Beschränkte Speicherbereiche

Eingeschränkte Speicherbereiche werden verwendet, um sensible Daten zu schützen. Nur Mitarbeiter können auf eingeschränkten Speicher zugreifen.

Benutzerauthentifizierung durch Dritte wird in der Sperrzone nicht unterstützt.

Hinweis:

Eingeschränkte Speicherbereiche sind Ende der Wartung. Diese Lebenszyklusrichtlinie wird unter den Definitionen der Lebenszyklus-Meilensteineausführlicher beschrieben. Die Erstellung neuer eingeschränkter Speicherbereiche wird nicht unterstützt. Bestandskunden, die eingeschränkte Speicherbereiche nutzen, erhalten weitere Informationen über zukünftige Produktmeilensteine.

Funktionen für eingeschränkte Zonen

Zonenauthentifizierung: Zusätzlich zur Anmeldung bei ShareFile müssen sich Benutzer separat beim StorageZone Controller authentifizieren, um auf Dokumente zuzugreifen, die in einer eingeschränkten Zone gespeichert sind. Durch die Verzeichnissuche wird sichergestellt, dass der Benutzer, der sich bei ShareFile anmeldet, derselbe ist, der sich bei der Zone authentifiziert. Diese zusätzliche Authentifizierungsanforderung beschränkt die Freigabe. Dokumente können nur für andere Personen freigegeben werden, die Zugriff auf den StorageZone Controller haben und sich mithilfe von Unternehmensanmeldeinformationen authentifizieren können. In einer Sperrzone können Dateien nicht anonym geteilt werden. Benutzern muss die Berechtigung zum Anzeigen einer Datei erteilt werden, und sie müssen sich immer anmelden, um eine freigegebene Datei zu erhalten.

Metadatenverschlüsselung: Alle Informationen zu Dateien und Ordnern in der Zone werden mit Ihrem Schlüssel verschlüsselt, bevor sie an ShareFile gesendet werden. Daher kann niemand außerhalb Ihres Unternehmens Ordner- oder Dateinamen in Sperrzonen sehen. Der Zugriff auf Verschlüsselungsschlüssel, entschlüsselte Dateien und Metadaten ist nur über die Unternehmensauthentifizierung gegenüber dem StorageZone Controller möglich.

Interne Adresse für StorageZone Controller: Für eine eingeschränkte Zone erfolgt die Autorisierung zwischen StorageZone Controller und ShareFile-Clients statt zwischen dem StorageZone Controller und der ShareFile-Cloud. Daher benötigt ein Speicherzonen-Controller, der eingeschränkte Zonen hostet, keine externe Adresse oder kein externes SSL-Zertifikat. Wenn der StorageZone Controller mit einer reinen internen Adresse konfiguriert ist, müssen Benutzer eine Verbindung zum Unternehmensnetzwerk oder VPN herstellen, um auf Dokumente in der Sperrzone zuzugreifen.

E-Mail-Benachrichtigungen von Ihrem Mail-Server: Wenn Benutzer E-Mail-Benachrichtigungen über freigegebene Dateien und Ordner in einer eingeschränkten Zone erhalten, wird die E-Mail von Ihrem internen Mail-Server anstatt von einem ShareFile-Server gesendet.

Unterschiede zwischen Standard- und Sperrgebieten

Standard- und beschränkte Speicherbereiche

Sie können eine Speicherzone als Standard oder eingeschränkt festlegen.

• Eine Standard-Speicherzone ist für nicht-vertrauliche Daten gedacht und ermöglicht Mitarbeitern das Freigeben von Daten für Personen, die keine Mitarbeiter sind.
• Eine eingeschränkte Speicherzone schützt sensible Daten: Nur Mitarbeiter können auf die in der Zone gespeicherten Daten zugreifen.

In der folgenden Tabelle sind die Unterschiede zwischen Standard- und Sperrgebieten zusammengefasst.

