Zugriffsmodell und Self-Service¶

Afi Google Workspace Backup bietet ein flexibles und granulares Rollenmodell. Damit können Sie:

die Sicherungsverwaltung an eine Gruppe vertrauenswürdiger Nutzer delegieren (die Backup Operators);
Administratoren mit eingeschränktem Zugriffsbereich die Verwaltung bestimmter Ressourcengruppen und den Zugriff darauf erlauben;
eingeschränkten Self-Service-Zugriff für Nutzer des Google Workspace-Mandanten aktivieren.

Das fein abgestufte Rollenmodell ermöglicht es Administratoren, die Berechtigungen auf die jeweiligen Sicherheits- und Geschäftsanforderungen zu beschränken. Für die Gruppe Backup Operators lässt sich beispielsweise festlegen, dass ihre Mitglieder Fortschritt und Zustand von Sicherungen überwachen und auf Nutzeranfrage Daten wiederherstellen dürfen, aber keine Sicherungsdaten exportieren können. Aus Sicherheitsgründen ist Self-Service standardmäßig deaktiviert und muss bei Bedarf ausdrücklich von einem Administrator aktiviert werden.

Afi-Zugriffsmodell¶

Afi verwendet ein mandantenfähiges Organisations- und Zugriffsmodell. Damit können Sie mehrere Mandanten, beispielsweise Google Workspace und Microsoft 365, unter einem einzigen Afi-Konto (einer Organisation) hinzufügen und verwalten. Zugriff wird im Afi-Zugriffsmodell ausschließlich durch explizite Berechtigungszuweisungen gewährt. Das Modell ermöglicht die granulare Konfiguration auf jeder Ebene: für die gesamte Organisation, bestimmte Mandanten, Ressourcengruppen oder ausgewählte Ressourcen eines Mandanten. Dabei folgt es dem Prinzip der geringsten Rechte.

Die Zugriffseinstellungen der Organisation werden auf der Registerkarte Configuration → Admins verwaltet und gewähren Zugriff auf die gesamte Afi-Organisation und alle darin enthaltenen Mandanten. Mandantenspezifische Zugriffseinstellungen werden auf der Registerkarte Service → Settings → Access groups verwaltet.

Standardmäßig wird ein Afi-Organisationskonto mit einem einzigen Administrator erstellt: dem Nutzer, der das Konto eingerichtet hat. Organisationsadministratoren können auf der Registerkarte Configuration → Admins in der Gruppe Organization Administrators hinzugefügt oder entfernt werden und haben vollständigen Zugriff auf die Organisation und alle ihre Mandanten. Die Einstellungen auf Organisationsebene werden im verlinkten Artikel beschrieben. Dieser Artikel behandelt die mandantenspezifischen Zugriffseinstellungen für Google Workspace.

Gruppe Administrators¶

Mitglieder der Gruppe Administrators haben vollständigen Zugriff auf den Mandanten. Selbst in einer Afi-Organisation mit nur einem Mandanten haben sie jedoch keinen Zugriff auf Einstellungen auf Organisationsebene, etwa Lizenzierung, Zugriffsverwaltung der Organisation oder das Afi-Auditprotokoll auf Organisationsebene.

Information

Der Zugriff von Organisations- und Mandantenadministratoren auf Sicherungsdaten kann vollständig gesperrt werden, indem die Berechtigung zur Navigation in Sicherungsdaten für den Mandanten deaktiviert wird. Sie können den Zugriff auch teilweise einschränken, indem Sie die Vorschau von E-Mail- und Chatinhalten und/oder das Herunterladen von Daten begrenzen.

Gruppe Backup Operators¶

Die Gruppe Backup Operators ist eine Standardzugriffsgruppe jedes Afi-Mandanten. Sie kann eingeschränkten mandantenweiten Zugriff auf Sicherungsverwaltung, Daten, Wiederherstellung und Export gewähren. Der folgende Screenshot zeigt die Gruppe Backup Operators mit einem Mitglied, das Sicherungen und Sicherungs-SLA-Richtlinien verwalten, in Sicherungsdaten navigieren und Wiederherstellungen am ursprünglichen Speicherort ausführen kann.

Benutzerdefinierte Zugriffsgruppen¶

Mit benutzerdefinierten Zugriffsgruppen können Sie mehrere Administratorgruppen mit eingeschränkten Mandantenberechtigungen erstellen und granularen Zugriff auf Ressourcen einer bestimmten Organisationseinheit oder Google-Gruppe beziehungsweise auf manuell ausgewählte Ressourcen gewähren. Gruppenmitglieder – Nutzer, die über die Zugriffsgruppe Zugriff erhalten – können manuell aus dem Mandanten ausgewählt oder aus einer Google-Gruppe des Mandanten synchronisiert werden. Außerdem lässt sich für benutzerdefinierte Zugriffsgruppen eine begrenzte Gültigkeitsdauer festlegen; standardmäßig ist sie unbegrenzt.

