Unternehmensrichtlinien wenden organisationsweite Regeln für die Anmeldedatenverwaltung, die Mitgliederaufnahme, den SSO-Sitzungszugriff und die Belohnungen für Einladungen an. Organisationsinhaber und -administratoren können diese Richtlinien in den Sicherheitseinstellungen der Organisation konfigurieren.
Dieses Tutorial erklärt den Umfang jeder Richtlinie, wie sie konfiguriert wird und was vor der breiteren Einführung getestet werden sollte.
Bevor Sie beginnen
- Die Organisation muss den Enterprise-Plan verwenden.
- Sie müssen ein Organisationsinhaber oder Organisationsadministrator sein.
- Die in Apidog On-Premises verfügbaren Richtlinien können von der SaaS-Dokumentation abweichen.
- Verwenden Sie Testbenutzer, fiktive Anmeldedaten und ein Nicht-Produktionsprojekt zur Validierung.
Dies sind Arbeitsbereichsrichtlinien. Sie ersetzen keine Laufzeitkontrollen in einem API-Gateway, Autorisierungsserver, Service Mesh oder einer Anwendung.
Schritt 1: Unternehmensrichtlinien öffnen
- Öffnen Sie die Apidog-Organisation.
- Gehen Sie zu Organisationseinstellungen.
- Wählen Sie unter Sicherheit die Option Unternehmensrichtlinien.
Nur Organisationsinhaber und -administratoren können Unternehmensrichtlinien ändern.
Die Seite enthält derzeit vier Richtlinien:
- Authentifizierungs-Anmeldedatenrichtlinie
- Einladungs-Gutschriftenrichtlinie
- SSO-Sitzungsrichtlinie
- Richtlinie für Mitglieder-E-Mail-Domänen
Schritt 2: Authentifizierungs-Anmeldedatenrichtlinie konfigurieren
Die Authentifizierungs-Anmeldedatenrichtlinie überprüft unterstützte sensible Authentifizierungsfelder, wenn Benutzer die API-Authentifizierung, Ordnerauthentifizierung, Anforderungsauthentifizierung, Sicherheitsschemata, API-Testfälle und Testszenarien bearbeiten oder speichern.
Rohwert-Modus wählen
Konfigurieren Sie Rohwerte in sensiblen Authentifizierungsfeldern verbieten:
| Modus | Ergebnis |
|---|---|
| Aus | Die Regel wird nicht erzwungen |
| Warnen | Der Benutzer sieht eine Warnung, kann aber trotzdem speichern |
| Blockieren | Der Benutzer kann den nicht konformen Wert nicht speichern |
Referenzmodus wählen
Konfigurieren Sie Nur lokale Variablen oder Vault Secret in der Authentifizierung zulassen mit denselben Modi: Aus, Warnen oder Blockieren.
Wenn diese Kontrolle aktiviert ist, sollten sensible Felder nur lokale Variablen oder Vault Secret-Referenzen verwenden. Eine Variable mit einem geteilten Anfangswert kann je nach ausgewähltem Modus warnen oder blockieren.
Apidog behandelt die folgenden Werte als zulässige Referenzen für die Anmeldedatenrichtlinie:
- einen leeren Wert;
- eine Variablenreferenz wie
{{variableName}}; - eine Vault Secret-Referenz wie
{{vault:key}}.
Anzeige des Vault-Werts kontrollieren
Aktivieren Sie Vault Secret kann nicht im Klartext angezeigt werden, wenn Benutzer Vault Secret-Werte nicht in der Benutzeroberfläche anzeigen können sollen.
Vor dem Blockieren testen
Für eine kontrollierte Einführung:
- Verwenden Sie Warnen in einem Pilotprojekt;
- Testen Sie API-Key, Bearer Token, Basic Auth, OAuth 2.0 und alle anderen von der Organisation verwendeten Authentifizierungstypen;
- Ersetzen Sie Rohwerte durch die genehmigte Variable oder das Vault-Muster;
- Bestätigen Sie, dass legitime Workflows weiterhin gespeichert und ausgeführt werden;
- Wechseln Sie zu Blockieren, sobald die Ausnahmen behoben wurden.
Die Richtlinie deckt dokumentierte sensible Felder für API-Key, Bearer Token, Basic und Digest Auth, OAuth 1.0 und 2.0, Hawk, AWS, NTLM, Akamai EdgeGrid, JWT Bearer und Kombinationsauthentifizierung ab.
