So richten Sie die Anmeldung mit dem Windows-Konto ein

Personen melden sich mit dem Windows-Konto an, unter dem Access, Excel oder Power BI läuft – ohne Schlüssel oder Kennwort in Verbindung oder Mappe. Rechte hängen an Windows-Gruppen, wie sonst in Windows auch.

Das Anmeldeverfahren schalten Sie in der Konfigurationsdatei ein (AuthMode mit Windows); welche Konten und Gruppen welche Regel erhalten, legen Zuordnungen fest. Regeln und Antworten: Anmeldung: Windows-Konto.

1. Ergänzen Sie in der Konfigurationsdatei unter Gateway:Security in AuthMode das Verfahren Windows, und behalten Sie die Verfahren, die dort schon stehen. Beispiel mit Verwaltungsspeicher:

   "Security": { "AuthMode": "ApiKey, PersonalKey, Windows" }

   • Mit Verwaltungsspeicher: Starten Sie den Dienst jetzt neu.
   • Ohne Verwaltungsspeicher: Starten Sie noch nicht neu. Ohne Speicher gibt es keine persönlichen Schlüssel (mit PersonalKey startet der Dienst nicht), und der Modus Windows verlangt mindestens eine Zuordnung in derselben Datei (Schritt 2). Das Beispiel lautet dort "ApiKey, Windows".
2. Ordnen Sie Gruppen oder Konten Regeln zu. Jede genannte Regel muss es bereits geben.
   • Mit Verwaltungsspeicher: in der Verwaltungsanwendung unter Zuordnungen, Register Windows-Konten und -Gruppen; siehe „So ordnen Sie Windows-Konten und -Gruppen zu“ (Dokumentation der Verwaltungsanwendung).

   • Ohne Verwaltungsspeicher: in der Konfigurationsdatei unter Security; Client nennt die Id einer Regel unter Security:Clients. Starten Sie den Dienst danach neu:

     "Security": {
       "WindowsAccounts": [
         { "Account": "FIRMA\\Fachdaten-Leser",  "Client": "fachdaten-lesen" },
         { "Account": "FIRMA\\Fachdaten-Pflege", "Client": "fachdaten-pflege" },
         { "Account": "S-1-5-32-545",            "Client": "auskunft" }
       ]
     }

     Geben Sie eingebaute Gruppen mit ihrer SID an (S-1-5-32-545 statt VORDEFINIERT\Benutzer): Ihre Namen hängen von der Sprache von Windows ab. Ein Name, den Windows nicht kennt, verhindert den Start bzw. wird beim Speichern abgelehnt.

3. Verbinden Sie den Client mit Windows-Anmeldung: der ODBC-Treiber mit AUTH=WINDOWS, PowerShell mit -UseDefaultCredentials (PowerShell 7 über http zusätzlich mit -AllowUnencryptedAuthentication).
4. Prüfen Sie: Eine Anfrage antwortet 200; das Audit nennt das Windows-Konto. Vor jeder neuen Verbindung steht dort ein anonymer 401 – das ist der erste Schritt des Verfahrens, kein Fehler.

• Rechte addieren sich. Ist eine Person Mitglied mehrerer zugeordneter Gruppen, gelten alle Regeln. Wer nur lesen soll, gehört in keine Gruppe, die schreiben darf.
• Gruppenänderungen wirken mit der nächsten Anmeldung der Person, nicht sofort.
• Kerberos und NTLM: Windows handelt das Verfahren selbst aus. Kerberos setzt einen SPN HTTP/<name> voraus, wobei <name> der Rechnername ist, den die Clients in der Adresse des Dienstes verwenden. Der SPN gehört zu dem Konto, unter dem der Dienst läuft; bei einem virtuellen Dienstkonto oder dem Konto „Netzwerkdienst“ ist das das Computerkonto des Rechners. Fehlt der SPN, weicht Windows auf NTLM aus.
• Eine Person ohne passende Zuordnung erreicht nichts; das Audit nennt, wer es versucht hat.

• Anmeldung und Weitergabe der Identität
• So geben Sie Personen an SQL Server weiter