sein. Beispiele für einen FQDN sind
app.company.comoderapp2.domain.corp. Weitere Informationen finden Sie unter Benutzerdefiniertes DNS im Einrichtungsleitfaden für das Jamf Security Cloud Portal.Sie können Kurznamen verwenden, nachdem Sie eine Suchdomäne in einer benutzerdefinierten DNS-Zone konfiguriert haben. Bespiele hierfür sind
appoderfiles, an die die Domäne automatisch anhängt wird.Platzhalter werden unterstützt, etwa
*.company.com, um den gesamten Datenverkehr aus allen Subdomänen über diese Zugriffsrichtlinie zu leiten. Diese Richtlinie ist nützlich, um ein großes Datenverkehrsvolumen zu erfassen, so dass Sie im Laufe der Zeit detailliertere Richtlinien festlegen können.Wenn Sie als Hostname ein Sternchen (*) angeben, können Sie den gesamten Datenverkehr, der DNS nutzt, über Zero-Trust-Netzwerkzugriff routen. Dies ähnelt einem herkömmlichen VPN mit komplettem Tunnel, es wird jedoch nicht der Datenverkehr erfasst , der IP-Adressen direkt zur Verbindung über das Netzwerk nutzt.
Hinweis:alle Netzwerksicherheitsfilter mit dieser Konfiguration werden derzeit umgangen, da alle Zugriffsrichtlinien von Haus aus als „vertrauenswürdiger“ Datenverkehr behandelt werden.
Diese Regel dient als Auffangregel für alle Optionen, wobei alle anderen Zugriffsrichtlinien Vorrang vor dieser Regel haben.
Testen Sie gründlich, ob Ihre Apps ordnungsgemäß mit dieser Konfiguration funktionieren, da einige Dienste keinen Datenverkehr zulassen, der von Rechenzentren stammt. In diesem Fall können Sie Zugriffsrichtlinien für diese Ziele definieren, um sie nach Bedarf zu routen (z. B. über ein privates Gateway oder direkt vom Gerät).
Wenn der eingegebene Hostname bereits in einer Ihrer vorhandenen vordefinierten Apps definiert ist, hat die neu erstellte App bei der Richtlinienbewertung Vorrang vor der vordefinierten App.
- Wenn kein Hostname verfügbar ist, fügen Sie die von der App verwendeten IPv4-Adressen oder Subnetze im Bereich Direkte IPs und Subnetze hinzu.Hinweis:
Die Verwendung von IPv4-Adressen oder Subnetzwerken erfordert die Installation der Jamf Trust App auf den betreffenden Geräten.
Direkter IP-Datenverkehr wird derzeit in keinen Berichten von Jamf Security Cloud protokolliert.
- Klicken Sie auf Weiter.
- Wenn Sie den App-Zugriff auf bestimmte Gerätegruppen beschränken möchten, wählen Sie unter Berechtigungen für Gerätegruppen die Option Ausgewählte Gerätegruppen aus, wählen Sie eine oder mehrere Gruppen aus dem Menü aus und klicken Sie auf Hinzufügen.
- Klicken Sie auf Weiter.
- Definieren Sie mit der Option Sicherheit die Sicherheitsanforderungen, die erfüllt sein müssen, damit zugelassene Benutzer auf ihren Geräten auf diese App zugreifen können.Hinweis:Sie benötigen eine
Jamf Protect
Lizenz, um diese Anforderungen zu definieren.- Zugriff erfordert Verwaltung des Geräts —Aktivieren Sie dieses Feature, um zu verhindern, dass nicht verwaltete Geräte auf die App zugreifen. Wenn diese Option aktiviert ist, können Sie eine Push-Mitteilung konfigurieren, um Benutzer nicht verwalteter Geräte darüber zu informieren, warum ihr Zugriff verweigert wurde. Der Geräteverwaltungsstatus wird durch die UEM Connect Synchronisierung Ihrer Konfiguration bestimmt. Geräte, die aktiv beim verbundenen UEM registriert sind, gelten als verwaltet, sofern sie innerhalb des festgelegten Schwellenwerts für den Geräte-Check-In beim UEM eingecheckt haben. Alle anderen Geräte werden als nicht verwaltet eingestuft. Wenn UEM Connect nicht konfiguriert ist oder fehlschlägt, ist der Geräteverwaltungsstatus möglicherweise ungenau.
- Zugriff erfordert Geräterisiko-Validierung —Aktivieren Sie dieses Feature, um Geräte mit einer bestimmten Risikostufe (oder neuer) am Zugriff auf die App zu hindern. Wenn diese Option aktiviert ist, können Sie die Risikostufe festlegen und eine Push-Mitteilung konfigurieren, um Benutzer darüber zu informieren, wann und warum ihr Zugriff verweigert wird.Hinweis:
Diese Option ist nur für verwaltete Apple Geräte mit einem Profil für Netzwerk-Bedrohungsvermeidung verfügbar.
- Zugriff erfordert Aktivierung von Jamf Trust —Aktivieren Sie dieses Feature, um die Zugriffsregeln für eine App kontinuierlich durchzusetzen. Wenn diese Option aktiviert ist, kann der Benutzer nicht auf die App auf seinem Gerät zugreifen, solange die Jamf Trust App deaktiviert ist.
- Klicken Sie auf Weiter.
- Wählen Sie eine Routing-Methode aus, um anzugeben, wie die App vom Zero-Trust-Netzwerkzugriff angesteuert werden soll, und klicken Sie dann auf Weiter.
- Verschlüsseln und weiterleiten über ZTNA —
Verschlüsseln Sie den App-Datenverkehr vom Gerät zur Jamf Security Cloud Cloud und routen Sie ihn dann über das ausgewählte Netzwerk-Gateway.
- Standard-Geräte-Routing —
Routen Sie für Benutzer, die berechtigt sind, auf die App zuzugreifen, den App-Datenverkehr direkt zu dem Hostnamen, ohne ihn über Zero-Trust-Netzwerkzugriff zu verschlüsseln.
- Verschlüsseln und weiterleiten über ZTNA —
- Klappen Sie den Abschnitt Routing-Modus aus und wählen Sie den Routing-Modus für Apps auf Endgeräten aus.
- Standard-Routing des App-Datenverkehrs (empfohlen) —
Für Apps, die mit IPv4 und IPv6 kompatibel sind
- Altes Routing —
Für Benutzergeräte oder Apps, die nicht mit IPv6 kompatibel sind
- Standard-Routing des App-Datenverkehrs (empfohlen) —
- Klicken Sie auf Weiter.
- Prüfen Sie die App-Konfiguration und klicken Sie dann auf App speichern und erstellen.
Die App kann jetzt auf den Geräten genutzt werden, die die in der Zugriffsrichtlinie festgelegten Bedingungen erfüllen.