Benutzer und Rechte

Benutzer

Es gibt zwei globale Rollen:

• admin — verwaltet die Instanz: Benutzer, Teams, Kern-Einstellungen, Portalnachrichten, alle Projekte.
• user — arbeitet ausschließlich über Projekt-Mitgliedschaften.

Unter Administration → Benutzer lassen sich Konten anlegen, bearbeiten, per E-Mail einladen (mit generiertem Passwort), zurücksetzen und aus CSV importieren. Ist kein Postausgang konfiguriert, zeigt die Oberfläche das erzeugte Passwort einmalig an.

Passwort vergessen

Auf der Anmeldeseite steht Passwort vergessen? — vorausgesetzt, ein Postausgang ist eingerichtet (smtp.host und smtp.from). Ohne ihn käme der Link nie an, deshalb blendet die Oberfläche ihn dann aus; das Zurücksetzen bleibt Sache der Administration.

Der Ablauf: Adresse eingeben, Link per Mail, neues Passwort setzen. Was dabei bewusst so ist:

• Die Antwort ist immer dieselbe. Ob es zu einer Adresse ein Konto gibt, sagt der Server nicht — sonst wäre die Seite ein Verzeichnisdienst für fremde Adressen, und zwar ohne Anmeldung.
• Der Link gilt 30 Minuten und genau einmal. Ein neuer Link entwertet den vorherigen; ein zweiter Versuch innerhalb einer Minute schickt keine zweite Mail (sonst ließe sich ein fremdes Postfach fluten).
• Ein neu gesetztes Passwort beendet alle offenen Anmeldungen des Kontos. Wer sein Passwort zurücksetzt, hat den Zugang womöglich verloren — dann soll auch derjenige draußen sein, der ihn gerade hat. Eine Bestätigungsmail geht anschließend an die Adresse.

In der Cloud hängt das Passwort an der Heimat-Organisation: Wer mehreren Organisationen angehört, setzt mit dem Link genau das eine Passwort, das auch die Anmeldung prüft.

Teams

Ein Team ist eine benannte Gruppe von Benutzern. Eine Projekt-Freigabe an ein Team erreicht alle Mitglieder — das erspart Einzelfreigaben bei Fluktuation.

Projekte und Rollen

Freigaben gelten auf Projektebene:

Rolle	Darf
Owner	alles, inklusive Löschen und Übereignen
Manager	Projekt verwalten: Mitglieder, Freigaben und Provider-Accounts
Editor	Zonen und Record Sets bearbeiten (samt Sync Groups, Templates)
Visitor	nur lesen

Das persönliche Basisprojekt ist nicht teilbar und nicht löschbar.

Einschränkung auf einzelne Zonen

Eine Freigabe als Editor oder Visitor lässt sich zusätzlich auf bestimmte Zonen des Projekts begrenzen (Auswahl im Mitglieder-Dialog). Dann gilt:

• Die Rolle wirkt nur auf den ausgewählten Zonen.
• Alle anderen Zonen des Projekts sind für dieses Mitglied unsichtbar — auch im Inventar und in der Suche.
• Projektweite Dinge wie Accounts bleiben lesend zugänglich, aber nicht änderbar.

Manager-Freigaben lassen sich nicht einschränken: Wer das Projekt verwaltet, verwaltet es ganz.

Zwei-Faktor-Anmeldung

Jeder Benutzer kann sein Konto unter Mein Profil → Zwei-Faktor- Authentisierung mit einem zeitbasierten Einmalcode (TOTP, RFC 6238) sichern:

1. 2FA einrichten zeigt Geheimnis und otpauth://-URI für die Authenticator-App.
2. Ein gültiger Code aus der App schaltet es scharf.
3. Ab dann verlangt die Anmeldung nach Benutzername und Passwort zusätzlich den Code.

Zum Deaktivieren wird das aktuelle Passwort verlangt — eine gestohlene Session allein genügt nicht, um den zweiten Faktor abzuschalten.

API-Keys

Für Automatisierung gibt es API-Keys mit begrenztem Zugriff — projektgebunden mit einer Projektrolle oder instanzweit mit Scopes. Details unter API und Automatisierung.