Politique d’accès
Décidez qui peut accéder à la console Lavawall et au soutien à distance, à partir d’où, et avec quelle robustesse d’authentification.
À quoi sert la page
La politique d’accès est une page de la console Lavawall®, dans la section Compte et utilisateurs. Lavawall est la plateforme de RMM, de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada. À propos de cette fonctionnalité.
La page Politique d’accès regroupe les règles de sécurité de votre organisation pour la console et pour les séances de soutien à distance. Vous pouvez limiter l’accès à des adresses IP ou à des pays de confiance, exiger l’authentification multifacteur, l’authentification unique ou une clé de sécurité matérielle avant le soutien à distance, et définir l’accès à distance accordé par défaut aux nouveaux utilisateurs.
D’autres sections régissent le chiffrement utilisé pour les séances de bureau à distance, la norme minimale pour les clés d’accès et les clés de sécurité, l’approbation des clés de technicien sur les appareils, les verrouillages et les limites de temps du coffre-fort de mots de passe, ainsi que les règles de séance de la console, comme le délai d’inactivité, la durée maximale de séance, les verrouillages et une bannière de connexion.
La plupart des paramètres s’enregistrent ensemble avec le bouton Save Policy au bas de la page. Les sections du coffre-fort, de la politique de séance, de la conformité et des clés de technicien ont chacune leur propre bouton d’enregistrement.
Ce que vous voyez
- IP Address Restriction (restriction par adresse IP) : une liste déroulante de modes avec les listes Trusted IPs et Allowed IPs, ainsi que Known Computers: automatic allow.
- Country Restriction (restriction par pays) : All countries ou Allowed countries only, avec une liste de pays.
- Restriction Scope (portée de la restriction) : indique si les règles d’adresse IP et de pays s’appliquent à Remote access only ou à Entire console + remote access.
- Authentication Requirement (exigence d’authentification) : la vérification de connexion supplémentaire requise avant le soutien à distance.
- User Defaults (valeurs par défaut des utilisateurs) : Default remote access for new users et options d’accès autonome des clients.
- FIPS, Passkey Assurance and End-to-End Encryption (FIPS, garantie des clés d’accès et chiffrement de bout en bout) : mode de chiffrement du bureau à distance, Mode de conformité FIPS 140-3, Minimum authenticator standard, clés de technicien et journal de séance de bout en bout.
- Vault Access Controls (contrôles d’accès au coffre-fort) : tentatives de déverrouillage, partages et jumelage, remise des clés, Session limits et Offline vault (chacun sur sa propre ligne), déverrouillage par clé d’accès et Locked-out users.
- Console Session Policy (politique de séance de la console) : normes de conformité, durées d’inactivité et de séance maximale, report de l’AMF, ordinateurs de confiance, méthodes de déverrouillage rapide, verrouillages, bannière de connexion et Locked accounts.
- Save Policy : enregistre les paramètres d’adresse IP, de pays, de portée, d’authentification, de valeurs par défaut des utilisateurs et de chiffrement.
Comment restreindre l’accès à la console ou l’accès à distance par adresse IP
- Dans IP Address Restriction, choisissez un mode : All IPs (no restriction), MSP & Client WAN IPs (from device inventory), Trusted IPs only ou Specific IP allowlist.
- Pour un mode à liste, saisissez une IP address (adresse IP), une longueur de préfixe et un Label (libellé), puis cliquez sur Ajouter. Utilisez /32 pour une seule adresse IPv4, /24 pour un sous-réseau de 256 adresses et /64 pour IPv6.
- Facultatif : activez Known Computers: automatic allow, recherchez un ordinateur et cliquez sur Ajouter. L’adresse Internet actuelle de cet ordinateur est alors autorisée automatiquement chaque fois qu’il se signale, ce qui convient aux personnes qui voyagent.
- Dans Restriction Scope, indiquez si IP Restriction applies to l’accès à distance seulement ou la console entière.
- Cliquez sur Save Policy.
