So legen Sie die Anmelderichtlinie fest

Die Anmelderichtlinie bestimmt, wann der Dienst einen zweiten Faktor verlangt und wann er eine Anmeldung ablehnt: je Bereich und Anmeldeverfahren, nach Netz, Person, Windows-Gruppe, Land, Netzbetreiber, Programm und Uhrzeit. Beispiele: „Verwaltung nur mit zweitem Faktor“, „Schlüssel von außen nur mit Code“, „SQL-Anmeldungen nie von außen“, „Datenzugriff nur aus Deutschland“.

Im Bereich Anmelderichtlinie, Register Anmelderegeln, steht jede Regel als Eintrag im Baum, darunter ihre Bedingungen und Ausnahmen. Die Spalten Bereich, Verfahren und Wirkung nennen die Werte in Worten, etwa Verwaltung und Zweiten Faktor verlangen; die gespeicherten Werte (Admin, RequireTotp) stehen im Dialog in Klammern. Sie bearbeiten eine Regel im Dialog Anmelderegel; er speichert die Regel mit allen Bedingungen und Ausnahmen in einem Schritt. Jede zutreffende Regel zählt, eine Ablehnung geht allem anderen vor; die Reihenfolge spielt keine Rolle. Trifft keine Regel zu, entscheiden allein die Rechte.

Mit einer Vorlage (für die üblichen Fälle): Öffnen Sie Anmelderichtlinie und wählen Sie unter Weitere eine Vorlage aus. Bei den ersten beiden fragt die Anwendung nach dem Firmennetz (etwa 10.0.0.0/8, mehrere mit Komma getrennt) und schlägt die Netze vor, die Ihre Regeln schon nennen:

Jede Vorlage speichert ihre Regeln samt Netzen in einem Schritt. Wenden Sie eine Vorlage erneut an, etwa mit einem anderen Firmennetz, ändert sie ihre eigenen Regeln (erkannt an der Bezeichnung „Vorlage: …“), statt neue anzulegen; was Sie dort selbst ergänzt haben, etwa Ausnahmen, bleibt. Prüfen Sie danach eine Person mit Personen und Schlüssel > Rechte > Anmeldung und Rechte ….

Von Hand:

1. Öffnen Sie Anmelderichtlinie, Register Anmelderegeln, und wählen Sie Neue Anmelderegel … aus. Eine bestehende Regel öffnen Sie mit Doppelklick oder Anmelderegel bearbeiten …; ein Doppelklick auf eine Bedingung öffnet ihre Regel. Anmelderegel löschen … löscht die markierte Regel mit ihren Ausnahmen.

2. Wählen Sie oben, was die Regel tut:

   Feld	Werte	Bedeutung
   Wirkung	Zweiten Faktor verlangen (RequireTotp), Ablehnen (Deny)	zweiter Faktor nötig oder Anmeldung abgelehnt
   Bereich	Datenzugriff und Verwaltung (All), Datenzugriff (Data), Verwaltung (Admin)	alles, nur die Datenoberflächen oder nur die Verwaltung
   Anmeldeverfahren	Jedes Anmeldeverfahren (Any), Persönlicher Schlüssel (PersonalKey), Windows-Konto (Windows), SQL-Anmeldung mit Kennwort (SqlLogin), Dienstschlüssel (ApiKey)	für welches Anmeldeverfahren
   Notiz	Text	Notiz für Sie, ohne Wirkung
   Modus	Erst erproben (Report), Durchsetzen (Enforce)	ob die Regel entscheidet oder nur zeigt, was sie täte; siehe Schritt 6

3. Legen Sie unter Gilt nur für fest, für welche Anfragen die Regel gilt, und unter Gilt nicht für, welche sie auf Dauer ausnimmt. Wählen Sie dazu Hinzufügen …, die Art und den Wert:

