Zusammenfassung

  • Broadcoms aktueller Hinweis sieht den 29. September für die Abschaltung alter Adressen der Pariser Lokalisierungszone vor.
  • Der Anbieter warnt vor möglichen Microsoft-Zugriffsproblemen durch IP-Geolokalisierung; Erreichbarkeit und Zugriffsentscheidung sind getrennte Prüfungen.

Für das Netzwerkteam kann eine Migration erfolgreich aussehen, sobald die neue Gateway-Verbindung steht. Für die Identitätsverwaltung bleibt eine weitere Frage: Welchen Standort erkennt die Anwendung? Broadcoms Verlagerung der Pariser Cloud-Secure-Web-Gateway-Lokalisierungszone an den Rechenstandort Dover in Großbritannien zeigt diese Abhängigkeit.

Der Statushinweis bezeichnet die Arbeiten als laufend. Am 17. August änderte Broadcom den ursprünglichen Zeitplan auf einen Umzug am 1. September und die Abschaltung alter Adressen am 29. September. Daraus folgt nicht, dass inzwischen jeder Kunde umgestellt ist. Broadcoms Migrationshinweis.

Drei unterschiedliche Bedeutungen von Standort

Lokalisierungszonen sollen Inhalte mit IP-Adressen abrufen, die zum Land des Endnutzers passen. Diese Funktion ist nicht mit dem physischen Rechenstandort gleichzusetzen. Ebenso wenig bestimmt sie, welchem Land ein anderer Dienst die Adresse zuordnet.

In einem Update vom 28. August erklärte Broadcom, Kunden mit Microsoft Conditional Access könnten über den verlagerten Zugangspunkt keinen Zugriff auf Microsoft-Dienste erhalten. Als Ursache nennt Broadcom eine falsche geografische Zuordnung der neuen Cloud-SWG-Adressen durch Microsoft. Der Hinweis liefert keine unabhängig bestätigte Betroffenenzahl oder Ausfalldauer.

Microsoft beschreibt den allgemeinen Mechanismus: Conditional Access kann den Standort anhand der öffentlichen IP-Adresse oder von Authenticator-GPS-Daten bestimmen. Für IP-basierte Länderzuordnungen verwendet Microsoft eine regelmäßig aktualisierte Tabelle. Die private Adresse eines Bürorechners ist nicht die öffentliche Adresse, die der Dienst sieht. Microsofts Dokumentation zu Netzwerkbedingungen.

Eine funktionierende Route kann deshalb mit einer anderen Zugriffsentscheidung einhergehen. Der Gateway-Anbieter betreibt den Übertragungsweg, die Identitätsplattform interpretiert ein Signal, und der Kunde legt dessen Bedeutung in seiner Richtlinie fest.

Automatisch heißt nicht vollständig übernommen

Broadcom unterscheidet nach Anschlussart. Bestimmte Agenten und Datenverkehr über den Standard-Proxyhostnamen werden automatisch umgeleitet. IPsec und fest auf einzelne Adressen oder Zugangspunkte ausgerichtete Konfigurationen haben andere Anforderungen. Der Hinweis trennt außerdem Firewall-Freigaben zum Gateway von den Regeln, mit denen Drittanwendungen dessen Ausgangsadressen akzeptieren.

Eine solche Freigabeliste ist nicht automatisch ein vertrauenswürdiges Unternehmensnetz. Microsoft warnt davor, nicht dedizierte oder nicht aufzählbare Ausgangsadressen in Regeln für vertrauenswürdige benannte Standorte aufzunehmen, weil dies die Sicherheit schwächen kann. Dieser allgemeine Hinweis belegt nicht, dass sämtliche Broadcom-Adressen geteilt werden. Er zeigt die Grenze zwischen Erreichbarkeit und besonderem Vertrauen. Microsofts Dokumentation zur kontinuierlichen Zugriffsbewertung.

Für Käufer verwalteter Sicherheitsdienste liegt darin eine Leistungsgrenze: Automatisierte Weiterleitung löst nicht alle Annahmen ihrer Identitätsrichtlinien. Gemessene Umzugskosten, Preisänderungen oder Zusagen zur Datenresidenz enthält der Hinweis nicht.