So legen Sie den ersten Administrator an

Ein neu eingerichteter Datendienst kennt noch keine Person, die ihn verwalten darf. Den ersten Administrator legen Sie deshalb einmalig mit einem Befehl am Server an; danach erledigen Sie alles Weitere in der Verwaltungsanwendung.

Der Befehl init-admin läuft auf dem Rechner des Dienstes, nicht über das Netz. Er braucht die Speicherdatei und den Hauptschlüssel des Dienstes und damit die Rechte eines Administrators dieses Rechners – das ist der Nachweis, dass Sie den Dienst verwalten dürfen. Er legt an:

1. die Regel verwaltung mit dem Recht admin (oder nimmt eine vorhandene Regel mit diesem Recht),
2. eine Person mit dieser Regel,
3. einen persönlichen Schlüssel für die Person.

Den zweiten Faktor richtet die Person bei der ersten Anmeldung in der Verwaltungsanwendung selbst ein; die Verwaltung verlangt ihn immer.

Voraussetzungen: Der Dienst ist installiert und hat einen Verwaltungsspeicher mit Hauptschlüssel (Gateway:Store), und AuthMode enthält PersonalKey. Ob der Dienst schon läuft, spielt keine Rolle.

Nach der Installation öffnet sich die Konsole mit init-admin von selbst, wenn Ersten Administrator jetzt anlegen angehakt war; später über den Startmenü-Eintrag WKL Database Gateway > Ersten Administrator anlegen (fragt nach Administratorrechten). Er fragt nach dem Namen und macht weiter mit Schritt 3. Von Hand:

1. Öffnen Sie auf dem Rechner des Dienstes eine Eingabeaufforderung oder PowerShell als Administrator und wechseln Sie in das Programmverzeichnis des Dienstes.

2. Führen Sie aus:

   .\dbgwsvc.exe init-admin --name "Erika Muster"

3. Der Befehl zeigt den persönlichen Schlüssel (beginnt mit wkl_) einmal an. Geben Sie ihn der Person auf einem sicheren Weg weiter oder tragen Sie ihn mit ihr gemeinsam ein.
4. Die Person meldet sich an der Verwaltungsanwendung mit diesem Schlüssel an, siehe „So melden Sie sich an der Verwaltungsanwendung an“ (Dokumentation der Verwaltungsanwendung). Statt nach einem Code fragt die Anwendung beim ersten Mal nach der Einrichtung: Die Karte Zweiten Faktor einrichten zeigt einen QR-Code. Die Person scannt ihn mit ihrer Authenticator-App, gibt den ersten Code ein und wählt Einrichten aus. Danach ist sie angemeldet.

Ergebnis: Die Person kann verwalten; bei jeder weiteren Anmeldung fragt die Anwendung nach dem Code aus der App. Prüfen können Sie das am Server mit:

.\dbgwsvc.exe admin-status

• Frist. Die Einrichtung bei der Anmeldung ist 24 Stunden nach dem Ausstellen des Schlüssels möglich (Einstellung totp_enrol_hours). Danach stellen Sie mit init-admin --name … --force einen neuen Schlüssel aus.
• Gleich am Server einrichten. Mit --totp zeigt der Befehl den QR-Code in der Konsole und speichert erst, wenn ein Code aus der App passt. Das ist sinnvoll, wenn die Person neben Ihnen sitzt.
• Mit dem Windows-Konto. --windows DOMÄNE\name gibt der Person ihr eigenes Windows-Konto und ordnet dieses Konto der Regel verwaltung zu. Die Person meldet sich dann auch mit Windows an, sofern die Windows-Anmeldung eingeschaltet ist (AuthMode mit Windows; sonst weist der Befehl darauf hin). Mit --no-key stellt der Befehl keinen Schlüssel aus; Windows ist dann der einzige Weg in die Verwaltung.
• Nur einmal. Solange jemand verwalten kann, lehnt init-admin ohne --force ab. Weitere Administratoren legen Sie in der Verwaltungsanwendung an: eine Person mit der Regel verwaltung, siehe „So legen Sie eine Person an und stellen ihr einen Schlüssel aus“ (Dokumentation der Verwaltungsanwendung). Legen Sie mindestens zwei an, damit der Ausfall einer Person die Verwaltung nicht aussperrt.
• Nur lesende Verwaltung, etwa für eine Revision: eine zweite Regel mit admin, deren Haken „Nur lesen“ gesetzt ist.

• So installieren Sie den Datendienst
• So bekommen Sie wieder Zugang, wenn die Verwaltung ausgesperrt ist
• „So richten Sie den zweiten Faktor ein oder setzen ihn zurück“ (Dokumentation der Verwaltungsanwendung)
• Referenz: Erster Administrator und Rettung, Anmelderichtlinie und zweiter Faktor