Nastavitev prijave z računom Windows

Osebe se prijavijo z računom Windows, pod katerim tečejo Access, Excel ali Power BI – brez ključa ali gesla v povezavi ali delovnem zvezku. Pravice so vezane na skupine Windows, kot ste vajeni v sistemu Windows.

Postopek prijave vklopite v konfiguracijski datoteki (AuthMode z Windows); kateri računi in skupine dobijo katero pravilo, določajo preslikave. Pravila in odgovori: Prijava: račun Windows.

1. V konfiguracijski datoteki pod Gateway:Security dodajte postopek Windows v AuthMode in ohranite postopke, ki so tam že navedeni. Primer s skrbniško shrambo:

   "Security": { "AuthMode": "ApiKey, PersonalKey, Windows" }

   • S skrbniško shrambo: Prehod zdaj znova zaženite.
   • Brez skrbniške shrambe: Prehoda še ne zaženite znova. Brez shrambe osebnih ključev ni (s PersonalKey se prehod ne zažene), način Windows pa zahteva vsaj eno preslikavo v isti datoteki (2. korak). Tam se primer glasi "ApiKey, Windows".
2. Skupine ali račune preslikajte na pravila. Vsako navedeno pravilo mora že obstajati.
   • S skrbniško shrambo: v aplikaciji za upravljanje pod Zuordnungen (preslikave), zavihek Windows-Konten und -Gruppen (računi in skupine Windows); glejte “Dodelitev računov in skupin Windows” (dokumentacija aplikacije za upravljanje).

   • Brez skrbniške shrambe: v konfiguracijski datoteki pod Security; Client navaja Id pravila pod Security:Clients. Nato prehod znova zaženite:

     "Security": {
       "WindowsAccounts": [
         { "Account": "FIRMA\\Fachdaten-Leser",  "Client": "fachdaten-lesen" },
         { "Account": "FIRMA\\Fachdaten-Pflege", "Client": "fachdaten-pflege" },
         { "Account": "S-1-5-32-545",            "Client": "auskunft" }
       ]
     }

     Vgrajene skupine navedite z njihovim SID (S-1-5-32-545 namesto VORDEFINIERT\Benutzer): njihova imena so odvisna od jezika sistema Windows. Ime, ki ga Windows ne pozna, prepreči zagon oziroma ga skrbništvo pri shranjevanju zavrne.

3. Odjemalca povežite s prijavo Windows: gonilnik ODBC z AUTH=WINDOWS, PowerShell z -UseDefaultCredentials (PowerShell 7 prek http dodatno z -AllowUnencryptedAuthentication).
4. Preverite: zahteva odgovori 200; revizijska sled navaja račun Windows. Pred vsako novo povezavo je tam anonimni 401 – to je prvi korak postopka, ne napaka.

• Pravice se seštevajo. Če je oseba članica več preslikanih skupin, veljajo vsa pravila. Kdor sme samo brati, ne sme biti član nobene skupine s pravico pisanja.
• Spremembe skupin učinkujejo z naslednjo prijavo osebe, ne takoj.
• Kerberos in NTLM: postopek izbere Windows sam. Kerberos zahteva SPN HTTP/<ime>, pri čemer je <ime> ime računalnika, ki ga odjemalci uporabljajo v naslovu prehoda. SPN pripada računu, pod katerim teče prehod; pri navideznem računu storitve ali računu “Omrežna storitev” (NETWORK SERVICE) je to račun računalnika. Če SPN manjka, Windows preide na NTLM.
• Oseba brez ustrezne preslikave ne doseže ničesar; revizijska sled navaja, kdo je poskušal.

• Prijava in posredovanje identitete
• Posredovanje identitete oseb strežniku SQL Server