Ограничение доступа пользователей к Acrobat Sign с помощью разрешенных диапазонов IP-адресов

Контролируйте, кто может получить доступ к Acrobat Sign, разрешив только доверенные диапазоны IP-адресов для пользователей учетной записи и интеграций.

Разрешенные диапазоны IP-адресов позволяют администраторам ограничить доступ к Adobe Acrobat Sign только доверенными сетями. Разрешая запросы с известных IP-адресов и запрещая все остальные, вы можете снизить несанкционированный доступ и обеспечить единообразные политики безопасности в вашей организации. Этот контроль применяется до аутентификации пользователя и помогает защитить регулируемые среды и критически важные роли. Эта настройка не влияет на получателей соглашения.

Зачем использовать списки разрешенных IP-адресов

Разрешенные диапазоны IP-адресов — это шлюз «запрет по умолчанию» перед Acrobat Sign. Пользователь или интеграция могут войти в веб-приложение или вызвать API только в том случае, если запрос поступает с IP-адреса, включенного в список разрешенных.

• Сокращение случаев несанкционированного доступа путем ограничения входов в систему для известных корпоративных сетей.
• Обеспечение соблюдения единой политики доступа всеми пользователями учетной записи.
• Сочетание с единым входом (SSO) и многофакторной аутентификацией (MFA) для многоуровневой защиты. 

Прежде чем начинать

• Получите нужные вам диапазоны IP-адресов вместе с командой обслуживания сетей. Используйте нотацию CIDR (например, 203.0.113.0/24).
• Сначала добавьте сети администраторов, чтобы не исключить себя из рабочего процесса.
• Учитывайте удаленный, аварийный или партнерский доступ и включайте эти диапазоны по мере необходимости.
• Определите, планируете ли вы использовать сторонние приложения (Salesforce и т. д.) или мобильные приложения Acrobat Sign (с точки зрения отправителя).

Конфигурация

Доступность

• Acrobat Standard и Acrobat Pro: не поддерживается
• Acrobat Sign Solutions: поддерживается
• Acrobat Sign for Government: не поддерживается

Диапазон доступа

• Веб-интерфейс. Запросы с IP-адресов, не входящих в список разрешенных, отклоняются с сообщением «Доступ к вашей учетной записи с этого компьютера невозможен. Свяжитесь со службой поддержки».
• API. Доступ разрешен только в том случае, если включен параметр «Разрешить этим IP-адресам доступ к системе через API». Если он выключен, вызовы API отклоняются — даже с перечисленных IP-адресов.
• Сертифицированные приложения. Основные интеграции (например, Microsoft, Salesforce) разрешены по умолчанию.
  • Мобильные приложения Acrobat Sign входят в область действия Сертифицированных приложений и подвержены влиянию элементов управления, которые разрешают или запрещают доступ к службе Acrobat Sign.
    Обратите внимание, что влияние оказывается только на подключение к Acrobat Sign в качестве пользователя. Получателей это не затрагивает.

Диапазон настроек

• Разрешенные диапазоны IP-адресов можно настроить на уровнях учетной записи и группы. 
  • Доступ пользователя определяется его основной группой при применении настроек на уровне группы.
• Интеграции (Microsoft Dynamics, Salesforce и подобные) разрешены по умолчанию.

Существует три настройки, которые определяют, применяются ли ограничения IP к доступу через браузер, запросам API и клиентам на основе API, например мобильным приложениям и интеграции.

1. Разрешить доступ к системе только с IP-адресов, перечисленных ниже. Включает ограничения для IP-адресов и предоставляет доступ к конфигурации списка разрешенных IP-адресов.
   • Если IP-диапазоны не указаны после сохранения конфигурации страницы, этот параметр автоматически снимается, и функция отключается.
   • Если этот параметр отключен, ограничения по IP-адресам не включены, и любой IP-адрес может попытаться получить доступ к учетной записи через аутентификацию пользователя.
   • Когда вы определяете один или несколько диапазонов IP-адресов, разрешены только попытки аутентификации для входа в пользовательский интерфейс Acrobat Sign с этих адресов.
2. Разрешить этим IP-адресам получать доступ к системе через API. Указанным IP-адресам явным образом предоставляется доступ через API.
   • Эта опция требует включения ограничений IP-адресов.
   • При включении разрешены только подключения API с перечисленных IP-адресов.
   • Если эта опция не включена, запросы API отклоняются, даже когда запрос исходит с разрешенного IP-адреса.
3. Всегда разрешать доступ через API с IP-адресов сертифицированных партнерских приложений. Позволяет сертифицированным приложениям обходить ограничения для IP-адресов для входа через API.
   • Эта опция требует включения доступа к API.
   • При включении ограничения IP не применяются к сертифицированным приложениям, включая мобильные приложения Acrobat Sign.
   • Сертифицированные партнерские приложения включают интеграции, разработанные Acrobat Sign, такие как Salesforce и SharePoint.

Для применения ограничений IP к доступу через браузер, мобильным приложениям и интеграциям необходимо включить доступ к API, и обход сертифицированных приложений не должен быть разрешен.

Как настроить разрешенный диапазон IP-адресов

Прежде чем пытаться настроить список разрешенных адресов, обратитесь к команде обслуживания сетей и получите правильные диапазоны IP-адресов CIDR.
Обязательно сначала разрешите диапазон IP-адресов, с которого вы сейчас работаете.

Все настроенные диапазоны IP-адресов перечислены в наборе управления в списке прокрутки. Одновременно отображается до двух нотаций CIDR, если вы не выберете новый вариант разбиения на страницы с помощью значка Дополнительные параметры.

Управление доступными диапазонами IP-адресов:

Рекомендации

• Рассматривайте список разрешений как политику «запрет по умолчанию»: следует добавлять только известные диапазоны.
• Включите резервные диапазоны для критически важных ролей, если это разрешено политикой.
• Если применение изменения происходит после развертывания для конечных пользователей, заранее сообщите об этом, чтобы они знали, как запросить доступ в случае блокировки.
• Если вы ограничиваете доступ к API, проверьте, должны ли сертифицированные приложения обходить ограничения IP на основе ваших требований к использованию и безопасности.

Управление и обслуживание

• Проверяйте и обновляйте диапазоны при изменении сетей (новые офисы, смена VPN, интернет-провайдеров или выход в облако).
• Ведите документированный источник достоверной информации для утвержденных диапазонов.
• Протестируйте с небольшой группой пользователей перед развертыванием для более широкой аудитории.
• Если пользователи заблокированы, проверьте их текущий публичный IP-адрес и добавьте правильный диапазон или временно отключите контроль и включите его снова после исправления.

Влияние и ограничения

• Ограничение доступа по IP-адресу существенно затрудняет поддержку удаленных пользователей, если только их сети или диапазоны VPN не включены в список разрешенных.
• Этот контроль влияет на доступ к веб-приложению и API.
• Интеграции разрешены по умолчанию, если не настроено иначе через службу поддержки Acrobat Sign.
• Можно настроить учетную запись таким образом, чтобы заблокировать весь внешний доступ. Тщательно планируйте и тестируйте.