Schritt 3: SSO-Sitzungsrichtlinie konfigurieren
Die SSO-Sitzungsrichtlinie steuert, ob Benutzer auf Meine Teams zugreifen können, während sie über das SSO der aktuellen Organisation angemeldet sind.
- Bestätigen Sie, dass SSO für die Organisation konfiguriert ist.
- Suchen Sie auf Unternehmensrichtlinien die SSO-Sitzungsrichtlinie.
- Aktivieren Sie Meine Teams in SSO-Sitzungen einschränken.
- Speichern Sie die Richtlinie.
Wenn aktiviert, ist „Meine Teams“ während der SSO-Sitzung dieser Organisation nicht verfügbar.
Die Einstellung ist standardmäßig deaktiviert und kann erst nach der Konfiguration von SSO aktiviert werden. Ein eingeschränkter Benutzer muss sich abmelden und eine reguläre Anmeldemethode verwenden, um auf „Meine Teams“ zuzugreifen. Die Rückkehr zur SSO-Organisation erfordert eine erneute Anmeldung über SSO.
Diese Richtlinie ist kein Inaktivitäts-Timeout oder eine Einstellung für die maximale Sitzungsdauer. Sie isoliert den Zugriff auf „Meine Teams“ innerhalb der SSO-Sitzung der aktuellen Organisation.
Die Sitzungsgrenze testen
Verwenden Sie einen Testbenutzer ohne Administratorrechte:
- Melden Sie sich über den SSO-Einstiegspunkt der Organisation an;
- Bestätigen Sie, dass die Organisation verfügbar ist;
- Versuchen Sie, „Meine Teams“ zu öffnen und bestätigen Sie die Einschränkungsmeldung;
- Wählen Sie Abmelden und wechseln;
- Melden Sie sich mit einer regulären Methode an und bestätigen Sie, dass „Meine Teams“ verfügbar ist;
- Bestätigen Sie, dass die Rückkehr zur SSO-Organisation SSO erfordert.
Schritt 4: Richtlinie für Mitglieder-E-Mail konfigurieren
Die Richtlinie für Mitglieder-E-Mails beschränkt die Mitgliedschaft in der Organisation auf genehmigte E-Mail-Domänen. Apidog überprüft die endgültige authentifizierte E-Mail des Benutzers, nicht nur die Adresse, an die eine Einladung gesendet wurde.
- Konfigurieren Sie eine oder mehrere zugelassene E-Mail-Domänen für die Organisation.
- Öffnen Sie Sicherheit > Unternehmensrichtlinien.
- Suchen Sie die Richtlinie für Mitglieder-E-Mail.
- Aktivieren Sie die Richtlinie und speichern Sie sie.
Konfigurieren Sie die Domänen, deren authentifizierte Benutzer Organisationsmitglieder werden dürfen.
Dieselbe Zulassungsregel gilt für:
- E-Mail-Einladungen;
- Einladungslinks;
- SSO;
- SCIM.
Wenn die endgültig authentifizierte E-Mail nicht mit einer zugelassenen Domäne übereinstimmt, lehnt Apidog den Beitrittsversuch ab. Es wird keine Organisations-, Team- oder Projektmitgliedschaft erstellt, der Benutzer belegt keinen Platz und erscheint nicht in der Mitgliederliste oder im Mitglieder-Export.
Ein abgelehnter Benutzer erhält eine Domänenkonfliktmeldung, und die Ablehnung wird in den Audit-Logs protokolliert.
Testen Sie mindestens eine genehmigte Adresse und eine nicht zugelassene Adresse für jeden von der Organisation verwendeten Zulassungsweg.
Schritt 5: Richtlinie für Einladungsbelohnungen konfigurieren
Die Richtlinie für Einladungsbelohnungen steuert, ob berechtigte organisationsbezogene Einladungen Belohnungsgutschriften generieren können.
- Öffnen Sie Sicherheit > Unternehmensrichtlinien.
- Suchen Sie die Richtlinie für Einladungsbelohnungen.
- Aktivieren oder deaktivieren Sie Einladungsbelohnungen.
- Speichern Sie die Einstellung.
Das Deaktivieren der Richtlinie verhindert, dass zukünftige berechtigte organisationsbezogene Einladungen Belohnungsgutschriften generieren. Es entfernt keine bereits verdienten Gutschriften.
Dies ist eine administrative Einstellung, keine Zugriffssteuerungs- oder Sicherheitsrichtlinie. Es sollte nicht als Funktion zur Unterdrückung von Einladungs-E-Mails beschrieben werden.