So konfigurieren Sie eine benutzerdefinierte Zugriffsgruppe:

Wechseln Sie zur Registerkarte Service → Settings → Access groups.
Klicken Sie auf + Group, um eine neue Gruppe hinzuzufügen, oder wählen Sie eine bestehende Gruppe aus, um ihre Einstellungen zu bearbeiten.
Wählen Sie im angezeigten Dialog den Zugriffsbereich aus (also die Ressourcen, auf die Gruppenmitglieder zugreifen können). Folgende Zugriffsbereiche stehen zur Verfügung:
- All resources: Gewährt Zugriff auf alle Ressourcen und die zugehörigen Einstellungen innerhalb des Mandanten.
- Organizational Units & Groups: Gewährt Zugriff auf Ressourcen in den ausgewählten Organisationseinheiten oder Google-Gruppen.
- Dynamic groups: Gewährt Zugriff auf Ressourcen in ausgewählten dynamischen Ressourcengruppen, deren Mitglieder anhand konfigurierter Kriterien wie Name oder E-Mail-Adresse bestimmt werden.
- Self-service: Gewährt ausgewählten Nutzern oder Mitgliedern der ausgewählten Google-Gruppe Self-Service-Zugriff auf ihre eigenen Sicherungen.
- Custom: Gewährt nur Zugriff auf die von Ihnen ausgewählten Ressourcen.
Wählen Sie die Gruppenmitglieder aus, die auf die Ressourcen im ausgewählten Bereich zugreifen dürfen.
Konfigurieren Sie die Berechtigungen, die diesen Mitgliedern für die Ressourcen im Zugriffsbereich gewährt werden sollen.

Zugriffsgruppen mit begrenzter Gültigkeitsdauer¶

In manchen Fällen ist es sinnvoll, eine Zugriffsgruppe mit begrenzter Gültigkeitsdauer zu konfigurieren, um den Zugriff nur für einen bestimmten Zeitraum zu gewähren. Beispielsweise können Sie während einer internen Untersuchung oder eines Audits vorübergehenden Zugriff auf eine Gruppe von Ressourcen gewähren. Die Gültigkeitsdauer einer Zugriffsgruppe kann über das Steuerelement Expiration date unten im Konfigurationsdialog der Zugriffsgruppe geändert werden.

Zugriffsgruppenmitglieder aus einer Google-Gruppe synchronisieren¶

Zugriffsgruppenmitglieder können aus einer Google-Gruppe synchronisiert werden. So lassen sich Zugriffsberechtigungen zentral in Google Workspace verwalten und Änderungen an Afi übertragen. Um eine Zugriffsgruppe zu erstellen und Mitgliedern einer Google-Gruppe Zugriff zu gewähren, wählen Sie im Dropdownmenü des Abschnitts Group members die Option Google Group aus und geben Sie den Gruppennamen an. Nach dem Erstellen der Zugriffsgruppe müssen Sie eine Mitgliedersynchronisierung mit Google Workspace auslösen, damit Afi die Gruppenmitglieder erkennt. Andernfalls werden sie bei der regelmäßigen, alle 24 Stunden ausgeführten Synchronisierung übernommen:

Nach der Synchronisierung aus Google Workspace erscheinen die Gruppenmitglieder im Abschnitt Group members. Änderungen an der Gruppenmitgliedschaft werden bei der regelmäßigen Synchronisierung mit Google Workspace alle 24 Stunden an Afi übertragen.

Self-Service-Zugriff¶

Afi ermöglicht Organisations- und Mandantenadministratoren, Self-Service für Endnutzer eines Mandanten zu aktivieren. Diese können dann im Afi-Portal ohne Mitwirkung eines Administrators auf ihre eigenen Sicherungen zugreifen und selbst Daten exportieren oder wiederherstellen. Self-Service-Nutzer melden sich über Google SSO mit ihrem Nutzerkonto aus dem Google Workspace-Mandanten beim Afi-Portal an. Ihre Aktionen, darunter Sicherungsdatenzugriffe, Suchanfragen sowie Export- und Wiederherstellungsaufträge, werden ebenso wie die Aktionen von Administratoren und Zugriffsgruppenoperatoren protokolliert.

Der Self-Service-Zugriff kann auch auf geteilte Ablagen erweitert werden, die ein Nutzer verwaltet, also auf Ablagen, in denen er in Google Workspace die Rolle Manager besitzt.

Information

Der Self-Service-Zugriff ist für Afi-Mandanten standardmäßig deaktiviert.

