So schützen Sie lokale und externe Windows-Anmeldungen mit der Zwei-Faktor-Endpunktauthentifizierung von ADSelfService Plus

Da Cyberangriffe immer weiter um sich greifen, haben Passwörter als einzige Verteidigung nahezu ausgedient. Es braucht einen zusätzlichen Filter zum Aussperren nicht autorisierter Anwender. ADSelfService Plus begegnet dieser Situation durch Unterstützung der Multifaktor-Authentifizierung (MFA) bei sämtlichen Windows-Anmeldungsversuchen.

Wenn diese Funktion aktiviert wird, werden Benutzer sowohl durch ihre Active-Directory-Domänenzugangsdaten als auch durch ein weiteres von 18 möglichen Verfahren authentifiziert, die ADSelfService Plus zur Verfügung stellt.

Voraussetzungen::

  1. Ihre ADSelfService-Plus-Lizenz muss ein Add-On für die Endpunkt-MFA enthalten. Besuchen Sie unseren Store um das Add-On zu erwerben.
  2. SSL muss aktiviert sein: Melden Sie sich mit Administratorrechten bei der Webkonsole von ADSelfService Plus an. Wechseln Sie zu Administrator → Produkteinstellungen → Verbindung. Wählen Sie die Option ADSelfService Plus Port [https] aus. In dieser Anleitung erfahren Sie, wie Sie SSL-Zertifikate anwenden und HTTPS aktivieren können.
  3. Die Zugriffs-URL muss auf HTTPS festgelegt werden: Navigieren Sie zu Administrator > Produkteinstellungen > Verbindung > Verbindungseinstellungen > Zugriffs-URL konfigurieren und legen Sie die Option Protokoll auf HTTPS fest.
  4. Aktivieren Sie die erforderlichen Authentifizierungsmethoden. Die Schritte zum Aktivieren der Authentifizierungsmethoden finden Sie auf dieser Seite.
  5. Installieren Sie den Anmeldungsagenten von ADSelfService Plus für Windows, macOS bzw. Linux auf den Geräten, für die Sie MFA aktivieren möchten. Klicken Sie hier um sich die weiteren Schritte zur Installation des ADSelfService-Plus-Anmeldeagenten anzusehen.

Nötige Schritte:

  1. Melden Sie sich mit Administratorrechten bei der Webkonsole von ADSelfService Plus an.
  2. Wechseln Sie zu Konfiguration > SB > Multifaktor > Authentifizierung > MFA für Endpunkte.
  3. Wählen Sie im Dropdown-Menü Richtlinie auswählen eine Richtlinie aus. Dadurch wird bestimmt, welche Authentifizierungsmethoden für welche Sätze an Benutzern aktiviert werden.

    Hinweis: Mit ADSelfService Plus können Sie OE- und gruppenbasierte Richtlinien erstellen. Um eine Richtlinie zu erstellen, wechseln Sie zu Konfiguration → SB → Richtlinienkonfiguration > Neue Richtlinie hinzufügen. Klicken Sie auf „OE/Gruppen auswählen“ und treffen Sie nach Bedarf ihre Auswahl. Sie müssen mindestens eine SB-Funktion wählen. Klicken Sie zum Abschluss auf „Richtlinie speichern“.

  4. Setzen Sie im Abschnitt MFA zur Geräteanmeldung das Häkchen im Markierungsfeld __ aktor-Authentifizierung aktivieren, wählen Sie die Anzahl der Authentifizierungsmethoden aus und geben Sie über das Dropdown-Menü an, welche davon Sie verwenden möchten.
  5. Klicken Sie auf Einstellungen speichern.

    multi-factor-authentication

Hinweis: Unter Erweitert → Endpunkt-Einstellungen bietet Ihnen ADSelfService Plus die Option MFA überspringen, wenn ADSelfService-Plus-Server unerreichbar ist. Wenn diese Option nicht ausgewählt ist, können Benutzer nicht mehr auf ihre Geräte zugreifen, wenn ADSelfService Plus ausfällt bzw. nicht erreichbar ist. Wir empfehlen jedoch nicht, diese Option zu empfehlen, da verschiedene Merkmale von ADSelfService Plus die ständige Verfügbarkeit des Produkts sicherstellen: Hohe Verfügbarkeit und Load Balancer.

Durch die hohe Verfügbarkeit werden zwei Instanzen des Produkts erstellt, wobei die sekundäre Instanz übernimmt, wenn die erste ausfällt. Der Load Balancer teilt die beim ADSelfService-Plus-Server eingehenden Anfragen auf mehrere Instanzen auf, was der Leistung des Produkts zugute kommt. Diese Funktionen sorgen dafür, dass Benutzer fortlaufenden Zugriff auf die MFA-Funktion haben und daher ebenso konstant auf ihre Geräte zugreifen können.

