Administrator-Handbuch für WKL Database Gateway Manager

Mit WKL Database Gateway Manager, der Verwaltungsanwendung, pflegen Sie, wer WKL Database Gateway (Wkl.Data.Gateway) wie nutzen darf: Personen und ihre Schlüssel, Regeln, den zweiten Faktor, Datenquellen und die Anmelderichtlinie. Die Anwendung läuft als Access-Anwendung auf Ihrem Arbeitsplatz; geprüft und gespeichert wird jede Änderung im Dienst selbst.

graph LR
    subgraph AP["Arbeitsplatz des Administrators"]
        V["Verwaltungsanwendung (Access)"]
        T["ODBC-Treiber Wkl OData"]
        K["VBA-Klasse WklGatewayClient"]
        V -->|"Listen lesen und ändern"| T
        V -->|"Befehle"| K
    end
    subgraph SV["Server"]
        D["Datendienst Wkl.Data.Gateway"]
        S[("Verwaltungsspeicher Datenquellen, Regeln, Personen, Schlüssel-Hashes, Anmelderichtlinie")]
        D -->|"liest und schreibt"| S
    end
    Q[("SQL Server Datenquellen")]
    A["Access, Excel, Power BI, eigene Programme"]
    T -->|"OData über HTTP(S) /admin/v1/odata/"| D
    K -->|"HTTP(S) /admin/v1/"| D
    A -->|"HTTP(S): OData, eigener Vertrag"| D
    D -->|"TDS, als Anmeldung der Datenquelle oder als Identität der Person"| Q

Abbildung: Bausteine und Verbindungen. Die Kästen „Arbeitsplatz“ und „Server“ sind Vertrauensgrenzen: Alles, was sie überquert, ist eine Anfrage an den Datendienst, die er anmeldet und gegen Regeln prüft. Anwender und Verwaltungsanwendung verbinden sich nie direkt mit SQL Server. Zwischen Rechnern ist HTTPS nötig, weil Schlüssel und Kennwörter sonst im Klartext übertragen werden; HTTP genügt nur auf demselben Rechner. Die VBA-Klasse sendet einen Schlüssel oder ein Kennwort nur über HTTPS oder an den eigenen Rechner.

Dieses Handbuch beschreibt, wie Sie den Datendienst mit der Verwaltungsanwendung für Access einrichten und betreiben: Datenquellen anbinden, Personen Zugänge geben, Rechte vergeben, die Anmeldung absichern und den Dienst sichern.

Für Administratoren, die den Datendienst einrichten und Zugänge vergeben. Vorausgesetzt werden:

• ein laufender Datendienst mit Verwaltungsspeicher (Gateway:Store), eingerichtet nach der Konfiguration des Dienstes (Referenz) (Dokumentation des Datendienstes);
• Microsoft Access oder die Access-Runtime in 32 oder 64 Bit, der ODBC-Treiber „Wkl OData“, die Bibliothek WKL Office JSON 2.0 oder neuer (bis Release 1.0.3 WKL Access JSON) und die WKL Forms Object Library 2.0 oder neuer (bis Release 1.68.2 WKL Access Components). Unterstützt: Access aus Microsoft 365 oder Office LTSC 2024, Vollversion oder Runtime, 32 und 64 Bit. Ältere Versionen ab Access 2010 laufen technisch in der Regel ebenfalls, sind aber nicht abgenommen und erhalten von Microsoft keine Sicherheitsupdates mehr;
• für Ihre eigene Anmeldung ein persönlicher Schlüssel oder ein zugeordnetes Windows-Konto und eine Authenticator-App für den zweiten Faktor.

• Datenquellen: Verbindungen zu SQL-Server-Datenbanken, je Datenquelle ein- und abschaltbar, ohne Neustart des Dienstes.
• Personen und persönliche Schlüssel: Jede Person meldet sich mit einem eigenen Schlüssel, ihrem Windows-Konto oder ihrer SQL-Anmeldung an; Schlüssel laufen ab und lassen sich sofort sperren.
• Regeln: Was ein Zugang erreicht – welche Datenquellen, welche Arten von Objekten, lesen oder schreiben.
• Zweiter Faktor: Codes einer Authenticator-App (TOTP), verlangt nach einer Anmelderichtlinie je Bereich, Anmeldeverfahren und Netz.
• Datenbank-Identitäten: Personen arbeiten unter einer gemeinsamen SQL-Server-Anmeldung, ohne deren Kennwort zu kennen; der Dienst weiß trotzdem, wer gehandelt hat.
• Nachweis: Änderungsprotokoll jeder Verwaltungsänderung, Audit der Zugriffe, offene Sitzungen, Nachweisberichte als Excel und PDF.
• Last: was jede Form einer Anfrage den Dienst und die Datenbank kostet, Wochenmuster und bekannte Abhilfen.
• Anmeldungen: Anmeldeentscheidungen nach Zeit, Ergebnis und Herkunft (Land, Ort, Netzbetreiber aus einer Geodatenbank), auffällige Muster, Sperren einer Herkunft.

