Domänen-Auto-Login (GPO)

• Für Kundenadmin
• Für IT

In einer Windows-Domäne ist jeder Nutzer bereits angemeldet, bevor er den Phoneari-Client startet. Mit dem Domänen-Auto-Login nutzt der Client diese Anmeldung: Er meldet sich beim Start still an, ohne dass jemand ein Passwort eintippt.

Das Portal beschreibt es so: „Meldet Windows-Nutzer dieses Kunden ohne Passwort an: Das per Gruppenrichtlinie (GPO) verteilte Enrollment-Secret wird zusammen mit dem Windows-Benutzernamen (UPN) gesendet; der Nutzer wird über seine E-Mail-Adresse (= UPN) automatisch angemeldet.“

Voraussetzungen

• Windows mit Active Directory. Unter macOS gibt es dieses Verfahren nicht.
• Die E-Mail-Adresse in Phoneari ist identisch mit dem Windows-UPN. Das ist die Bedingung, an der in der Praxis fast alles hängt. maria.mueller@contoso.com im Portal und m.mueller@contoso.com in der Domäne passen nicht zusammen.
• Sie können Gruppenrichtlinien ausrollen oder haben jemanden, der das für Sie tut.
• Sie sind Kundenadmin dieses Mandanten (oder Reseller mit Zugriff darauf).

Schritte

1. Feature einschalten

1. Im linken Menü Einstellungen öffnen und zur Karte Domänen-Auto-Login (GPO) scrollen.
2. Den Schalter Domänen-Auto-Login aktivieren einschalten. Es erscheint Domänen-Auto-Login gespeichert.

2. Erlaubte UPN-Domains festlegen

1. In das Feld Erlaubte UPN-Domains die Domänen eintragen, zum Beispiel contoso.com, contoso.de.
2. Auf Speichern klicken.

Im Portal steht darunter: „Komma- oder leerzeichengetrennt. Nur Nutzer mit einer dieser UPN-Domains dürfen sich per Auto-Login anmelden. Leer = beliebige Domain erlaubt.“

Lassen Sie das Feld nicht leer, wenn Sie es vermeiden können. Es ist die Schadensbegrenzung für den Fall, dass das Secret abhandenkommt.

3. Enrollment-Secret erzeugen

1. Auf Enrollment-Secret generieren klicken.
2. Es öffnet sich das Fenster Enrollment-Secret mit dem Hinweis: „Kopiere das Secret jetzt und hinterlege es in der Gruppenrichtlinie. Es wird nur dieses eine Mal angezeigt und kann später nicht erneut abgerufen werden.“
3. Das Secret in die Zwischenablage kopieren und sofort dort ablegen, wo es hingehört — Passwortmanager und Gruppenrichtlinie.
4. Schließen.

Danach zeigt die Karte neben Enrollment-Secret das Abzeichen hinterlegt, und die Schaltfläche heißt Secret neu generieren.

So sieht die Karte vor der Einrichtung aus. Ist ein Secret erzeugt, wechselt das Abzeichen auf „hinterlegt“ und die Schaltfläche heißt „Secret neu generieren“ — den Wert selbst zeigt die Karte nie wieder an.

Das Fenster mit dem Secret ist der einzige Moment, in dem der Wert sichtbar ist — kopieren Sie ihn, bevor Sie es schließen. · Bildschirmaufzeichnung ohne Ton

4. Per Gruppenrichtlinie verteilen

Der Windows-Client sucht das Secret an zwei Stellen. Eine davon genügt:

Ort	Werte
Registrierung (per GPO gesetzt)	Schlüssel HKLM\SOFTWARE\Policies\Phoneari, Wert EnrollSecret — optional zusätzlich Upn
Datei	C:\ProgramData\Phoneari\managed-config.json

Ohne den Wert Upn leitet der Client den Windows-UPN der angemeldeten Person selbst ab. Das ist der Normalfall — setzen Sie Upn nur, wenn Sie einen Rechner gezielt auf ein bestimmtes Konto festlegen wollen.

Fertige administrative Vorlagen (ADMX/ADML) und ein Startskript liegen den Windows-Client-Artefakten bei; wenn Sie sie nicht finden, fragen Sie über Support kontaktieren danach.

