Eingeschränkte Speicherzonen

Eingeschränkte Speicherzonen werden zum Schutz vertraulicher Daten verwendet. Nur Mitarbeiter können auf eingeschränkten Speicher zugreifen.

Die Authentifizierung von Drittanbietern wird in der eingeschränkten Zone nicht unterstützt.

Hinweis:

Eingeschränkte Speicherzonen sind Ende der Wartung. Diese Lebenszyklusrichtlinie wird ausführlicher unter Lebenszyklus-Meilensteine Definitionen. Das Erstellen neuer eingeschränkter Speicherzonen wird nicht unterstützt. Bestehende Kunden, die eingeschränkte Lagerzonen nutzen, erhalten weitere Informationen über zukünftige Produktmeilensteine.

Eingeschränkte Zonenfunktionen

Zonenauthentifizierung: Zusätzlich zur Anmeldung bei ShareFile müssen sich Benutzer separat beim StorageZones Controller authentifizieren, um auf Dokumente zuzugreifen, die in einer eingeschränkten Zone gespeichert sind. Die Verzeichnissuche stellt sicher, dass der Benutzer, der sich bei ShareFile anmeldet, derselbe ist, der sich bei der Zone authentifiziert. Diese zusätzliche Authentifizierungsanforderung beschränkt die Freigabe. Dokumente können nur für andere freigegeben werden, die Zugriff auf den Storage Zones Controller haben und die sich mit Enterprise-Anmeldeinformationen authentifizieren können. In einer eingeschränkten Zone können Dateien nicht anonym freigegeben werden. Benutzer müssen die Berechtigung zum Anzeigen einer Datei erhalten und müssen sich immer anmelden, um eine freigegebene Datei zu erhalten.

Metadatenverschlüsselung: Alle Informationen zu Dateien und Ordnern in der Zone werden mit Ihrem Schlüssel verschlüsselt, bevor sie an ShareFile gesendet werden. Daher kann niemand außerhalb Ihrer Organisation Ordner- oder Dateinamen in eingeschränkten Zonen sehen. Der Zugriff auf Verschlüsselungsschlüssel, entschlüsselte Dateien und Metadaten ist nur über die Enterprise-Authentifizierung zum StorageZones Controller verfügbar.

Interne Adresse für Storage Zones Controller: Für eine eingeschränkte Zone erfolgt die Autorisierung zwischen Storage Zones Controller und ShareFile Clients statt zwischen Storage Zones Controller und der ShareFile-Cloud. Daher erfordert ein StorageZones Controller, der eingeschränkte Zonen hostet, keine externe Adresse oder ein externes SSL-Zertifikat. Wenn der StorageZones Controller mit einer nur internen Adresse konfiguriert ist, müssen Benutzer eine Verbindung zum Unternehmensnetzwerk oder VPN herstellen, um auf Dokumente in der eingeschränkten Zone zuzugreifen.

E-Mail-Benachrichtigungen von Ihrem Mail-Server: Wenn Benutzer E-Mail-Benachrichtigungen über freigegebene Dateien und Ordner in einer eingeschränkten Zone erhalten, wird die E-Mail von Ihrem internen Mail-Server anstelle von einem ShareFile Server gesendet.

Unterschiede zwischen Standard- und Sperrzonen

Standard- und eingeschränkte Lagerzonen

Sie können eine Speicherzone als Standard oder eingeschränkt festlegen.

• Eine Standard-Speicherzone ist für nicht-vertrauliche Daten gedacht und ermöglicht Mitarbeitern das Freigeben von Daten für Personen, die keine Mitarbeiter sind.
• Eine eingeschränkte Speicherzone schützt sensible Daten: Nur Mitarbeiter können auf die in der Zone gespeicherten Daten zugreifen.

In der folgenden Tabelle werden die Unterschiede zwischen Standard- und eingeschränkten Zonen zusammengefasst.