Die Verwaltungsanwendung ist eine Access-Datei: dbgwmgr_x86.accde für die Vollversion von Access, dbgwmgr_x86.accdr für die kostenlose Access-Runtime. Diese Lieferung enthält die Ausgabe für 32-Bit-Office. Für 64-Bit-Office gibt es eine eigene Ausgabe (dbgwmgr_x64.accde/.accdr); wenden Sie sich dafür an den Hersteller. Nach dem Start erscheint nur die Anmeldekarte; nach der Anmeldung zeigt ein einziges Fenster links die Navigationsleiste und rechts den gewählten Bereich:

Die Gruppen folgen der Häufigkeit der Aufgaben: zuerst die tägliche Arbeit mit Personen und Zugang (Personen, Regeln), dann Betrieb und Überwachen, zuletzt Einrichten (Datenquellen, Identitäten, Zuordnungen, Anmelderichtlinie), das Sie vor allem bei einer neuen Installation brauchen. Einrichten ist beim Start eingeklappt; ein Klick auf die Überschrift klappt die Gruppe auf. Im Alltag beginnen Sie meist in der Übersicht; ihre Karten führen zur passenden Liste.

Im Bild: (1) Navigationsleiste, (2) Befehlsleiste, (3) Karten mit Handlungsbedarf und Auslastung.

Auf der Seite Personen und Schlüssel stehen die Befehle für die markierte Person direkt in der Befehlsleiste, geordnet nach dem Lebenszyklus einer Person:

Die Gruppen Schlüssel, Zweiter Faktor und Sitzung und Rechte sind in der Befehlsleiste geteilte Schaltflächen: Ein Klick führt den häufigsten Befehl der Gruppe aus (Hauptteil), der Pfeil daneben öffnet die übrigen. Das Kontextmenü einer Zeile (rechte Maustaste) bietet für diese Person oben Zugang wiederherstellen …, darunter die drei Gruppen als Untermenüs und nach einer Linie Person sperren …; es folgen die Befehle der Liste selbst (Sortieren, Kopieren, Exportieren …). Diese Anleitung schreibt den Weg als Gruppe > Befehl, etwa Schlüssel > Schlüssel ausstellen …. Was die ganze Liste betrifft, etwa Neue Person … oder Personen importieren …, steht nur in der Befehlsleiste.

Die Befehlsleiste unter dem Kopfband enthält die Befehle für die Liste, den Hauptbefehl des Bereichs, Weitere, Exportieren … und Aktualisieren. Wo welcher Befehl steht und wie Sie ihn mit der Tastatur erreichen: So arbeiten Sie mit Bereichen, Listen und Befehlen.

Bearbeitungsmaske. Datenquellen, Regeln, Personen, Identitäten und Anmelderegeln bearbeiten Sie in der Maske rechts neben der Liste (auf der Seite Personen und Schlüssel in der Karte Person): Sie zeigt den markierten Eintrag mit allen Feldern; beim Öffnen des Bereichs ist der erste Eintrag markiert. Der Befehl zum Anlegen (etwa Neue Datenquelle) leert sie für einen neuen Eintrag; der Befehl zum Bearbeiten, Doppelklick, Eingabe oder F2 öffnen den markierten Eintrag darin. Gespeichert wird, sobald Sie zurück in die Liste wechseln. Felder in grauer Schrift ohne Rahmen vergibt der Dienst selbst.

Eingabeprüfung. Die Maske prüft vor dem Speichern:

• Pflichtfelder;
• den Namen einer Datenquelle: wie ein gewöhnlicher Name in SQL Server, zuerst ein Buchstabe oder _, danach auch Ziffern und @ # $, höchstens 128 Zeichen;
• die Werte der Merkmale resource und verb;
• Netze bei from und except_from, etwa 10.0.0.0/8 oder 2001:db8::/32; eine IPv4-Adresse immer mit allen vier Teilen;
• bei einer Identität der Art Sammelanmeldung die Sammelanmeldung.

