| Rolle | Darf |
|---|---|
| Eigentümer (Owner) | alles, auch Zugang zum Server und das Terminal. Einen Eigentümer ändert nur ein Eigentümer; der letzte bleibt immer. |
| Administrator | verwalten: Konten, Apps, Container, Updates, Nodes, Speicher, Netzwerk, Firewall, VPN, Websites, Datenbanken, Mail, VMs, NAS, Backups, Module, Benachrichtigungen |
| Operator | Betrieb: Container und freigegebene Dienste steuern, Paketlisten auffrischen; sonst lesen. Keine Installationen, keine Konten. |
| Auditor | lesen, auch Audit-Log, Benachrichtigungen und Backups |
| Nur Lesen | nur Dashboard und Zustand des Systems |
Jede Seite und jede Aktion prüft auf dem Server eine konkrete Berechtigung. Was ein Konto nicht darf, blendet die Oberfläche aus.
Unter Einstellungen → Benutzer und Rollen: Konten anlegen, Rollen ändern, Konten abschalten, fremde Sitzungen beenden, einen Einmalcode zum Zurücksetzen des Passworts erzeugen. Jede Änderung steht im Audit-Log und löst eine Benachrichtigung aus.
Über das Konto-Menü oben rechts:
Die Verwaltung kann den zweiten Faktor zur Pflicht machen, für Administratoren oder für alle. Wer ihn dann noch nicht hat, richtet ihn bei der nächsten Anmeldung ein. Bis dahin geht sonst nichts.
Als zweiter Faktor zählt: der Code aus der App, ein Passkey oder eine Anmeldung über einen Anbieter, der selbst einen zweiten Faktor bestätigt.
Ein Passkey ersetzt Passwort und Code. Er braucht immer deine Bestätigung am Gerät, etwa per PIN, Fingerabdruck oder Gesicht. Eintragen geht nur mit deinem Passwort.
Browser erlauben Passkeys nur für einen Domainnamen, nicht für eine IP-Adresse. Erreichst du HLS-OS nur über die IP, gibt es keine Passkeys.
Melde dich über einen Identitätsanbieter an, etwa Authentik, Keycloak, Microsoft Entra oder Google:
Für Skripte und Monitoring:
Ein Administrator setzt ihn zurück. Bist du der einzige Owner, geht es auf dem Server:
sudo hls-os-installer faktor-zuruecksetzen <dein Kontoname>
Das entfernt Code, Wiederherstellungscodes und Passkeys des Kontos, beendet seine Sitzungen und widerruft seine API-Tokens.