   Art	Wert	Woher der Dienst es weiß
   Netz	Netz wie 10.0.0.0/8 oder Name eines eigenen Netzes des Dienstes	aus der Adresse der Anfrage
   Person	aus der Liste der Personen	am persönlichen Schlüssel, am Windows-Konto oder an der SQL-Anmeldung der Person
   Windows-Gruppe	Name oder SID	nur bei Anmeldung mit dem Windows-Konto
   Land	aus der Länderliste	beobachtet: aus der Adresse abgeleitet; ein VPN oder Mobilfunk verlegt es
   Netzbetreiber	autonomes System wie AS3320; die Liste zeigt die Betreiber, die das Anmeldeprotokoll gesehen hat	beobachtet: aus der Adresse abgeleitet
   Programm	etwa Power Query, WinHTTP, Browser, PowerShell	behauptet: jedes Programm kann jeden Namen senden
   Zeitfenster	Tage und Uhrzeit von–bis, etwa Mo–Fr 06:00–20:00	Uhr des Dienstes in seiner Zeitzone, nicht UTC

   Innerhalb einer Art genügt ein Wert, zwischen den Arten müssen alle zutreffen. Ohne Eintrag unter Gilt nur für gilt die Regel für jede Anfrage. Die Anwendung prüft den Wert, bevor sie ihn übernimmt, etwa einen Ländercode gegen die Liste.

4. Soll die Regel für einzelne Fälle nur eine Zeit lang nicht gelten, wählen Sie Neue Ausnahme … aus: eine Notiz, ein Ende in UTC oder Ohne Ende, und die Bedingungen. Eine Ausnahme befreit nur Anfragen, für die alle ihre Bedingungen zugleich zutreffen, etwa „Frank Mustermann aus Thailand bis 2. November“. Sie braucht mindestens eine Bedingung oder ein Ende. Eine abgelaufene Ausnahme befreit niemanden mehr und bleibt stehen, bis Sie sie entfernen.
5. Lesen Sie unter Was die Regel tut die Zusammenfassung in Worten. Kann die Regel Ihre eigene Anmeldung an der Verwaltung abweisen, steht darüber eine rote Warnung.

6. Wählen Sie Speichern aus. Regel, Bedingungen und Ausnahmen speichert die Anwendung in einem Schritt.

   Eine neue Regel steht auf Erst erproben: Der Dienst beurteilt sie bei jeder Anmeldung, sie entscheidet aber nichts.

7. Prüfen Sie im Register Erprobung je Regel und Version, wie viele Anmeldungen sie getroffen hätte, von wie vielen Personen und Herkünften und wie viele davon eine Ausnahme befreit hätte. Einzelne Anmeldungen stehen im Bereich Anmeldungen, Register Ereignisse, mit „nur Probe“.
8. Passt das Ergebnis, markieren Sie die Regel unter Erprobung und wählen Weitere > Erprobte Regel durchsetzen … aus, oder Sie öffnen die Regel und stellen Modus auf Durchsetzen. Eine Ablehnung, die auch die Verwaltung trifft, setzt die Anwendung nur nach Rückfrage durch.

Ergebnis: Eine durchgesetzte Regel gilt ab der nächsten Anmeldung. Im Baum stehen unter der Regel ihre Bedingungen („Nur für …“, „Nicht für …“) und ihre Ausnahmen mit Ende; eine Regel in Probe ist mit „(Probe)“ gekennzeichnet.

