Ustvarjanje prvega skrbnika

Na novo nastavljeni podatkovni prehod še ne pozna nobene osebe, ki bi ga smela upravljati. Prvega skrbnika zato enkrat ustvarite z ukazom na strežniku, vse drugo pa nato opravite v aplikaciji za upravljanje.

Ukaz init-admin teče na računalniku prehoda, ne prek omrežja. Potrebuje datoteko shrambe in glavni ključ prehoda, torej pravice skrbnika tega računalnika; to je dokaz, da smete upravljati prehod. Ukaz ustvari:

1. pravilo verwaltung s pravico admin (ali uporabi obstoječe pravilo s to pravico),
2. osebo s tem pravilom,
3. osebni ključ za osebo.

2FA (dvostopenjsko preverjanje identitete) oseba nastavi sama ob prvi prijavi v aplikacijo za upravljanje; skrbništvo ga zahteva vedno.

Predpogoji: prehod je nameščen in ima skrbniško shrambo z glavnim ključem (Gateway:Store), AuthMode pa vsebuje PersonalKey. Ali prehod že teče, ni pomembno.

Po namestitvi se konzola z init-admin odpre samodejno, če je bila označena možnost Ersten Administrator jetzt anlegen (ustvari prvega skrbnika zdaj); pozneje jo odprete z vnosom v meniju Start WKL Database Gateway > Ersten Administrator anlegen (ustvari prvega skrbnika; zahteva skrbniške pravice). Konzola vpraša za ime in nadaljuje s 3. korakom. Ročni postopek:

1. Na računalniku prehoda odprite ukazni poziv ali PowerShell kot skrbnik in preklopite v programsko mapo prehoda.

2. Izvedite:

   .\Wkl.Data.Gateway.exe init-admin --name "Erika Muster"

3. Ukaz osebni ključ (začne se z wkl_) prikaže enkrat. Osebi ga predajte po varni poti ali ga vnesite skupaj z njo.
4. Oseba se s tem ključem prijavi v aplikacijo za upravljanje, glejte “Prijava v aplikacijo za upravljanje” (dokumentacija aplikacije za upravljanje). Ob prvi prijavi aplikacija namesto kode zahteva nastavitev: kartica Zweiten Faktor einrichten (nastavitev 2FA) prikaže kodo QR. Oseba jo skenira s svojo aplikacijo Authenticator, vnese prvo kodo in izbere Einrichten (nastavi). Nato je prijavljena.

Rezultat: oseba ima dostop do skrbništva; pri vsaki nadaljnji prijavi aplikacija zahteva kodo iz aplikacije Authenticator. To lahko na strežniku preverite z ukazom:

.\Wkl.Data.Gateway.exe admin-status

• Rok. Nastavitev ob prijavi je mogoča 24 ur po izdaji ključa (nastavitev totp_enrol_hours). Nato z init-admin --name … --force izdate nov ključ.
• Nastavitev takoj na strežniku. Z --totp ukaz kodo QR prikaže v konzoli in shrani šele, ko koda iz aplikacije ustreza. To je smiselno, če oseba sedi poleg vas.
• Z računom Windows. --windows DOMENA\ime osebi nastavi njen lastni račun Windows in ta račun preslika na pravilo verwaltung. Oseba se nato lahko prijavi tudi z računom Windows, če je prijava z računom Windows vklopljena (AuthMode vsebuje Windows; sicer vas ukaz na to opozori). Z --no-key ukaz ne izda ključa; račun Windows je tedaj edina pot v skrbništvo.
• Le enkrat. Dokler ima kdo dostop do skrbništva, init-admin brez --force zavrne izvedbo. Nadaljnje skrbnike ustvarite v aplikaciji za upravljanje: osebo s pravilom verwaltung, glejte “Ustvarjanje osebe in izdaja ključa” (dokumentacija aplikacije za upravljanje). Ustvarite vsaj dva, da odsotnost ene osebe ne zaklene skrbništva.
• Skrbništvo samo za branje, na primer za revizijo: ločeno pravilo z admin, pri katerem je označeno “Nur lesen” (samo branje).

• Namestitev podatkovnega prehoda
• Ponovna pridobitev dostopa, ko je skrbništvo zaklenjeno
• “Nastavitev ali ponastavitev 2FA” (dokumentacija aplikacije za upravljanje)
• Referenčni priročnik: Prvi skrbnik in reševanje, Pravilnik prijave in 2FA