So bekommen Sie wieder Zugang, wenn die Verwaltung ausgesperrt ist

Der letzte Administratorschlüssel gesperrt oder abgelaufen, die Regel verwaltung gelöscht, eine Anmelderegel Deny für die Verwaltung, das Telefon mit dem zweiten Faktor verloren: Dann meldet sich niemand mehr an der Verwaltung an. Der Ausweg sind Befehle am Server.

Die Befehle laufen auf dem Rechner des Dienstes und arbeiten direkt mit der Speicherdatei; sie brauchen dafür die Rechte eines Administrators dieses Rechners. Über das Netz lässt sich eine ausgesperrte Verwaltung bewusst nicht öffnen. admin-status zeigt zuerst, was fehlt; der passende Befehl behebt es. Der laufende Dienst übernimmt die Änderung ohne Neustart.

1. Öffnen Sie am Rechner des Dienstes eine Eingabeaufforderung oder PowerShell als Administrator und wechseln Sie in das Programmverzeichnis des Dienstes.

2. Lassen Sie sich zeigen, wer verwalten kann und was den anderen fehlt:

   .\dbgwsvc.exe admin-status

3. Beheben Sie die Ursache:

   Ursache	Befehl
   Telefon mit der Authenticator-App verloren	.\dbgwsvc.exe reset-totp --person "Erika Muster" – die Person richtet bei der nächsten Anmeldung einen neuen Faktor ein
   Schlüssel gesperrt oder abgelaufen	.\dbgwsvc.exe init-admin --name "Erika Muster" --force – stellt einen neuen Schlüssel aus und zeigt ihn einmal an
   Regel verwaltung gelöscht	.\dbgwsvc.exe init-admin --name "Erika Muster" --force – legt die Regel wieder an
   Eine Anmelderegel sperrt alle aus	.\dbgwsvc.exe list-sign-in-rules, dann .\dbgwsvc.exe remove-sign-in-rule --id 3

4. Prüfen Sie mit admin-status, dass wieder jemand verwalten kann.

Ergebnis: Ein Administrator meldet sich wieder an der Verwaltungsanwendung an.

• Der zweite Faktor bleibt Pflicht. Die Verwaltung verlangt ihn immer, auch wenn die Regel „Verwaltung nur mit zweitem Faktor“ gelöscht wurde (feste Untergrenze RequireAdminTotp in der Konfigurationsdatei). Nach reset-totp richtet die Person ihn bei der nächsten Anmeldung neu ein; ein neuer Schlüssel allein (auch init-admin --force) behält einen vorhandenen Faktor; mit --totp geht es gleich in der Konsole.
• Spuren: Jede dieser Änderungen steht im Änderungsprotokoll mit Konsole (Rechner, Konto).
• Vorbeugen: Legen Sie mindestens zwei Administratoren an, und prüfen Sie eine neue Anmelderegel mit einer zweiten Anmeldung, bevor Sie sich abmelden.

• So legen Sie den ersten Administrator an
• Referenz: Erster Administrator und Rettung