Zwei-Faktor-Authentifizierung für Administratoren einrichten

Ist die Zwei-Faktor-Authentifizierung eingeschaltet, kann sich ein Administratorkonto nur anmelden, wenn zusätzlich zum Passwort der 6-stellige Code einer Authenticator-App eingegeben wird. Selbst wenn das Passwort bekannt wird, ist ohne das Gerät mit der Authenticator-App keine Anmeldung möglich. Dieses Dokument beschreibt, wie Administratoren die Zwei-Faktor-Authentifizierung für ihr eigenes Konto einrichten, wie sie mit Wiederherstellungscodes umgehen und wie sie die Zwei-Faktor-Authentifizierung für alle Administratoren verpflichtend machen.

Bevor Sie beginnen

• Die Zwei-Faktor-Authentifizierung steht nur für Administratorkonten zur Verfügung. Bei normalen Benutzerkonten wird sie nicht angezeigt.
• Sie benötigen ein Smartphone mit einer TOTP-Authenticator-App wie Google Authenticator oder Microsoft Authenticator.
• Während der Einrichtung geben Sie Ihr aktuelles Passwort erneut ein.
• Um die Richtlinie Zwei-Faktor für Administratoren erzwingen einzuschalten, muss ein Administrator mit Berechtigung für Sicherheitseinstellungen die Zwei-Faktor-Authentifizierung zuerst für sein eigenes Konto einrichten.

Bildschirm Zwei-Faktor-Authentifizierung öffnen

Der Bildschirm für die Zwei-Faktor-Authentifizierung liegt auf der Administrationsseite unter /manages/account/mfa. Sie öffnen ihn an jeder der folgenden Stellen.

• Zwei-Faktor-Authentifizierung im Benutzermenü oben rechts auf der Administrationsseite
• Einrichtung öffnen in der Karte Zwei-Faktor für Administratoren unter Sicherheitsmanagement > Sicherheitseinstellungen
• Meine Zwei-Faktor-Einstellungen, nachdem Sie unter Benutzerverwaltung > Nutzer Ihr eigenes Konto geöffnet haben
• Einrichten oder Verwalten beim Eintrag Zwei-Faktor-Authentifizierung in den Kontoeinstellungen des Arbeitsbereichs

Im Bereich Authenticator-App des Bildschirms wird der aktuelle Status als Ein oder Aus angezeigt.

Zwei-Faktor-Authentifizierung einrichten

1. Wählen Sie im Bereich Authenticator-App die Option Einrichten.
2. Geben Sie unter Identität bestätigen Ihr Aktuelles Passwort ein und wählen Sie Weiter.
3. Scannen Sie den unter Zur Authenticator-App hinzufügen angezeigten QR-Code mit der Authenticator-App. Lässt sich der QR-Code nicht scannen, kopieren Sie den Schlüssel mit Schlüssel kopieren und geben ihn in der Authenticator-App manuell ein.
4. Geben Sie den 6-stelligen Code aus der Authenticator-App ein und wählen Sie Bestätigen. Die Bestätigung muss innerhalb der angezeigten Zeit erfolgen; danach beginnen Sie von vorn.
5. Es werden 10 Wiederherstellungscodes angezeigt. Bewahren Sie sie mit Kopieren oder Als Datei speichern an einem sicheren Ort auf.
6. Aktivieren Sie Ich habe meine Wiederherstellungscodes sicher gespeichert. und wählen Sie Fertig.

Der Status im Bereich wechselt zu Ein, und das Datum der Aktivierung wird angezeigt. Ab der nächsten Anmeldung werden Sie nach dem Passwort nach dem Bestätigungscode gefragt.

Mit Zwei-Faktor-Authentifizierung anmelden

1. Geben Sie im Anmeldebildschirm ID und Passwort ein.
2. Geben Sie im Bildschirm Zwei-Faktor-Authentifizierung den 6-stelligen Bestätigungscode aus der Authenticator-App ein und wählen Sie Bestätigen.
3. Können Sie die Authenticator-App nicht verwenden, wählen Sie Wiederherstellungscode verwenden und geben einen Ihrer gespeicherten Codes unter Wiederherstellungscode ein. Ein einmal verwendeter Wiederherstellungscode lässt sich nicht erneut verwenden.

Ein falscher Code wird wie ein falsches Passwort als Anmeldefehlversuch gezählt. Nach mehreren Fehlversuchen wird die Anmeldung gemäß den Regeln des Anmeldeschutzes in den Sicherheitseinstellungen vorübergehend gesperrt. Bleiben Sie zu lange im Bestätigungsbildschirm, läuft die Bestätigung ab, und Sie müssen die Anmeldung von vorn beginnen.

Sind nur noch wenige Wiederherstellungscodes übrig, wird im Bildschirm der Zwei-Faktor-Authentifizierung ein Hinweis angezeigt. Siehe Wiederherstellungscodes neu erstellen.

Wiederherstellungscodes neu erstellen

1. Wählen Sie im Bildschirm der Zwei-Faktor-Authentifizierung unter Wiederherstellungscodes die Option Neu erstellen.
2. Geben Sie den 6-stelligen Code aus der Authenticator-App ein und wählen Sie Erstellen. Ein Wiederherstellungscode kann hier nicht verwendet werden.
3. Speichern Sie die 10 neuen Wiederherstellungscodes und wählen Sie Fertig.

