Rollen und Berechtigungen

Eine Rolle auf deinem Knoten

Jeder Administrator auf deinem Knoten trägt dieselbe Rolle, operator_admin. Sie verwaltet diesen Server: Nutzer, Sitzungen, Anmeldehistorie, blockierte Versuche, Organisationen, Tresore, Benachrichtigungen und Protokolle.

Es gibt eine zweite Rolle, die zentral bei Trusted Codes liegt und die Föderations-, Berechtigungs- und kommerziellen Kontrollen besitzt. Sie wird auf deinem Knoten nicht verwendet, und es gibt von hier aus keinen Weg zu ihr. tc-operator add-admin ist fest auf operator_admin festgelegt und kann die zentrale Rolle niemals vergeben. Die Grenze wird bei jeder Anfrage auf dem Server geprüft, nicht nur in der Konsole verborgen.

Die ehrliche Grenze: Das beschränkt die Mitarbeitenden, denen du delegierst, nicht dich selbst. Dir gehört das Postgres auf deiner eigenen Maschine.

Was der Server verweigert

Manche Bereiche sind für operator_admin gesperrt und ganz aus der Seitenleiste ausgeblendet: Tarife, Berechtigungen, die gesamte Gruppe Settings (Systemparameter und Feature-Flags, KI-Prompts, Exportkonfigurationen, Systemetiketten, die Dashboard-Registrierung), die Marketing-Bildschirme, die Inhaltsbildschirme, die Analytics-Dashboards, die Verwaltungsseiten für föderierte Server und die zentral vorbehaltenen Einträge unter Operations (Analytics für KI-Chats, API-Kosten, Beta-Anmeldungen, Systemstatus). Nur Audit Log und Function Logs bleiben in dieser Gruppe erhalten.

Rufst du eine dieser Adressen direkt auf, bekommst du eine Seite mit der Überschrift Not available, die dir sagt, dass der Bereich zentral verwaltet wird und für Betreiberadministratoren nicht zugänglich ist.

Das ist Absicht. Die Berechtigungsobergrenze, unter der dein Knoten läuft, wird zentral vergeben, und du verwaltest deine Mitglieder innerhalb dieser Grenze. Von deiner eigenen Konsole aus kannst du sie nicht anheben.

Bedienelemente, die zu sehen sind und trotzdem abweisen

Der Filter der Seitenleiste blendet ganze Bildschirme aus. Er blendet keine einzelnen Knöpfe innerhalb eines Bildschirms aus, den du öffnen darfst, sodass dir eine Handvoll Bedienelemente sichtbar bleibt, die der Server beim Drücken abweist. Erwarte eine Fehlermeldung, keine Wirkung.

Auf Users: Test User, Clean Tests, Import, einen Nutzer anlegen, einen Nutzer löschen, Nutzer massenhaft löschen, ein Konto sperren oder entsperren, ein Gerät löschen, die Daten eines anderen Nutzers exportieren, Superuser-Rechte vergeben oder entziehen sowie einen Berechtigungs-Override vergeben oder bearbeiten und einen Tarif zuweisen, entfernen oder umdatieren.

Auf Organizations: Provision Business Org, das Deprovisionieren und das Löschen einer Organisation.

Unter Notifications → Send Bulk: der ganze Bildschirm. Er listet die Angaben jedes Nutzers über die gesamte Installation hinweg auf und entschlüsselt sie, weshalb er zentral vorbehalten bleibt, auch wenn die Seitenleiste ihn aufführt.

Unter Identity & Access → External Members: der ganze Bildschirm, aus demselben Grund — er liest durch einen zentral vorbehaltenen Bereich hindurch.

Auf dem Dashboard: jede Kachel außer Recent Activity. Siehe Benachrichtigungen und Protokolle.

Die beiden zusätzlichen Berechtigungen

Neben der Rolle gibt es zwei Berechtigungen, die einzeln und zusätzlich zu ihr vergeben werden. Sie existieren, damit du jemandem eine Notfallfunktion in die Hand geben kannst, ohne ihm zugleich die persönlichen Daten deiner Mitglieder zu übergeben.

can_revoke erlaubt der Person, die es trägt, einen Partnerserver in beide Richtungen zu kappen. Dein erster Administrator bekommt diese Berechtigung bei der Installation, denn eine Notfallfunktion, die mitten in einem Vorfall eine Kommandozeile braucht, ist keine Notfallfunktion.

can_reveal erlaubt der Person, die es trägt, jeweils eine protokollierte Einladungsadresse zu entschlüsseln, und erlaubt ihr, die Aufbewahrung einzuschalten, durch die überhaupt erst eine wiederherstellbare Kopie entsteht. Sie ist ausgeschaltet, bis du sie vergibst, denn sie erzeugt neue personenbezogene Daten.

So vergibst du sie:

tc-operator add-admin --email someone@example.com --can-revoke
tc-operator add-admin --email someone@example.com --can-reveal

Um sie einzeln zurückzunehmen, nutze --revoke zusammen mit dem Flag dieser Berechtigung. --revoke allein entzieht die Rolle und beide Berechtigungen.

Die Vergabe von can_reveal gibt eine Warnung aus, die der Person mitteilt, dass sie nun eingeladene Adressen entschlüsseln kann. Jede Entschlüsselung wird dauerhaft aufgezeichnet, mit dem Namen der lesenden Person, dem Zeitpunkt und einem Grund, den sie eintippen muss.

Fehlt dir eine dieser Berechtigungen, wird das Bedienelement gar nicht erst angeboten. Der Knopf Cut off in einer Serverzeile zeigt dann needs permission statt einer Aktion, und der Knopf show neben einer maskierten Adresse fehlt schlicht.