florian.wildeandClaude Opus 5.5
cd83542482
Plan nach Freigabe vom 12.10.2026 mit den Antworten auf die sieben Rueckfragen. Issues fuer alle fuenf Phasen als Dateien, bis der Gitea-Zugang da ist (#030). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
29 lines
1.1 KiB
Markdown
29 lines
1.1 KiB
Markdown
# #004 Anmeldung, Rollen und erneute Bestätigung
|
||
**Status:** offen
|
||
**Meilenstein:** v0.1.0
|
||
**Labels:** sicherheit
|
||
**Geschätzt:** 5 h **Tatsächlich:** –
|
||
|
||
## Ziel
|
||
Anmeldung per OIDC (authentik, in der Entwicklung Mock-Anbieter) und lokaler Notfall-Admin mit Passwort + TOTP. Rollen Admin/Operator/Leser, Re-Auth für kritische Aktionen.
|
||
|
||
## Aufgaben
|
||
- [ ] Sitzungs-Cookie (`jose`), OIDC mit PKCE (`openid-client`)
|
||
- [ ] Rollen aus authentik-Gruppen, bei jeder Anmeldung neu
|
||
- [ ] Notfall-Admin: argon2id + TOTP (Pflicht), Einrichtung beim ersten Login
|
||
- [ ] Re-Auth: OIDC `prompt=login`/`max_age=0` + `auth_time`, Notfall-Admin Passwort + TOTP; Gültigkeit 5 min
|
||
- [ ] Rechtetabelle `darf()`, jede Seite/Route prüft selbst; struktureller Test
|
||
- [ ] Rate-Limit für Anmeldung und Re-Auth
|
||
- [ ] Mock-OIDC-Anbieter in `docker-compose.dev.yml`
|
||
- [ ] Proxy mit CSP-Nonce und Sicherheits-Kopfzeilen
|
||
|
||
## Akzeptanzkriterien
|
||
- [ ] Ohne Anmeldung keine Seite erreichbar
|
||
- [ ] Operator sieht keine Private-Key-Funktionen
|
||
- [ ] Re-Auth älter als 5 min wird abgelehnt
|
||
|
||
## Abhängigkeiten
|
||
#003
|
||
|
||
## Notizen / Entscheidungen
|