In einer von Citrix verwalteten Zone führt die ShareFile Cloud alle Vorgänge mit Ausnahme der Mitarbeiterauthentifizierung durch, die vom StorageZones Controller verarbeitet wird.

In der Standardzone werden Websitewartung und -aktualisierungen, Client- und Anwendungsaktualisierungen, Dateimetadaten, Upload- und Downloadautorisierung, E-Mail-Benachrichtigungen (SMTP), Authentifizierung von Drittanbietern und Ordnerberechtigungen in der Cloud verarbeitet. Mitarbeiterauthentifizierung sowie Dateispeicherung und Verschlüsselung werden vom Controller verwaltet.

In der eingeschränkten Zone werden Websitewartung und -aktualisierungen, Client- und Anwendungsaktualisierungen sowie Ordnerberechtigungen in der Cloud verarbeitet. Mitarbeiterauthentifizierung, Dateispeicherung und Verschlüsselung, Dateimetadaten, Upload- und Download-Autorisierung sowie E-Mail-Benachrichtigungen (SMTP) werden vom Controller verarbeitet. Die Authentifizierung von Drittanbietern wird in der eingeschränkten Zone nicht unterstützt.

ShareFile unterstützt eine Mischung aus Standard- und eingeschränkten Zonen innerhalb eines Kontos. Sie können mehrere eingeschränkte Zonen erstellen, jede mit ihren eigenen eindeutigen Authentifizierungsanforderungen. Wenn Benutzer in Domäne A beispielsweise keine Dateien für Benutzer in Domäne B freigeben dürfen, installieren Sie für jede Domäne eine separate eingeschränkte Zone.

Der Rest dieses Abschnitts beschreibt den Workflow in ShareFile-verwalteten, Standard- und eingeschränkten Zonen.

Proof-of-Concept-Bereitstellung für eingeschränkte Speicherzonen

Ein StorageZones Controller, der für eingeschränkte Zonen konfiguriert ist, muss keine eingehenden Verbindungen aus der ShareFile e-Cloud akzeptieren: Sie können ihn mit einer internen Adresse konfigurieren. Die folgende Abbildung zeigt den Datenverkehr zwischen Benutzergeräten, der ShareFile Cloud und dem StorageZones Controller.

In diesem Szenario steht eine Firewall zwischen dem Internet und dem sicheren Netzwerk. Der StorageZones Controller befindet sich innerhalb der Firewall, um den Zugriff zu steuern. Benutzerverbindungen zu ShareFile müssen die Firewall durchlaufen und das SSL-Protokoll auf Port 443 verwenden, um diese Verbindung herzustellen. Um diese Konnektivität zu unterstützen, müssen Sie Port 443 auf der Firewall öffnen und ein SSL-Zertifikat, das privat sein kann, auf dem IIS-Dienst des StorageZones Controller installieren.

Bei eingeschränkten Zonen sendet der Storage Zones Controller E-Mail-Benachrichtigungen von Ihrem lokalen SMTP-Server statt von ShareFile.

Hochverfügbarkeitsbereitstellung für eingeschränkte Zonen

StorageZones Controller, die für eingeschränkte Zonen konfiguriert sind, müssen keine eingehenden Verbindungen aus der ShareFile e-Cloud akzeptieren: Sie können jeden mit einer internen Adresse konfigurieren. Die folgende Abbildung zeigt eine Bereitstellung mit hoher Verfügbarkeit für eingeschränkte Zonen.

In diesem Szenario steht eine Firewall zwischen dem Internet und dem sicheren Netzwerk. Die StorageZones Controller befinden sich in der Firewall, um den Zugriff zu steuern. Benutzerverbindungen zu ShareFile müssen die Firewall durchlaufen und das SSL-Protokoll auf Port 443 verwenden, um diese Verbindung herzustellen. Um diese Konnektivität zu unterstützen, müssen Sie Port 443 auf der Firewall öffnen und ein SSL-Zertifikat, das privat sein kann, auf dem IIS-Dienst des StorageZones Controller installieren.

