Konsolenkonten, Rollen und sichere Anmeldung — zweiter Faktor, SSO, LDAP und SCIM

Worum es geht

An der Konsole melden sich Konten mit einer Rolle an. Die Rolle legt fest, was das Konto darf. Jedes Konto kann seine Anmeldung mit einem zweiten Faktor absichern — einem Code aus einer Authenticator-App. Auf einem eigenen Relay können Sie die Anmeldung außerdem an Ihre Firmen-Anmeldung hängen: OIDC (zum Beispiel Entra ID oder Keycloak), LDAP / Active Directory oder SCIM.

Das brauchen Sie

• Cloud: Sie sind Verwalter Ihres Zugangs. Einen Verwalter hat jeder Zugang; weitere gibt es nur mit einer Cloud-Lizenz, nicht in Free.
• Eigenes Relay: ein Konto mit der Rolle Administrator ohne Einschränkung auf Zugänge (System-Administrator).
• Für den zweiten Faktor eine Authenticator-App, zum Beispiel Microsoft Authenticator, Google Authenticator oder Aegis.
• Für OIDC, LDAP und SCIM: ein eigenes Relay und Zugang zu Ihrem Identitätsanbieter bzw. Verzeichnis.

So geht's

Die Rollen

In der Konsole heißt der Zugang Mandant, der Verwalter heißt dort Mandant-Administrator.

Weitere Verwalter eines Zugangs anlegen

1. Mandanten → Zugang doppelt anklicken (Mandant bearbeiten) → Reiter Verwalter.
2. Benutzername und ein Start-Kennwort (mindestens 8 Zeichen) eintragen, Verwalter anlegen klicken.
3. Verwalter melden sich an der Adresse ihres Zugangs an.

Konten mit anderen Rollen anlegen (System-Administrator)

1. In der Seitenleiste Benutzer öffnen. Die Seite heißt Benutzer & Rollen.
2. Oben Benutzername, Passwort und Rolle eintragen, Anlegen / Ändern klicken.
3. Soll das Konto nur bestimmte Zugänge sehen: im Menü der Zeile (⋮) Mandanten zuordnen… und die Zugänge anhaken. Ohne Auswahl sieht das Konto alle.

Auf browserdesk.de legt solche Konten nur der Betreiber an. Brauchen Sie dort Techniker- oder Nur-Lesen-Konten, schreiben Sie an info@browserdesk.de.

Zweiter Faktor für Ihr eigenes Konto

1. Oben rechts auf Ihren Kontokreis klicken → Zweiter Faktor → Einrichten.
2. Den QR-Code mit der Authenticator-App scannen. Geht das nicht, den Schlüssel darunter von Hand eintippen.
3. Den sechsstelligen Code aus der App eintragen und bestätigen. Der erste richtige Code schaltet den zweiten Faktor ein.

Ab jetzt fragt die Anmeldung nach dem Passwort zusätzlich nach dem Code aus der Authenticator-App. Das gilt auch, wenn Sie sich mit diesem Konto im Programm anmelden. Abschalten geht im selben Dialog, nur mit einem gültigen Code.

Handy verloren: zweiten Faktor zurücksetzen

Ein System-Administrator öffnet Benutzer & Rollen. In der Spalte Zweiter Faktor steht beim Konto „aktiv“. Im Menü der Zeile (⋮) Zweiten Faktor zurücksetzen wählen und bestätigen. Danach reicht wieder das Kennwort, und das Konto richtet den zweiten Faktor neu ein.

Firmen-Anmeldung (nur eigenes Relay)

Alle drei Wege richten Sie unter Einstellungen → Konfiguration ein (B3).

• OIDC (Abschnitt Anmeldung per SSO (OIDC)): „Authority (Issuer)“, „Client-ID“, „Client-Secret“ und die „Rücksprung-Adresse (Redirect URI)“ eintragen — die Rücksprung-Adresse ist https://<Ihr-Relay>/admin/api/auth/oidc/callback und muss beim Anbieter genauso registriert sein. Über „Rollen-Zuordnung“ bestimmen Sie, welche Rolle ein Konto bekommt. Danach zeigt die Anmeldeseite Mit SSO anmelden.
• LDAP / Active Directory (Abschnitt Anmeldung per LDAP / Active Directory): Server (der Name wie im Zertifikat), LDAPS-Port 636, entweder ein Dienstkonto mit Suchbasis und Benutzerfilter oder nur eine Bind-Vorlage wie {benutzer}@firma.local. Über „Gruppe → Rolle“ ordnen Sie Gruppen Rollen zu. Angemeldet wird über die normale Anmeldemaske.
• SCIM (Abschnitt Bereitstellung per SCIM): „SCIM aktivieren“. Dann in Benutzer & Rollen → API-Tokens … ein Token mit dem Zweck „SCIM-Bereitstellung“ anlegen und kopieren — es ist nur einmal sichtbar. Im Identitätsanbieter die Adresse https://<Ihr-Relay>/scim/v2 und dieses Token eintragen. Der Anbieter legt dann Konten an, ändert Rollen und sperrt sie; angemeldet wird weiter über OIDC oder LDAP.

Daran sehen Sie, dass es geklappt hat

• Das neue Konto steht in Benutzer & Rollen; die Spalte „Herkunft“ zeigt „Lokal“, „LDAP“ oder „SCIM“.
• Mit zweitem Faktor zeigt die Spalte Zweiter Faktor „aktiv“, und die Anmeldung fragt nach dem Code.
• Ein über SCIM gesperrtes Konto zeigt „SCIM · gesperrt“.

Gut zu wissen

• Die Notfall-Anmeldung (ohne Benutzername, mit dem Admin-Passwort des Relays) hat keinen zweiten Faktor. Arbeiten Sie mit benannten Konten und geben Sie der Notfall-Anmeldung ein langes Kennwort (B9).
• Der zweite Faktor ist freiwillig. Eine Pflicht für Konsolenkonten und Wiederherstellungscodes gibt es noch nicht. Für Mitglieder eines Zugangs gibt es die Pflicht (B5).
• Ein Code gilt nur einmal. Wer zweimal innerhalb von 30 Sekunden anmeldet, wartet auf den nächsten Code.
• Zweiten Faktor einschalten meldet Ihr Konto im Programm ab; das Programm fragt dann neu, mit Code.
• OIDC- und SCIM-Konten bringen ihren zweiten Faktor vom Identitätsanbieter mit. LDAP-Konten nutzen den zweiten Faktor der Konsole.
• Sperren über SCIM beendet sofort alle Konsolen-Sitzungen des Kontos. Über SCIM vergibt das Relay höchstens die Rolle, die unter „Höchste Rolle über SCIM“ steht (Vorgabe Supervisor).
• LDAP geht nur verschlüsselt (LDAPS). Verschachtelte Gruppen werden nicht ausgewertet. Ein Linux- oder Docker-Relay braucht dafür die Bibliothek libldap2; das Docker-Abbild hat sie.
• Kennwort vergessen: Ein System-Administrator oder ein weiterer Verwalter setzt es neu. Ein Zurücksetzen per Mail gibt es nicht. Sind Sie der einzige Verwalter eines Zugangs auf browserdesk.de, schreiben Sie an info@browserdesk.de.
• Den Zugang zur Konsole auf bestimmte Netze beschränken: B7.

Wenn es nicht klappt