Fehlerbehebung · 15.5

Fehlerbehebung: RBAC, Entra ID und Break-the-glass

Zugriffsfehler werden im Kanal Audit protokolliert. Mitglieder der lokalen Gruppe Administrators auf dem Management-Host können sich immer als Break-the-glass-Owner anmelden, solange diese Einstellung eingeschaltet ist.

Fehlerbehebung: RBAC, Entra ID und Break-the-glass
Symptom	Ursache	Lösung
Desktop Admin console: Access Denied. You are not assigned to a management role.	RBAC ist eingeschaltet, und Ihr Konto hat keine Rolle.	Bitten Sie einen Owner, Ihnen im RBAC Manager eine Rolle zuzuweisen, oder melden Sie sich als lokaler Administrator an (Break-the-glass), siehe Kapitel Rollen zuweisen und Break-the-glass-Konten.
Access denied for <user> on <action> (certificate <id>)	Ihre Rolle erlaubt diese Aktion für dieses Zertifikat nicht.	Bitten Sie einen Owner um die benötigte Rolle oder um Zugriff auf das Zertifikat.
Keep at least one System Owner. oder At least one System Owner is required when RBAC is enabled.	RBAC ist eingeschaltet, Break-the-glass für lokale Administratoren ist ausgeschaltet, und es bliebe kein System Owner übrig.	Weisen Sie zuerst einen weiteren Owner zu oder behalten Sie Break-the-glass für lokale Administratoren bei.
Restore can change every tenant on this host. You need the system role Owner on all tenants.	Eine Wiederherstellung setzt Owner mit Tenants: All voraus.	Bitten Sie einen Owner des Hosts, Ihnen Owner auf allen Tenants zuzuweisen oder die Wiederherstellung selbst auszuführen.
This credential is already used by certificates whose admins would lose the right to use it.	Die neue Allow-Liste des Credentials würde Benutzer von Zertifikaten aussperren, die es verwenden.	Fügen Sie diese Benutzer oder Gruppen der Allow-Liste hinzu oder stellen Sie wieder auf das Erben der Systemrollen um.
Der Tab RBAC in einem Zertifikat oder Credential ist ausgegraut.	RBAC ist nicht eingeschaltet.	Richten Sie RBAC in den Einstellungen auf dem Tab RBAC ein, schalten Sie es ein und öffnen Sie den Dialog erneut, siehe Kapitel RBAC.
Entra-Test: Entra rejected this client certificate (AADSTS700027). oder The certificate is on this host but not on the Entra app.	Das Zertifikat ist unter Certificates & secrets der App Registration nicht aufgeführt.	Führen Sie den Entra ID Helper erneut aus, siehe Kapitel Entra ID Helper. Warten hängt das Zertifikat nicht an.
… was not found in LocalMachine\… Check Settings → RBAC: the app registration credential points at a thumbprint that does not exist on this host.	Das Credential der App Registration verweist auf ein Zertifikat, das nicht auf dem Management-Host liegt.	Wählen Sie in den Einstellungen auf dem Tab RBAC das aktuelle Zertifikat der App Registration.
The TLSPilot service runs as LocalSystem. Grant it access in certlm.msc → the certificate → All Tasks → Manage Private Keys → add SYSTEM (Read), then test again.	Der Dienst kann den privaten Schlüssel des Zertifikats nicht verwenden.	Erteilen Sie SYSTEM wie beschrieben Lesezugriff auf den privaten Schlüssel.
… uses an ECDSA key. Entra client assertions require an RSA key - issue the app registration certificate with RSA.	Entra ID akzeptiert für Client Assertions nur RSA-Schlüssel.	Stellen Sie das Zertifikat der App Registration mit einem RSA-Schlüssel aus.
Web UI sign-in is not possible until RBAC is enabled. Turn RBAC on later in Settings → RBAC.	Die Anmeldung an der WebUI setzt RBAC voraus.	Richten Sie RBAC in den Einstellungen auf dem Tab RBAC ein.