Benutzer und Rollen

Rolle: Administrator

Überblick

Unter Benutzer und Rollen verwaltest du alle Konten, die sich an oPBWeb anmelden können. Jedes Konto hat genau eine Rolle, die festlegt, was es in der Oberfläche darf. Neben lokalen Konten, die du selbst anlegst, gibt es Verzeichniskonten aus LDAP, deren Rolle sich aus den Gruppen im Verzeichnis ergibt.

Den Bereich öffnest du über das Symbol Benutzer und Rollen unten in der Aktivitätsleiste. Er hat zwei Reiter: Benutzer (mit der Anzahl der Konten) und Protokoll. Das Protokoll ist im Kapitel Protokoll beschrieben.

Rollen und Rechte

Es gibt vier Rollen. Sie bauen aufeinander auf: Jede Rolle hat alle Rechte der Rollen darüber und bringt eigene dazu.

Die Oberfläche blendet Schaltflächen aus oder deaktiviert sie, wenn die Rolle nicht reicht. Geprüft wird jedes Recht trotzdem auf dem Server. Fehlt ein Recht, erscheint „Keine Berechtigung für diese Aktion.“

Leser

• Paketliste und Paketdetails ansehen, den Paket-Editor schreibgeschützt öffnen, Quelltext des control ansehen
• gebaute .opsi- und .md5-Dateien herunterladen
• Snippets lesen
• alle Jobs mit Live-Protokoll verfolgen, eigene wartende Jobs abbrechen
• Depots ansehen und Dateien von dort herunterladen
• im Systemstatus die Tabelle der Dienste sehen
• eigene Standardsprache setzen, eigenes Passwort ändern (nur lokale Konten)

Packager

• Pakete anlegen: Neues Paket, Importieren, Workbench …, Meta-Paket …
• Entwürfe bearbeiten und Bauen, Neue Version anlegen, Dateien im Paket anlegen, hochladen, umbenennen und löschen
• Pakete Archivieren und Wiederherstellen
• Diese Version löschen, Zurück auf Entwurf und Paket löschen …, solange das Paket bzw. die Version auf keinem Produktions-Depot installiert ist (siehe Stufenregel )
• Mit Workbench abgleichen …, In Workbench exportieren …, in /workbench jedes Configservers schreiben und In oPBWeb importieren
• Depots Abgleichen und Repository lesen
• auf Test- und Staging-Depots: Installieren …, Deinstallieren …, Übernehmen … bzw. Auf andere Stufe übernehmen …, Produkte Entsperren, Repository-Dateien löschen
• eigene Snippets und Snippet-Kategorien pflegen

Releaser

• alle Depot-Aktionen des Packagers (Installieren, Deinstallieren, Übernehmen, Entsperren, Repository löschen) auch auf Produktions-Depots
• Versionen und Pakete löschen und Versionen auf Entwurf zurücksetzen, auch wenn sie auf einem Produktions-Depot installiert sind

Administrator

• Bereiche Benutzer und Rollen (inklusive Protokoll) und Einstellungen
• Configserver unter Depots hinzufügen, ändern und entfernen
• Depot-Einstellungen (Stufe, Dienst-URL, Aktiv) und Entfernen von Depots
• globale Snippets pflegen
• wartende Jobs anderer Benutzer abbrechen
• im Systemstatus die Bereiche Datenbank, Objektspeicher, Bereinigen … und Bucket-Inhalt

Die Stufenregel für Depots

Was ein Packager mit einem Paket auf einem Depot tun darf, hängt von der Stufe des Depots ab, nicht nur von seiner Rolle. Die Tabelle zeigt, wer welche Aktion auf welcher Stufe ausführen darf:

Für das Löschen und für Zurück auf Entwurf zählt, wo das Paket gerade installiert ist: Liegt die Version (bzw. beim Löschen des Pakets irgendeine Version) auf einem Produktions-Depot, braucht es die Rolle Releaser. Ein Packager bekommt dann die Meldung, auf welchen Depots das Paket installiert ist. Grundlage ist der Stand des letzten Depot-Abgleichs.

Depots erben die Stufe ihres Configservers, solange du ihnen keine eigene gibst. Neue Configserver starten in der Stufe Produktion. Ein Packager kann auf ihren Depots also erst installieren, wenn du den Configserver oder das einzelne Depot auf Test oder Staging stellst. Im Dialog Installieren … erscheint ein gesperrtes Depot mit dem Hinweis „erfordert Rolle Releaser“. Wie du die Stufe änderst, steht in der Depot-Verwaltung .

Die Benutzerliste

Der Reiter Benutzer zeigt alle Konten in einer Tabelle. Rechts daneben öffnet sich der Bereich Benutzerdetails für das ausgewählte Konto.

Unter den Feldern der Benutzerdetails stehen zusätzlich Herkunft, Angelegt und Letzte Anmeldung.

Lokale Konten

Lokale Konten melden sich mit einem Passwort an, das oPBWeb selbst speichert. Das erste Administratorkonto (admin) entsteht beim ersten Start des Systems; alle weiteren lokalen Konten legst du hier an.

Konto anlegen

1. Klick in der Werkzeugleiste auf Neuer Benutzer.

   

2. Trag den Benutzernamen ein. Erlaubt sind 2 bis 128 Zeichen aus Buchstaben, Ziffern und . _ @ -.

3. Wähl die Rolle. Der Dialog schlägt Leser vor, die Rolle mit den wenigsten Rechten.

4. Trag optional Name und E-Mail ein. Die E-Mail-Adresse erscheint in Changelog-Einträgen dieses Benutzers.

5. Wähl die Standardsprache (Deutsch oder English). Mit dieser Sprache startet die Oberfläche nach jeder Anmeldung.

6. Vergib im Feld Neues Passwort ein Startpasswort mit mindestens 10 Zeichen.

7. Klick auf Anlegen.

Das neue Konto erscheint in der Liste und ist sofort ausgewählt. Gib dem Benutzer das Startpasswort auf sicherem Weg weiter; er kann es danach im Avatar-Menü unter Passwort ändern selbst ersetzen.