In einer von Citrix verwalteten Zone führt die ShareFile-Cloud alle Vorgänge mit Ausnahme der Mitarbeiterauthentifizierung aus, die vom StorageZone Controller verwaltet wird.

In der Standardzone werden Website-Wartung und -Updates, Client- und Anwendungsupdates, Dateimetadaten, Upload- und Download-Autorisierung, E-Mail-Benachrichtigungen (SMTP), Benutzerauthentifizierung durch Dritte und Ordnerberechtigungen in der Cloud behandelt. Die Mitarbeiterauthentifizierung sowie die Dateispeicherung und Verschlüsselung werden vom Controller übernommen.

In der Sperrzone werden Wartung und Updates der Website, Client- und Anwendungsaktualisierungen sowie Ordnerberechtigungen in der Cloud behandelt. Mitarbeiterauthentifizierung, Dateispeicherung und Verschlüsselung, Dateimetadaten, Upload- und Download-Autorisierung sowie E-Mail-Benachrichtigungen (SMTP) werden vom Controller übernommen. Benutzerauthentifizierung durch Dritte wird in der Sperrzone nicht unterstützt.

ShareFile unterstützt eine Mischung aus Standard- und eingeschränkten Zonen innerhalb eines Kontos. Sie können mehrere eingeschränkte Zonen erstellen, jede mit ihren eigenen Authentifizierungsanforderungen. Wenn Benutzer in Domäne A beispielsweise keine Dateien mit Benutzern in Domäne B teilen dürfen, installieren Sie für jede Domäne eine separate eingeschränkte Zone.

Im Rest dieses Abschnitts wird der Workflow in ShareFile-verwalteten, standardmäßigen und eingeschränkten Zonen beschrieben.

Machbarkeitsnachweis-Bereitstellung für eingeschränkte Speicherzonen

Ein StorageZone Controller, der für eingeschränkte Zonen konfiguriert ist, muss keine eingehenden Verbindungen aus der ShareFile-Cloud akzeptieren: Sie können ihn mit einer internen Adresse konfigurieren. Die folgende Abbildung zeigt den Datenverkehr zwischen Benutzergeräten, der ShareFile-Cloud und dem StorageZone Controller.

In diesem Szenario steht eine Firewall zwischen dem Internet und dem sicheren Netzwerk. Der Speicherzonen-Controller befindet sich innerhalb der Firewall, um den Zugriff zu steuern Benutzerverbindungen zu ShareFile müssen die Firewall durchqueren und das SSL-Protokoll an Port 443 verwenden, um diese Verbindung herzustellen. Um diese Konnektivität zu unterstützen, müssen Sie Port 443 in der Firewall öffnen und ein SSL-Zertifikat, das privat sein kann, im IIS-Dienst des StorageZone Controllers installieren.

Für eingeschränkte Zonen sendet der StorageZone Controller E-Mail-Benachrichtigungen von Ihrem lokalen SMTP-Server statt von ShareFile.

Hochverfügbarkeitsbereitstellung für Sperrzonen

Speicherzonen-Controller, die für eingeschränkte Zonen konfiguriert sind, müssen keine eingehenden Verbindungen aus der ShareFile-Cloud akzeptieren: Sie können jeden mit einer internen Adresse konfigurieren. Die folgende Abbildung zeigt eine Hochverfügbarkeitsbereitstellung für eingeschränkte Zonen.

In diesem Szenario steht eine Firewall zwischen dem Internet und dem sicheren Netzwerk. Die StorageZone Controller befinden sich innerhalb der Firewall, um den Zugriff zu steuern. Benutzerverbindungen zu ShareFile müssen die Firewall durchqueren und das SSL-Protokoll an Port 443 verwenden, um diese Verbindung herzustellen. Um diese Konnektivität zu unterstützen, müssen Sie Port 443 in der Firewall öffnen und ein SSL-Zertifikat, das privat sein kann, im IIS-Dienst des StorageZone Controllers installieren.

