Der CodeB Web SSO Server ist ein optionales Enterprise-Add-on, mit dem Administratoren Web-Logins (Website, Benutzername, Passwort, optionales OTP) auf einer Webseite Active-Directory-Gruppen zuweisen. Jedes Gruppenmitglied erhält diese Logins auf jedem PC mit CodeB SmartLogin, automatisch ausgefüllt und dem Benutzer nie angezeigt. Ohne den Server arbeitet CodeB SmartLogin genau wie bisher; nur Unternehmen, die Web-Logins zentral verwalten wollen, installieren ihn.
Was ist der CodeB Web SSO Server?
Der CodeB Web SSO Server ist eine kleine IIS-Webanwendung, die Web-Logins zentral speichert und an die PCs der Personen ausgibt, die sie haben sollen. Ein Administrator weist jeden Login einer Active-Directory-Gruppe zu; jedes Mitglied dieser Gruppe erhält den Login dann auf jedem PC mit CodeB SmartLogin. Die zentralen Logins werden neben den eigenen Web-SSO-Logins des Benutzers verwendet, der Benutzer kann sie nicht ändern oder löschen, und sie überschreiben die eigenen Logins nie.
Er ist optional. Das Web-SSO pro Benutzer von CodeB SmartLogin funktioniert ohne den Server genau wie bisher; nur Organisationen, die zentrale Kontrolle möchten, installieren ihn.
Wie funktioniert es?
- Ein Admin fügt auf der Webseite des Servers einen Login hinzu und weist ihn einer AD-Gruppe zu (mit Website, Abgleichmodus, Benutzername, Passwort, optionalem OTP-Secret und Auto-Submit).
- Jeder PC mit CodeB SmartLogin lädt die Logins der Gruppen herunter, denen der angemeldete Benutzer angehört, und füllt sie auf den passenden Seiten aus.
- Zentrale Logins werden im eigenen Web-SSO-Manager des Benutzers nicht angezeigt, sodass der Benutzer die Passwörter nie sieht.
- Entfernen Sie eine Person aus der Gruppe, verschwinden die Logins von ihren PCs — spätestens nach etwa 5 Minuten und einer neuen Windows-Anmeldung (Gruppenänderungen greifen bei neuer Anmeldung).
Was brauchen Sie?
| Voraussetzung | Detail |
|---|---|
| Server | Windows Server mit IIS, .NET Framework 4.7.2 oder neuer, in die Domäne eingebunden. |
| KDS-Stammschlüssel | Die Domäne braucht einen KDS-Stammschlüssel (auch für gMSA). Ein Domänenadmin führt ihn einmal pro Gesamtstruktur aus: Add-KdsRootKey -EffectiveImmediately (in größeren Domänen bis zu 10 Stunden Replikation einplanen). Das Setup prüft ihn. |
| HTTPS | Eine HTTPS-Bindung wird empfohlen. |
| PCs | Windows-PCs mit CodeB SmartLogin, über zwei Registry-Werte auf den Server verwiesen. |
Die Serverkomponente (CodeBWebSSOServer.zip, mit einer README.txt-Installationsanleitung im Wurzelverzeichnis des Zips) ist ein optionales Enterprise-Add-on, das mit den CodeB-SmartLogin-Beta-Downloads ausgeliefert wird. Für einen Testschlüssel oder Hilfe: info@codeb.io.
Wie installieren Sie den Server?
- Entpacken Sie
CodeBWebSSOServer.zipin einen Ordner, zum BeispielC:\inetpub\CodeBWebSSO. - Erstellen Sie in IIS eine Site oder Anwendung für diesen Ordner. Anwendungspool: .NET CLR v4.0, integrierte Pipeline.
- Authentifizierung: Aktivieren Sie die Windows-Authentifizierung und lassen Sie die Anonyme Authentifizierung aktiviert.
- Geben Sie der Anwendungspool-Identität Schreibzugriff auf den Ordner
App_Dataund entfernen Sie dort den Lesezugriff für Benutzer / Authentifizierte Benutzer. Die gespeicherten Logins sind für den Server selbst verschlüsselt, daher sollten nur der Pool und Administratoren den Ordner lesen können. Die Setup-Prüfungen zeigen den genauenicacls-Befehl. - Öffnen Sie die Site im Browser. Sie erkennt, dass sie nicht konfiguriert ist, und startet den Setup-Assistenten:
- Prüfungen: .NET-Version,
App_Databeschreibbar, Domänenmitglied, Verschlüsselung, KDS-Stammschlüssel, HTTPS. - Setup-Code: Um nachzuweisen, dass Sie den Server verwalten, öffnen Sie
App_Data\setup-code.txtauf dem Server und tippen den Code ein (nicht nötig, wenn der Browser als erhöhter lokaler Administrator läuft). Die Datei wird nach Abschluss des Setups entfernt. - Admin-Gruppe: die AD-Gruppe, deren Mitglieder die Logins verwalten dürfen (Standard Domänen-Admins; eine eigene Gruppe wird empfohlen). Sie müssen selbst Mitglied sein.
- API-Schlüssel: einmalig angezeigt — kopieren Sie ihn.
- Fertig.
- Prüfungen: .NET-Version,
Der Server hat ein eigenes Handbuch unter Manual.aspx (der Link „Manual“ in der Kopfzeile jeder Seite, ohne Anmeldung lesbar, auch vor dem Setup). Es behandelt Installation, Setup-Assistent, PC-Konfiguration, Verwaltung der Logins, Sicherheit, Protokolle und Fehlerbehebung.