Ein Verstoß rahmt das Feld rot; die Meldung steht als QuickInfo am Feld und als Zusammenfassung unter dem Titel der Maske, der Eintrag bleibt ungespeichert und der Cursor in der Maske. Was nur der Dienst wissen kann (etwa ob es eine Sammelanmeldung in SQL Server gibt), prüft er beim Speichern und nennt bei einer Ablehnung den Grund. Korrigieren Sie die Angaben oder verwerfen Sie sie mit Esc.

Bäume. Regeln, die Sperrliste und die Anmelderegeln sind Bäume.

• Regeln und Sperrliste: Jede Art von Eintrag hat ihre eigene Maske; Bearbeiten und Löschen richten sich nach dem markierten Eintrag.
  • Neue Regel bzw. Neuer Sperreintrag legt einen Eintrag der obersten Ebene an, auch wenn ein Eintrag markiert ist.
  • Merkmal hinzufügen … (Sperrliste: Weitere > Merkmal zum Sperreintrag hinzufügen …) legt ein Merkmal unter der markierten Regel an; die Maske bringt den Bezug zur Regel schon mit.
  • Regel löschen … bzw. Sperreintrag löschen … löscht den markierten Eintrag mit allem darunter.
  • Merkmale lassen sich anlegen und löschen, aber nicht ändern; Merkmal ansehen zeigt ein vorhandenes nur an.
• Anmelderegeln: Eine Regel bearbeiten Sie als Ganzes im Dialog Anmelderegel: Neue Anmelderegel … öffnet ihn für eine neue Regel, Anmelderegel bearbeiten … und ein Doppelklick für die markierte (siehe So legen Sie die Anmelderichtlinie fest).

Gefilterte Listen. Öffnet ein Klick auf eine Karte der Übersicht eine Liste, zeigt die Liste den Grund als Filter-Schaltfläche, etwa „Ohne zweiten Faktor ✕“; auf der Seite Personen und Schlüssel ist zugleich die passende Arbeitsliste links gewählt. Ein Klick darauf (oder Entf) hebt diesen Filter auf; die Liste zeigt wieder alle Einträge.

Die Detaillisten (Pfeil am Zeilenanfang) und die Listen ohne Maske bedienen Sie wie ein Access-Datenblatt: Eine Änderung wird gespeichert, sobald Sie die Zelle verlassen. Die rechte Maustaste öffnet das Kontextmenü mit Neu, Löschen, Kopieren und Exportieren; Umschalt+F9 liest neu. In Listen mit Detailansichten öffnen und schließen Strg++ und Strg+- die Details, statt anzulegen oder zu löschen. Spaltenbreiten, Reihenfolge, Sortierung, Gruppierung und Filter merkt sich jede Liste für Ihr Windows-Konto; Weitere > Spalten zurücksetzen stellt den Auslieferungszustand wieder her.

Die Verwaltungsanwendung ist ein Werkzeug, mit dem Menschen Zugang zu Datenbanken erhalten. Wer sie bedienen darf, kann Rechte vergeben; was sie verarbeitet, sind zu großen Teilen personenbezogene Daten.

Schutzgüter

Personenbezogene Daten

Verantwortung nach DSGVO. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Betreiber der Installation, nicht der Hersteller der Software. Bei ihm liegen die Rechtsgrundlage der Verarbeitung (Art. 6), der Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Art. 30), die technischen und organisatorischen Maßnahmen (Art. 32) und die Fristen, nach denen Daten gelöscht werden (Art. 5 Abs. 1 lit. e). Die Anwendung trägt dazu bei, indem sie Schlüssel nicht offenlegt, Anmeldungen der Verwaltung mit zweitem Faktor absichert und lokale Zwischenstände löscht. Sie ersetzt keine dieser Pflichten. Text der Verordnung: https://eur-lex.europa.eu/eli/reg/2016/679/oj.