Bei eingeschränkten Zonen sendet der Storage Zones Controller E-Mail-Benachrichtigungen von Ihrem lokalen SMTP-Server statt von ShareFile.

Eingeschränkte Zonen

In der folgenden Tabelle werden die Netzwerkverbindungen beschrieben, die auftreten, wenn sich ein Benutzer bei ShareFile anmeldet und dann ein Dokument aus einer eingeschränkten Zone herunterlädt. Alle Verbindungen verwenden HTTPS.

Bereitstellung für eingeschränkte Speicherzonen

Die folgende Abbildung zeigt eine Bereitstellung mit hoher Verfügbarkeit für eingeschränkte Zonen.

Bei eingeschränkten Zonen sendet der Storage Zones Controller E-Mail-Benachrichtigungen von Ihrem lokalen SMTP-Server statt von ShareFile.

Netzwerkverbindungen für eingeschränkte Zonen

Im folgenden Diagramm und in der Tabelle werden die Netzwerkverbindungen beschrieben, die auftreten, wenn sich ein Benutzer bei ShareFile anmeldet und dann ein Dokument in eine eingeschränkte Zone hochlädt. In diesem Fall verwendet das Konto Active Directory Verbunddienste (ADFS) für die SAML-Anmeldung. Authentifizierungsverkehr wird von einem ADFS-Proxyserver verarbeitet, der mit einem ADFS-Server im vertrauenswürdigen Netzwerk kommuniziert.

Für eingeschränkte Speicherzonen:

• Verwenden Sie einen internen oder externen Hostnamen.

• Aktivieren Sie SSL für die Kommunikation mit ShareFile.

  Wenn Sie einen internen Hostnamen verwenden, können Sie ein privates Zertifikat verwenden. Das Zertifikat muss von Benutzergeräten als vertrauenswürdig eingestuft werden.

  Wenn Sie einen externen Hostnamen verwenden, muss das SSL-Zertifikat auf dem StorageZones Controller von Benutzergeräten und ShareFile e-Webservern vertrauenswürdig sein.

• Bereitstellen des ausgehenden HTTP-Zugriffs vom StorageZones Controller auf eine der folgenden Service-Bus-URIs:

  • ShareFile.com-Konten: sf-zk-email-use.servicebus.windows.net
  • ShareFile.eu Konten: sf-zk-email-euw.servicebus.windows.net

  Stellen Sie sicher, dass Sie Netzwerkabhängigkeiten mit Ihrem Netzwerkteam arrangieren.

Client-Anforderungen für eingeschränkte Speicherzonen

Die ShareFile Webanwendung unterstützt eingeschränkte Speicherzonen von den folgenden Webbrowsern:

• Internet Explorer 11

  So aktivieren Sie den Zugriff von der ShareFile Webanwendung auf Ordner und Connectors in eingeschränkten Zonen:

  1. Öffnen Sie Internet Explorer, gehen Sie zu Internetoptionen, klicken Sie auf die Registerkarte Sicherheit, und klicken Sie dann auf Vertrauenswürdige Sites.
  2. Klicken Sie auf Sites, und fügen Sie dann Ihre Subdomain und die externe StorageZones Controller Adresse hinzu.
  3. Klicken Sie auf Schließen und dann auf Benutzerdefinierte Ebene.
  4. Wählen Sie unter Sonstiges > Domänen auf Datenquellen zugreifen die Option Aktivierenaus.
  5. Wählen Sie unter Benutzerauthentifizierung > Anmeldendie Option Eingeben von Benutzernamen und Kennwort auffordern aus.

• Chrome

• Firefox

• Safari

• Secure Web

Um eingeschränkte Speicherzonen zu unterstützen, müssen ShareFile Clients auf die folgenden Versionen oder höher aktualisiert werden:

• ShareFile Sync für Windows 3.1
• ShareFile Outlook Plug-in 3.2.2
• ShareFile für iOS 3.3
• ShareFile für Android 3.4
• ShareFile für Windows Phone 2.3.10

Diese ShareFile Clients und -Tools werden für die Verwendung mit eingeschränkten Speicherzonen ab dem Veröffentlichungsdatum dieses Artikels nicht unterstützt:

Hinweis: Aktuelle Informationen zu ShareFile Clientfunktionen finden Sie auf der ShareFile Unterstützung Website, oder wenden Sie sich an Ihren ShareFile-Supportmitarbeiter.

