Zscaler-Support ohne Adminrechte über unterstützte Domänen

Der First Level braucht ausreichend Zscaler-Kontext, um Tickets einzuordnen. Breite Adminrechte sind dafür nicht nötig. CentaurNexus verbindet den rollenbezogenen Nutzer-, Geräte- und Zugriffskontext für den Erstbefund und erweitert ihn für 2nd Level und Administration um zusätzliche unterstützte Domänen.

Das Muster kennt jedes IT-Team: Ein Mitarbeiter meldet, dass eine interne Anwendung nicht erreichbar ist oder die Verbindung ständig abbricht. Das Ticket landet beim Helpdesk. Um zu verstehen, was los ist, müsste der First-Level in die Zscaler-Konsole schauen: Ist der Nutzer korrekt authentifiziert? Blockt eine ZIA-Policy die Ziel-URL? Ist das ZPA-App-Segment freigeschaltet? Zeigt ZDX ein Netz- oder Geräteproblem? Vier Fragen, potenziell drei bis vier verschiedene Portale, und jedes davon setzt privilegierten Zugang voraus.

Der bequeme Weg wäre, dem Helpdesk einfach Admin-Rechte in Zscaler zu geben. Der sichere Weg ist das genaue Gegenteil. Zscaler-Admin-Rechte sind mächtig: Wer sie hat, kann Policies ändern, Nutzer verschieben, Segmente öffnen. Das ist für First-Level-Support weit mehr, als die Aufgabe verlangt, und widerspricht dem Prinzip der minimalen Rechtevergabe. Die Folge in vielen Organisationen: Der Helpdesk hat gar keinen Einblick, eskaliert jedes zweite Ticket an das kleine Team mit Admin-Zugang, und die Lösungszeit steigt.

Das eigentliche Problem: Sichtbarkeit ohne Privilegien

Zscaler liefert als Zero Trust Exchange hervorragende Kontrolle und Telemetrie. ZIA steuert den Internet-Zugriff mit Firewall, IPS, Sandboxing und DLP, ZPA ersetzt klassisches VPN durch anwendungsgenaue Segmente, und ZDX misst die digitale Nutzererfahrung bis auf Geräte- und Netzebene. Die Daten sind also da. Das Problem ist nicht Zscaler, sondern die Art, wie ein Helpdesk an diese Daten kommt: entweder mit zu vielen Rechten oder gar nicht.

Genau hier setzt CentaurNexus an, ein souveränes Single Pane of Glass für Zscaler, mit Produktivbetrieb für EU-Kunden vollständig auf STACKIT in der EU und dokumentierten Datenschutz- und Datenwegen. CentaurNexus ist kein Ersatz für Zscaler und keine zweite Konsole mit denselben Knöpfen. Es ist eine Betriebs- und Support-Schicht obendrauf, die über die offizielle Zscaler OneAPI liest und schreibt und dabei nur so viel Information freigibt, wie die jeweilige Rolle wirklich braucht.

User Support Center: der 360-Grad-Nutzerbefund in einer Ansicht

Das Herzstück für den Support ist User Support Center. Der Agent gibt einen Nutzernamen oder eine E-Mail-Adresse ein und erhält den konsolidierten Befund quer über die Zscaler-Domänen, zusammengeführt aus einzelnen OneAPI-Abfragen, in einer einzigen Oberfläche:

• ZIA: Authentifizierungs- und Policy-Status, greifende Regeln, geblockte oder erlaubte Ziele, relevante Ereignisse zum Internet-Zugriff.
• ZPA: zugewiesene Anwendungssegmente, Zugriffs- und Verbindungsstatus zu privaten Anwendungen, statt Rätselraten über VPN-Tunnel.
• ZDX: digitale Erfahrung des Nutzers, Geräte- und Netzgesundheit, Hinweise auf ISP-, WLAN- oder Gerätethemen.

Statt drei Portale zu öffnen und Fragmente manuell zusammenzusetzen, liest der First-Level den Befund an einer Stelle ab. Das reduziert Portal-Wechsel, verkürzt die Zeit bis zur Diagnose und macht das Ergebnis reproduzierbar: Zwei Agenten, die denselben Nutzer prüfen, sehen dasselbe Bild.

Für Rollen, die mehr Tiefe brauchen, erweitert Unified Support Center denselben Ansatz um zusätzliche Domänen wie ZIdentity, PRA und EASM. So wächst der Blick vom schnellen First-Level-Befund bis zur breiteren Analyse mit, ohne dass die Oberfläche gewechselt werden muss.

