O production só abre a partir das redes que você permite
Restrinja um ambiente por rede, e o servidor só entrega o conteúdo dele a endereços das suas listas permitidas. A restrição vale para pessoas, máquinas e tokens de serviço, inclusive Owners e administradores.
- Faixas IPv4 e IPv6
- Políticas assinadas, afrouxamento com atraso
- Acesso break-glass para Owners
Listas de redes e políticas de ambiente
As listas de redes são listas assinadas de faixas de endereços, como Office e VPN. A política de rede do ambiente diz quem recebe o conteúdo e de onde, e salvá-la exige a assinatura de um Owner ou de um administrador.
- Pessoas, máquinas, tokensDefina faixas separadas para pessoas e para máquinas e desligue os links de compartilhamento enquanto a restrição estiver ativa.
- As gravações também são limitadasNovas versões só são aceitas a partir de redes permitidas.
- CI só com OIDCUma política pode exigir que os tokens de serviço tenham vínculo com o CI.
Apertar na hora, afrouxar com atraso
Apertar uma política vale imediatamente. Afrouxá-la espera 15 minutos, com um alerta para os Owners e um botão Cancel relaxation, a menos que um segundo administrador também assine.
| Mudança | Passa a valer |
|---|---|
| Apertar uma política | Imediatamente |
| Afrouxar uma política | Depois de 15 minutos, com um alerta para os Owners e um botão Cancel relaxation |
| Afrouxar na hora | Só com uma segunda assinatura de outro administrador |
Os clientes guardam a política mais recente que aceitaram e não aceitam uma mais antiga.
Para quando a regra atrapalha
Servidores mudam de endereço, e Owners viajam. As exceções já vêm prontas, têm prazo e são bem visíveis.
- Passes de máquinaQuando o endereço externo de uma máquina muda, um passe mantém a entrega do conteúdo a partir do novo endereço por um tempo, 24 horas por padrão.
- Acesso break-glassUm Owner pode contornar a política por até 60 minutos, com um motivo por escrito e um alerta.
- As recusas ficam visíveisTodas as recusas aparecem na aba Denials. Uma recusa a uma máquina ou a um token gera um alerta crítico; a uma pessoa, um aviso.
- O agente sabe o motivoUma máquina recusada pela política de rede sai com o código 7, para que os scripts consigam distinguir essa falha das outras.
Uma regra no servidor, não uma camada de criptografia
Os seus valores ficam criptografados de qualquer forma. A restrição decide a quem o servidor vai entregar o texto cifrado.
- Imposta pelo servidorUm servidor tomado por terceiros não vai segui-la. As assinaturas só tornam uma política trocada visível para os clientes que já viram uma mais recente.
- O endereço que o servidor vêTodos atrás do mesmo NAT ou proxy compartilham um único endereço. Atrás de um proxy, defina TRUST_PROXY para que o servidor leia o endereço real.
- O que foi entregue continua entregueO conteúdo recebido antes da restrição continua nos dispositivos e na memória dos agentes.
- Um passe é uma janelaUma chave de máquina roubada junto com um passe ativo consegue buscar o conteúdo até o passe terminar.
Respostas às dúvidas mais comuns
Outra dúvida? Escreva para support@crunu.com
A restrição vale para Owners e administradores?
Sim. Ela vale igualmente para pessoas, máquinas e tokens de serviço. Quando precisam, os Owners têm acesso break-glass por até 60 minutos, com um motivo e um alerta.
E se alguém afrouxar a política com uma sessão roubada?
Mudar uma política exige a assinatura da chave de um Owner ou de um administrador, e um token de sessão roubado, sozinho, não consegue produzi-la. Mesmo um afrouxamento assinado espera 15 minutos e alerta os Owners, que podem cancelá-lo.
O IP do nosso servidor mudou durante a noite. Ele vai parar de funcionar?
Não na hora. Um passe de máquina mantém a entrega do conteúdo a partir do novo endereço por 24 horas por padrão e gera um alerta.
Isso é o mesmo que criptografar por localização?
Não. É uma regra que o servidor impõe além da criptografia. Os seus valores ficam criptografados de qualquer forma; a restrição decide a quem o servidor vai entregar o texto cifrado.
Funciona com IPv6?
Sim. As listas de redes aceitam faixas IPv4 e IPv6.
Mantenha o production dentro das suas redes
Crie uma lista de redes para o escritório e a VPN e depois restrinja um ambiente.