Monosign MFA: Design, Einführung und Fehlerbehebung
Was hat sich geändert
Jede Inhaltsänderung wird versioniert. Wählen Sie eine Version, um sie mit der vorherigen zu vergleichen.
Version 9 → 10
AktualisierungNeues Modul zu Zugriffsentscheidungen und Wiederherstellung: Zugriffsbeschränkungen und Richtliniendefinitionen, Passkeys und passwortlose Anmeldung im Betrieb, Kerberos und MFA, Passwortwiederherstellung, Kontoentsperrung, die Kacheln der Windows-Anmeldung und Identitätsprüfung.
3 Lektionen aktualisiert
Inhaltliche Aktualisierung. Eingeschriebene Lernende wurden benachrichtigt.
Monosign hat zwei Werkzeuge, die entscheiden, ob eine Anmeldung fortgesetzt werden darf. Sie sehen ähnlich aus und verhalten sich sehr unterschiedlich.
| Werkzeug | Was es tut | Typischer Einsatz |
| --- | --- | --- |
| Zugriffsbeschränkung | Erlaubt oder verweigert ein Objekt, etwa einen Benutzer, für eine Anwendung | Ein einzelnes Konto sperren oder zu bestimmten Zeiten fernhalten |
| Authentifizierungsrichtlinie | Legt nach Geltungsbereich und Priorität fest, welche Faktoren und Schritte eine Anmeldung braucht | MFA außerhalb des Büros, ein Passkey für Administratoren |
Eine Beschränkung fragt nie nach MFA. Sie lässt die Anmeldung nur zu oder lehnt sie ab.
### Zugriffsbeschränkungen
Management → Security → `Restrictions` oder der Tab `Access Restrictions` am Benutzer. Eine Zeile hat ein `Object`, `Access Types` (`Allow` oder `Deny`), ein `Scope Object` (die Anwendung), `Start Date`, `End Date` und optional einen `Cron`.
Drei Regeln erklären die meisten Supporttickets:
- **Geprüft wird nur bei der Anmeldung.** Ein neues `Deny` beendet keine bereits offene Sitzung. Fügen Sie bei einem Vorfall die Beschränkung hinzu und schließen Sie zusätzlich die Sitzungen des Benutzers unter Management → `Sessions`.
- **Das erste passende `Allow` gewinnt.** Die Auswertung endet dort, und eine spätere `Deny`-Zeile wird ignoriert. Prüfen Sie die vorhandenen Zeilen des Benutzers, bevor Sie ein `Deny` hinzufügen.
- **Der Geltungsbereich muss die Anwendung sein, an der sich der Benutzer anmeldet.** Eine Zeile für eine andere Anwendung wirkt sich auf diese Anmeldung nicht aus.
::diagram mfa-restriction-evaluation
`Cron` begrenzt ein `Deny` auf ein Tageszeitfenster. Die Stunden sind **UTC**, nicht die Ortszeit des Servers oder des Benutzers. Ein Büro in Istanbul (UTC+3), das 18:00 bis 08:00 Uhr Ortszeit sperren möchte, schreibt `0 15-23,0-4 * * *`. Seit v2026.10 wird das Fenster wie geschrieben angewendet. In früheren Releases sperrte ein `Deny` mit `Cron` und einer Laufzeit von mehr als einem Tag rund um die Uhr; testen Sie solche Zeilen nach einem Upgrade daher erneut.
`Remove` beendet eine Zeile, indem das Enddatum gesetzt wird. Die Zeile bleibt als Historie erhalten.
### Richtliniendefinitionen
Management → Security → `Policies` enthält die Definitionen. Das Lab zu Conditional Access baut einen vollständigen Richtliniensatz auf; hier stehen die Regeln des Editors selbst:
- **`Type` wird einmal gewählt.** Er ist nur beim Erstellen der Definition auswählbar. `Generic` dient nur zum Filtern; ein Anmeldeablauf braucht `Authentication`. Eine Definition lässt sich nicht klonen und ihr Typ nicht ändern, daher wird eine mit dem falschen Typ gespeicherte Definition durch eine neue ersetzt.
