Admin By Request Web Access Management im Praxischeck

In diesem Blogpost erkläre ich, wie du Admin By Request Web Access Management einrichtest. Auf einer Windows-VM zeige ich, wie du Downloads blockierst, Anfragen genehmigst und den Zugriff auf Websites einschränkst. Wenn du meinen Rundgang durch Admin By Request Endpoint Privilege Management gelesen hast, kennst du das Portal bereits. Diesmal schaue ich mir die Browser- und Downloadeinstellungen an.

Werbung: Das Video entstand in Zusammenarbeit mit Admin By Request.

Das vollständige Video auf YouTube ansehen (12:19 Minuten)

Was ist Web Access Management

Web Access Management steuert, welche Websites Nutzer öffnen und welche ausführbaren Dateien sie herunterladen dürfen. Du kannst einen Download erlauben, blockieren oder eine Genehmigung verlangen, bevor der Nutzer auf die Datei zugreifen kann.

Endpoint Privilege Management kümmert sich um Anwendungen, die erhöhte Rechte benötigen. Web Access Management steuert Browsing und Downloads. Ein erlaubter Download gibt dem Installer nicht automatisch Adminrechte.

Ab Version 9.0 nutzen beide Produkte denselben Windows-Agent. Du brauchst also keinen zweiten Client. Die Aktivierung und Lizenzierung von Web Access Management erfolgen separat.

Note: Web Access Management unterstützt aktuell Windows. Die Voraussetzungen für Plattform und Agent stehen in der Getting-Started-Anleitung.

Wie starte ich mit der Einrichtung

Der Free Plan enthält 25 Lizenzen für Web Access Management ohne zeitliche Begrenzung. Damit kannst du die Einstellungen auf einigen Geräten ausprobieren.

1. Registriere dich für den Free Plan oder melde dich an deinem vorhandenen Portal an.
2. Öffne Downloads und lade den Windows-Installer für deinen Tenant herunter.
3. Installiere den Agent ab Version 9.0 auf einem Testgerät. Prüfe, ob sich der Client mit dem Portal verbindet.
4. Öffne Web Access Management, dann Settings und Web Access Settings.
5. Prüfe unter Product Enrollment, ob dein Testgerät aufgenommen ist.

Auf meiner VM ist der Client bereits installiert. Bei mehreren Geräten kannst du den Installer über Microsoft Intune verteilen. Diesen Rollout zeige ich im Video nicht.

Hint: Über Product Enrollment bin ich bei meinem Test selbst gestolpert. Mit aktiviertem Test Drive musst du das Gerät für Web Access Management aufnehmen. Du kannst Test Drive auch für die automatische Aufnahme abschalten. Für einen kleinen Test würde ich die vorgesehenen Geräte einzeln aufnehmen.

Wie blockiere ich einen Download

Öffne Authorization. Im Screenshot siehst du getrennte Einstellungen für Downloads und Browsing. So kannst du eine Website erreichbar lassen und trotzdem ihre ausführbaren Downloads kontrollieren.

Ich schalte Allow downloads aus und klicke auf Save. Auf der VM öffne ich die Greenshot-Website in Edge und starte den Download. Admin By Request blockiert ihn.

Anschließend aktiviere ich Allow downloads, speichere und versuche es erneut. Jetzt läuft die Datei durch die Malwareprüfung und der Client bietet Run now an.

Einstellung	Funktion
Allow downloads	Erlaubt ausführbare Downloads. Bei ausgeschalteter Option können passende Vorabfreigaben weiterhin Downloads erlauben.
Require approval	Verlangt eine Genehmigung, sofern keine passende Vorabfreigabe greift.
Require reason	Fragt den Nutzer, weshalb er den Download benötigt.

Wie die Optionen zusammenarbeiten, beschreibt die Einstellungsreferenz.

Wie genehmige ich einen Download

Für den nächsten Test aktiviere ich Require approval und Require reason. Nach dem Speichern starte ich den Greenshot-Download erneut.

1. Der Client öffnet ein Anfrageformular.
2. Der Nutzer gibt eine Begründung ein und sendet die Anfrage ab.
3. Ich öffne Requests im Portal und genehmige die Anfrage.
4. Zurück auf der VM bestätige ich die Freigabe und setze den Download fort.

Bei einer echten Anfrage sollte die Begründung die Aufgabe beschreiben. Der Nutzer könnte beispielsweise erklären, dass er Greenshot für kommentierte Screenshots in der Supportdokumentation benötigt.

Während der Prüfungen bleibt die Datei in einem geschützten Bereich auf dem Endpoint. Im Video nenne ich das eine Sandbox. Das bedeutet nicht, dass jede Datei in einer eigenen Analyseumgebung ausgeführt wird.

