florian.wilde/sshkeyvault
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

#035 Lokale Benutzerkonten #35

New Issue
Closed
opened 2026-10-12 20:53:03 +00:00 by florian.wilde · 0 comments
florian.wilde commented 2026-10-12 20:53:03 +00:00
Owner
Copy Link
Copy Source

Ziel

sshkv ohne authentik in Betrieb nehmen können – mit eigenen Konten je Person statt eines geteilten Notfall-Admins, damit Rollen und Audit-Log stimmen. Später laufen lokale Konten und OIDC nebeneinander, oder die lokalen werden abgeschaltet.

Aufgaben

  • Anmeldung mit Anmeldename, Passwort und Pflicht-TOTP für lokale Konten (gleicher Ablauf wie der Notfall-Admin)
  • Einmal-Passwort vom System, Pflichtwechsel bei der ersten Anmeldung (passwortWechselNoetig, Seite /anmelden/passwort)
  • Benutzerverwaltung /einstellungen/benutzer: anlegen, Rolle ändern, sperren/entsperren, zurücksetzen – Recht benutzerVerwalten (Admin + frische Bestätigung)
  • OIDC-Konten nur sperrbar; Notfall-Admin und eigenes Konto unveränderlich
  • Schalter SSHKV_LOKALE_KONTEN (Standard an), auch in docker-compose.yml
  • Protokoll für alle Schritte, nie mit Passwort
  • Doku: Handbuch, Installation („Ohne authentik starten“), Sicherheit, Abnahme-Liste

Akzeptanzkriterien

  • DB-Tests: erste Anmeldung (Einmal-Passwort → eigenes → TOTP → angemeldet), schwache/unveränderte Passwörter, doppelte Namen, Rollen- und Sperrregeln, Zurücksetzen, abgeschaltet
  • E2E: Admin legt an, Person meldet sich zum ersten Mal an, Operator kommt nicht in die Benutzerverwaltung, Sperren beendet die Sitzung sofort

Abhängigkeiten

#004

Notizen / Entscheidungen

  • TOTP ist Pflicht auch für lokale Konten (Entscheidung Florian, 12.10.2026).
  • Dauerhaft, aber abschaltbar per SSHKV_LOKALE_KONTEN=0 (Entscheidung Florian, 12.10.2026).
  • Admins wählen keine Passwörter für andere: sshkv erzeugt ein Einmal-Passwort (4 × 5 Zeichen ohne verwechselbare Zeichen, gut 115 Bit), das genau einmal angezeigt wird.
  • 12 Zeichen Mindestlänge für eigene Passwörter – mit Pflicht-TOTP ausreichend; der Notfall-Admin behält 16.
  • Sperren beendet Sitzungen sofort (sitzungenGueltigAb); eine Rollenänderung verwirft die gespeicherte Bestätigung.
  • Lokale Konten bekommen keine E-Mail-Adresse, damit die OIDC-Verknüpfung per E-Mail nie ein lokales Konto übernehmen kann.

Quelle: docs/issues/035-lokale-konten.md – dort wird dieses Issue gepflegt.

## Ziel sshkv ohne authentik in Betrieb nehmen können – mit eigenen Konten je Person statt eines geteilten Notfall-Admins, damit Rollen und Audit-Log stimmen. Später laufen lokale Konten und OIDC nebeneinander, oder die lokalen werden abgeschaltet. ## Aufgaben - [x] Anmeldung mit Anmeldename, Passwort und Pflicht-TOTP für lokale Konten (gleicher Ablauf wie der Notfall-Admin) - [x] Einmal-Passwort vom System, Pflichtwechsel bei der ersten Anmeldung (`passwortWechselNoetig`, Seite `/anmelden/passwort`) - [x] Benutzerverwaltung `/einstellungen/benutzer`: anlegen, Rolle ändern, sperren/entsperren, zurücksetzen – Recht `benutzerVerwalten` (Admin + frische Bestätigung) - [x] OIDC-Konten nur sperrbar; Notfall-Admin und eigenes Konto unveränderlich - [x] Schalter `SSHKV_LOKALE_KONTEN` (Standard an), auch in `docker-compose.yml` - [x] Protokoll für alle Schritte, nie mit Passwort - [x] Doku: Handbuch, Installation („Ohne authentik starten“), Sicherheit, Abnahme-Liste ## Akzeptanzkriterien - [x] DB-Tests: erste Anmeldung (Einmal-Passwort → eigenes → TOTP → angemeldet), schwache/unveränderte Passwörter, doppelte Namen, Rollen- und Sperrregeln, Zurücksetzen, abgeschaltet - [x] E2E: Admin legt an, Person meldet sich zum ersten Mal an, Operator kommt nicht in die Benutzerverwaltung, Sperren beendet die Sitzung sofort ## Abhängigkeiten #004 ## Notizen / Entscheidungen - **TOTP ist Pflicht** auch für lokale Konten (Entscheidung Florian, 12.10.2026). - **Dauerhaft, aber abschaltbar** per `SSHKV_LOKALE_KONTEN=0` (Entscheidung Florian, 12.10.2026). - **Admins wählen keine Passwörter für andere:** sshkv erzeugt ein Einmal-Passwort (4 × 5 Zeichen ohne verwechselbare Zeichen, gut 115 Bit), das genau einmal angezeigt wird. - **12 Zeichen Mindestlänge** für eigene Passwörter – mit Pflicht-TOTP ausreichend; der Notfall-Admin behält 16. - **Sperren beendet Sitzungen sofort** (`sitzungenGueltigAb`); eine Rollenänderung verwirft die gespeicherte Bestätigung. - Lokale Konten bekommen keine E-Mail-Adresse, damit die OIDC-Verknüpfung per E-Mail nie ein lokales Konto übernehmen kann. --- Quelle: `docs/issues/035-lokale-konten.md` – dort wird dieses Issue gepflegt.
florian.wilde added this to the v1.0.0 milestone 2026-10-12 20:53:03 +00:00
florian.wilde added the uisicherheitbackend labels 2026-10-12 20:53:03 +00:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
backend
chore
datenbank
docs
infrastruktur
sicherheit
test
ui
No labels backend sicherheit ui
Milestone
No items
No Milestone v1.0.0
Projects
Clear projects
No projects
Assignees
Clear assignees
florian.wilde (Florian Wilde)
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: florian.wilde/sshkeyvault#35