Für eingeschränkte Zonen sendet der StorageZone Controller E-Mail-Benachrichtigungen von Ihrem lokalen SMTP-Server statt von ShareFile.

Geschützte Zonen

In der folgenden Tabelle werden die Netzwerkverbindungen beschrieben, die auftreten, wenn sich ein Benutzer bei ShareFile anmeldet und dann ein Dokument aus einer eingeschränkten Zone herunterlädt. Alle Verbindungen verwenden HTTPS.

Einsatz für eingeschränkte Speicherbereiche

Die folgende Abbildung zeigt eine Hochverfügbarkeitsbereitstellung für eingeschränkte Zonen.

Für eingeschränkte Zonen sendet der StorageZone Controller E-Mail-Benachrichtigungen von Ihrem lokalen SMTP-Server statt von ShareFile.

Netzwerkverbindungen für Sperrgebiete

Das folgende Diagramm und die folgende Tabelle beschreiben die Netzwerkverbindungen, die auftreten, wenn sich ein Benutzer bei ShareFile anmeldet und dann ein Dokument in eine Sperrzone hochlädt. In diesem Fall verwendet das Konto Active Directory Federation Services (ADFS) für die SAML-Anmeldung. Der Authentifizierungsverkehr wird von einem ADFS-Proxyserver verarbeitet, der mit einem ADFS-Server im vertrauenswürdigen Netzwerk kommuniziert.

Für Bereiche mit beschränkter Lagerung:

• Verwenden Sie einen internen oder externen Hostnamen.

• SSL für die Kommunikation mit ShareFile aktivieren.

  Wenn Sie einen internen Hostnamen verwenden, können Sie ein privates Zertifikat verwenden. Das Zertifikat muss von Benutzergeräten als vertrauenswürdig eingestuft werden.

  Wenn Sie einen externen Hostnamen verwenden, muss das SSL-Zertifikat auf dem Storage Zones-Controller von Benutzergeräten und ShareFile-Webservern als vertrauenswürdig eingestuft werden.

• Bieten Sie ausgehenden HTTP-Zugriff vom StorageZone Controller auf eine der folgenden Servicebus-URIs:

  • ShareFile.com-Konten: sf-zk-email-use.servicebus.windows.net
  • ShareFile.eu Konten: sf-zk-email-euw.servicebus.windows.net

  Achte darauf, Netzwerkabhängigkeiten mit deinem Netzwerkteam zu vereinbaren.

Kundenanforderungen für eingeschränkte Speicherbereiche

Die ShareFile-Webanwendung unterstützt eingeschränkte Speicherzonen in den folgenden Webbrowsern:

• Internet Explorer 11

  So ermöglichen Sie den Zugriff von der ShareFile-Webanwendung auf Ordner und Connectors in eingeschränkten Zonen:

  1. Öffnen Sie Internet Explorer, gehen Sie zu Internetoptionen, klicken Sie auf die Registerkarte Sicherheit, und klicken Sie dann auf Vertrauenswürdige Sites.
  2. Klicken Sie auf Sites und fügen Sie dann Ihre Subdomain und die Controller-Adresse für externe Speicherzonen hinzu.
  3. Klicken Sie auf Schließen und dann auf Stufe anpassen.
  4. Wählen Sie für Verschiedenes > domänenübergreifend auf Datenquellen zugreifenaus.
  5. Wählen Sie für Benutzerauthentifizierung > Anmeldungdie Option Nach Benutzernamen und Kennwort fragen aus.

• Chrome

• Firefox

• Safari

• Secure Web

Um eingeschränkte Speicherzonen zu unterstützen, müssen ShareFile-Clients auf die folgenden Versionen oder höher aktualisiert werden:

• ShareFile Sync für Windows 3.1
• ShareFile Outlook Plug-in 3.2.2
• ShareFile für iOS 3.3
• ShareFile für Android 3.4
• ShareFile für Windows Phone 2.3.10

Diese ShareFile-Clients und -Tools werden ab dem Veröffentlichungsdatum dieses Artikels nicht für die Verwendung mit eingeschränkten Speicherzonen unterstützt:

Hinweis: Aktuelle Informationen zu den ShareFile-Clientfunktionen finden Sie auf der ShareFile-Supportsite oder wenden Sie sich an Ihren ShareFile-Supportmitarbeiter.

