Token verknüpfen & anmelden.

Wie die Verknüpfung funktioniert

Jeder Credential Linker fragt den Windows-Benutzernamen, die Domäne (oder bei lokalen Konten den PC-Namen) und das Passwort ab und liest den Token (Kartenseriennummer, Stick, Zertifikat oder Authenticator). Anschließend speichert er die Anmeldedaten verschlüsselt als Soft-Token. Am Anmeldebildschirm entsperrt der Token den Soft-Token, und der Credential Provider übergibt die Anmeldedaten an Windows.

Wählen Sie den Linker danach, was der Benutzer vorzeigen soll:

In Edition 1 befinden sich dieselben Werkzeuge im Tray-Menü. Alle Karten-Registrierungen lassen sich auch mit der CodeB Admin-CLI per Skript ausführen.

Wo Token-Daten gespeichert werden

• Auf dem PC (Standard): im Datenordner C:\ProgramData\CodeB\ (Unterordner wie totp, 2FA, CodeBSerialCredentials, CodeBX509Credentials, CodeBBluetooth). Ändern Sie ihn mit dem Registry-Wert DataFolder.
• Auf einer Dateifreigabe: Setzen Sie RemoteDataFolder auf einen UNC-Pfad. Einfach, keine AD-Änderungen; die Berechtigungen liegen auf der Freigabe.
• In Active Directory: Aktivieren Sie Store Data in AD in LinkNFCCard (oder verwenden Sie CodeBAdminCLI /add2ad). Die Daten wandern mit dem Benutzerobjekt, sodass ein einziger Administrator-PC Karten für das gesamte Unternehmen registrieren kann.

Beide zentralen Optionen verhalten sich bei der Anmeldung gleich, und Sie können später wechseln, ohne Karten neu auszustellen. Für Token, die auf mehreren PCs funktionieren müssen, installieren Sie jeden PC mit den gemeinsamen Zertifikaten (/cert).

Link2FA — zweiter und dritter Faktor

Link2FA.exe verknüpft die Anmeldedaten eines Benutzers mit einem NFC-Token oder einem TOTP-Authenticator. Jeder von beiden kann allein als zweiter Faktor neben dem Passwort verwendet werden. Sind beide verknüpft, werden beide verlangt: NFC-Token plus TOTP-Code plus Passwort — Drei-Faktor-Authentifizierung.

LinkTOTP — Einmalcode statt Passwort

LinkTOTP.exe (Fenster „Link TOTP to User“) ersetzt Benutzername und Passwort durch ein TOTP-Einmalpasswort. Benutzer können ein langes, komplexes Windows-Passwort behalten, das sie nie eingeben, und sich mit dem Code aus ihrer Authenticator-App anmelden.

1. Geben Sie den TOTP Key ein und fügen Sie denselben Schlüssel zur Authenticator-App des Benutzers hinzu. Wählen Sie TOTP Digits und TOTP Algorithm passend zur App.
2. Geben Sie Benutzername, optionale Domäne und Passwort (zweimal) ein.
3. Optional: ein Optional Secret, das zusammen mit dem Code eingegeben werden muss, und Store Data in AD.
4. Klicken Sie auf Link TOTP.

LinkNFCCard — NFC-Karten und NFC-Telefone

LinkNFCCard.exe verknüpft NFC-Karten — und Android-Telefone mit NFC, auf denen der CodeB Authenticator läuft — als zweiten oder dritten Faktor oder für passwortloses „Auflegen zum Anmelden“.

1. Starten Sie LinkNFCCard.exe (Fenster „NFC Token“), wählen Sie den Card Reader und legen Sie die Karte darauf. Die Card Serial (UID) erscheint.
2. Geben Sie Username, Optional Domain und das Password zweimal ein. Validate prüft zuvor die Anmeldedaten.
3. Geben Sie eine Logon PIN (zweimal) für die Anmeldung mit Karte + PIN ein oder lassen Sie sie leer für die Anmeldung nur mit Karte. Eine leere PIN speichert die Standard-PIN (0000, siehe DefaultSerialPIN).
4. Wählen Sie die Action bei Kartenentnahme (sperren oder abmelden) und, wenn Sie möchten, einen Comment.
5. Optionen: Store Data in AD speichert den Soft-Token in Active Directory; Link Card as 2nd Factor in AD verlangt die Karte zusätzlich zum Passwort; ein konfiguriertes Bluetooth-Gerät kann als zusätzlicher Faktor oder als Auslöser für die Entnahmeaktion dienen.
6. Klicken Sie auf Link Card.