Beispiele

• Unbekannte Herkunft zählt als „überall“. Lässt sich die Herkunft einer Anfrage nicht feststellen, gilt jede Regel für sie. Steht der Dienst hinter einem Proxy, muss dieser in der Konfiguration als vertrauenswürdig eingetragen sein (Security:TrustedProxies), sonst sieht der Dienst nur den Proxy.
• Land und Netzbetreiber sind Hinweise, kein Beweis. Ein VPN, ein Proxy oder Mobilfunk verlegt die Herkunft. Ein Land oder Netzbetreiber, der sich nicht feststellen lässt, und eine Anfrage ohne Programmangabe liegen im Bereich der Regel und erfüllen keine Ausnahme. Eigene und private Netze haben kein Land und keinen Netzbetreiber: Nehmen Sie das Firmennetz deshalb über Netz aus, nicht über das Land.
• Ein Programm als einzige Bedingung einer Ausnahme befreit jeden, der diesen Namen sendet. Verbinden Sie es mit Personen, Netzen oder einem Ende; die Anwendung warnt davor.
• Dienstschlüssel haben keinen zweiten Faktor; für sie ist nur Deny zulässig.
• Programme ohne Dialog (Excel, Power BI) können keinen Code abfragen. Für sie gibt es nur lesende Schlüssel mit Ohne zweiten Faktor, siehe So legen Sie eine Person an und stellen ihr einen Schlüssel aus.
• Nicht aussperren: Eine Regel Deny für Admin schließt auch Sie aus. Erproben Sie eine neue Regel zuerst und prüfen Sie sie mit einer zweiten Anmeldung, bevor Sie sich abmelden. Den Ausweg beschreibt So bekommen Sie wieder Zugang, wenn die Verwaltung ausgesperrt ist (Dokumentation des Datendienstes).
• Regeln aus der Datei (Register Regeln aus der Datei): Stehen in der Konfigurationsdatei des Dienstes noch Anmelderegeln (Gateway:Security:SignInRules), zeigt die Seite sie in diesem Register. Sie gelten nicht: Mit Verwaltungsspeicher gelten nur die Regeln im Register Anmelderegeln; die Einträge der Datei dienten nur als Startwert, und der Dienst warnt beim Start vor ihnen. Entfernen Sie sie am Server aus der Datei; danach verschwindet das Register.

• Einstellungen (Register Einstellungen): Jede Einstellung hat ein eigenes Feld mit Einheit und einer Zeile, was sie bewirkt. Ein leeres Feld heißt: Es gilt der Wert aus der Konfiguration des Dienstes. Ändern Sie die Felder und wählen Sie Speichern; Verwerfen zeigt wieder die gespeicherten Werte. Ein Wert außerhalb des Bereichs wird abgewiesen.

  Feld (Name im Dienst)	Bedeutung	Vorgabe, Bereich
  Gültigkeit einer Anmeldung mit Code (totp_session_hours)	wie lange eine Sitzung nach einem Code gilt	10 Stunden, 1 bis 168
  Frist zum Einrichten des zweiten Faktors (totp_enrol_hours)	wie lange nach dem Ausstellen eines Schlüssels die Person ihren zweiten Faktor selbst einrichten darf; siehe So richten Sie den zweiten Faktor ein oder setzen ihn zurück	24 Stunden, 0 = nie
  Name der Installation (installation_name)	Name, unter dem Authenticator-Apps den zweiten Faktor führen; siehe Name der Installation ändern	Name aus der Installation
  Laufzeit selbst ausgestellter Schlüssel (self_service_key_days)	erlaubt Personen, sich Schlüssel selbst auszustellen (Laufzeit in Tagen)	0 = aus
  Gültigkeit eines Einmal-Links (mail_link_hours)	Gültigkeit eines Einmal-Links per Mail; siehe So senden Sie eine Einladung per Mail	72 Stunden, 1 bis 720
  Höchstdauer einer Freischaltung (max_activation_hours)	längste Freischaltung eines Schlüssels auf Abruf; siehe So geben Sie einen Präsentationsschlüssel aus und ersetzen einen verlorenen Schlüssel	12 Stunden

  Werte und Grenzen legt der Dienst fest (HTTP: Verwaltung (Referenz), Menge Settings (Dokumentation des Datendienstes)); einen unzulässigen Wert lehnt er ab.

• So richten Sie den zweiten Faktor ein oder setzen ihn zurück
• So richten Sie den Zugang einer Person nach Ort ein
• Referenz: HTTP: Anmeldung (Referenz), Abschnitt „Anmelderichtlinie und zweiter Faktor“ (Dokumentation des Datendienstes)