Comment limiter l’accès à certains pays
- Dans Country Restriction, choisissez Allowed countries only.
- Sélectionnez un pays et cliquez sur Ajouter. Répétez l’opération pour chaque pays. Cliquez sur le × d’un pays pour le retirer.
- Dans Restriction Scope, définissez Country Restriction applies to.
- Cliquez sur Save Policy.
Comment exiger une connexion plus robuste pour le soutien à distance
- Dans Authentication Requirement, choisissez Require MFA, Require Microsoft SSO, Require Google SSO, Require a hardware passkey with user verification ou Require a FIPS 140-3 validated security key.
- Cliquez sur Save Policy.
Comment définir l’accès à distance des nouveaux utilisateurs
- Dans User Defaults, choisissez Default remote access for new users : toutes les entreprises, les entreprises clientes seulement, sa propre entreprise seulement ou aucun accès à distance (les choix dépendent de la gestion ou non d’entreprises clientes).
- FSG : indiquez s’il faut Allow client company users to remote their own company’s devices.
- Cliquez sur Save Policy. Modifiez les utilisateurs individuellement dans Utilisateurs et autorisations.
Comment définir les règles de séance de la console
- Dans Console Session Policy, définissez Idle limit (minutes), Maximum session length (hours) et Unlock window (minutes).
- Indiquez si MFA enrolment may be deferred et pendant combien de jours les ordinateurs de confiance peuvent se passer du code de l’application d’authentification.
- Cochez les Quick unlock methods autorisées après la limite d’inactivité, puis choisissez Lockout release, Failed attempts before lock et Lockout window (minutes).
- Si vous le souhaitez, saisissez une Logon banner (bannière de connexion) que les utilisateurs doivent accepter avant de se connecter.
- Cliquez sur Save Session Policy. Pour déverrouiller un compte verrouillé, cliquez sur Effacer à côté de celui-ci sous Locked accounts.
Comment définir les verrouillages et les limites de temps du coffre-fort
- Dans Vault Access Controls, définissez les limites sous Unlock attempts, Shares and pairing et Key delivery and rate.
- Sous Session limits, définissez Idle lock (minutes) et Maximum unlocked time (minutes), puis indiquez si Idle means away from the computer, not away from the vault et s’il faut Let a user change this for themselves.
- Sous Offline vault, indiquez s’il faut Allow a device to keep an offline copy of the vault. Indiquez ensuite si une clé d’accès peut déverrouiller le coffre-fort.
- Cliquez sur Save Vault Access Controls. Levez un verrouillage sous Locked-out users avec Effacer.
Comment permettre à des personnes de s’inscrire dans une autre région
Lavawall® héberge votre organisation sur la console de sa région : le Canada (console.lavawall.com), les États-Unis (usconsole.lavawall.com) ou l’Europe (euconsole.lavawall.com). Une personne qui se connecte à la console d’une autre région est redirigée vers la vôtre. La section Consoles régionales vous permet de faire des exceptions. Seuls le Canada, les États-Unis et l’Europe sont proposés, et une organisation du gouvernement américain ou de la CJIS est limitée aux États-Unis.
Pour une organisation entière
La section By organization vient en premier. Elle énumère votre organisation et chaque organisation cliente, avec Lives on (l’endroit où elle est hébergée) et People may also register on (les autres consoles que ses utilisateurs peuvent utiliser). Un paramètre défini ici s’applique à tous les domaines vérifiés de cette organisation.
- Dans Consoles régionales, repérez l’organisation sous By organization. Saisissez du texte dans Filter organizations pour restreindre la liste.
- Sous Add a console, choisissez la console et cliquez sur Ajouter, puis confirmez avec Allow.
- Pour retirer une console, cliquez sur le × de son badge sous People may also register on et confirmez avec Stop allowing.
- Un badge marqué (some domains) signifie que seuls certains des domaines vérifiés de l’organisation sont autorisés. Cliquez sur Apply to all pour autoriser tous les domaines vérifiés.
