Une sécurité que vous pouvez vérifier, pas seulement croire.
Où RealmJoin s'exécute, où résident vos données, quelles permissions il demande et comment il est exploité. Rédigé pour les personnes qui doivent donner leur validation.
- Exploitation certifiée ISO 27001
- TLS 1.2 ou supérieur, HTTPS sortant sur le port 443 uniquement
- Configuration signée avec RSA-SHA512
- Neuf rôles, 178 permissions nommées
- West Europe
- Région Azure principale, North Europe en secours
- Votre Azure
- Runbooks, mots de passe admin et journaux d'audit
- 24 heures
- Pour livrer le correctif d'une vulnérabilité critique
- 99,5 %
- Objectif de disponibilité, avec crédits de service
Hébergé dans Microsoft Azure, en Europe
RealmJoin est un service cloud natif et multi-tenant, développé et exploité par glueckkanja en Allemagne. Rien ne s'exécute sur vos serveurs.
Région
Azure West Europe, avec North Europe en secours. Les données client ne quittent pas l'Europe.
Plateforme
Services .NET conteneurisés sur Azure App Service, avec Azure SQL, Cosmos DB, Blob Storage et Key Vault.
Transport
TLS 1.2 ou supérieur pour chaque connexion, HSTS, et des cookies toujours secure et HTTP-only.
Endpoints
Les appareils communiquent avec RealmJoin exclusivement en HTTPS sortant sur le port 443, avec des listes d'autorisation basées sur les FQDN.
Les éléments sensibles restent dans votre tenant
RealmJoin est un SaaS, mais ce que vous aimeriez le moins confier à un tiers s'exécute dans votre propre tenant Microsoft 365 et votre abonnement Azure.
Service RealmJoin
Microsoft Azure, West Europe, avec North Europe en secours
- Portail et API
- Automatisation en arrière-plan
- Catalogue de packages et CDN
Microsoft Graph, uniquement avec les permissions auxquelles vous consentez
Votre tenant Microsoft 365
Là où restent les décisions
- Intune
- Entra ID
- Autopilot
- Defender for Endpoint
Votre abonnement Azure
Là où s'effectue le travail sensible
- Azure Automationexécute les runbooks
- Key Vaultdétient les mots de passe admin locaux
- Log Analyticsconserve les journaux d'audit, d'exploitation et de runbook
- Storagesert les fonds d'écran, signatures et favoris
Vos appareils
Agent RealmJoin optionnel sous Windows
- N'accepte que des configurations signées
- HTTPS sortant sur le port 443
- Cache pair-à-pair avec BranchCache
Rétention
L'historique d'état des appareils est conservé 90 jours. La durée de rétention des journaux dans votre espace de travail relève de vous ; RealmJoin propose 730 jours.
Départ
L'offboarding supprime les données d'un tenant selon une séquence structurée et reprenable qui couvre chaque catégorie de données, et en conserve la trace.
Chaque permission, et sa raison d'être
Les permissions sont réparties entre plusieurs app registrations distinctes, de sorte que vous ne consentez qu'à ce que vous utilisez. Quick Setup les accorde en un seul consentement ; Advanced Setup vous laisse accorder chaque permission vous-même, et chacune peut être rétrogradée ou révoquée par la suite.
| Permission Microsoft Graph | Utilisée pour |
|---|---|
| Socle, accordé par défaut | |
| User.Read.All | Utilisateurs sur les pages utilisateur et appareil |
| Device.Read.All | Appareils Entra, corrélés avec Intune et l'agent |
| DeviceManagementManagedDevices.Read.All | Appareils gérés par Intune |
| DeviceManagementConfiguration.Read.All | Stratégies de conformité et de configuration |
| DeviceManagementApps.ReadWrite.All | Création et mise à jour des applications Intune depuis le store |
| Group.ReadWrite.All | Groupes d'applications gérés et outils de groupes |
| GroupMember.ReadWrite.All | Groupes de mise à jour et changements d'appartenance |
| Optionnel, uniquement si vous activez la fonctionnalité | |
| DeviceLocalCredential.Read.All | Windows LAPS dans Intune |
| BitlockerKey.Read.All | Clés de récupération BitLocker |
| DeviceManagementManagedDevices.PrivilegedOperations.All | Actions sur l'appareil telles que synchronisation, analyse et rotation de clés |
| DeviceManagementScripts.ReadWrite.All | Scripts de correction Intune |
| DeviceManagementServiceConfig.Read.All | Informations Autopilot |
| AuditLog.Read.All | Détails des connexions |
| WindowsUpdates.ReadWrite.All | Inscription aux mises à jour des appareils Windows |
| LicenseAssignment.Read.All | Nombre de licences Intune |
Mode lecture seule
Connectez d'abord le socle avec des permissions en lecture seule, et élargissez plus tard.
