View a markdown version of this page

Richten Sie in Connect Customer Einschränkungen für IP-Adressen und Sitzungs-Timeouts ein - Amazon Connect-Kunde
Erste Schritte mit Authentifizierungsprofilen IP-based Zugriffskontrolle konfigurierenBeispiele für IP-AdresskonfigurationenKonfigurieren Sie Timeouts für Benutzersitzungen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Richten Sie in Connect Customer Einschränkungen für IP-Adressen und Sitzungs-Timeouts ein

Anmerkung

Bei diesem Feature handelt es sich um eine Vorabversion, die Änderungen unterliegt. Um Zugriff auf diese Funktion zu erhalten, wenden Sie sich an Ihren Connect Customer Solutions Architect, Technical Account Manager oder Support.

Um das Contact Center weiter zu sperren, um beispielsweise die Anforderungen und Bestimmungen Ihrer Branche zu erfüllen, können Sie IP-Adressbeschränkungen und Sitzungs-Timeouts einrichten.

  • IP-Adressbeschränkungen bewirken, dass sich die Kundendienstmitarbeiter nur über das VPN anmelden dürfen und dass der Zugriff von bestimmten Ländern oder Subnetzen aus blockiert wird.

  • Aufgrund von Sitzungszeitüberschreitungen müssen sich die Agenten erneut bei Connect Customer anmelden.

In Connect Customer konfigurieren Sie ein Authentifizierungsprofil, um IP-Adressbeschränkungen und Sitzungsdauern für angemeldete Agenten festzulegen. Ein Authentifizierungsprofil ist eine Ressource, die die Authentifizierungseinstellungen für Benutzer im Contact Center speichert.

Erste Schritte mit Authentifizierungsprofilen

Ihre Connect Customer-Instanz enthält ein Standardauthentifizierungsprofil. Dieses Authentifizierungsprofil gilt standardmäßig für alle Benutzer in Ihrem Contact Center und muss nicht zugewiesen werden.

Authentifizierungsprofile sind derzeit nur mit dem AWS SDK konfigurierbar. Verwenden Sie die folgenden Befehle, um Ihr Standardauthentifizierungsprofil zu konfigurieren.

Tipp

Sie benötigen Ihre Connect Customer-Instanz-ID, um diese Befehle ausführen zu können. Anweisungen zum Auffinden des Instance-ARN finden Sie unter Finden Sie Ihre Connect-Customer-Instanz-ID oder Ihren ARN.

  1. Führen Sie die Authentifizierungsprofile in Ihrer Instance auf, um die Profil-ID des Authentifizierungsprofils zu erhalten, das Sie aktualisieren möchten. Sie können die ListAuthenticationProfile API aufrufen oder den list-authentication-profiles CLI-Befehl ausführen.

    Nachfolgend finden Sie einen list-authentication-profiles-Beispielbefehl:

    aws connect list-authentication-profiles --instance-id your-instance-id

    Im Folgenden finden Sie ein Beispiel für das Standardauthentifizierungsprofil, das vom list-authentication-profiles-Befehl zurückgegeben wird.

    {
    "AuthenticationProfileSummaryList": [
        {
        "Arn": "arn:aws:connect:us-west-2:account-id:instance/your-instance-id/authentication-profile/profile-id",
        "Id": "profile-id",
        "IsDefault": true,
        "LastModifiedRegion": "us-west-2",
        "LastModifiedTime": 1.719249173664E9,
        "Name": "Default Authentication Profile"
        }
    ],
    "NextToken": null
}

  2. Sehen Sie sich die Konfiguration des Authentifizierungsprofils an, das Sie aktualisieren möchten. Sie können den describe-authentication-profile CLI-Befehl aufrufen DescribeAuthenticationProfile oder ausführen.

    Nachfolgend finden Sie einen describe-authentication-profile-Beispielbefehl:

    aws connect describe-authentication-profile --instance-id your-instance-id --authentication-profile-id authentication-profile-id

    Im Folgenden sehen Sie ein Beispiel für die Informationen, die der describe-authentication-profile-Befehl zurückgibt.