Wie sperre ich eine Website

Allow browsing steuert den allgemeinen Webzugriff. Schaltest du die Option aus, können Nutzer nur vorab freigegebene Websites öffnen. Um einzelne Websites zu sperren, öffne Site Control und lege einen Eintrag in der Blocked-Liste an.

Ich trage google.de ein und speichere. Auf der VM lädt Google trotzdem. Der Browser hat mich auf google.com weitergeleitet. Nachdem ich auch diese Domain ergänzt habe, wird der Aufruf blockiert.

Hint: Prüfe die tatsächliche Adresse im Browser. Eine Weiterleitung kann den Nutzer zu einer anderen Domain führen als der, die du in der Regel eingetragen hast.

Mit Request blocked sites kannst du Nutzern erlauben, eine Ausnahme zu beantragen. Ich aktiviere die Option, öffne Google erneut und sende eine Begründung ab. Danach genehmige ich die Anfrage im Portal und bestätige sie am Client. Die Website ist nun vorübergehend erreichbar. Für andere Nutzer bleibt die Sperre bestehen.

Wie schränke ich Browser ein

Öffne Lockdown und wähle Browsers. Hier kannst du einzelne Browser erlauben oder blockieren und Mindestversionen festlegen.

Ich deaktiviere die Browserfreigaben und öffne Edge neu. Der Zugriff wird blockiert, obwohl Allow browsing und Allow downloads weiterhin aktiv sind. Nachdem ich Edge wieder erlaube, kann ich Bing öffnen. Google bleibt durch die Website-Regel gesperrt.

Es gibt außerdem eine Einstellung für Anwendungen mit eingebetteten Webansichten. Teste diese separat, wenn eure Fachanwendungen sie benötigen. Der Test mit Edge zeigt nicht das Verhalten jeder Anwendung.

Welche weiteren Einstellungen gibt es

Im Video zeige ich auch die anderen Optionen unter Lockdown:

• MFA verlangt eine Anmeldung, bevor ein ausführbarer Download freigegeben wird. Email match prüft, ob die Identität zum Nutzer des Endpoints passt.
• Intune kann ein konformes Gerät für ausführbare Downloads voraussetzen. Dafür brauchst du den Entra ID Connector und ein in Intune aufgenommenes Gerät.
• Owner beschränkt ausführbare Downloads auf den im Inventar zugeordneten Gerätebesitzer.
• VPN entfernt unterstützte VPN-Erweiterungen im Browser. Vollständige VPN-Clients werden nicht entfernt.
• Instructions zeigt eigene Hinweise vor dem Browsen oder Herunterladen an.

MFA, Intune und Owner beziehen sich auf ausführbare Downloads. Für normale Seitenaufrufe gelten die Browsing-Einstellungen. Ich zeige diese Optionen im Video, teste aber keinen vollständigen MFA- oder Intune-Compliance-Ablauf. Die Voraussetzungen stehen in der Lockdown-Dokumentation.

Wo sehe ich den Malware Scan

Öffne das Auditlog und wähle einen Download aus. Ich öffne die Details des Malware-Scans und sehe dort die Ergebnisse der Prüf-Engines. Bei der Datei aus meinem Test meldet keine davon einen Fund.

Admin By Request verwendet OPSWAT MetaDefender. Mit aktivierter Cloud-Prüfung können unbekannte Dateien zur Analyse hochgeladen werden. Prüfe diese Einstellung für interne Installer. Die Produktdokumentation erklärt den Scanablauf. Ein Ergebnis ohne Fund garantiert nicht, dass eine Anwendung für jede Aufgabe geeignet ist.

Note: Das Auditlog ist kein vollständiger Browserverlauf. Es erfasst ausführbare Downloads, blockierte Websiteaufrufe und Aufrufe vorab freigegebener Websites mit aktivierter Protokollierung. Normale erlaubte Seitenaufrufe werden nicht protokolliert.

Wie gehe ich mit wiederkehrenden Anfragen um

Unter App Control kannst du ausgewählte Downloads vorab freigeben. Machine Learning kann passende Anfragen nach der eingestellten Anzahl manueller Genehmigungen automatisch genehmigen.

AI Approval nutzt einen App Score und einen Vendor Score. Die Schwellwerte legst du im Portal fest. Für Machine Learning und AI Approval muss Require approval aktiv sein. Beide steuern die Genehmigung; die Malwareprüfung bleibt eine separate Prüfung. Die Details findest du in der Funktionsübersicht.

Fazit

Du kannst die Download- und Website-Regeln jetzt auf einem Windows-Testgerät ausprobieren. Starte mit einem bekannten Installer und prüfe jede Änderung am Client. Falls eine Regel nicht greift, kontrolliere Product Enrollment, die Zieldomain und mögliche Vorabfreigaben oder Web Access Sub Settings.

Probiere den Free Plan mit 25 Lizenzen auf einigen Geräten aus und schau dir an, wie der Genehmigungsprozess für eure Nutzer funktioniert.