Einleitung

Die vorhandenen kantonalen Richtlinien für den bedingten Zugriff sowie für die Registrierungseinschränkungen für private Geräte (BYOD) werden global für alle Schulen angepasst.

Dies vereinfacht die Handhabung massiv und deckt gleichzeitig die Anforderungen der Schulen besser ab.

Ausgangslage

Bis anhin galten die kantonalen Richtlinien, dass die Nutzung von kantonalen Applikationen (Outlook, Teams, etc.) auf privaten Geräten, nur durch einer Registrierung des Gerätes, beim Kanton, möglich war.

Dies hatte folgende Einflüsse auf das Gerät:

• Das Gerät war mit dem Azure Active Directory des Kantons verbunden
• Windows Benutzer meldeten sich mit Ihrem kantonalen Konto an Ihrem privaten Gerät an
• Richtlinien und Einschränkungen (z.B. Conditional Access, Gerätekonformität) wurden automatisch angewendet

Mit den neuen kantonalen Richtlinien wird nun keine Registrierung von privaten Geräten mehr erlaubt. Stattdessen erfolgt der Zugriff auf Dienste wie Outlook, OneDrive, Teams und SharePoint ausschliesslich über Web- oder App-Zugriffe mit Zwei-Faktor-Authentifizierung (MFA), unabhängig des Gerätes und Benutzers.

Änderungen in der Benutzung

Kantonalen Applikationen können nun auf allen Geräten ohne Registrierung beim Kanton verwendet werden.

Die Zwei-Faktor-Authentifizierung (MFA) wird im neuen Prozess häufiger durchgeführt und es gelten Folgende Bedingungen:

• Auf BYOD-Geräten wird aus Sicherheitsgründen keine dauerhafte Sitzung erlaubt - daher die wiederholte MFA
• Die Authentifizierung ist sitzungsbasiert, nicht gerätebasiert
• Applikationen wie Outlook, Teams, etc. fordern die MFA in der Regel bei jeder neuen Sitzung, also z.B.:
  • Nach einem Neustart des Gerätes
  • Nach einem Neustart der App
  • Nach Ablauf des Tokens (bei längerer Inaktivität)