    {
    "AuthenticationProfile": {
    "AllowedIps": [],
    "Arn": "arn:aws:connect:us-west-2:account-id:instance/your-instance-id/authentication-profile/profile-id",
    "BlockedIps": [],
    "CreatedTime": 1.718999177811E9,
    "Description": "A basic default Authentication Profile",
    "Id": "profile-id",
    "IsDefault": true,
    "LastModifiedRegion": "us-west-2",
    "LastModifiedTime": 1.719249173664E9,
    "MaxSessionDuration": 720,
    "Name": "Default Authentication Profile",
    "PeriodicSessionDuration": 60,
    "SessionInactivityDuration": 60,
    "SessionInactivityHandlingEnabled": false
    }
}

    Eine Beschreibung der einzelnen Felder finden Sie AuthenticationProfile in der Connect-API-Referenz für Kunden.

  3. Konfigurieren Sie das Authentifizierungsprofil mithilfe der UpdateAuthenticationProfile API oder des update-authentication-profile CLI-Befehls. Alle Felder mit Ausnahme von InstanceId und ProfileId sind optional. Es werden nur die Einstellungen geändert, die Sie im API-Aufruf definieren.

    Nachfolgend finden Sie einen update-authentication-profile-Beispielbefehl. Er konfiguriert das Standard-Authentifizierungsprofil, das automatisch allen Benutzern zugewiesen wird. Es erlaubt einige IP-Adressen, blockiert andere, ermöglicht automatische Abmeldungen bei Benutzerinaktivität und legt die Dauer der Sitzungsinaktivität auf 60 Minuten fest.

    aws connect update-authentication-profile 
    --instance-id your-instance-id 
    --authentication-profile-id authentication-profile-id
    --name "Default Authentication Profile"
    --description "A basic default Authentication Profile"
    --allowed-ips "ip-range-1" "ip-range-2" ...
    --blocked-ips "ip-range-3" "ip-range-4" ...
    --session-inactivity-handling-enabled
    --session-inactivity-duration 60

Konfigurieren Sie die Zugriffskontrolle IP-based

Wenn Sie den Zugriff auf Ihr Contact Center anhand von IP-Adressen konfigurieren möchten, können Sie die IP-based Zugriffskontrollfunktion Ihres Authentifizierungsprofils verwenden.

Es gibt zwei Arten von IP-Konfigurationen, die Sie in einem Authentifizierungsprofil konfigurieren können: zulässige IP-Adressbereiche und blockierte IP-Adressbereiche. In den folgenden Punkten wird beschrieben, wie die IP-based Zugriffskontrolle funktioniert.

  • IP-Adressen können sowohl im IPV4- als auch im IPV6-Format vorliegen.

  • Sie können sowohl einzelne IP-Adressen als auch IP-Adressbereiche in CIDR-Notation definieren.

  • Blockierte IP-Konfigurationen haben immer Vorrang.

  • Wenn IP-Adressen in der Liste der zulässigen IP-Adressen definiert sind, sind nur diese IP-Adressen zulässig.

    • Der Zugriff auf diese IP-Adressen kann anhand der Liste der blockierten IP-Adressen nach unten beschränkt werden.

  • Wenn nur blockierte IP-Adressen definiert sind, kann jede IP-Adresse, mit Ausnahme der in der Sperrliste definierten, auf die Instance zugreifen.

  • Wenn IP-Adressen sowohl in der Liste der zulässigen als auch in der Liste der blockierten IP-Adressen definiert sind, sind nur die im zulässigen und nicht die im blockierten Bereich definierten IP-Adressen erlaubt.

Anmerkung

Die auf IP-Adressen basierende Zugriffskontrolle gilt nicht für die Administratoranmeldung im Notfall. Um Einschränkungen für diesen Benutzer anzuwenden, können Sie SourceIp-Einschränkungen in Ihren IAM-Richtlinien für die API connect:AdminGetEmergencyAccessToken einrichten.

