portier Vision speichert das Datenbank-Passwort standardmäßig verschlüsselt in der Datei portiervision.ini auf dem jeweiligen Rechner. In manchen Umgebungen soll überhaupt kein Datenbank-Passwort abgelegt werden, etwa auf Citrix- und Terminalservern, in geteilten Sitzungen, auf Golden Images oder in sicherheitsgeprüften Umgebungen.
Für diese Fälle gibt es mit Microsoft SQL Server die integrierte Anmeldung. portier Vision meldet sich dann mit der Windows-Identität des angemeldeten Nutzers an der Datenbank an. Es wird kein Passwort gespeichert und keines übertragen.
Nicht zu verwechseln mit der Anmeldung an portier Vision selbst. Wie Sie das Programm über Ihre Windows-Kennung ohne zusätzliches Passwort öffnen, steht unter Single Sign-On (SSO).
Citrix-, Terminalserver- und Golden-Image-Umgebungen, in denen keine Anmeldedaten im Profil liegen sollen
Sicherheitsgeprüfte IT-Umgebungen, die gespeicherte Dienst-Passwörter vermeiden
Organisationen, die den Datenbankzugriff über ihre vorhandenen Windows- bzw. Active-Directory-Gruppen steuern
Der Rechner ist in die Active-Directory-Domäne aufgenommen.
In Microsoft SQL Server ist eine Anmeldung für den Windows-Nutzer oder, besser, für eine AD-Gruppe angelegt.
Diese Anmeldung hat auf der portier-Datenbank die Rollen db_datareader, db_datawriter und db_ddladmin. db_ddladmin erlaubt portier Vision, bei einem Upgrade seine Schema-Aktualisierungen einzuspielen. Nicht sysadmin, nicht db_owner.
Öffnen Sie den portier Vision Companion und wechseln Sie auf Datenbankkonfiguration.
Wählen Sie als Datenbanktyp den Eintrag Microsoft SQL Server - Windows-Anmeldung. Die Felder für Benutzername und Passwort entfallen damit.
Tragen Sie Host, Datenbankname und Schema ein. Ein abweichender Port gehört mit Komma an den Host, zum Beispiel sqlhost, 1444. Zum Host-Format siehe Verbindung mit Microsoft SQL Server.
Führen Sie Verbindung testen aus. Bei Erfolg Konfiguration speichern.
Der Companion setzt damit DBLOGIN=1 im Abschnitt [Database] der portiervision.ini. portier Vision verbindet sich von da an als der angemeldete Windows-Nutzer (Trusted Connection über Kerberos oder NTLM). Ein Passwort wird nicht in die Datei geschrieben.
Öffnen Sie die portiervision.ini. Im Abschnitt [Database] steht DBLOGIN=1, DBPASSWORD ist leer, und die Einträge DBPASSWORDENCRYPTED und DBSHAREDKEY fehlen.
Starten Sie portier Vision. Die Datenbankverbindung kommt zustande, ohne dass nach einem Datenbank-Passwort gefragt wird.
Der Zugriff erfolgt unter der Windows-Identität des angemeldeten Nutzers.
Zur Installation gehört ein drittes Programm ohne Oberfläche, companion-services.exe. Es erledigt die geplanten Hintergrundaufgaben, also Erinnerungs-E-Mails, Entra-ID-Abgleich, geplanten Personalimport und Datenaufbewahrung. Es liest dieselbe portiervision.ini.
Gestartet wird es von einer Windows-Aufgabe, standardmäßig PortierCompanionServices. Diese Aufgabe legt nicht das Installationsprogramm an, sondern das Skript Register-CompanionTask.ps1 im Ordner companion des Installationsverzeichnisses. Dabei bestimmen Sie das Dienstkonto, unter dem die Aufgabe läuft.
Für die Datenbank zählt genau dieses Konto. Mit DBLOGIN=1 meldet sich companion-services.exe unter dem Dienstkonto an, nicht unter Ihrer Kennung. Das Dienstkonto oder seine AD-Gruppe braucht deshalb dieselbe SQL-Server-Anmeldung und dieselben drei Rollen wie die Nutzer. Fehlt sie, läuft Vision am Bildschirm einwandfrei, während jede geplante Aufgabe die Datenbank nicht erreicht.
Prüfen lässt sich das direkt. Melden Sie sich an der Maschine mit dem Dienstkonto an und starten Sie companion-services.exe --once aus dem Installationsverzeichnis. Rückgabewert 0 heißt, die Startdiagnose hat die Datenbank erreicht. Im Aufgaben-Bereich des Companion erscheint außerdem ein Hinweisbanner, sobald eine geplante Aufgabe ihren Termin verpasst hat oder fehlgeschlagen ist.
Mit gespeichertem Passwort ist dieser Punkt heikler. Das Passwort in der portiervision.ini ist standardmäßig an das Windows-Konto gebunden, das es gespeichert hat, und die geplante Aufgabe läuft nur, wenn dasselbe Konto die Verbindung eingerichtet hat. Die integrierte Anmeldung nimmt diese Bindung weg und verlangt dafür die SQL-Server-Anmeldung für das Dienstkonto.
Legen Sie die Datenbank-Anmeldung für portier Vision mit den geringstmöglichen Rechten an: db_datareader und db_datawriter für den laufenden Betrieb, dazu db_ddladmin, damit portier Vision bei einem Upgrade seine Schema-Aktualisierungen einspielen kann. sysadmin oder db_owner sind nicht erforderlich und sollten nicht vergeben werden. Ohne db_ddladmin besteht die Anmeldung zwar die Berechtigungsprüfung beim Start, das nächste Versions-Upgrade bleibt aber bei der ersten Schemaänderung stehen. Am einfachsten steuern Sie den Zugriff über eine eigene AD-Gruppe und nehmen die berechtigten Nutzer dort auf.
Auf Citrix- und Terminalservern teilen sich viele Nutzer eine Installation, jeder verbindet sich aber unter seiner eigenen Windows-Identität. Die AD-Gruppe deckt dann alle ab, ohne dass Sie jede Anmeldung einzeln anlegen. Nehmen Sie das Dienstkonto der geplanten Aufgaben in dieselbe Gruppe auf.
Die integrierte Anmeldung setzt Microsoft SQL Server und eine Windows-Domänenidentität voraus. In zwei Fällen ist sie nicht möglich:
Firebird: Die mitgelieferte Firebird-Datenbank kennt keine Windows-integrierte Anmeldung. Hier bleibt ein verschlüsselt gespeichertes Passwort in der portiervision.ini.
SQL Server ohne Domäne (Arbeitsgruppe): Ohne Domänenidentität gibt es nichts, womit man sich integriert anmelden könnte. Auch hier bleibt ein verschlüsselt gespeichertes Passwort.
Für den SQL-Server-Fall sollte diese gespeicherte Anmeldung weiterhin minimale Rechte haben: db_datareader, db_datawriter und db_ddladmin.
Mit der integrierten Anmeldung liegt kein wiederherstellbares Datenbank-Passwort vor, weder in der portiervision.ini noch im Arbeitsspeicher des Programms. Die Anmeldung erfolgt allein über die Windows-Identität des Nutzers.
Weiterführend: portier Vision Installationsanleitung und Verbindung mit Microsoft SQL Server.
