Phase 1: Infrastruktur und Authentifizierung
Geschätzte Dauer: ~4 Stunden
Verantwortlich: Server-Administrator, LDAP-Administrator, IdP-/SSO-Administrator
Ergebnis: Benutzer können sich über Unternehmens-Anmeldedaten authentifizieren; globale Sicherheitsrichtlinien werden durchgesetzt.
1.1 LDAP-/Active-Directory-Integration konfigurieren
Die LDAP-Integration ermöglicht Benutzern die Anmeldung bei Passwork mit ihren Domänen-Anmeldedaten und erlaubt den automatischen Import von Benutzerlisten und Sicherheitsgruppen aus Active Directory.
LDAP-Server hinzufügen
- Gehen Sie in Passwork zu Einstellungen und Benutzer → LDAP-Einstellungen.
- Klicken Sie auf Server hinzufügen und geben Sie die Verbindungsparameter des LDAP-Servers ein.
Erforderliche Parameter:
| Parameter | Beschreibung |
|---|---|
| Server-Adresse | Hostname oder IP des LDAP-Servers (z. B. ldap://dc.corp.local oder ldaps://dc.corp.local:636) |
| Port | 389 für LDAP, 636 für LDAPS |
| Bind DN | Distinguished Name des Service-Accounts |
| Bind-Passwort | Passwort des Service-Accounts |
| Base DN | Root-Distinguished-Name für die Suche nach Benutzern und Gruppen |
Für LDAPS (verschlüsseltes LDAP über TLS) siehe LDAPS-Konfiguration.
Benutzersynchronisierung konfigurieren
Konfigurieren Sie nach dem Hinzufügen des Servers, welche Benutzerattribute den Passwork-Feldern zugeordnet werden, und definieren Sie den DN-Filter, um festzulegen, welche Benutzer importiert werden.
Ausführliche Anweisungen finden Sie unter LDAP-Benutzer und DN-Filter.
LDAP-Sicherheitsgruppen mit Passwork-Gruppen verknüpfen
Ordnen Sie Active-Directory-Sicherheitsgruppen den Passwork-Gruppen zu, damit die Gruppenmitgliedschaft automatisch gepflegt wird.
Siehe LDAP-Gruppen und LDAP-Synchronisierung.
LDAP-Verbindung testen
Führen Sie nach der Konfiguration einen Autorisierungstest durch, um die Verbindung zu überprüfen und zu bestätigen, dass sich ein Testbenutzer authentifizieren kann.
Siehe LDAP-Autorisierungstest.
1.2 SSO (Single Sign-On) konfigurieren
Die SSO-Integration ermöglicht Benutzern die Anmeldung bei Passwork über ihre bestehende Sitzung beim Identity Provider, ohne dass ein separates Passwork-Passwort erforderlich ist.
Passwork unterstützt SAML 2.0 und OIDC. Zu den unterstützten Identity Providern gehören:
- Microsoft Entra ID (Azure AD)
- AD FS
- Keycloak
- Jeder SAML-2.0- oder OIDC-konforme IdP
SSO-Konfigurationsschritte (Übersicht)
- Erstellen Sie in Ihrem Identity Provider eine SAML- oder OIDC-Anwendung für Passwork.
- Gehen Sie in Passwork zu Einstellungen und Benutzer → SSO-Einstellungen.
- Geben Sie die IdP-Metadaten oder die Endpunkt-URLs und die Client-Anmeldedaten ein.
- Konfigurieren Sie SSO bei Bedarf als bevorzugte Anmeldemethode.
Anbieterspezifische Anweisungen:
Bei cloudbasierten Instanzen wird die SSO-Callback-URL (Assertion Consumer Service URL) von Passwork während der Tenant-Bereitstellung bereitgestellt. Bei On-premise-Installationen basiert sie auf Ihrer konfigurierten APP_URL.
1.3 Globale Authentifizierungsrichtlinien konfigurieren
Globale Authentifizierungsrichtlinien gelten für alle Benutzer der Passwork-Instanz. Konfigurieren Sie sie, bevor Sie Benutzer einladen.
Navigieren Sie zu Einstellungen und Benutzer → Systemeinstellungen → Autorisierung und Sicherheit.
