Anmeldung und Rollen

Anmeldung, Sitzungen, Benutzer und Rollen kommen aus tool-defaults (src/defaults/auth.js, roles.js, audit.js). Eingestellt wird alles unter Einstellungen → Benutzer & Anmeldung.

Rollen

Rolle	Darf
Admin	alles, einschließlich Einstellungen, Benutzer, Updates und Protokoll
Member	lesen und bearbeiten
Viewer	nur lesen

Anmeldearten

Benutzername und Passwort

Lokale Benutzer (scrypt), optional mit Zwei-Faktor-Code (Authenticator-App, zehn Wiederherstellungscodes), Sperre nach fünf Fehlversuchen. Zwei-Faktor und Sperre sind Ergänzungen dieses Werkzeugs.

Microsoft Entra ID

Die Rolle ergibt sich aus den Gruppen (je Rolle Gruppen-Objekt-IDs). App-Registrierung mit:

• Umleitungs-URIs https://<domain>/auth/rueckruf (bzw. /auth/entra/callback) und https://<domain>/auth/abgemeldet
• geheimem Clientschlüssel
• Gruppenanspruch im ID-Token

Google Workspace

Ergänzung dieses Werkzeugs. OAuth-Client „Webanwendung“ mit der Weiterleitungs-URI https://<domain>/auth/google/rueckruf, Zustimmungsbildschirm „Intern“. Zugang hat, wer eine bestätigte Adresse aus einer freigegebenen Domain hat oder einzeln eingetragen ist; neue Konten bekommen die eingestellte Rolle (nie Admin).

Demo

Nur ansehen, ohne Konto.

Mein Konto und Protokoll

Jeder Angemeldete pflegt unter Mein Konto sein Passwort und seine Zwei-Faktor-Anmeldung. Was geschieht, steht im Protokoll (Admin).

Schutz vor dem Aussperren:

• Eine Anmeldeart, über die man selbst angemeldet ist, lässt sich nicht abschalten.
• Der letzte aktive Administrator lässt sich weder sperren noch herabstufen.

Ausgesperrt?

Legt einen lokalen Administrator an oder setzt ihn zurück (Zwei-Faktor aus) und schaltet die lokale Anmeldung ein. Das Passwort kommt über stdin.

./immo.sh notfall <instanz> [benutzer]     # Server
node werkzeuge/zugang.js <benutzer>        # lokal