Ergebnis prüfen

1. Auf einem Domänenrechner den Phoneari-Client beenden und abmelden (Auto-Login greift nur, wenn keine Sitzung besteht).
2. Client starten. Er sollte ohne Anmeldemaske direkt in die Oberfläche gehen.
3. Im Portal unter Sitzungen des Mandanten prüfen: Es steht eine neue Sitzung dieses Nutzers mit dem Gerät Windows Client in der Liste.

Klappt es nicht, zeigt der Client die normale Anmeldemaske. Das ist so gewollt — das Verfahren scheitert immer zurück auf den gewohnten Weg, nie in eine Fehlermeldung ohne Ausweg.

Wer sich so nicht anmelden kann

Vier Gruppen bleiben bewusst außen vor und müssen sich wie gewohnt mit Passwort anmelden:

• Admins. Nur Konten mit der Rolle User dürfen sich per Auto-Login anmelden. Kundenadmins, Reseller-Admins und Super-Admins nicht.
• Nutzer mit Zwei-Faktor-Authentifizierung. Ein stiller Start beim Hochfahren hat keinen zweiten Faktor; das Verfahren würde 2FA aushebeln und wird deshalb abgelehnt. Siehe Zwei-Faktor-Authentifizierung.
• Deaktivierte Nutzer.
• Nutzer, deren UPN-Domain nicht in der Liste steht (sofern Sie eine gepflegt haben).

Wie sicher ist ein Secret, das auf jedem Rechner liegt?

Ehrliche Antwort: Es ist ein gemeinsames Geheimnis der ganzen Firma, und es liegt auf jedem Rechner, den Sie damit ausstatten. Wer es hat, kann sich als jeder Nutzer dieses Mandanten anmelden, dessen UPN er kennt.

Deshalb ist das Verfahren mit drei Grenzen versehen:

1. Nur die Rolle User. Selbst mit dem Secret lässt sich kein Admin-Konto übernehmen — der zusätzliche Weg zu Reseller- oder Systemrechten ist damit zu.
2. Nur die erlaubten UPN-Domains. Ein Angreifer außerhalb Ihrer Domäne kommt nicht durch, auch nicht mit dem Secret.
3. Nur ohne 2FA. Wer sich einen zweiten Faktor eingerichtet hat, ist von diesem Weg ausgenommen.

Der Wert selbst ist im System nicht im Klartext gespeichert, sondern nur als Prüfsumme — deshalb bekommen auch Sie ihn nie wieder zu sehen. Und jede fehlgeschlagene Anmeldung gibt dieselbe nichtssagende Antwort, damit sich über das Verfahren keine Konten aufspüren lassen.

Verteilen Sie das Secret entsprechend: per Gruppenrichtlinie in einen Bereich, den nur Administratoren lesen können, nicht in ein Anmeldeskript im Netzlaufwerk und nicht per E-Mail.

Secret neu generieren

Secret neu generieren erzeugt einen neuen Wert und macht den alten sofort ungültig. Das Portal sagt es klar: „Beim Neu-Generieren wird das vorherige Secret ungültig.“

Ab diesem Moment melden sich alle Rechner mit dem alten Wert nicht mehr still an, sondern zeigen die Anmeldemaske — bis die Gruppenrichtlinie den neuen Wert verteilt hat. Planen Sie den Wechsel also, statt ihn nebenbei zu machen.

Nötig ist er, wenn ein Notebook verloren ging, wenn jemand mit Zugriff auf die Gruppenrichtlinien das Haus verlassen hat oder wenn das Secret in einem Ticket oder Chat gelandet ist.

Wenn es nicht klappt

• Der Client zeigt weiterhin die Anmeldemaske. Gehen Sie die Liste der Reihe nach durch: Ist der Schalter an? Ist ein Secret hinterlegt? Ist die UPN-Domain erlaubt? Hat der Nutzer die Rolle User? Ist er Aktiv? Hat er 2FA eingeschaltet? Stimmt die E-Mail-Adresse exakt mit dem UPN überein?
• Bei einer Person geht es nicht, bei allen anderen schon. Fast immer ein Unterschied zwischen Portal-Adresse und UPN. Beide nebeneinanderlegen und Zeichen für Zeichen vergleichen.
• Es funktionierte und hört plötzlich auf. Wurde das Secret neu generiert? Ist die Gruppenrichtlinie am Rechner tatsächlich angekommen?
• Der Client meldet sich an, obwohl schon jemand angemeldet ist. Tut er nicht — der stille Start greift nur, wenn keine Sitzung besteht. Zum Testen vorher abmelden.