Jeder Person den benötigten Zugriff geben

Die Authentifizierung stellt fest, welcher Benutzer sich anmeldet, etwa über ein lokales Konto oder ein unterstütztes externes Identitätssystem. Die Autorisierung legt fest, auf welche Projekte und Aktionen dieser Semaphore-Benutzer zugreifen darf. SSO zu aktivieren weist nicht automatisch die passende Betriebsrolle zu. Gestalten Sie beides gemeinsam: Prüfen Sie die Verknüpfung der Identität, fügen Sie die gewünschte Projektmitgliedschaft hinzu und testen Sie mit einem repräsentativen Konto die tatsächlich verfügbaren Aktionen, bevor Sie eine operative Aufgabe delegieren.

Die integrierte Rolle Task Runner darf jede Vorlage ihres Projekts ausführen. Um nur ausgewählte Jobs zu delegieren, verwenden Sie eine benutzerdefinierte Enterprise-Rolle mit Berechtigungen für die gewählten Task Templates und Workflows und ohne projektweite Ausführungsberechtigung. Die Berechtigungen aller zugewiesenen Rollen addieren sich. Eine zusätzlich vorhandene weiterreichende Rolle kann daher weiterhin die Ausführung anderer Vorlagen erlauben.

Ja. Eine benutzerdefinierte Enterprise-Rolle verbindet projektweite Berechtigungen mit Berechtigungen für einzelne Objekte. Lassen Sie projektweite Berechtigungen deaktiviert und fügen Sie nur die vorgesehenen Task Templates und Workflows hinzu. Wählen Sie je Objekt Anzeigen, Ausführen oder Bearbeiten und für einen Workflow zusätzlich Freigeben. Eine globale Rolle wird einmal definiert und projektübergreifend wiederverwendet; eine Projektrolle bleibt im erstellenden Projekt. Benutzer können mehrere Rollen besitzen, deren Berechtigungen sich addieren. Prüfen Sie bei Zugriffsbeschränkungen für sensible Automatisierung deshalb den vollständigen Rollensatz.

Die Vergabe von Berechtigungen für einzelne Objekte gilt für Task Templates und Workflows. Gehen Sie nicht davon aus, dass sich eine projektweite Berechtigung zur Verwaltung von Inventaren, Repositories, Variable Groups oder Key-Store-Einträgen auf ein einzelnes dieser Objekte begrenzen lässt. Nutzen Sie Projektgrenzen und das verfügbare Rollenmodell bewusst, um betriebliche Zuständigkeiten zu trennen. Wenn Ihr Zugriffskonzept eine andere Art der Beschränkung auf Ressourcenebene voraussetzt, prüfen Sie diese konkrete Anforderung vor dem Einsatz in Produktion.

Dokumentierte Authentifizierungsoptionen sind lokale Konten, LDAP und Active Directory, OpenID Connect sowie JWT von einem vertrauenswürdigen Reverse Proxy; die Verfügbarkeit zeigt der aktuelle Tarifvergleich. Auch extern authentifizierte Benutzer besitzen einen Semaphore-Benutzerdatensatz und benötigen den vorgesehenen Projektzugriff. Prüfen Sie Provider-Kennungen und das Verhalten bei der Kontoverknüpfung, bevor Sie eine bestehende Einrichtung ändern. Gehen Sie nicht davon aus, dass die Aktivierung eines Identitätsanbieters automatisch alle Verzeichnisgruppen den für Ihr Berechtigungskonzept nötigen Rollen zuordnet.

Halten Sie neben der externen Authentifizierung einen getesteten lokalen administrativen Wiederherstellungsweg bereit. Dokumentieren Sie die Zuständigkeit, den Aufbewahrungsort der benötigten Zugangsdaten und den Zugriff während eines Ausfalls. Testen Sie den Ablauf vor einem Vorfall, statt erst dann festzustellen, dass alle Administratoren vom selben ausgefallenen Anbieter abhängen. Prüfen Sie nach der Wiederherstellung die betroffenen Konten und Projektzugriffe, damit vorübergehende betriebliche Änderungen nicht zu unbeabsichtigten dauerhaften Berechtigungen werden.

Ja. Die integrierte Rolle Task Runner kann Projektvorlagen ausführen, während andere Ressourcen nur lesbar bleiben. Nutzen Sie für ausgewählte Jobs eine benutzerdefinierte Enterprise-Rolle mit Berechtigungen für diese Task Templates und Workflows. Prüfen Sie alle Rollen des Mitglieds, da sich die Berechtigungen addieren. Ein vorbereitetes Task Template hält die Ausführungskonfiguration für das Team bereit.

Die Rolle Guest gewährt lesenden Projektzugriff. Gäste können Projektinformationen und Task-Ergebnisse prüfen, ohne Tasks auszuführen oder Einstellungen zu ändern. Fügen Sie die Person dem passenden Projektteam hinzu und prüfen Sie auch ihre anderen Rollen. Eine zusätzlich zu Guest zugewiesene weiterreichende Rolle kann zusätzliche Berechtigungen gewähren.

Enterprise-Gruppenzuordnungen verknüpfen eine Gruppe des OIDC-Anbieters mit einer Rolle in einem Semaphore-Projekt. Konfigurieren Sie den Gruppen-Claim beim Anbieter und ergänzen Sie eine Zuordnung für das gewünschte Projekt und die Rolle. Semaphore aktualisiert diese Zuweisungen bei der Anmeldung über diesen Anbieter. Änderungen gelten daher bei der nächsten Anmeldung, nicht sofort für eine bestehende Sitzung.

Ja. Aktivieren Sie TOTP in der Serverkonfiguration, damit Benutzer für ihr lokales Konto eine Authenticator-App registrieren und nach dem Passwort einen zeitbasierten Code eingeben können. Die Registrierung erzeugt einen Wiederherstellungscode für den Fall, dass der Authenticator bei der Anmeldung nicht verfügbar ist. Die Aktivierung erzwingt keine Registrierung jedes Kontos. Behandeln Sie die Einführung deshalb als Prozess. Derselbe Konfigurationsbereich legt eine absolute Sitzungsgrenze fest, die eine Sitzung unabhängig von Aktivität nach einer festen Lebensdauer beendet.