> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/cloud/da/knowledge-base/how-to-articles/configure-a-break-glass-account-in-devolutions-cloud.md). # Konfigurer en break glass-konto i Devolutions Cloud Opret en break glass-administratorkonto i Devolutions Cloud for at genvinde adgang under SSO-udfald, udelåsning eller sikkerhedshændelser. En break glass-konto i Devolutions Cloud er en dedikeret administratorkonto, der kun bruges, når de normale logonveje ikke er tilgængelige, f.eks. under et SSO-udfald, en forkert konfigureret identitetsudbyder, en klargøringsfejl eller en sikkerhedshændelse. Denne artikel beskriver, hvornår en break glass-konto er påkrævet i Devolutions Cloud, og hvordan De opretter en, så den er klar, når der er brug for den. ### SSO-udfald, hvor Microsoft Entra ID eller Okta ikke er tilgængelig Brug break glass-kontoen til at logge på, når IdP’en ikke er tilgængelig, forudsat at Gennemtving SSO ikke er aktiveret. Hvis Gennemtving SSO er aktiveret, skal De bruge programidentiteten og [PowerShell-proceduren](https://docs.devolutions.net/powershell/devolutions-cloud-powershell/disable-force-sso-on-all-users-in-devolutions-cloud-using-powershell) til at deaktivere Gennemtving SSO først. ### Forkert SSO-konfiguration låser alle ude Eksempler omfatter en forkert callback-URL, et forkert klient-id eller en forkert hemmelighed, ødelagt domæneverificering, en ugyldig Okta- eller Entra-konfiguration eller en udløbet hemmelighed. Break glass-kontoen giver en administrator mulighed for at komme tilbage i Devolutions Cloud for at redigere, slette eller rette SSO-indstillingerne eller bruge den dokumenterede PowerShell-sti, hvis Gennemtving SSO blokerer normalt logon. ### Gennemtving SSO blev aktiveret for tidligt eller under en mislykket migrering Gennemtving SSO blev aktiveret for tidligt eller under en mislykket migrering. Dette er scenariet med den højeste risiko. En almindelig Devolutions Account er ikke nok, hvis Gennemtving SSO blokerer alle logon, der ikke bruger SSO. Den dokumenterede genoprettelsesmekanisme er en programidentitet med rettigheder til systemkonfiguration kombineret med det script, der sætter `ForceSSOLogin = $false`. ### En fejl i SCIM eller klargøring fjerner eller deaktiverer de forkerte brugere Hvis klargøring eller fjernelse af klargøring fra IdP’en fjerner administratorer eller ødelægger gruppetildeling, kan en break glass-konto uden for klargøringsomfanget gendanne brugere og grupper. Klargøring automatiserer administration af brugere og grupper. Brugere, der ikke administreres af godkendelsesudbyderen, kan kun tilføjes, når Gennemtving SSO er deaktiveret for alle brugere. ### Alle administratorer er utilgængelige Eksempler omfatter administratorer, der har forladt virksomheden, er på ferie, er blevet deaktiveret i IdP’en eller har mistet adgangen. Ejerskabet af Devolutions Cloud kan overføres til en anden administrator. Der må kun være én ejer, og kun administratorer kan tildeles som ejer. ### Udelåsning eller offboarding af ejeren af Devolutions Cloud Ejeren har en særlig status og kan ikke slettes. Kun nuværende administratorer kan angives som ejere, og vi anbefaler at minimere antallet af administratorkonti. En break glass-administrator giver en kontrolleret måde at genoprette styringen på uden at overklargøre de administratorer, der bruges til dagligt. ### Administratorer mister MFA eller anden faktor Break glass-kontoen bør have uafhængig MFA og gemte genoprettelseskoder. Devolutions Account understøtter totrinsbekræftelse, alternative bekræftelsesmetoder og genoprettelseskoder til logon. Genoprettelseskoder beskrives udtrykkeligt som en sidste udvej til at få adgang til kontoen. ### Kompromittering af virksomhedens IdP eller fejl i betinget adgang Under en identitetshændelse kan De få brug for adgang til Devolutions Cloud, der ikke afhænger af den kompromitterede IdP. Det giver Dem mulighed for at deaktivere SSO, gennemgå brugere, fjerne kompromitterede administratorer, udskifte delte hemmeligheder, gennemgå logge og bevare driftskontinuiteten. Det er det klassiske break glass- eller firecall-mønster, altså nødadgang til et sikkert system, når privilegeret adgang ellers ikke er tilgængelig. ### Domæneverificering eller DNS-relateret SSO-problem SSO-domæneverificering er obligatorisk og afhænger af DNS TXT-poster. Hvis DNS eller domænevalidering svigter, kan en break glass-administrator få adgang til godkendelsesindstillingerne og reparere konfigurationen. ### Genoprettelsesnøgle til Devolutions Cloud Opbevar [genoprettelsesnøglen](/cloud/da/knowledge-base/how-to-articles/use-the-recovery-key-with-devolutions-cloud.md) til Devolutions Cloud på et sikkert sted. En midlertidig genoprettelsesnøgle sendes, når Devolutions Cloud oprettes. Ejeren bliver derefter bedt om efter 30 dage at generere og downloade en nøgle, der ikke udløber, og ejere af Devolutions Cloud bliver også bedt om at validere nøglen efter seks måneder. ### Nødadministration af brugere, grupper, adgang og bokstilladelser Hvis en sikkerhedshændelse kræver, at brugere deaktiveres, at administratorstatus ændres, at adgang til bokse fjernes, eller at adgang gendannes for et kritisk team, giver break glass-kontoen en kontrolleret administratorvej. I brugeradministrationen i Devolutions Cloud kan administratorer ændre, hvad brugerne kan gøre, tildele brugergrupper, aktivere eller deaktivere brugere og angive administratorstatus. ### Break glass-konto i Devolutions Cloud og firecall-konto i PAM Forveksle ikke en break glass-konto i Devolutions Cloud med en break glass- eller firecall-konto med privilegeret adgang i PAM. PAM-modulet i Devolutions Cloud styrer privilegerede konti og understøtter godkendelse af udtjekning, automatisk nulstilling af adgangskode, sikker injektion af adgangskode, administrationsrapporter og logge. Det er de rette kontroller for nødadgang til servere, Active Directory, Entra-konti eller andre målsystemer. En break glass-konto er også nyttig som sikkerhedsnet ved test af SSO-udrulning, migreringsvinduer for SSO eller SCIM, validering af procedurer for overførsel af ejerskab, kontrol af opbevaring af genoprettelsesnøglen, test af dokumentation for kontogenoprettelse og dokumentation af, at nødadgang virker under revisioner. {% hint style="info" %} En break glass-konto bør ikke bruges til daglig administration. {% endhint %} ### Anbefalet opsætning til Devolutions Cloud Brug en dedikeret konto som `cloud-breakglass@company.tld` i stedet for en navngiven medarbejderkonto. Gør den til administrator i Devolutions Cloud, men undgå at give den bred adgang til bokse eller indhold, medmindre nødproceduren kræver det. Tildel den ikke som ejer som standard, medmindre Deres styringsmodel kræver et fallback på ejerniveau. Hvis den skal kunne være ejer, skal De dokumentere, hvem der kan ophøje den, og hvornår. Konfigurer MFA med mindst to uafhængige genoprettelsesveje, gem genoprettelseskoder til logon offline, opbevar genoprettelsesnøglen til Devolutions Cloud på et sikkert sted, udelad kontoen fra SCIM-deaktivering, hvor det er muligt, og test logon hvert kvartal. Hvis Gennemtving SSO er aktiveret, skal De også oprette programidentiteten og opbevare programnøglen og programhemmeligheden under dobbelt kontrol, så Gennemtving SSO kan deaktiveres under en udelåsning. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.devolutions.net/cloud/da/knowledge-base/how-to-articles/configure-a-break-glass-account-in-devolutions-cloud.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.