So ordnen Sie Windows-Konten und -Gruppen zu

Mit dem Windows-Konto melden sich Personen an, ohne einen Schlüssel oder ein Kennwort zu speichern: Access über den ODBC-Treiber, Excel und Power BI mit der Anmeldeart “Windows”. Rechte erhalten sie über ihre Gruppen, wie sonst in Windows auch.

Im Bereich Zuordnungen, Register Windows-Konten und -Gruppen, geben Sie einem Konto oder einer Gruppe eine Regel. Der Dienst übersetzt den Namen beim Speichern in die SID; eine später umbenannte Gruppe behält ihre Rechte.

1. Öffnen Sie Zuordnungen, Register Windows-Konten und -Gruppen.

2. Legen Sie je Zuordnung eine Zeile an:

   Spalte	Eintrag
   Windows-Konto oder -Gruppe (Name oder SID)	Eine Gruppe, etwa FIRMA\Fachdaten-Leser, ein Konto oder eine SID. Eingebaute Gruppen mit ihrer SID angeben, etwa S-1-5-32-545 für “Benutzer”: Ihre Namen hängen von der Sprache von Windows ab
   Regel	aus der Liste der Regeln wählen, etwa fachdaten-lesen

3. Verlassen Sie die Zeile. Ein Name, den Windows nicht kennt, wird abgelehnt.

Die Liste ist nach Regel gruppiert: Unter jeder Regel stehen die Konten und Gruppen, die sie haben. Eine andere Gruppierung ziehen Sie mit einem Spaltenkopf in die Leiste über der Liste.

Ergebnis: Jedes Mitglied der Gruppe erreicht mit seinem Windows-Konto, was die Regel erlaubt.

Im Bild: (1) Zuordnung eines Windows-Kontos zu einer Regel.

• Rechte addieren sich über alle Gruppen eines Kontos. Gruppen, die Windows nur zum Verweigern führt (etwa “Administratoren” eines nicht erhöhten Benutzers), zählen nicht.
• Zweiter Faktor und Windows: Verlangt die Anmelderichtlinie für Windows-Anmeldungen einen Code, braucht jede betroffene Person einen eigenen Eintrag unter Personen und Schlüssel mit ihrem Konto im Feld Windows-Konto – eine Gruppe hat keinen zweiten Faktor.
• Die Verwaltungsanwendung mit Windows: Eine Gruppe mit der Regel verwaltung lässt ihre Mitglieder die Verwaltung nutzen. Für die Vorgaberegel “Verwaltung nur mit zweitem Faktor” braucht jedes Mitglied zusätzlich einen Personeneintrag mit Konto und zweitem Faktor.
• Domäne und Kerberos: Ohne einen SPN HTTP/<Rechnername> für das Dienstkonto weicht Windows auf NTLM aus; die Anmeldung funktioniert auch dann. Die Verwaltungsanwendung unterstützt die Windows-Anmeldung mit NTLM; den Betrieb mit Kerberos in einer Domäne unterstützt sie nicht.
• Jede neue Verbindung beginnt mit einer Anfrage ohne Anmeldung, die im Audit als anonym … UNAUTHENTICATED (401) erscheint. Das ist der erste Schritt des Verfahrens, kein Fehler.

• So legen Sie eine Regel an
• So richten Sie Datenbank-Identitäten ein – Gruppen eine gemeinsame SQL-Server-Anmeldung geben
• Referenz: HTTP: Anmeldung (Referenz), Abschnitt “Anmeldung mit dem Windows-Konto” (Dokumentation des Datendienstes)