Wenn festgestellt wird, dass die IP-Adresse eines Benutzers von der Instance blockiert wird, wird die Sitzung des Benutzers für ungültig erklärt. Ein Abmeldeereignis wird im Login/Logout Bericht veröffentlicht.

Auswirkungen einer fehlgeschlagenen IP-Adressprüfung für die Benutzer

Kundendienstmitarbeiters (Kundendienstmitarbeiter)

Wenn ein Kundendienstmitarbeiter im Contact Control Panel (CCP) aktiv ist, wird seine IP-Adresse regelmäßig überprüft.

Folgendes passiert, wenn die IP-Adresse die Prüfung nicht besteht:

  • Wenn sich der Kundendienstmitarbeiter nicht in einem aktiven Anruf befindet, wird er abgemeldet, wenn seine IP-Adresse in eine unzulässige Adresse geändert wird.

  • Wenn der Agent einen aktiven Anruf führt, wird die Sitzung des Agenten für ungültig erklärt. Dadurch wird der aktuell aktive Anruf jedoch nicht beendet. Es passiert Folgendes:

    1. Der Kundendienstmitarbeiter kann keine Aktionen mehr ausführen, z. B. den Status des Kundendienstmitarbeiters ändern, Anrufe weiterleiten, den Anruf in die Warteschleife setzen, den Anruf beenden oder einen Kundenvorgang erstellen.

    2. Der Kundendienstmitarbeiter wird darüber informiert, dass seine Fähigkeit, im CCP Maßnahmen zu ergreifen, eingeschränkt ist.

    3. Wenn sie sich erfolgreich anmelden, nachdem ihre Sitzung für ungültig erklärt wurde, werden sie wieder in den aktiven Anruf aufgenommen und können erneut Aktionen ausführen.

Admins und Benutzer, die die Connect Customer Admin-Website verwenden

Wenn die IP-Adressüberprüfung für Administratoren und andere Benutzer fehlschlägt, die Aktionen auf der Connect Customer -Admin-Website ausführen, z. B. Updates für Ressourcen speichern oder aktive Anrufe tätigen, werden sie automatisch abgemeldet.

Beispiele für IP-Adresskonfigurationen

Beispiel 1: IP-Adressen, die nur in der Liste der zulässigen IP-Adressen definiert sind

  • AllowedIps: [ 111.222.0.0/16 ]

  • BlockedIps: [ ]

Ergebnis:

  • Nur IP-Adressen zwischen 111.222.0.0 und 111.222.255.255 dürfen auf die Instance zugreifen.

Beispiel 2: IP-Adressen, die nur in der Liste der blockierten IP-Adressen definiert sind

  • AllowedIps: [ ]

  • BlockedIps: [155.155.155.0/24 ]

Ergebnis:

  • Alle IP-Adressen sind erlaubt, mit Ausnahme des IP-Adressbereichs 155.155.155.0 - 155.155.155.255.

Beispiel 3: IP-Adressen, die sowohl in der Liste der zulässigen IP-Adressen als auch in der Liste der blockierten IP-Adressen definiert sind

  • AllowedIps: [ 200.255.0.0/16 ]

  • BlockedIps: [200.255.10.0/24, 200.255.40.50, 192.123.211.211 ]

Ergebnis:

  • Der IP-Adressbereich 200.255.0.0 - 200.255.255.255 ist, mit Ausnahme von (200.255.10.0 - 200.255.10.255 AND 200.255.40.50).

  • Tatsächlich sind folgende Adressen erlaubt: 200.255.0.0 - 200.255.9.255, 200.255.11.0 - 200.255.40.49, 200.255.40.51 - 200.255.255.255.

  • 192.123.211.211 wird effektiv ignoriert, da sich die Adresse nicht im zulässigen Bereich befindet.

Beispiel 4: Weder in der Liste der zulässigen IP-Adressen als auch in der Liste der blockierten IP-Adressen sind Adressen definiert

  • AllowedIps: [ ]

  • BlockedIps: [ ]

In diesem Fall gibt es keine Einschränkungen.