Warum das sicher bleibt: OneAPI, RBAC und Audit

Der entscheidende Punkt ist, dass dieser Einblick nicht auf Kosten der Sicherheit geht, sondern sie stärkt. Drei Mechanismen greifen ineinander.

Zugriff nur über die offizielle OneAPI

CentaurNexus spricht Zscaler ausschließlich über die dokumentierte OneAPI an, mit einem Zugang, den der Kunde in seinem eigenen Tenant bereitstellt. Es gibt kein Reverse Engineering und keine Nachbildung interner Admin-Screens. Der Helpdesk selbst hält keine Zscaler-Admin-Credentials in der Hand.

RBAC-Domain-Scoping

Nicht jeder Helpdesk soll alles sehen. Über RBAC-Domain-Scoping sieht ein Support-Team nur seinen zugewiesenen Bereich, etwa eine Abteilung, einen Standort oder einen Mandanten. First-Level erhält den Diagnose-Kontext, aber keine Einsicht in fremde Bereiche und keine Schreibrechte, die er nicht braucht. Für MSP und Systemhäuser lässt sich das kontrolliert auf mehrere Mandanten ausdehnen.

Alles auditierbar, sensible Aktionen mit Freigabeschritten nach Tenant-Policy

Zugriffe und Änderungen werden mit Rolle, Vorgang, Zeitpunkt und Ziel protokolliert. Bei schreibenden Vorgängen legt die Tenant-Policy fest, welche Freigabeschritte erforderlich sind. Solche Nachweise können die Dokumentation in NIS2- oder DORA-nahen Prüfungen unterstützen; sie belegen für sich allein keine Konformität.

So läuft ein Ticket mit CentaurNexus

Das Ergebnis ist doppelt: Der Nutzer wird schneller entstört, weil weniger eskaliert und weniger geraten wird, und die IT-Leitung behält die Kontrolle, weil niemand Rechte bekommt, die er nicht braucht. Der Helpdesk wird handlungsfähig, ohne dass die Angriffsfläche wächst.

Was IT-Leitung davon hat

Für die IT-Leitung ist das eine Frage von Risiko und Effizienz zugleich. Weniger privilegierte Konten bedeuten eine kleinere Angriffsfläche und eine sauberere Rechte-Landschaft. Ein handlungsfähiger First-Level entlastet die knappen Admin-Ressourcen und senkt die durchschnittliche Lösungszeit. Der Audit-Trail liefert nachvollziehbare Eingaben für interne und externe Prüfungen. Zscaler bleibt dabei die Kontroll- und Durchsetzungsschicht, CentaurNexus macht sie für den Betrieb bedien- und nachvollziehbar.

Rund 70 Datenpunkte bleiben ein Kontext, keine starre Garantie

Der Nutzerbefund kann rund 70 Datenpunkte aus den unterstützten Quellen zusammenführen. Dazu gehören je nach Tenant Identität, Gerät, Client Connector, Webzugriff, private Anwendungen, Richtlinienbezug und digitale Erfahrung. Nicht jeder Tenant liefert jeden Wert. Lizenz, API-Scope, Datenquelle und aktueller Quellenstatus bestimmen die konkrete Coverage.

Deshalb zeigt CentaurNexus neben dem Wert auch Quelle, Datenalter und Coverage. Ein fehlender Datenpunkt wird nicht als unauffälliger Zustand dargestellt. Der Helpdesk erkennt, ob der Befund für eine Erstlösung genügt oder mit einer klaren Fragestellung an den 2nd Level übergeben werden sollte.

Erstlösung und Übergabe mit denselben Fakten

Wenn der First-Level den Fall löst, bleiben Diagnose und Aktion im Vorgang dokumentiert. Ist eine Übergabe nötig, erhält die nächste Rolle denselben zeitlichen und technischen Ausgangskontext. Der Nutzer muss E-Mail-Adresse, Gerät, Uhrzeit und Fehlerbild nicht in jeder Stufe neu erklären.

Die Qualität lässt sich im eigenen Betrieb prüfen: weniger Rückfragen, vollständigere Übergaben und ein höherer Anteil von Fällen, die ohne breite Vendor-Adminrechte eingeordnet werden können. Konkrete Verbesserungen werden pro Tenant gemessen und nicht als pauschale Leistungszahl versprochen.