Grenzen

• Wer auf dem Server die Datei des Verwaltungsspeichers schreiben darf (Dienstkonto, Administratoren des Rechners), kann auch das Änderungsprotokoll ändern; es ist bewusst nicht fälschungssicher (siehe Verwaltungsspeicher und Hauptschlüssel, Abschnitt „Änderungsprotokoll und Nachweis“ (Dokumentation des Datendienstes)).
• Das Änderungsprotokoll bleibt unbegrenzt, und der Dienst bietet keinen Weg, Einträge zu löschen oder zu pseudonymisieren – auch nicht für eine gelöschte Person: Ihre Werte (Name, Windows-Konto, E-Mail-Adresse) bleiben in den Zeilen ihrer Änderungen stehen, ebenso in Sicherungen der Datei. Das ist eine Grenze im Hinblick auf Speicherbegrenzung und Löschung (Art. 5 Abs. 1 lit. e, Art. 17 DSGVO), die der Betreiber in seinem Löschkonzept bewerten muss (siehe Verwaltungsspeicher und Hauptschlüssel, Abschnitt „Aufbewahrung und Löschen“ (Dokumentation des Datendienstes)).
• Die Auslieferungsdatei der Anwendung ist nicht signiert (siehe So richten Sie die Verwaltungsanwendung auf einem Arbeitsplatz ein).

Was typischerweise ansteht und wo die Schritte stehen. Die meisten Anlässe beginnen in Personen und Schlüssel mit der markierten Person und einem Befehl der Befehlsleiste oder des Kontextmenüs (rechte Maustaste).

Einrichten

• So installieren Sie den Datendienst (Dokumentation des Datendienstes) (Datendienst, am Server)
• So legen Sie den ersten Administrator an (Dokumentation des Datendienstes) (Datendienst, am Server)
• Die Verwaltungsanwendung auf einem Arbeitsplatz einrichten
• An der Verwaltungsanwendung anmelden
• Mit Bereichen, Listen und Befehlen arbeiten
• Eine Datenquelle anbinden

Personen und Zugänge

• Eine Person anlegen und ihr einen Schlüssel ausstellen
• Viele Personen auf einmal importieren
• Viele Personen auf einmal bearbeiten
• Den zweiten Faktor einrichten oder zurücksetzen
• Einen Schlüssel oder eine Person sperren
• Präsentationsschlüssel ausgeben und verlorene Schlüssel ersetzen
• Den Zugang einer Person nach Ort einrichten
• Eine Einladung per Mail senden

Rechte

• Eine Regel anlegen
• Windows-Konten und -Gruppen zuordnen
• SQL-Anmeldungen zuordnen
• Datenbank-Identitäten einrichten

Absichern

• Die Anmelderichtlinie festlegen
• Anmeldungen und ihre Herkunft prüfen, Geodatenbank einrichten
• Den Zugriff je Vertrauenssituation umsetzen: Firmen-PC, privates Gerät, Dienstleister, verlorenes Gerät

Nachvollziehen

• Protokoll und Sitzungen lesen
• Nachweisberichte erzeugen

Auslastung

• Herausfinden, was den Dienst und die Datenbank belastet

Betrieb

• Datenbank-Updates begleiten und über Pakete entscheiden
• So sichern Sie den Verwaltungsspeicher, stellen ihn wieder her und ziehen um (Dokumentation des Datendienstes) (Datendienst, am Server)
• So wechseln Sie den Hauptschlüssel (Dokumentation des Datendienstes) (Datendienst, am Server)
• So bekommen Sie wieder Zugang, wenn die Verwaltung ausgesperrt ist (Dokumentation des Datendienstes) (Datendienst, am Server)

Störungen

• Störungen und ihre Behebung

• Die Anmeldung mit dem Windows-Konto wird mit NTLM unterstützt, nicht mit Kerberos in einer Domäne.
• Die Oberfläche ist deutsch.
• Zahlen des Datendienstes in diesem Handbuch (etwa 15 Minuten Sperre, 72 Stunden Gültigkeit, 300 Anfragen je Minute) sind dessen Vorgaben zum Stand der Seiten. Verbindlich sind die Werte in der Dokumentation des Datendienstes.

• Datendienst Wkl.Data.Gateway – Überblick (Dokumentation des Datendienstes) – Konzepte, Anleitungen, Referenz mit HTTP-Vertrag, Konfiguration und allen Antworten
• So arbeiten Sie mit Bereichen, Listen und Befehlen
• VBA-Klasse `WklGatewayClient` – Verwaltungsbefehle aus eigenen VBA-Anwendungen