Konto bearbeiten

1. Wähl das Konto in der Liste aus.
2. Ändere in den Benutzerdetails Name, E-Mail, Rolle oder Standardsprache.
3. Klick auf Speichern. In der Werkzeugleiste erscheint „Gespeichert“.

Die Standardsprache kann jeder Benutzer auch selbst im Avatar-Menü ändern (siehe Konto und Sprache ).

Konto deaktivieren

Ein deaktiviertes Konto bleibt mit allen Angaben erhalten, kann sich aber nicht mehr anmelden. Die Anmeldung scheitert mit „Konto ist deaktiviert.“

1. Wähl das Konto aus.
2. Entferne das Häkchen bei Konto ist aktiv.
3. Klick auf Speichern.

Zum Reaktivieren setzt du das Häkchen wieder und speicherst.

Passwort setzen

Wenn ein Benutzer sein Passwort vergessen hat, vergibst du ein neues:

1. Wähl das Konto aus und klick auf Passwort setzen.
2. Gib das neue Passwort zweimal ein (mindestens 10 Zeichen).
3. Bestätige den Dialog. In der Werkzeugleiste erscheint „Passwort gesetzt“.

Das alte Passwort brauchst du dafür nicht. Das Setzen hebt gleichzeitig eine bestehende Sperre auf.

Sperre aufheben

Nach 5 falschen Passwörtern in Folge sperrt oPBWeb ein lokales Konto für 15 Minuten. Während der Sperre lautet die Meldung bei der Anmeldung „Konto gesperrt bis HH:MM Uhr.“, auch wenn das Passwort stimmt. In der Liste steht das Konto auf gesperrt.

Du musst nicht warten, bis die Sperre abläuft:

1. Wähl das gesperrte Konto aus.
2. Klick auf Sperre aufheben. Die Schaltfläche erscheint nur bei gesperrten Konten.

Der Benutzer kann sich sofort wieder anmelden. Hat er sein Passwort tatsächlich vergessen, nimm stattdessen Passwort setzen.

Konto löschen

1. Wähl das Konto aus.
2. Klick auf Benutzer löschen.
3. Bestätige die Rückfrage „Benutzer löschen?“ mit Benutzer löschen.

Das Konto wird endgültig entfernt. Einträge im Protokoll bleiben mit dem Benutzernamen erhalten. Dein eigenes Konto kannst du nicht löschen; die Schaltfläche ist dafür deaktiviert.

Schutz des letzten Administrators

oPBWeb verhindert, dass niemand mehr die Administration erreichen kann. Für das letzte aktive Administratorkonto gilt:

• Du kannst ihm keine niedrigere Rolle geben und es nicht deaktivieren. Die Meldung lautet „Der letzte aktive Administrator kann nicht entfernt werden.“
• Du kannst es nicht löschen: „Der letzte aktive Administrator kann nicht gelöscht werden.“

Leg deshalb zuerst ein zweites Administratorkonto an, bevor du das bisherige herabstufst oder entfernst.

Verzeichniskonten (LDAP)

Wenn die technische Administration die LDAP-Anmeldung eingeschaltet hat, können sich auch Benutzer aus dem Verzeichnis (zum Beispiel Active Directory) anmelden. Diese Konten erkennst du an der Herkunft Verzeichnis (LDAP). Die Einrichtung ist in LDAP-Anmeldung beschrieben.

Für Verzeichniskonten gelten andere Regeln als für lokale Konten:

• Anlegen: Du legst sie nicht selbst an. Das Konto entsteht automatisch bei der ersten erfolgreichen Anmeldung.
• Rolle: Die Rolle ergibt sich bei jeder Anmeldung aus den LDAP-Gruppen des Benutzers. Ist er in mehreren passenden Gruppen, gilt die höchste Rolle. Das Feld Rolle ist gesperrt, darunter steht „Die Rolle von Verzeichniskonten ergibt sich bei jeder Anmeldung aus den LDAP-Gruppen.“ Um die Rolle zu ändern, änderst du die Gruppenmitgliedschaft im Verzeichnis.
• Name und E-Mail: Diese Angaben übernimmt oPBWeb bei jeder Anmeldung aus dem Verzeichnis. Änderungen, die du hier speicherst, werden bei der nächsten Anmeldung überschrieben.
• Passwort: Verzeichniskonten haben kein Passwort in oPBWeb. Passwort setzen fehlt, und der Benutzer ändert sein Passwort im Verzeichnis. Auch die Sperre nach Fehlversuchen gilt nur für lokale Konten.
• Deaktivieren: Funktioniert wie bei lokalen Konten. Ein deaktiviertes Verzeichniskonto kann sich nicht mehr anmelden, auch wenn es im Verzeichnis noch berechtigt ist.
• Löschen: Ein gelöschtes Verzeichniskonto entsteht bei der nächsten Anmeldung neu, solange der Benutzer noch in einer passenden Gruppe ist. Um jemanden dauerhaft auszuschließen, deaktiviere das Konto oder entferne ihn aus den Gruppen.

Lokale Konten melden sich immer lokal an, auch wenn LDAP eingeschaltet ist. Der lokale Administrator admin bleibt so auch dann erreichbar, wenn das Verzeichnis ausfällt.