Wichtig

Die Liste allowedIps definiert den Bereich der möglichen IP-Adressen, die in Ihrem Contact Center nur zulässig sind, wenn die Liste nicht leer ist. Wenn sie leer ist, darf jede IP-Adresse auf Ihr Contact Center zugreifen, sofern sie nicht ausdrücklich von der Liste blockedIps blockiert wird.

Konfigurieren Sie Timeouts für Benutzersitzungen

Eine Connect-Kundensitzung ist definiert als ein kontinuierlicher Zeitraum authentifizierten Zugriffs auf die Website Ihres Contact Centers. Es gibt zwei Sitzungs-Timeouts, die für Benutzersitzungen in Ihrem Contact Center gelten:

  • Maximale Sitzungsdauer: Dieser Wert gibt den maximalen Zeitraum an, für den ein Contact Center-Benutzer angemeldet sein kann, bevor er gezwungen wird, sich erneut anzumelden. Dieser Wert ist standardmäßig auf 12 Stunden eingestellt und kann nicht konfiguriert werden.

  • Dauer der Sitzungsinaktivität: Dieser Wert steht für den Zeitraum, in dem ein Agent automatisch vom Contact Center abgemeldet wird, wenn er inaktiv wird.

Standardmäßig bleiben Benutzer in Ihrer Connect Customer-Instanz angemeldet, bis die maximale Sitzungsdauer von 12 Stunden abgelaufen ist. Eine automatische Abmeldung aufgrund von Inaktivität erfolgt nicht. Organisationen mit strengeren Sicherheits- und Compliance-Anforderungen können jedoch Authentifizierungsprofile verwenden, um die automatische Abmeldung zu aktivieren, wenn Benutzer inaktiv werden. Sobald diese Funktion aktiviert ist, überwacht sie die Benutzeraktivitätsmuster und beendet Sitzungen automatisch, nachdem die konfigurierte Dauer der Sitzungsinaktivität abgelaufen ist.

Ein Contact Center-Benutzer gilt als aktiv, wenn er eine der folgenden Aktionen ausführt:

  • Maus- und Tastaturaktivitäten im Contact Control Panel (CCP), im Arbeitsbereich für Agenten oder auf der Admin-Website

  • Vorhandensein eines aktiven Sprachkontakts

Wenn festgestellt wird, dass der Benutzer inaktiv ist, erscheint ein Pop-up auf dem Bildschirm, in dem der Benutzer gewarnt wird, dass seine Sitzung aufgrund von Inaktivität bald abläuft. Ein Benutzer kann wählen, ob er angemeldet bleiben oder sich abmelden möchte.

Um sich für die automatische Abmeldung bei Benutzerinaktivität anzumelden, führen Sie mithilfe des Connect Customer SDK die folgenden API-Aufrufe für ein Authentifizierungsprofil in Ihrer Instanz aus.

aws connect update-authentication-profile 
    --instance-id your-instance-id 
    --authentication-profile-id authentication-profile-id
    --session-inactivity-handling-enabled
    --session-inactivity-duration minutes between 15 and 720
Anmerkung

Kunden, die ihr Contact Center mit einem Drittanbieter (wie Salesforce Service Cloud Voice (SCV)) integrieren, sollten in der Dokumentation des Anbieters nachlesen, ob diese Funktion unterstützt wird, bevor sie automatische Abmeldungen bei Inaktivität aktivieren.

Anmerkung

Kunden, die AmazonConnectStreams oder das AmazonConnect SDK verwenden, um ihre vorhandenen Webanwendungen in Connect Customer zu integrieren, müssen die Aktivitätsverwaltung als Teil ihrer Integration implementieren, bevor sie die automatische Abmeldung bei Benutzerinaktivität aktivieren. Weitere Informationen finden Sie in der AmazonConnectStreams oder AmazonConnect SDK-Dokumentation.

Anmerkung

Die automatische Abmeldung bei Benutzerinaktivität wird nicht unterstützt, wenn Amazon Connect in einer Virtual Desktop Infrastructure (VDI) mit einem geteilten CCP-Modell verwendet wird.