Die PCs auf den Server verweisen
Setzen Sie auf den PCs zwei Registry-Werte (REG_SZ, am besten per Gruppenrichtlinien-Einstellung). Ohne diese Werte nutzt ein PC den Server nicht. Siehe die vollständige Registry-Referenz.
| Registry-Wert (REG_SZ) | Setzen auf |
|---|---|
HKLM\SOFTWARE\WOW6432Node\CodeB\WebSSOServer | Die Site-URL, z. B. https://sso.example.local |
HKLM\SOFTWARE\WOW6432Node\CodeB\WebSSOServerApiKey | Der beim Setup angezeigte API-Schlüssel |
Logins hinzufügen und verwalten
Nutzen Sie auf der Webseite des Servers Add login und setzen Sie: AD-Gruppe, Bezeichnung, Website, Abgleichmodus, Benutzername, Passwort, optionales OTP und Auto-Submit. Um die Admin-Gruppe zu ändern oder den API-Schlüssel später zu erneuern, nutzen Sie Settings auf der Startseite (die PCs brauchen dann den neuen Schlüssel). Jede Änderung wird mit Urheber protokolliert.
Abgleichmodi entscheiden, wann ein Login angeboten wird: exakter Host, Platzhalter (Subdomänen) oder exakter Origin.
Sicherheit & Verschlüsselung
- Die Logins jeder Gruppe sind mit DPAPI-NG für diese AD-Gruppe verschlüsselt. Nur Mitglieder der Gruppe können sie öffnen, auf ihrem eigenen PC.
- Die PCs nutzen einen API-Schlüssel, um die Logins herunterzuladen. Der Schlüssel allein verrät nichts: Der Server gibt nur verschlüsselte Daten heraus.
- Auf dem Server sind die Logins für den Server selbst verschlüsselt; das Setup speichert nur einen Hash des API-Schlüssels. Protokolle enthalten nie Passwörter.
- Admin-Seiten erfordern Windows-Anmeldung und Mitgliedschaft in der gewählten Admin-Gruppe; jede Änderung wird mit Urheber protokolliert.
Jedes Mitglied einer Gruppe kann die Logins dieser Gruppe technisch auf seinem PC öffnen — so füllt der PC sie aus. Behandeln Sie ein zentrales Passwort als allen Mitgliedern der Gruppe bekannt; für sehr sensible Konten nutzen Sie eine kleine Gruppe.
Verschlüsselung des lokalen Web-SSO-Speichers pro Benutzer
Unabhängig vom Server wird die Datei mit den eigenen Web-SSO-Logins eines Benutzers auf einem PC jetzt mit DPAPI-NG für diesen Benutzer verschlüsselt. Auf dem PC, auf dem sie geschrieben wurde, kann nur dieser Windows-Benutzer sie öffnen (auch offline); für Domänenbenutzer ist sie zusätzlich für das Domänenkonto verschlüsselt, sodass sie auch auf anderen Domänen-PCs öffnet (nützlich mit RemoteDataFolder und servergespeicherten Profilen). Ein anderer Benutzer, ein Admin, der die Datei kopiert, oder eine gestohlene Festplatte können die Passwörter nicht lesen. Es ist nichts einzurichten — alte Dateien werden wie bisher gelesen und beim nächsten Speichern im neuen Format gespeichert; kann eine Datei nicht geöffnet werden, überschreibt CodeB sie nie.
Verhalten & offline
- Server aus oder PC offline: Der PC nutzt die zuletzt heruntergeladene (weiterhin verschlüsselte) Kopie. Nichts hört auf zu funktionieren.
- Wie schnell Änderungen ankommen: spätestens nach etwa 5 Minuten, wenn die Web-SSO-Komponente erneut nachsieht.
- Health-Check für das Monitoring:
https://<server>/api.ashx?action=health.
Fehlerbehebung
Ein PC erhält keine zentralen Logins
Prüfen Sie die beiden Registry-Werte (WebSSOServer-URL und WebSSOServerApiKey), ob der angemeldete Benutzer in der zugewiesenen AD-Gruppe ist und ob er sich nach der Gruppenänderung neu angemeldet hat. Gruppenänderungen greifen erst bei einer neuen Windows-Anmeldung.
Der Setup-Assistent fragt nach einem Setup-Code
Öffnen Sie App_Data\setup-code.txt auf dem Server und tippen Sie den Code ein, oder starten Sie den Browser als erhöhter lokaler Administrator. Die Datei wird nach Abschluss des Setups entfernt.
Häufige Fragen
Ist der Web-SSO-Server erforderlich?
Nein. Er ist ein optionales Enterprise-Add-on. CodeB SmartLogin und sein Web-SSO pro Benutzer funktionieren ohne ihn genau wie bisher; installieren Sie ihn nur, um Web-Logins zentral für AD-Gruppen zu verwalten.
Kann der Benutzer zentrale Passwörter sehen oder ändern?
Zentrale Logins werden im Web-SSO-Manager des Benutzers nicht angezeigt und können vom Benutzer nicht geändert oder gelöscht werden. Jedes Mitglied einer Gruppe kann die Logins dieser Gruppe jedoch technisch auf seinem PC öffnen — behandeln Sie ein zentrales Passwort als allen Mitgliedern bekannt.
Wie schnell wirkt das Entfernen aus einer Gruppe?
Die Logins verschwinden von den PCs spätestens nach etwa 5 Minuten und einer neuen Windows-Anmeldung. Gruppenänderungen brauchen eine neue Anmeldung.
Was passiert, wenn der Server aus ist?
Der PC nutzt weiter die zuletzt heruntergeladene (weiterhin verschlüsselte) Kopie der Logins, sodass nichts aufhört zu funktionieren. Fürs Monitoring bietet der Server einen Health-Check unter https://<server>/api.ashx?action=health.