• Verwendung von ShareFile Desktop Sync für Windows 3.1 und ShareFile Outlook Plug-in außerhalb der Domäne

  Die Clients müssen sich auf einem Windows-Desktop befinden, der sich in derselben Active Directory Gesamtstruktur wie der StorageZones Controller-Server befindet. Clients können NTLM oder Kerberos für die automatische Authentifizierung in einer eingeschränkten Zone verwenden.

• On-Demand Sync für Windows

• Sync für Mac

• ShareFile Enterprise Sync Manager

• Secure Mail für iOS

• ShareFile Desktop Widget

• ShareFile für BlackBerry

• ShareFile e-Website

Die folgenden alternativen Kontozugriffsmethoden werden für die Verwendung mit eingeschränkten Speicherzonen nicht unterstützt:

• FTP
• PowerShell
• ShareFile Befehlszeilenschnittstelle (SFCLI)
• HTTPS API (V1)
• WebDAV
• SMTP

Wichtig

ShareFile unterstützt nicht offiziell und empfiehlt die Verwendung der DFS-Replikationnicht. Es ist bekannt, dass es Sperrfehler für größere Dateien verursacht. Wenn die DFS-Replikation verwendet werden muss, verwenden Sie separate Backuplösungen außerhalb der Spitzenzeiten, wenn die Zone nicht aktiv verwendet wird.

Eingeschränkte Speicherzone aktualisieren

Wenn Sie einen StorageZones Controller auf die neueste Version aktualisieren, verwendet dieser Controller weiterhin Standardzonen. Sie können eine Standardzone nicht auf eine eingeschränkte Zone aktualisieren.

Um eine Standardzone durch eine eingeschränkte Zone zu ersetzen, müssen Sie einen neuen StorageZones Controller installieren und eine eingeschränkte Zone konfigurieren.

Um eingeschränkte Zonen oder Webzugriff auf Connectors zu unterstützen, müssen Sie nach Abschluss des Assistenten eine zusätzliche Citrix ADC Konfiguration durchführen. Die Konfiguration stellt sicher, dass ShareFile Clients Anmeldeinformationen nur senden, wenn sie an einer vertrauenswürdigen ShareFile-Domäne angemeldet sind. Um den Webzugriff auf Connectors zu unterstützen, fügen Sie auch einen Pfad (/ProxyService) zur Inhaltswechselrichtlinie hinzu, die für den Datenverkehr zu /cifs und /sp. verwendet wird.

Zusätzliche Informationen zu eingeschränkten Zonen

Die Unterstützung für eingeschränkte Speicherzonen wirkt sich auf alle Aspekte des ShareFile Dienstes aus. Aufgrund von Protokolländerungen, die zur Unterstützung der Metadatenverschlüsselung und der Zonenauthentifizierung erforderlich sind, werden einige ShareFile Clients und -Features beim Arbeiten mit Dokumenten in einer eingeschränkten Speicherzone nicht unterstützt.

Inhalt

• Kunden und Tools
• Browser
• Funktionen
• Sync für Windows
• Mobile Apps
• Outlook-Plug-In

Kunden und Tools

Browser

Funktionen

Endbenutzer-Aktionen: Arbeiten mit Dateien:

Endbenutzer-Aktionen: Freigabe und Zusammenarbeit:

Verwaltungsmaßnahmen:

Sync für Windows

Mindestversion - 3.1

Mobile Apps

Siehe die App-spezifischen Tabellen unten:

iOS - Mindestversion 3.3

Android - Mindestversion 3.4

Outlook-Plug-In