Wenn Sie Hilfe bei der Planung eines Tap-to-Logon-Rollouts benötigen, schreiben Sie an info@codeb.io.

LinkNFC2AD — Karte als zweiter Faktor in Active Directory

LinkNFC2AD.exe schreibt eine Kartenseriennummer als zweiten Faktor in das AD-Objekt des Benutzers. Das Befehlszeilen-Äquivalent ist CodeBAdminCLI.exe /add2fa.

LinkX509 — Zertifikate und PKI-Smartcards

LinkX509.exe verknüpft Benutzername und Passwort mit einem X.509-Zertifikat aus dem lokalen Zertifikatspeicher oder — die beste Option — auf einer PKI-Smartcard. Wählen Sie das Zertifikat in der Liste, geben Sie die Windows-Anmeldedaten (und ein optionales Secret) ein und klicken Sie auf Link Certificate.

LinkMemStick — USB-Speicherstick als Schlüssel

LinkMEMStick.exe macht aus einem gewöhnlichen USB-Speicherstick einen Anmelde-Token. Stecken Sie den Stick ein, geben Sie die Windows-Anmeldedaten ein und verknüpfen Sie. Einfache Speichersticks eignen sich ideal zum Testen; verwenden Sie im Produktivbetrieb NFC-Karten oder Smartcards.

Kartenentnahme: sperren oder abmelden

Bei Karten-, USB-Stick- und Bluetooth-Token kann Windows reagieren, wenn der Token entfernt wird. Die Aktion wird beim Verknüpfen des Tokens festgelegt (CLI-Parameter /action) und lässt sich für alle mit dem Registry-Wert LogoffAction erzwingen. Die strengere der beiden gewinnt.

Der CodeB-Dienst startet die Tray-Anwendung in der Sitzung des Benutzers, um den Token zu überwachen. Aktionen werden im Windows-Ereignisprotokoll Anwendung unter der Quelle CodeB Credential Provider V2 aufgezeichnet.

Anmelden

Wählen Sie am Anmelde- oder Sperrbildschirm die CodeB-Kachel (für einen nicht aufgeführten Benutzer die zusätzliche Kachel „Other User“). Je nach Einstellungen zeigt die Kachel diese Felder:

• Username — ausgeblendet, wenn die Kachel bereits zu einem bekannten Benutzer gehört.
• Optional Secret or Password — das Windows-Passwort oder das optionale Secret eines Tokens.
• TOTP or PIN — der Einmalcode oder die Karten-PIN.
• Display typed values — zeigt das Eingegebene an.

Zeigen Sie dann den Token vor: Legen Sie die NFC-Karte auf, stecken Sie den USB-Stick oder die Smartcard ein oder geben Sie den TOTP-Code ein. Eine mit der Standard-PIN verknüpfte Karte meldet allein durch Auflegen an. Feldbeschriftungen, Sichtbarkeit und das fokussierte Feld lassen sich in der Registry ändern.

Wenn der Domänencontroller nicht erreichbar ist (Laptop offline), meldet Windows wie gewohnt mit den zwischengespeicherten Anmeldedaten an. CodeB erkennt, dass die Domäne nicht erreichbar ist, und überspringt seine AD-Abfragen, sodass die Offline-Anmeldung nicht verzögert wird.

Schlüsselwörter im Passwort- oder PIN-Feld

Wenn Sie eines dieser Wörter in Optional Secret or Password oder TOTP or PIN auf der Anmeldekachel eingeben, öffnet sich direkt vom Anmeldebildschirm aus ein Hilfsprogramm:

Wenn sich ein Windows-Passwort ändert

Ein Soft-Token enthält das Passwort, das beim Verknüpfen des Tokens gültig war. Nach einer Passwortänderung schlägt die Token-Anmeldung fehl, bis der Token aktualisiert wird:

• Verknüpfen Sie den Token erneut mit demselben Linker, oder
• ändern Sie bei Token in Active Directory das Passwort mit CodeBAdminCLI.exe /changepw, das im selben Aufruf das neue AD-Passwort setzt und den gespeicherten Soft-Token aktualisiert (Beispiel).

Häufige Fragen