Alle vier Richtlinien überprüfen
Verwenden Sie eine kleine Testmatrix und protokollieren Sie das Ergebnis.
| Richtlinie | Positiver Test | Negativer Test |
|---|---|---|
| Authentifizierungs-Anmeldedaten | Speichern Sie eine genehmigte lokale Variable oder Vault-Referenz | Versuchen Sie, einen fiktiven Rohwert im Warn- oder Block-Modus zu speichern |
| SSO-Sitzung | Greifen Sie über SSO auf die SSO-Organisation zu | Versuchen Sie, „Meine Teams“ in der eingeschränkten SSO-Sitzung zu öffnen |
| Mitglieder-E-Mail | Treten Sie mit einer genehmigten authentifizierten Domäne bei | Versuchen Sie, mit einer nicht zugelassenen authentifizierten Domäne beizutreten |
| Einladungsbelohnung | Bestätigen Sie den ausgewählten Belohnungsstatus | Bestätigen Sie, dass bestehende verdiente Gutschriften beim Deaktivieren unverändert bleiben |
Überprüfen Sie nach dem Testen die Audit-Logs auf unterstützte richtlinienbezogene Mitgliedschafts- oder Ablehnungsereignisse, die für den Workflow relevant sind.
Fehlerbehebung
| Problem | Was zu prüfen ist |
|---|---|
| Ein Benutzer kann Rohdaten für Anmeldeinformationen speichern | Stellen Sie sicher, dass die korrekte Anmeldeinformationskontrolle aktiviert und auf Blockieren eingestellt ist und dass der Wert in einem unterstützten Authentifizierungsfeld liegt. |
| Eine genehmigte Variable wird blockiert | Prüfen Sie, ob die strengere Regel eine nur lokale Variable oder ein Vault Secret anstelle eines geteilten Anfangswerts erfordert. |
| Die SSO-Sitzungsumschaltung ist nicht verfügbar | Bestätigen Sie, dass SSO für die Organisation konfiguriert ist. |
| Ein gültiger Mitarbeiter wird abgelehnt | Überprüfen Sie die endgültige authentifizierte E-Mail und die Liste der zulässigen Domänen, einschließlich Aliase und Subdomänen. |
| Eine bestehende Gutschrift verschwindet | Das Deaktivieren von Einladungsbelohnungen sollte bereits verdiente Gutschriften nicht entfernen; notieren Sie das Konto und bitten Sie den Support um Untersuchung. |
Wichtige Einschränkungen
- Die Authentifizierungs-Anmeldedatenrichtlinie gilt für dokumentierte Authentifizierungsfelder und Workflows, nicht für jedes Freitextfeld, Skript, jede Datei oder jedes externe Repository.
- Die SSO-Sitzungsrichtlinie beschränkt „Meine Teams“ in der SSO-Sitzung einer Organisation; sie ist kein Sitzungs-Timeout, keine Geräte- oder Netzwerksteuerung.
- Die Mitglieder-E-Mail-Richtlinie regelt die Zulassung. Gehen Sie nicht davon aus, dass sie automatisch bestehende Mitglieder entfernt, deren Adressen nicht mehr übereinstimmen, es sei denn, dieses Verhalten ist separat dokumentiert und getestet.
- Die Richtlinie für Einladungsbelohnungen ist keine Sicherheitskontrolle.
- Keine dieser Richtlinien erzwingt Authentifizierung oder Autorisierung für den bereitgestellten API-Verkehr.
Verwandte Tutorials zur API-Governance:
Diese Tutorials behandeln ergänzende Kontrollen zur Steuerung eines Enterprise-API-Arbeitsbereichs:
- API-Governance-Framework – verbindet Besitz, Kontrollen, Nachweise und Lebenszyklusentscheidungen.
- SAML-Gruppenzuordnung mit Microsoft Entra ID – weist Teamzugriff von Identitätsanbietergruppen zu.
- Secret Scanner – überprüft mögliche offengelegte Anmeldeinformationen in unterstützten Apidog-Assets.
- Audit-Logs – untersucht und exportiert administrative Organisationsaktivitäten.
- SCIM-Bereitstellung – verwaltet Organisationsbenutzer über den Identitätslebenszyklus.
- Unternehmensrichtlinien – konfiguriert Anmeldeinformationen, Mitgliedschaft, SSO-Sitzung und Einladungskontrollen.
- Self-Service API-Teams – ermöglicht von Mitgliedern erstellte Teams unter Beibehaltung der Aufsicht.
- GitHub Enterprise Cloud-Integration – verbindet unterstützte GHE.com-Repositorys für OpenAPI-Workflows.
Verwandte offizielle Dokumentation: