Anwendungsfall · Tech-Teams
2FA für die Infrastrukturkonten von Tech-Teams
Cloud-Root-Konto, Registrar, DNS, GitHub-Organisation: Machen Sie die 2FA-Codes kritischer Konten für die Rufbereitschaft verfügbar, über Web, API oder einen Agenten, mit einem Protokoll jedes Zugriffs.
Die sensibelsten Konten eines Tech-Teams sind auch die am seltensten genutzten: das Root-Konto des Cloud-Anbieters, der Registrar, das DNS, der Eigentümer der GitHub-Organisation. Ihre 2FA wird oft einmal eingerichtet, auf dem Telefon einer einzigen Person, und bis zum nächsten Vorfall vergessen.
Was ohne geteilten Tresor hakt
- Ein Vorfall um 3 Uhr morgens erfordert das Root-Konto, und der Seed liegt auf dem Telefon von jemandem, der schläft.
- Die Domain läuft ab, und das Konto beim Registrar ist durch das Telefon eines ehemaligen Mitgründers geschützt.
- Der Seed wurde „zur Not“ in ein Wiki oder eine Umgebungsvariable kopiert, und niemand weiß mehr, wer ihn kopiert hat.
Wie Share Auth das löst
Die Rufbereitschaft hat den Code, nicht den Seed. Die Mitglieder der Rufbereitschaft sind Leser: Sie erhalten den aktuellen Code, ohne kopieren zu können, was ihn erzeugt. Die Seeds bleiben verschlüsselt im Tresor.
Jeder Zugriff hinterlässt eine Spur. Das Zugriffsprotokoll zeigt, wer den Code des Root-Kontos erhalten hat, wann und von welcher Adresse aus. So lässt sich nachvollziehen, wer während eines Vorfalls was getan hat.
Mit dem passenden Werkzeug. Die Website für einen gelegentlichen Zugriff, die API für ein Skript, der MCP-Konnektor für einen KI-Agenten, Slack oder Discord für den Bereitschaftskanal, über die Einschränkungen pro Kanal auf die nötigen Konten begrenzt.
Tokens, die nur das können. Ein API-Token lässt sich auf das Lesen von Codes beschränken, für eine Dauer von 1 bis 90 Tagen, und jederzeit widerrufen.
Weiterlesen
Häufige Fragen
Ja, über die API, mit einem Token, das auf das Lesen von Codes beschränkt ist. Es kann nichts ändern, läuft nach der gewählten Dauer ab, und jeder abgerufene Code erscheint im Zugriffsprotokoll, unter dem Namen der Person, der das Token gehört.
So wenig wie möglich. Aber an dem Tag, an dem es gebraucht wird, muss das Bereitschaftsteam es nutzen können, ohne zu suchen, wer das Telefon hat. Share Auth macht diesen Zugriff möglich und protokolliert ihn, ohne dass Kopien des Seeds die Runde machen.
Der MCP-Konnektor gibt ihnen den Code eines Kontos, nie seinen Seed. Lassen Sie in Ihrem Client die menschliche Bestätigung für jeden angeforderten Code aktiviert.