Just-in-Time-Zugriff (JIT) auf geteilte Konten mit Rublon MFA einrichten

Die folgenden Anweisungen sind für Szenarien gedacht, in denen mehrere Personen ein gemeinsames Hauptkonto (Benutzername + Passwort) verwenden müssen – jedoch nur dann Zugriff erhalten sollen, wenn es wirklich erforderlich ist. 

Option #1: Individuelle Authenticatoren für jede berechtigte Person 

Dieser Ansatz stellt sicher, dass jede Person, die das Konto mitbenutzt, über einen eigenen Authenticator verfügt. So kann ein einzelner Authenticator entfernt werden, ohne die anderen Benutzer zu beeinträchtigen. 

1. Fügen Sie das gemeinsam genutzte Benutzerkonto auf eine der folgenden Arten zu Rublon MFA hinzu: 

• Benutzerkonto manuell hinzufügen. Stellen Sie sicher, dass der Benutzername mit dem Benutzernamen in Ihrem externen Verzeichnisdienst übereinstimmt. 

• Synchronisieren Sie das Konto aus einem externen Verzeichnis, wie Active Directory oder Entra ID. 

• Stellen Sie sicher, dass der Enrollment Type in der Rublon Admin Console auf Automatisch gesetzt ist, und verwenden Sie die primären Zugangsdaten des gemeinsam genutzten Kontos, um sich bei der Rublon MFA-integrierten Anwendung anzumelden. 

2. Registrierung der Authenticatoren für dieses Konto :

• Senden Sie jeder Person, die das gemeinsam genutzte Konto verwenden wird, eine Registrierungs-E-Mail oder Registrierungs-SMS. Legen Sie vor jeder Einladung die E-Mail-Adresse der jeweiligen Person oder für den SMS-Versand ihre Mobiltelefonnummer fest. Für den Versand einer Registrierungs-SMS sind Phone Credits erforderlich. Anschließend kann jede Person ihren Authenticator über den erhaltenen Registrierungslink registrieren.

3. Den Status des gemeinsam genutzten Kontos auf Denied setzen, sodass jeder Anmeldeversuch bereits nach der Passworteingabe mit  Access Denied! abgebrochen wird.

• Um temporären Zugriff zu gewähren, sollte der Status des gemeinsam genutzten Kontos unmittelbar vor Beginn des Wartungsfensters, der Schicht oder der Ad-hoc-Sitzung auf Aktiv gesetzt werden.
Die Benutzer melden sich mit dem gemeinsamen Benutzernamen und Passwort an und authentifizieren sich anschließend mit ihrem jeweils registrierten Authenticator.  

• Sobald die Arbeiten abgeschlossen sind, sollte der Kontostatus wieder auf Denied gesetzt werden.
Da bei diesem Ansatz lediglich ein Status-Flag geändert wird, ist keine erneute Registrierung erforderlich. Die Protokolle zeigen eindeutig, welcher Benutzer sich mit welchem Authenticator angemeldet hat.  

Option #2: Beaufsichtigte MFA (Genehmigungsbasierter JIT-Zugriff) 

Manchmal soll die Anmeldung von Anwender A durchgeführt werden, während die MFA-Bestätigung durch Vorgesetzten B erfolgen muss. 

1. Fügen Sie das gemeinsame Benutzerkonto auf eine der folgenden Arten zu Rublon MFA hinzu:

• Benutzerkonto manuell hinzufügen. Stellen Sie sicher, dass der Benutzername mit dem Benutzernamen in Ihrem externen Verzeichnisdienst übereinstimmt. 

• Synchronisieren Sie das Konto aus einem externen Verzeichnis, wie Active Directory oder Entra ID. 

• Stellen Sie sicher, dass der Enrollment Type in der Rublon Admin Console auf Automatisch gesetzt ist, und verwenden Sie die primären Zugangsdaten des gemeinsam genutzten Kontos, um sich bei der Rublon MFA-integrierten Anwendung anzumelden.

2. Authenticatoren für überwachende Vorgesetzte registrieren: 

• Senden Sie jeder Person, die als Vorgesetzter Anmeldungen bestätigen soll, eine Registrierungs-E-Mail oder Registrierungs-SMS. Aktualisieren Sie vor jeder Einladung die E-Mail-Adresse für den E-Mail-Versand oder die Mobiltelefonnummer für den SMS-Versand. Für den Versand einer Registrierungs-SMS sind Phone Credits erforderlich. Dadurch erhält jeder Vorgesetzte einen eigenen Registrierungslink und kann seinen persönlichen Authenticator registrieren.

3. Blenden Sie die Schaltfläche Authentificatoren verwalten aus, indem Sie die Option Benutzern das Verwalten von Authenticatoren erlauben deaktivieren. Danach können Benutzer im Rublon-Prompt keine neuen Authenticatoren mehr hinzufügen. 

4. Während der Anmeldung:

1. Der Anwender gibt den gemeinsamen Benutzernamen und das Passwort ein. 
2. Der Anwender wählt den registrierten Authenticator des Vorgesetzten aus. 
3. Der Vorgesetzte erhält die Authentifizierungsanfrage und genehmigt sie. 

Die folgende Tabelle zeigt, wie gut sich die einzelnen Authentifizierungsmethoden für die beaufsichtigte MFA eignen.