- **Eine Definition vom Typ `Authentication` braucht mindestens ein `Scope`-Element und ein `Flow`-Element.** Die Flow-Elemente befinden sich im Tab `Actions`.
- `Priority` reicht von 1 bis 10, und jede Definition braucht einen eindeutigen Namen.
- Eine Definition, die ein Zugriffspaket verwendet, kann weder deaktiviert noch entfernt werden. Lösen Sie sie zuerst vom Paket.
Passkeys sind der stärkste Faktor im Katalog und bringen eigene Betriebsregeln mit. Planen Sie diese vor der Einführung, nicht nach dem ersten Ticket.
### Die Registrierung gehört dem Benutzer
Ein Passkey wird in der Account-App registriert, innerhalb der eigenen Sitzung des Benutzers. Ein Administrator kann ihn nicht aus Management im Namen eines Benutzers registrieren, und der Helpdesk kann Passkeys nicht vorab für ein Team vorbereiten. Planen Sie die Selbstregistrierung ein: eine kurze Anleitung, ein Zeitfenster und einen zweiten Passkey oder einen anderen Faktor als Rückweg.
### Den letzten Passkey entfernen
Löscht ein Benutzer seinen letzten Passkey, wird die Methode `Passkeys` für ihn deaktiviert. War es sein einziger Faktor, hat er bis zur erneuten Registrierung keinen MFA-Faktor. Es gibt keinen automatischen Rückfall. Nehmen Sie das in den Prozess für die Geräteausmusterung auf: zuerst auf dem neuen Gerät registrieren, dann das alte entfernen.
### Jede Anmeldeadresse muss ein Tenant-Host sein
Ein Passkey ist an die Webadresse gebunden, unter der er registriert wurde, und Monosign leitet diese Adresse aus den Account-Tenant-Hosts ab. Erreichen Benutzer die Anmeldeseiten über einen Hostnamen, der nicht als Account-Tenant-Host registriert ist, lehnt der Browser den Passkey-Schritt ab, während die Passwortanmeldung auf demselben Host weiterhin funktioniert. Das API-Log zeigt dann `Tenant host not found for host`.
Prüfen Sie also zuerst, ob ein neuer Hostname des Kunden als Account-Tenant-Host registriert ist. Beachten Sie außerdem, dass ein auf einem Host registrierter Passkey auf einem anderen nicht akzeptiert wird.
### `Passwordless Login` und was es ersetzt
Ist `Passwordless Login` aktiviert, kann sich ein Benutzer allein mit einem Passkey anmelden. Diese Anmeldung zählt als MFA für die **eigene** Zwei-Faktor-Einstellung des Benutzers. Sie erfüllt keine **Authentifizierungsrichtlinie**, die einen zweiten Faktor verlangt: Bei einer Anwendung, die von einer solchen Richtlinie erfasst wird, wird der Benutzer nach dem Passkey weiterhin nach MFA gefragt. Auch eine ausstehende Passwortänderung wird weiterhin verlangt. Erklären Sie das dem Kunden, sonst melden die ersten Passkey-Benutzer es als Fehler.
### Kerberos ist wieder anders
Die Kerberos-Anmeldung auf domänengebundenen Geräten entfernt die Passwortabfrage, doch anders als bei den übrigen passwortlosen Anmeldungen gilt die Sitzung nicht als MFA-verifiziert. Ein Benutzer mit aktivierter MFA oder eine Anwendung, deren Authentifizierungsstufe MFA verlangt, erhält nach dem Ticket weiterhin die MFA-Abfrage. Das ist das erwartete Verhalten. Wünscht ein Kunde für eine bestimmte Anwendung keine Abfrage, ist das eine Entscheidung über die MFA-Einstellung der Anwendung, kein Kerberos-Fehler.
::diagram mfa-passwordless-and-mfa
> Tipp: `Passkeys` ist die Methode für Plattform-Passkeys und für FIDO2-Sicherheitsschlüssel. Lassen Sie die veraltete Zeile `Security Key` deaktiviert.
Benutzer, die sich nicht anmelden können, machen den größten Teil der Helpdesk-Anrufe aus. Monosign bietet ihnen Self-Service-Wege, und jeder hat Grenzen, die der Helpdesk kennen sollte.