Verpflichtende Zwei-Faktor-Authentifizierung
Aktivieren Sie den Schalter 2FA erforderlich, um die Zwei-Faktor-Authentifizierung für alle Benutzer verpflichtend zu machen. Wenn dies erzwungen wird, werden Benutzer bei ihrer nächsten Anmeldung aufgefordert, 2FA einzurichten, bevor sie auf Tresore zugreifen können.
Richtlinie zur Kontosperrung
Legen Sie die maximale Anzahl fehlgeschlagener Authentifizierungsversuche fest, bevor ein Account gesperrt wird. Ein gesperrter Account kann nur durch das Eingreifen eines Administrators entsperrt werden.
Empfohlene Einstellung: 5 fehlgeschlagene Versuche, Sperrdauer 15 Minuten oder bis zur manuellen Entsperrung.
Sitzungsverwaltung
Legen Sie das Sitzungs-Timeout (automatische Abmeldung nach Inaktivität) und die maximale Sitzungsdauer fest. Für Organisationen, die mit sensiblen Daten umgehen, wird ein Sitzungs-Timeout von 30–60 Minuten empfohlen.
Richtlinie zur Komplexität des Masterpassworts
Wenn die clientseitige Verschlüsselung aktiviert ist, konfigurieren Sie die Mindestanforderungen an die Komplexität des Masterpassworts: Mindestlänge, erforderliche Zeichenklassen.
Einzelheiten zur Aktivierung und Verwaltung der clientseitigen Verschlüsselung finden Sie unter Clientseitige Verschlüsselung.
1.4 E-Mail-Benachrichtigungen (SMTP) konfigurieren
E-Mail ist für die Zustellung von Einladungen, Benachrichtigungen zum Zurücksetzen von Passwörtern und Sicherheitswarnungen erforderlich. Konfigurieren Sie SMTP, bevor Sie Benutzer einladen – andernfalls werden Einladungs-E-Mails nicht zugestellt.
Navigieren Sie zu Einstellungen → Systemeinstellungen → Einstellungen des E-Mail-Dienstes.
Konfigurationsoptionen
Passwork unterstützt zwei Methoden zur E-Mail-Konfiguration:
Manuelle Konfiguration – geben Sie Host, Port, Verschlüsselung (TLS/STARTTLS), Benutzername und Passwort des SMTP-Servers direkt an. Verwenden Sie diese Methode für interne SMTP-Relays (Exchange, Postfix) oder Cloud-SMTP-Dienste (SendGrid, Amazon SES, Mailgun).
DSN (Data Source Name) – Konfiguration über eine Verbindungszeichenfolge. Geeignet für automatisierte Bereitstellungen.
Ausführliche Konfigurationsanweisungen nach Plattform:
- Manuelle SMTP-Konfiguration
- DSN-Konfiguration
- Postfix-Relay (Linux)
- Postfix-Relay (Docker)
- Windows-SMTP-Relay
E-Mail-Zustellung testen
Senden Sie nach dem Speichern der Konfiguration über Einstellungen → Systemeinstellungen → Einstellungen des E-Mail-Dienstes eine Test-E-Mail, um zu überprüfen, ob Nachrichten zugestellt und nicht von Spam-Filtern blockiert werden.
Überprüfen Sie den SPF-Eintrag der Absender-Domain und stellen Sie sicher, dass das SMTP-Relay berechtigt ist, im Namen Ihrer APP_SENDER_EMAIL-Adresse zu senden. Einladungs-E-Mails, die im Spam landen, sind einer der häufigsten Gründe für niedrige Benutzeraktivierungsraten.
Abschlusskriterien für Phase 1
- LDAP- oder SSO-Authentifizierung erfolgreich mit mindestens einem Benutzer getestet
- Richtlinie für verpflichtende 2FA konfiguriert (aktiviert oder ausdrücklich zurückgestellt)
- Richtlinie zur Kontosperrung konfiguriert
- Sitzungs-Timeout konfiguriert
- SMTP konfiguriert und Test-E-Mail erfolgreich zugestellt
- Ein Testbenutzer kann sich über Unternehmens-Anmeldedaten anmelden und auf Passwork zugreifen
Fahren Sie fort mit Phase 2: Struktur und Rollen.