So geben Sie einen Präsentationsschlüssel aus und ersetzen einen verlorenen Schlüssel

Eine Person zeigt dem Vorstand Berichte in Power BI, von außerhalb des Firmennetzes. Power BI kann keinen Code des zweiten Faktors abfragen und speichert seine Anmeldedaten. Der passende Schlüssel bleibt dauerhaft in Power BI, öffnet aber nur während eines Termins etwas: ein Schlüssel auf Abruf. Verliert die Person den Schlüssel, stellen Sie einen neuen mit denselben Eigenschaften aus.

• Ausstellen mit dem Zweck „Präsentation auf Abruf“: nur lesen, ohne zweiten Faktor, ruht bis zur Freischaltung.
• Freischalten vor dem Termin für einige Stunden; die Freischaltung endet von selbst.
• Neu ausstellen, wenn der Schlüssel verloren ist: Der Dienst bewahrt keinen Schlüssel auf, nur seinen SHA-256-Hash. Denselben Schlüssel kann deshalb niemand noch einmal schicken, auch Sie nicht. Ein neuer mit denselben Einstellungen ersetzt ihn, der alte wird gesperrt.
• Prüfen, was für die Person wo gilt, mit Anmeldung und Rechte ….

Einen Präsentationsschlüssel ausstellen

1. Öffnen Sie Personen und Schlüssel und markieren Sie die Person.
2. Wählen Sie Weitere > Schlüssel > Schlüssel ausstellen …, geben Sie eine Bezeichnung ein (etwa Vorstand) und wählen Sie den Zweck Präsentation auf Abruf.
3. Geben Sie den Einmal-Link aus der Meldung an die Person weiter. Sie trägt den Schlüssel in Power BI als Kennwort ein (Anmeldeart „Standard“, Benutzername pkuser; der Dienst prüft den Namen nicht, siehe HTTP: Anmeldung (Referenz), Abschnitt „Persönliche Schlüssel“ (Dokumentation des Datendienstes)).

Ergebnis: Im Register Schlüssel der Person steht der Schlüssel mit dem Zustand „ruht“. Eine Anfrage mit ihm erhält jetzt 401 „ruht“.

Für einen Termin freischalten

1. Klappen Sie die Person auf, wechseln Sie auf das Register Schlüssel und markieren Sie den Schlüssel.
2. Wählen Sie Weitere > Schlüssel > Schlüssel freischalten … und geben Sie die Stunden an, etwa 4.

Ergebnis: Der Zustand zeigt „frei bis 15:30 UTC“. Danach ruht der Schlüssel von selbst; Freischaltung beenden beendet die Freischaltung früher. Beides steht im Änderungsprotokoll.

Einen verlorenen Schlüssel ersetzen

1. Klappen Sie die Person auf, wechseln Sie auf das Register Schlüssel und markieren Sie den verlorenen Schlüssel. Hat die Person nur einen Schlüssel, genügt es, die Person zu markieren.
2. Wählen Sie Weitere > Schlüssel > Schlüssel neu ausstellen … (auch im Kontextmenü der Zeile) und bestätigen Sie; die Frage nennt den Schlüssel.
3. Geben Sie den neuen Einmal-Link aus der Meldung weiter.

Ablaufende Schlüssel ersetzen: In der Übersicht öffnet die Karte Schlüssel laufen ab die Personen, deren Schlüssel in 14 Tagen ablaufen. Klicken Sie eine Person mit der rechten Maustaste an und wählen Sie Schlüssel neu ausstellen …: Ohne markierten Schlüssel nimmt der Befehl den, der als nächster abläuft. Ebenso nimmt Schlüssel freischalten … ohne Markierung den einzigen Schlüssel auf Abruf der Person.

Ergebnis: Ein neuer Schlüssel mit derselben Bezeichnung und denselben Einstellungen (nur lesen, ohne zweiten Faktor, auf Abruf, Einschränkungen auf Datenquellen und Netze) ist ausgestellt, der alte gesperrt. Ein neuer Schlüssel auf Abruf ruht zunächst; schalten Sie ihn vor dem nächsten Termin wieder frei.

Prüfen, was gilt

Markieren Sie die Person und wählen Sie Weitere > Rechte > Anmeldung und Rechte …. Rechts neben der Liste sehen Sie für jede Anmeldeart der Person (Windows-Konto, SQL-Anmeldung, jeder Schlüssel) und jede Herkunft, ob eine Anmeldung erlaubt ist, einen Code braucht, abgelehnt wird oder der Schlüssel ruht, dazu die Regeln, die das bewirken. Die Herkünfte sind die ersten beiden IPv4-Netze, die Ihre Anmelderegeln nennen, dazu „Außen“ und „Unbekannt“; IPv6-Netze zeigt die Ansicht nicht (siehe So richten Sie den Zugang einer Person nach Ort ein). Der Dienst rechnet nach denselben Regeln wie bei einer echten Anmeldung. Nur Windows-Gruppen kennt er dabei nicht, weil er sie erst bei einer Windows-Anmeldung erfährt (siehe dort, Abschnitt Hinweise).

• Wie lange höchstens? Eine Freischaltung dauert höchstens 12 Stunden (Feld Höchstdauer einer Freischaltung, Bereich Anmelderichtlinie, Register Einstellungen) und nie über das Ablaufdatum des Schlüssels hinaus. Nach der Höchstlaufzeit des Schlüssels (Vorgabe 365 Tage) braucht es ohnehin einen neuen.
• Freischalten kann nur die Verwaltung, nicht die Person selbst.
• Warum nicht einfach den alten Link noch einmal? Der Einmal-Link der Übergabe ist nach dem Abholen verbraucht und gilt ohnehin nur kurz (Vorgabe 15 Minuten, bis zum nächsten Neustart des Dienstes). Der Schlüssel dahinter liegt danach nirgends mehr, denn der Dienst speichert nur seinen Hash. Ein Einmal-Link per Mail gilt länger (Vorgabe 72 Stunden), ist nach dem Abholen aber ebenso verbraucht (siehe So senden Sie eine Einladung per Mail). Das ist Absicht: Was der Dienst noch einmal schicken könnte, könnte auch ein Angreifer abrufen.

• So legen Sie eine Person an und stellen ihr einen Schlüssel aus
• So sperren Sie einen Schlüssel oder eine Person
• Referenz: HTTP: Anmeldung (Referenz), Abschnitt „Schlüssel auf Abruf“ (Dokumentation des Datendienstes); HTTP: Verwaltung (Referenz), Befehl explain-sign-in (Dokumentation des Datendienstes)