Périmètre par unité administrative
Remplacez l'écriture de groupes à l'échelle du tenant par une seule unité administrative, dans laquelle RealmJoin n'agit qu'en tant qu'administrateur de groupes.
Applications séparées
Le portail, le socle, le socle en lecture seule, les fonctions de sécurité (Defender, nécessite un abonnement MDE), l'application cliente et Partner Center ont chacun leur propre app registration.
Aucun secret dans votre tenant pour Automation
Azure Automation se connecte via une application multi-tenant gérée par RealmJoin.
Rien ne s'exécute qui n'ait été signé
De la configuration reçue par un appareil jusqu'à l'installeur qu'il exécute, chaque étape peut être vérifiée.
Configuration signée
Chaque configuration d'appareil est signée avec RSA-SHA512 et vérifiée par l'agent avant qu'il n'agisse.
Identité de l'appareil
Les appareils prouvent leur identité avec leur certificat d'appareil Entra, vérifié auprès d'Entra ID. Un nouvel appareil ne peut être revendiqué que peu après son enrôlement.
Packages vérifiés par hachage
Le contenu des packages provient du CDN de RealmJoin et est vérifié par SHA-256 avant exécution.
Sources propres
Les packages maintenus sont construits à partir des sources officielles des éditeurs, dans un pipeline privé avec analyse antimalware.
Un contrôle d'accès à la permission près
La connexion passe par Microsoft Entra ID. Chaque page et chaque appel d'API sont autorisés selon des rôles que vous contrôlez.
Rôles
Neuf rôles intégrés, attribués via des groupes Entra ou des rôles d'annuaire.
Rôles personnalisés
Composez des rôles à partir de 178 permissions nommées.
Permissions de runbook
Qui peut exécuter quel runbook, jusqu'au groupe cible, dans un document JSON par tenant.
Accès aux mots de passe
Restrictions par groupe de propriétaires d'appareils ; chaque consultation est journalisée avec qui, quand et depuis où.
Isolation des tenants
Les filtres de tenant sont appliqués au niveau de la couche de données, sur chaque requête limitée à un tenant.
Journal d'audit
30 catégories avec anciennes et nouvelles valeurs, dans votre propre espace de travail Log Analytics. Rôles, rôles personnalisés et accès admin local
Comment le service est exploité
RealmJoin est développé et exploité par glueckkanja, dont l'équipe de développement et d'exploitation est certifiée ISO 27001.
Surveillé
La plateforme est surveillée avec Microsoft Sentinel et Microsoft Defender, avec un SOC derrière ; les admins se connectent avec des passkeys.
Mises en production contrôlées
Les changements passent par un environnement de staging derrière une étape d'approbation ; les mises en production exigent un groupe d'approbateurs distinct et plus restreint, et un chemin de hotfix existe pour les correctifs urgents.
Correctifs de sécurité rapides
Les correctifs des vulnérabilités critiques sont livrés sous 24 heures.
Récupérable
Les bases de données prennent en charge la restauration à un instant donné, et l'infrastructure est définie sous forme de code.
Observable
Chaque service remonte son état de santé et sa télémétrie ; la page de statut publique affiche la disponibilité.
Sous-traitants
Les entreprises dont RealmJoin utilise les services pour traiter des données client. La liste à jour est tenue dans la documentation.
| Entreprise | Localisation | Finalité |
|---|---|---|
| Microsoft Ireland Operations Ltd. | Dublin, Irlande | Hébergement Azure |
| GitHub B.V. | Amsterdam, Pays-Bas | Code source et bibliothèque de runbooks |
| GitLab Inc. | États-Unis | Pipeline de packaging |
Nos engagements
Objectif de disponibilité de 99,5 %
En continu, avec un crédit de service de 10 % si la disponibilité passe sous 99,5 % et de 25 % sous 99,0 %.
Support inclus
du lundi au vendredi, de 08:00 à 18:00 CET, en anglais et en allemand.
Réponse aux incidents
Généralement moins de quatre heures pour les incidents.
Correctifs de sécurité
Les vulnérabilités critiques sont corrigées sous 24 heures.
Packaging
Les packages demandés sont généralement livrés sous cinq jours ouvrés.
Transparence
État du service en temps réel, changelog public et espace de feedback.
Venez avec vos questions de sécurité.
Nos ingénieurs présentent à votre équipe sécurité et conformité l'architecture, les permissions et les flux de données, sur la base de votre questionnaire si vous en avez un.