Nach dem Neu-Erstellen sind alle bisherigen Wiederherstellungscodes ungültig. Ersetzen Sie die aufbewahrten alten Codes durch die neuen.

Zwei-Faktor-Authentifizierung ausschalten

1. Wählen Sie im Bereich Authenticator-App die Option Ausschalten.
2. Geben Sie Ihr Aktuelles Passwort und den 6-stelligen Code aus der Authenticator-App oder einen Wiederherstellungscode ein und wählen Sie Ausschalten.

Danach ist die Anmeldung nur noch mit Passwort möglich, und alle gespeicherten Wiederherstellungscodes werden ungültig. Ist die Richtlinie Zwei-Faktor für Administratoren erzwingen eingeschaltet, müssen Sie die Zwei-Faktor-Authentifizierung nach dem Ausschalten sofort neu einrichten, bevor Sie andere Funktionen nutzen können.

Zwei-Faktor-Authentifizierung für alle Administratoren erzwingen

1. Richten Sie zuerst die Zwei-Faktor-Authentifizierung für Ihr eigenes Konto ein. Ohne eigene Einrichtung lässt sich die Richtlinie nicht einschalten.
2. Klappen Sie unter Sicherheitsmanagement > Sicherheitseinstellungen die Karte Zwei-Faktor für Administratoren auf.
3. Schalten Sie Zwei-Faktor für Administratoren erzwingen ein.
4. Wählen Sie oben rechts Speichern und bestätigen Sie.

Nach dem Einschalten der Richtlinie gilt Folgendes.

Standardmäßig ist die Richtlinie ausgeschaltet. Informieren Sie die Administratoren vor dem Einschalten über die Einrichtung.

Zwei-Faktor-Authentifizierung eines anderen Administrators zurücksetzen

Hat ein Administrator sowohl die Authenticator-App als auch die Wiederherstellungscodes verloren, kann ein Hauptadministrator die Zwei-Faktor-Authentifizierung dieses Kontos zurücksetzen.

1. Wählen Sie unter Benutzerverwaltung > Nutzer den betreffenden Administrator aus.
2. Wählen Sie beim Eintrag Zwei-Faktor-Authentifizierung die Option Zwei-Faktor zurücksetzen.
3. Lesen Sie den Hinweis im Bestätigungsdialog und wählen Sie Zurücksetzen.

Beim Zurücksetzen werden die Authenticator-App-Registrierung und die Wiederherstellungscodes des Kontos entfernt, und alle aktiven Anmeldesitzungen werden beendet. Die nächste Anmeldung erfolgt nur mit Passwort; ist die Pflichtrichtlinie eingeschaltet, muss die Zwei-Faktor-Authentifizierung nach der Anmeldung neu eingerichtet werden. Das eigene Konto lässt sich auf diesem Weg nicht zurücksetzen; verwenden Sie dafür Zwei-Faktor-Authentifizierung ausschalten.

Wiederherstellung, wenn alle Administratoren ausgesperrt sind

Kann kein einziger Administrator die Zwei-Faktor-Authentifizierung mehr bestehen, setzt ein Betreiber mit Zugriff auf den Server sie im Terminal zurück. Wie die anderen Befehle zur Benutzerverwaltung wird der Befehl bei gestopptem Server ausgeführt und fragt nach dem Passwort für den Konsolenzugriff.

~/setfn-spacebuilder user mfa reset <Benutzerkonto>

Die Ausführungsbedingungen und das Stoppen des Servers sind unter Server über Befehle verwalten beschrieben.

Hinweise

• Das Einrichten und Ausschalten der Zwei-Faktor-Authentifizierung, das Neu-Erstellen von Wiederherstellungscodes und das Zurücksetzen für andere Administratoren werden im Auditprotokoll im Bereich Authentifizierung festgehalten. Siehe Auditprotokoll einsehen.
• Beim Einrichten oder Ausschalten der Zwei-Faktor-Authentifizierung werden alle anderen Anmeldesitzungen des Kontos beendet; eine Passwortänderung macht einen laufenden Zwei-Faktor-Anmeldeschritt ungültig.
• Beim Einrichten oder Ausschalten der Zwei-Faktor-Authentifizierung und beim Neu-Erstellen von Wiederherstellungscodes werden auch KI-Tools getrennt, die über den Anmelde- und Zustimmungsbildschirm verbunden wurden (MCP-OAuth-Verbindungen); verbinden Sie das KI-Tool dann erneut.
• Der Verschlüsselungsschlüssel, der die Daten der Zwei-Faktor-Authentifizierung schützt, liegt im Konfigurationsordner des Servers unter secrets/admin-mfa/. Sichern Sie diesen Ordner zusammen mit dem Server. Fehlt der Schlüssel auf einem wiederhergestellten Server, schlägt die Zwei-Faktor-Prüfung aller Administratoren fehl; setzen Sie dann die Zwei-Faktor-Authentifizierung jedes Administrators per Befehl zurück und richten Sie sie neu ein.
• Nach einem Neustart des Servers gehen laufende Zwei-Faktor-Anmeldeschritte verloren; beginnen Sie die Anmeldung von vorn.

Verwandte Dokumente

• Sicherheitseinstellungen
• Auditprotokoll einsehen
• Konto- und Sicherheitsrichtlinien festlegen
• Server über Befehle verwalten