### Passwortwiederherstellung
Ein Benutzer, der sein Passwort vergessen hat, beginnt auf der Boarding-Seite mit `I don't remember my password`, identifiziert sich und weist seine Identität mit einem MFA-Faktor, mit Sicherheitsfragen oder mit beidem nach. Die Schalter befinden sich unter System → `Configurations` → Tab `Boarding`.
Zwei Verhaltensweisen führen zu Tickets:
- **SMS wird ausgeblendet, wenn ein weiterer Faktor existiert.** Hat der Benutzer mehr als einen verifizierten Faktor, wird der SMS-Faktor auf der Wiederherstellungsseite nicht angeboten. Ein Benutzer, dessen App zurückgesetzt oder dessen Telefon ersetzt wurde, kann dort nicht auf SMS ausweichen, und der Helpdesk muss helfen. Berücksichtigen Sie das bei der Entscheidung, welche Faktoren Benutzer registrieren müssen.
- **Ein Code kann bereits unterwegs sein.** Die Wiederherstellung teilt sich die Wartezeit für erneutes Senden mit der Anmeldung, wie die Lektion zur Code-Zustellung erklärt.
### Kontoentsperrung
Ein gesperrter Benutzer kann sein Konto auf derselben Seite mit einem Einmalcode per SMS oder Mobile Push entsperren. Die Grenzen:
- Die Entsperrung **hebt nur die Sperre auf**. Sie setzt das Passwort nicht zurück und aktiviert kein Konto wieder, das aus einem anderen Grund deaktiviert ist, zum Beispiel durch die Personalabteilung oder einen Administrator. Ein solcher Benutzer schließt die Entsperrung ab und kann sich trotzdem nicht anmelden.
- Der Code ist eine Stunde gültig. Seit v2026.09 sind falsche Codes auf fünf pro Anfrage begrenzt.
- Angeboten werden nur SMS und Push, und nur Benutzern, die sie bereits registriert und verifiziert haben.
### Am Windows-Anmeldebildschirm
Ein aus Windows ausgesperrter Benutzer hat keinen Browser, um diese Seiten zu erreichen. Der Monofor Identity Client fügt dem Anmeldebildschirm getrennte Kacheln hinzu, und jede hat genau eine Aufgabe:
| Kachel | Zweck |
| --- | --- |
| `Monosign MFA Credential Provider` | Windows-Passwort, danach Monosign MFA |
| `Monosign QR Login`, `Monosign Push Login` | Passwortlose Anmeldung mit der App Monofor Identity |
| `Self Service Portal` | Passwortzurücksetzung und Kontoentsperrung vom Sperrbildschirm aus |
Für Außendienstmitarbeiter ohne zweites Gerät ist `Self Service Portal` die Funktion, die im Installationsprogramm auszuwählen ist. Die anderen Kacheln setzen kein vergessenes Passwort zurück.
::diagram mfa-self-service-paths
### Identitätsprüfung (Identity Verification)
Mancher Zugriff braucht mehr als einen Faktor: den Nachweis, dass die Person die ist, die sie zu sein behauptet. Unter Identity → `Verification` binden Sie einen Anbieter für Identitätsnachweise als Quelle an. Der Benutzer durchläuft aus der Account-App heraus die Dokumenten- und Selfie-Prüfung im gehosteten Ablauf des Anbieters und kehrt mit einer Vertrauensstufe von `IAL1` bis `IAL3` zurück, die am Benutzer gespeichert wird.
Es gibt zwei Wege, sie zu verlangen:
- **Für einen Benutzer, sofort**: im Bereich `Identity Assurance` des Benutzers → `Request identity verification`.
- **Für alle, auf die eine Richtlinie zutrifft**: die Richtlinienaktion `Require Identity Verification` in einer Authentifizierungsrichtlinie. Bei der Anmeldung löst sie eine Anforderung aus, wenn die Stufe des Benutzers unter der verlangten liegt.
Monosign prüft Dokumente nicht selbst; das übernimmt der Anbieter. Sicherheitsfragen, Magic Links und Zugriffsbeschränkungen ersetzen keinen Identitätsnachweis.