So richten Sie den Zugang einer Person nach Ort ein

Sie richten für eine Person ein: im Firmennetz ohne Code, von außen nur mit Code, dazu einen Schlüssel für Power BI, der nur während eines Termins lesen darf. Anmeldung und Rechte zeigt vor der ersten Anmeldung, was wo gilt.

Dafür sorgen zwei Dinge zusammen:

• die Anmelderichtlinie, einmal für alle Personen: im Firmennetz ohne Code, außen mit Code, das Windows-Konto nur im Firmennetz;
• die Person mit Windows-Konto, einem Schlüssel für den Arbeitsplatz, einem Schlüssel „Präsentation“ auf Abruf und einem zweiten Faktor.

Steht die Anmelderichtlinie schon, entfallen die Schritte 1 und 2.

Die Anmelderichtlinie (einmal)

1. Öffnen Sie Anmelderichtlinie und wählen Sie Weitere > Vorlagen der Richtlinie > Büro ohne Code, außen mit Code. Geben Sie Ihr Firmennetz an, etwa 10.0.0.0/8 (mehrere mit Komma getrennt).
2. Wählen Sie Weitere > Vorlagen der Richtlinie > Außen nur Schlüssel und bestätigen Sie dasselbe Netz.

Die Person (Karte „Neue Person“)

3. Öffnen Sie Personen und Schlüssel, wählen Sie Neue Person … und geben Sie den Namen ein, etwa Frank Mustermann.
4. Wählen Sie unter Was darf die Person? die Datenquelle und Lesen oder Lesen und ändern.
5. Wählen Sie Windows-Konto und geben Sie das Konto ein, etwa FIRMA\fmustermann.
6. Lassen Sie Persönlichen Schlüssel ausstellen angehakt, im Feld Wofür? etwa Homeoffice, haken Sie Zweiten Faktor einrichten an und wählen Sie Anlegen.
7. Wählen Sie Links kopieren und geben Sie die beiden Einmal-Links der Person auf einem Weg weiter, den nur sie liest, etwa persönlich oder als Nachricht an ihr eigenes Postfach, nicht an ein Sammelpostfach: Wer einen Link zuerst öffnet, erhält, was dahinter liegt. Wählen Sie dann Fertig.
8. Stellen Sie den Präsentationsschlüssel mit Schlüssel > Schlüssel ausstellen … aus: Bezeichnung Präsentation, Zweck Präsentation auf Abruf. Geben Sie auch diesen Link weiter.

Die Person öffnet die Links. Den Schlüssel „Homeoffice“ trägt sie im ODBC-Treiber ein, den Präsentationsschlüssel in Power BI als Kennwort (Anmeldeart „Standard“, Benutzername pkuser, siehe HTTP: Anmeldung (Referenz), Abschnitt „Persönliche Schlüssel“ (Dokumentation des Datendienstes)), und den QR-Code scannt sie mit ihrer Authenticator-App.

Prüfen, was wo gilt

Markieren Sie die Person und wählen Sie Rechte > Anmeldung und Rechte …. Die Ansicht rechts neben der Liste rechnet für jede Anmeldung der Person und jeden Ort aus, was der Dienst bei einer Anmeldung täte. Sie benutzt dieselben Regeln wie die Anmeldung selbst:

Die Spalten sind die IPv4-Netze, die Ihre Anmelderegeln nennen (höchstens die ersten zwei, jedes vertreten durch seine erste Adresse), dazu Außen und Unbekannt. Unbekannt steht für eine Anfrage, deren Herkunft der Dienst nicht feststellen kann; sie gilt nie als „innen“. Die Spalte Regeln nennt die Anmelderegeln, die das Ergebnis bestimmen; eine Regel in Probe steht mit „(Probe)“ dabei und ändert kein Ergebnis. Weitere Netze und IPv6-Netze zeigt die Ansicht nicht; für sie gibt sie keine Auskunft.

Annahme prüfen … fragt, was gälte, wenn die Anmeldung anders käme, etwa „aus Thailand, am Samstag, mit Excel“: Geben Sie eine Adresse, ein Land, einen Netzbetreiber, ein Programm und einen Zeitpunkt in UTC an, jedes nach Bedarf. Die Ansicht bekommt dafür eine Spalte „Annahme: …“; der Dienst rechnet sie wie eine echte Anmeldung. Was Sie leer lassen, liest er wie sonst aus der Adresse, den Zeitpunkt nimmt er von jetzt. Annahme entfernen nimmt die Spalte wieder weg.

Im Bild: (1) Zeile des Schlüssels.

Vor einem Termin

Markieren Sie die Person, wählen Sie Schlüssel > Schlüssel freischalten … und geben Sie die Stunden an. Ohne markierten Schlüssel nimmt der Befehl den einzigen Schlüssel auf Abruf der Person. Anmeldung und Rechte zeigt den Präsentationsschlüssel danach auch außen als „erlaubt“, ohne Code und nur lesend.

Ergebnis: Die Person arbeitet im Büro ohne Code, im Homeoffice mit Code, und Power BI liest nur während der freigeschalteten Stunden.

• Firmennetz richtig angeben. Als „innen“ gilt nur eine Herkunft im angegebenen Netz. Steht ein Proxy vor dem Dienst, muss er als vertrauenswürdig eingetragen sein, sonst gilt jeder Aufrufer mit der Adresse des Proxys als innen; siehe So stufen Sie den Zugang nach Lage ab (Dokumentation des Datendienstes).
• Gruppen. Für ein Windows-Konto rechnet Anmeldung und Rechte ohne dessen Windows-Gruppen; die kennt der Dienst erst bei einer echten Anmeldung. Nennt eine Anmelderegel Gruppen, kann das Ergebnis bei der Anmeldung abweichen.
• Nach dem Termin ruht der Schlüssel von selbst; Freischaltung beenden beendet die Freischaltung früher.
• Was die Person außen sieht. Öffnet sie im Homeoffice eine Access-Anwendung, deren Tabellen mit dem Windows-Konto verknüpft sind, lehnt der Dienst die Anmeldung ab. Der ODBC-Treiber zeigt dann sein Verbindungsformular mit der Meldung „Die Anmelderichtlinie lässt dieses Anmeldeverfahren von dieser Herkunft nicht zu.“ Dort wählt sie die Anmeldeart Persönlicher Schlüssel, fügt ihren Schlüssel ein und gibt danach den Code aus der Authenticator-App ein. Ohne Schlüssel speichern fragt der Treiber beim nächsten Start der Anwendung erneut; Access legt den Schlüssel nicht in der Datenbank ab.
• Eine Adresse für innen und außen. Eine verknüpfte Tabelle merkt sich die Adresse des Dienstes. Soll dieselbe Anwendung im Büro und zu Hause laufen, braucht der Dienst einen Namen, der innen wie außen zu ihm führt. Sonst müssen Sie die Tabellen je Ort neu verknüpfen.
• Kommt die Person trotzdem nicht hinein, zeigt Zugang wiederherstellen … die letzten Abweisungen mit Ursache und Abhilfe; siehe Störungen und ihre Behebung.

• So legen Sie die Anmelderichtlinie fest: Vorlagen und eigene Anmelderegeln
• So legen Sie eine Person an und stellen ihr einen Schlüssel aus: alle Felder der Karte „Neue Person“
• So geben Sie einen Präsentationsschlüssel aus und ersetzen einen verlorenen Schlüssel
• So richten Sie den zweiten Faktor ein oder setzen ihn zurück