So funktioniert die MFA bei der Windows-Anmeldung:

windows-logon-tfa-workflow

Häufig gestellte Fragen (FAQs)

1. Warum sollte ich die Computeranmeldungen meiner Nutzer mit MFA schützen?

Sich nur auf Nutzernamen und Kennwörter zu verlassen, um die Rechner und Workstations Ihrer Nutzer zu sichern, ist angesichts der Raffinesse moderner Cyberangriffe nicht empfehlenswert. Die Einführung einer hybriden Arbeitskultur hat die organisatorische Sicherheit zusätzlich gefährdet, da die Nutzer jetzt von überall aus arbeiten können und dafür manchmal ihre eigenen persönlichen Geräte verwenden.

Es ist daher unerlässlich, zusätzliche Sicherheitsvorkehrungen zu treffen, damit unbefugte Nutzer nicht auf sensible Organisationsdaten zugreifen können. Durch die Erzwingung einer Multi-Faktor-Authentifizierung für Rechneranmeldungen wird dies erreicht, indem Nutzer mit zusätzlichen Authentifizierungsmethoden wie Biometrie, Microsoft Authenticator und YubiKey verifiziert werden.

2. Wie kann ich die Endpunkte in meiner Organisation vor Angriffen schützen?

Mit ADSelfService Plus können Sie die Endpunkte in Ihrer Organisation mit adaptiver MFA schützen. Die Endpunkt-MFA von ADSelfService Plus ermöglicht es Ihnen, Folgendes zu sichern:

  • Anmeldungen bei Windows-, macOS- und Linux-Rechnern
  • VPN-Anmeldungen bei führenden VPN-Anbietern wie Fortinet, Cisco AnyConnect, Pulse und mehr
  • Outlook im Web oder OWA-Anmeldungen
  • Anmeldungen auf Endpunkte, welche die RADIUS-Authentifizierung unterstützen, wie Citrix Gateway, VMWare Horizon und Microsoft Remote Desktop Gateway (RDP)

Um die Endpunkt-MFA-Funktionen von ADSelfService Plus besser kennen zu lernen, können Sie eine persönliche Web-Demo mit einem unserer Produktexperten vereinbaren. Wenn Sie weitere Unterstützung benötigen, wenden Sie sich bitte an unser Vertriebsteam unter +1-312-528-3085 oder sales@manageengine.com.

3. Welche verschiedenen Arten von Authentifikatoren bietet ADSelfService Plus für Endpunkt-MFA?

ADSelfService Plus bietet 19 verschiedene moderne Authentifikatoren, um Ihre Endpunkte zu sichern. Diese Liste umfasst phishing-resistente Authentifikatoren wie YubiKey, biometrische Authentifikatoren und Smart Cards. Sie können aus einer Reihe von starken und dennoch einfach zu konfigurierenden Authentifikatoren wählen, darunter Microsoft Authenticator, Duo Security, RSA SecurID, Push-Benachrichtigung, QR-Code und benutzerdefiniertes TOTP, um Ihre Endpunkte gegen Cyberangriffe abzuschirmen.

4. Wie gewährleiste ich die Sicherheit für meine offline arbeitenden Fernarbeitskräfte?

ADSelfService Plus unterstützt Offline-MFA für die Anmeldung an Windows-Rechnern. Wenn diese Funktion konfiguriert ist, können auch Nutzer, die offline sind, d. h. keine Verbindung zum MFA-Server oder zum Internet haben, MFA bei der Computeranmeldung durchführen. Administratoren können einen oder mehrere Authentifikatoren für Offline-MFA konfigurieren.

 
Höhepunkte

Kennwort-SB-Service

Befreit Active Directory-Nutzer von langatmigen Helpdesk-Anrufen, da Kennwörter und Konten auch ohne fremde Unterstützung rückgesetzt oder freigeschaltet werden können. Problemlose Kennwortänderung für Active Directory-Nutzer mit der „Kennwort ändern“-Konsole von ADSelfService Plus.

Eine Identität mit Einmalanmeldung

Genießen Sie in nahtlosen Ein-Klick-Zugriff auf mehr als 100 Cloud-Applikationen. Mit Einmalanmeldung für Unternehmen können Nutzer all ihre Cloud-Applikationen mit ihren Active Directory-Anmeldeinformationen abrufen. Dank ADSelfService Plus!

Kennwort-/Konto-Ablaufbenachrichtigung

Benachrichtigen Sie Active Directory-Nutzer über bevorstehenden Kennwort-/Kontoablauf durch Zustellung solcher Kennwort-/Kontoablaufbenachrichtigungen per E-Mail.

Kennwortsynchronisierung

Synchronisieren Sie Änderungen von Windows Active Directory-Nutzerkennwörtern/-konten automatisch über mehrere Systeme hinweg, einschließlich Office 365, G Suite, IBM iSeries und mehr.

Erzwingung von Kennwortrichtlinien

Sorgen Sie mit ADSelfService Plus für starke Kennwörter, die zahlreichen Hackerangriffen standhalten – zwingen Sie Active Directory-Nutzer durch Anzeigen von Kennwortkomplexitätsanforderungen, richtlinienkonforme Kennwörter zu verwenden.

Verzeichnis-Selbstaktualisierung und Unternehmensweite Suche

Ein Portal, über das Active Directory-Nutzer ihre Daten auf den neuesten Stand bringen können, das eine Schnellsuche zum Einholen von Informationen über Kollegen mit Suchschlüsseln wie der Telefonnummer des Kollegen bietet.