Sicherheitsfunktionen im Überblick

Wozu dient das

Version 4.8.7 setzt die Ergebnisse zweier Sicherheitsprüfungen um. Die meisten Änderungen wirken ohne Zutun: strengere Prüfungen, wem ein Benutzer, ein Telefon oder ein Standort gehört, geprüfte TLS-Verbindungen zu CUCM und Unity Connection, Sicherheits-Header auf allen Seiten und ein Protokoll schreibender Aktionen.

Einige Funktionen verlangen aber eine Entscheidung oder einen Handgriff des Administrators. Dieses Kapitel fasst sie zusammen und verweist auf die Kapitel mit der jeweiligen Anleitung.

Voraussetzungen

Ein Konto mit dem Zugriffstyp Administrator (Vollzugriff) (ROLE_APP_ADMIN) oder das Eigentümerkonto (ROLE_OWNER). Nur diese Konten sehen das Menü Verwaltung.
Für die Zwei-Faktor-Anmeldung: das Eigentümerkonto und ein funktionierender E-Mail-Versand.
Für das Änderungsprotokoll: das Recht Protokolle und Änderungsprotokoll öffnen (ROLE_APP_VIEW_LOG_PAGE) oder ein Administratorkonto.

Schritt für Schritt: Grundabsicherung nach Installation oder Update

Ändern Sie das Kennwort des Eigentümerkontos über das Benutzermenü in der Kopfzeile, Eintrag Passwort ändern. Nach einer Kennwortänderung enden alle anderen Sitzungen dieses Kontos.
Richten Sie unter Verwaltung → System & Betrieb → Systemkonfiguration → SMTP-Konfiguration den E-Mail-Versand ein und senden Sie eine Test-E-Mail.
Schalten Sie unter Verwaltung → System & Betrieb → Systemkonfiguration → 2FA die Zwei-Faktor-Anmeldung ein.
Legen Sie unter Verwaltung → Zugriff & Darstellung → Administratoren & Rollen für jede Person ein eigenes Konto an. Vergeben Sie Administrator (Vollzugriff) nur, wo er gebraucht wird.
Erstellen Sie für wiederkehrende Aufgaben Berechtigungsvorlagen mit genau den nötigen Rechten, Clustern und Standorten. Nutzen Sie Nur lesen für Konten, die nichts ändern sollen.
Prüfen Sie unter Verwaltung → Integrationen & Kommunikation → API-Zugänge, ob jeder Schlüssel noch gebraucht wird, und löschen Sie die übrigen.
Prüfen Sie bei jedem Webhook, dass SSL-Prüfung aktivieren gewählt ist.
Öffnen Sie Logs → EasyUC Logs und machen Sie sich mit dem Änderungsprotokoll vertraut. Es zeigt, wer wann was geändert hat.

Schritt für Schritt: Neues CUCM-Zertifikat bestätigen

Öffnen Sie EasyUC Cisco → Dashboard.
Suchen Sie im Bereich CUCM Informationen die Karte des Knotens mit dem Hinweis Zertifikat passt nicht.
Klicken Sie auf Neues Zertifikat übernehmen. Das Fenster Zertifikat für <Knoten> prüfen stellt Gespeichertes Zertifikat und Aktuelles Zertifikat des Knotens nebeneinander.
Vergleichen Sie Zertifikat-Fingerabdruck (SHA-256) mit dem Zertifikat, das der CUCM-Knoten tatsächlich verwendet. Lesen Sie den Wert dazu auf einem unabhängigen Weg am CUCM ab.
Setzen Sie den Haken Ich habe den Fingerabdruck des neuen Zertifikats geprüft.
Klicken Sie auf Neues Zertifikat übernehmen. Die Meldung Zertifikat übernommen. Status wird aktualisiert. bestätigt den Vorgang.

Felder und Optionen

Felder und Optionen
Feld / Aktion	Bedeutung und Verwendung
Zwei-Faktor-Anmeldung	Ein Schalter für alle Konten der Administration. Der Code kommt per E-Mail, gilt 15 Minuten und erlaubt fünf Versuche. Siehe Kapitel Zwei-Faktor-Anmeldung.
Anmeldeschutz	Nach fünf Fehlversuchen für ein Konto innerhalb von 15 Minuten bremst EasyUC weitere Anmeldungen. Das gilt für die Administration, das Endnutzer-Portal und die Anmeldung mit API-Schlüsseln. Einzustellen ist nichts.
Sitzungen	Eine Kennwortänderung beendet alle anderen Sitzungen des Kontos. Geänderte Rechte und Vorlagen wirken auch für bereits angemeldete Benutzer.
Zugriffstypen und Berechtigungsvorlagen	Rechte, Lesemodus, Cluster und Standorte je Konto oder je Vorlage. Ein Konto ohne zugewiesene Verbindung sieht keine CUCM-Daten.
Gespeicherte Kennwörter	Kennwörter für SMTP und externe Quellen zeigt die Oberfläche nicht mehr an. Leere Kennwortfelder behalten den gespeicherten Wert nur, solange das Ziel gleich bleibt. Nach einer Änderung von Host oder Port geben Sie das Kennwort neu ein.
TLS zu CUCM und Unity Connection	EasyUC merkt sich das Zertifikat eines Knotens beim ersten Kontakt und prüft es bei jeder weiteren Verbindung. Ein geändertes Zertifikat muss ein Administrator bestätigen.
SSL-Prüfung bei Webhooks	Je Webhook einstellbar. Standard: eingeschaltet.
Änderungsprotokoll	Protokolliert schreibende Aktionen in EasyUC und Änderungen direkt am CUCM. Eigene Rechte regeln die Einsicht in technische Details wie IP-Adressen, den Export und die Einstellungen zur Aufbewahrung.
API-Zugänge	Das Secret wird nur einmal angezeigt. Die API-Dokumentation ist nur nach Anmeldung abrufbar.
Selbstbedienung der Endnutzer	Endnutzer können an Leitungstasten nur ihre eigenen Rufnummern verwenden. Die Nummernplan-Suche und das Anlegen neuer Nummern aus dem Nummernplan sind für Endnutzer gesperrt.

Ergebnis prüfen und Fehler eingrenzen

Die Zwei-Faktor-Anmeldung wirkt, wenn nach dem Kennwort die Seite Geben Sie die 2-Faktor-PIN ein erscheint.
Hinweis Zertifikat passt nicht an einem CUCM-Knoten: Das Zertifikat des Knotens hat sich geändert, zum Beispiel nach einer Erneuerung. Bestätigen Sie es wie oben beschrieben. Bis dahin schlagen Abfragen an diesen Knoten fehl.
Hinweis Dieses Zertifikat ist bereits gespeichert. Der TLS-Fehler hat eine andere Ursache.: Prüfen Sie Erreichbarkeit, Uhrzeit und Hostnamen des Knotens.
Die Schaltfläche Neues Zertifikat übernehmen bleibt gesperrt: Der Haken zur Fingerabdruckprüfung fehlt oder Ihr Konto ist kein Administrator.
Eine Anmeldung wird trotz richtigem Kennwort abgewiesen: Nach mehreren Fehlversuchen greift der Anmeldeschutz. Warten Sie einige Minuten.
Ein Benutzer sieht nach dem Update keine Cluster mehr: Seinem Konto ist keine Verbindung zugewiesen. Tragen Sie unter Administratoren & Rollen die erlaubten Cluster ein.
Speichern der SMTP-Konfiguration oder einer externen Quelle verlangt das Kennwort neu: Host, Port oder Verschlüsselung wurden geändert.