• Verwendung von ShareFile Desktop Sync für Windows 3.1 und ShareFile Outlook Plug-in außerhalb der Domäne

  Die Clients müssen sich auf einem mit der Domäne verbundenen Windows-Desktop befinden, der sich in derselben Active Directory-Gesamtstruktur wie der StorageZone Controller-Server befindet. Clients können NTLM oder Kerberos für die stille Authentifizierung in einer eingeschränkten Zone verwenden.

• On-Demand Sync für Windows

• Für Mac synchronisieren

• ShareFile Enterprise Sync Manager

• Secure Mail für iOS

• ShareFile Desktop Widget

• ShareFile für BlackBerry

• ShareFile-Mobile-Website

Die folgenden alternativen Kontozugriffsmethoden werden für die Verwendung mit eingeschränkten Speicherzonen nicht unterstützt:

• FTP
• PowerShell
• ShareFile-Befehlszeilenschnittstelle (SFCLI)
• HTTPS API (V1)
• WebDAV
• SMTP

Wichtig

ShareFile unterstützt die DFS-Replikationnicht offiziell und empfiehlt auch nicht, diese zu verwenden. Es ist bekannt, dass es bei größeren Dateien zu Sperrfehlern kommt. Wenn die DFS-Replikation verwendet werden muss, verwenden Sie separate Backup-Lösungen außerhalb der Spitzenzeiten, wenn die Zone nicht aktiv verwendet wird.

Aktualisieren der eingeschränkten Speicherzone

Wenn Sie einen Storage Zones-Controller auf die neueste Version aktualisieren, verwendet dieser Controller weiterhin Standardzonen. Sie können eine Standardzone nicht in eine Sperrzone aufrüsten.

Um eine Standardzone durch eine eingeschränkte Zone zu ersetzen, müssen Sie einen neuen StorageZone Controller installieren und eine eingeschränkte Zone konfigurieren.

Um eingeschränkte Zonen oder den Webzugriff auf Connectors zu unterstützen, müssen Sie nach Abschluss des Assistenten eine zusätzliche Citrix ADC-Konfiguration durchführen. Durch die Konfiguration wird sichergestellt, dass ShareFile-Clients Anmeldeinformationen nur senden, wenn sie an einer vertrauenswürdigen ShareFile-Domäne angemeldet sind. Um den Webzugriff auf Connectors zu unterstützen, fügen Sie auch einen Pfad (/ProxyService) zur Content Switching-Richtlinie hinzu, die für den Datenverkehr zu /cifs und /sp verwendet wird.

Zusätzliche Informationen zu eingeschränkten Zonen

Die Unterstützung für eingeschränkte Speicherzonen wirkt sich auf alle Aspekte des ShareFile-Dienstes aus. Aufgrund von Protokolländerungen, die zur Unterstützung der Metadatenverschlüsselung und der Zonenauthentifizierung erforderlich sind, werden einige ShareFile-Clients und -Features bei der Arbeit mit Dokumenten in einer eingeschränkten Speicherzone nicht unterstützt.

Inhalt

• Kunden und Tools
• Browser
• Funktionen
• Für Windows synchronisieren
• Mobile Apps
• Outlook-Plugin

Kunden und Tools

Browser

Funktionen

Endbenutzeraktionen: Mit Dateien arbeiten:

Aktionen für Endbenutzer: Teilen und Zusammenarbeit:

Administrative Maßnahmen:

Für Windows synchronisieren

Mindestversion - 3.1

Mobile Apps

Sehen Sie sich die app-spezifischen Tabellen unten an:

iOS — Mindestversion 3.3

Android — Mindestversion 3.4

Outlook-Plugin