Self-Service-Zugriff für ausgewählte Nutzer und Nutzergruppen konfigurieren¶

Sie können den Self-Service-Zugriff auf ausgewählte Nutzer oder Nutzergruppen des Google Workspace-Mandanten beschränken, indem Sie eine benutzerdefinierte Self-Service-Zugriffsgruppe erstellen. Wählen Sie dazu im Abschnitt Access scope des Konfigurationsdialogfelds die Option Self Service aus. Fügen Sie anschließend im Abschnitt Group members die Nutzer oder Gruppen hinzu, die Self-Service-Zugriff erhalten sollen.

Information

Um Nutzern aus mehreren Google-Gruppen Self-Service-Zugriff zu gewähren, erstellen Sie für jede Google-Gruppe eine eigene Zugriffsgruppe.

Wenn Sie Nutzern einer Google-Gruppe Self-Service-Zugriff auf ihre eigenen Sicherungen gewähren, können Sie wie im vorherigen Abschnitt beschrieben eine außerplanmäßige Mitgliedersynchronisierung auslösen.

Erläuterung der Berechtigungen¶

Zugriffsgruppenberechtigungen im Detail¶

Berechtigung	Beschreibung
Manage access	Ein Mitglied der Zugriffsgruppe kann die Zugriffseinstellungen innerhalb des Mandanten ändern, indem es neue Zugriffsgruppen erstellt oder Einstellungen und Mitglieder bestehender Gruppen bearbeitet.
Configure SLA	Ein Mitglied der Zugriffsgruppe kann auf der Registerkarte Service → Settings → SLA Sicherungs-SLA-Richtlinien im Mandanten erstellen, ändern oder löschen.
Assign SLA and initiate backup	Ein Mitglied der Zugriffsgruppe kann Ressourcen im Zugriffsbereich der Gruppe Sicherungs-SLA-Richtlinien zuweisen und Einstellungen für automatischen Schutz konfigurieren.
Browse backup data	Ein Mitglied der Zugriffsgruppe kann in den Sicherungsdaten aller Sicherungen im Zugriffsbereich der Gruppe navigieren. Ohne zusätzliche Berechtigungen kann es die Daten jedoch nicht exportieren und keine Vorschau von E-Mail- oder Chatinhalten anzeigen.
Preview email and chats content	Ein Mitglied der Zugriffsgruppe kann E-Mail- und Chatinhalte in allen Sicherungen im Zugriffsbereich der Gruppe anzeigen.
In-place recovery	Ein Mitglied der Zugriffsgruppe kann eine Wiederherstellung auslösen, bei der alle ausgewählten Elemente, beispielsweise E-Mails oder Dateien, in derselben Ressource und unter denselben Pfaden wie zum Sicherungszeitpunkt wiederhergestellt werden. Verwenden Sie diesen Modus mit Vorsicht, da Dateien überschrieben werden, wenn sie seit dem Sicherungszeitpunkt geändert wurden.
Recovery to another folder	Ein Mitglied der Zugriffsgruppe kann Sicherungsdaten in einem separaten Ordner oder Speicherort innerhalb der Zielressource wiederherstellen. Dies ist die sicherste Wiederherstellungsoption und gewährleistet, dass keine Daten versehentlich überschrieben werden.
Recovery to another resource	Ein Mitglied der Zugriffsgruppe kann Sicherungsdaten in einer anderen Ressource wiederherstellen. Diese Option wird gemeinsam mit Recovery to another folder (Standard) oder In-place recovery aktiviert.
Data export	Ein Mitglied der Zugriffsgruppe kann Sicherungsdaten aus allen Sicherungen im Zugriffsbereich der Gruppe herunterladen.

Self-Service-Berechtigungen im Detail¶

Berechtigung	Beschreibung
Browse backup data	Jeder Nutzer eines Mandanten kann in seinen eigenen Sicherungsdaten navigieren. Ohne zusätzliche Berechtigungen kann er die Daten jedoch nicht exportieren und keine Vorschau von E-Mail- oder Chatinhalten anzeigen.
Preview email and chats content	Jeder Nutzer eines Mandanten kann E-Mail- und Chatinhalte in seinen eigenen Sicherungen anzeigen.
Data export	Jeder Nutzer eines Mandanten kann Daten aus seiner eigenen Sicherung herunterladen.
In-place recovery	Jeder Nutzer eines Mandanten kann seine eigenen Daten am ursprünglichen Speicherort wiederherstellen; dabei wird die ursprüngliche Ordnerstruktur rekonstruiert. Verwenden Sie diesen Modus mit Vorsicht, da Dateien überschrieben werden, wenn sie seit dem Sicherungszeitpunkt geändert wurden.
Recovery to another folder	Jeder Nutzer eines Mandanten kann seine eigenen Daten aus einem beliebigen Sicherungs-Snapshot, beispielsweise von vor einem Monat, in einem separaten Ordner seines eigenen Kontos wiederherstellen.
Recovery to another resource	Jeder Nutzer eines Mandanten kann seine eigenen Daten aus einem beliebigen Sicherungs-Snapshot in einer anderen Ressource wiederherstellen, auf die er in Afi Zugriff hat.