Giv hver person den nødvendige adgang

Autentifikation fastslår, hvilken bruger der logger ind via en lokal konto eller et understøttet eksternt identitetssystem. Autorisation bestemmer, hvilke projekter og handlinger Semaphore-brugeren har adgang til. Aktivering af SSO tildeler ikke i sig selv den korrekte driftsrolle. Design begge dele sammen: bekræft identitetsforbindelsen, tilføj det tilsigtede projektmedlemskab, og test de faktiske handlinger for en repræsentativ konto, før du uddelegerer en driftsopgave.

Den indbyggede Task Runner-rolle kan køre alle projektets skabeloner. Brug en tilpasset Enterprise-rolle med tilladelser til udvalgte opgaveskabeloner og workflows og uden projektomfattende kørselsrettighed til kun at uddelegere valgte job. Alle tildelte rollers rettigheder lægges sammen, så en bredere rolle ved siden af kan stadig lade personen køre andre skabeloner.

Ja. En tilpasset Enterprise-rolle kombinerer projektomfattende rettigheder med tilladelser på individuelle objekter. Lad projektrettigheder være slået fra, og tilføj kun de relevante opgaveskabeloner og workflows med visning, kørsel eller redigering samt godkendelse af workflows. En global rolle defineres én gang og genbruges i projekter; en projektrolle bliver i sit oprindelige projekt. Brugere kan have flere roller, og rettigheder lægges sammen, så gennemgå hele sættet ved begrænsning af følsom automatisering.

Rettigheder til individuelle objekter gælder opgaveskabeloner og workflows. Antag ikke, at en projektomfattende rettighed til at administrere inventarer, repositories, variabelgrupper eller nøglelagerposter kan begrænses til ét af disse objekter. Brug projektgrænser og den tilgængelige rollemodel bevidst, når driftsansvar adskilles. Hvis adgangsdesignet afhænger af en anden ressourcebegrænsning, skal det præcise krav kontrolleres før produktionsbrug.

De dokumenterede autentifikationsmuligheder er lokale konti, LDAP og Active Directory, OpenID Connect og JWT fra en betroet reverse proxy, med tilgængelighed vist i den aktuelle plansammenligning. En eksternt autentificeret bruger har stadig en Semaphore-brugerpost og kræver den tilsigtede projektadgang. Kontroller udbyderidentifikatorer og kontoforbindelsesadfærd før ændring af eksisterende opsætning. Antag ikke, at aktivering af en identitetsudbyder automatisk mapper alle kataloggrupper til de nødvendige roller.

Vedligehold en testet lokal administrativ gendannelsesvej ved siden af ekstern autentifikation. Dokumenter ejerskab, placering af nødvendige legitimationsoplysninger, og hvordan adgang bruges under en afbrydelse. Test processen før en hændelse frem for at opdage, at alle administratorer afhænger af samme utilgængelige udbyder. Undersøg efter gendannelse relevant konto- og projektadgang, så midlertidige driftsændringer ikke bliver utilsigtede permanente rettigheder.

Ja. Den indbyggede Task Runner-rolle kan køre projektskabeloner, mens andre ressourcer forbliver skrivebeskyttede. Brug en tilpasset Enterprise-rolle med tilladelser til de relevante opgaveskabeloner og workflows for adgang til udvalgte job. Kontroller alle medlemmets roller, da rettigheder lægges sammen. En forberedt opgaveskabelon holder eksekveringsopsætningen tilgængelig for teamet.

Guest-rollen giver skrivebeskyttet projektadgang. En gæst kan undersøge projektoplysninger og opgaveresultater uden at køre opgaver eller ændre indstillinger. Føj personen til det rigtige projektteam, og gennemgå også andre roller. En bredere rolle tildelt sammen med Guest kan give yderligere rettigheder.

Enterprise-gruppemapping forbinder en OIDC-udbydergruppe med en rolle i et Semaphore-projekt. Konfigurer groups-claim hos udbyderen, og tilføj en mapping til det tilsigtede projekt og rolle. Semaphore opdaterer tildelingerne, når personen logger ind via udbyderen, så ændringer anvendes ved næste login frem for straks i en eksisterende session.

Ja. Aktiver TOTP i serverkonfigurationen, så brugere kan tilmelde en autentifikatorapp til den lokale konto og indtaste den tidsbaserede kode efter adgangskoden. Tilmelding giver en gendannelseskode til login uden appen. Aktivering tvinger ikke alle konti til tilmelding, så behandl indførelsen som en proces. Samme konfigurationsområde angiver en absolut sessionsgrænse, der afslutter sessionen efter fast tid uanset aktivitet.