Une organisation sans domaine vérifié affiche « No verified domains: people are placed by their own email address. » Autorisez alors ses utilisateurs un à un, comme indiqué ci-dessous. Le même paramètre pour un client se trouve dans la boîte de dialogue Modifier l’organisation de la page Liste des clients.
Pour un domaine ou une personne
- Sous Your verified domains, la colonne Console indique où chaque domaine est hébergé.
- Pour permettre à tous les utilisateurs d’un domaine de s’inscrire dans une autre région, cochez cette région sous Also allow registration on et confirmez.
- Pour faire une exception pour une personne, saisissez son adresse courriel sous People allowed to register on another region, choisissez la Region et cliquez sur Allow.
- Pour retirer une exception, décochez la région à côté du domaine, ou cliquez sur le × à côté de la région dans la ligne de la personne.
Ces modifications sont enregistrées dès que vous les confirmez. Le bouton Save Policy ne s’applique pas à cette section.
Conseils
- Avant de faire passer les restrictions d’adresse IP ou de pays à Entire console, ajoutez votre propre adresse ou votre propre pays actuel, sans quoi vous risquez de vous verrouiller l’accès.
- L’application des clés d’accès peut d’abord s’exécuter en mode rapport seulement : laissez Enforce this level désactivé et surveillez Users with no key that meets this level jusqu’à ce que la liste soit vide.
- Security keys that meet this level énumère les clés matérielles que vous pouvez acheter ou distribuer avant d’activer l’application de la règle.
- Les paramètres marqués « inherit » suivent la politique de l’organisation parente.
- La levée d’un verrouillage est consignée dans le journal d’activité.
- Les exceptions de console régionale sont également consignées dans le journal d’activité. Les données d’une personne qui s’inscrit dans une autre région sont conservées dans cette région.
Dépannage
- « You are not authorized to manage remote support policy. »
- Seul un super administrateur, ou un utilisateur à qui un super administrateur a accordé l’autorisation Politique d’accès, peut ouvrir cette page.
- Une section indique qu’elle n’est pas encore disponible ou qu’elle est en lecture seule.
- Cette fonctionnalité n’a pas encore été activée pour votre console. Communiquez avec le soutien.
- Une personne ne peut pas se connecter depuis chez elle.
- Vérifiez les listes d’adresses IP et de pays ainsi que la Restriction Scope, ou ajoutez son ordinateur sous Known Computers.
- Le nouveau navigateur d’un technicien est bloqué.
- Sous Clés de technicien, un administrateur peut effacer l’épinglage dans Keys approved on each device afin que l’appareil accepte la prochaine clé du technicien.
- Une personne est dirigée vers la console d’une autre région à sa connexion.
- Son compte ou son domaine y est hébergé. Si cette personne doit utiliser cette région, ajoutez une exception sous Consoles régionales.
- Seuls les États-Unis sont proposés sous Consoles régionales.
- Les organisations du gouvernement américain et de la CJIS sont hébergées aux États-Unis.
- Un badge de console indique (some domains).
- Seuls certains des domaines vérifiés de cette organisation peuvent s’inscrire sur cette console. Cliquez sur Apply to all pour autoriser tous les domaines vérifiés, ou gérez les domaines un à un sous Your verified domains.
- Une organisation affiche « Every region is already allowed ».
- Ses utilisateurs peuvent déjà s’inscrire sur toutes les consoles proposées. Retirez-en une avec le × de son badge.
Guides de tâches qui utilisent cette page
Articles connexes
Besoin d’aide supplémentaire?
Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous vous trouviez :
- Clavardage : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe immédiatement. Lorsque le consentement aux témoins est requis, le clavardage démarre après votre acceptation (paramètres des témoins).
- Courriel : envoyez un message à notre équipe de soutien par la page Nous joindre. Il est transmis directement à une personne.
- Téléphone : AB : 1-403-538-5053, C.-B. : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.
Les noms, entreprises, appareils et chiffres figurant dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.