Benutzer und Anmeldung

Ein Konto für alles#

swaiz bringt eine eigene Benutzerverwaltung mit, den Firmen-Login (Single Sign-on). Das bedeutet:

• Jede Person wird genau einmal angelegt, und jede Gruppenzugehörigkeit wird genau einmal vergeben.
• Mit diesem einen Konto kommt die Person in den Chat und in alle Erweiterungen, die für sie freigegeben sind.
• Kein Bereich der Plattform führt eine eigene Benutzerliste, die du parallel pflegen müsstest.

Der Firmen-Login funktioniert nur, wenn die Plattform eine Domain hat und der Bereich auth (die Benutzerverwaltung) veröffentlicht ist. Ohne Domain läuft die Benutzerverwaltung zwar trotzdem, ist aber nur direkt auf dem Server unter http://localhost:9000 erreichbar, und nichts ist mit ihr verbunden. Der Chat arbeitet dann mit eigenen, lokalen Konten. Wie du eine Domain einrichtest, steht unter Domain und Zertifikate.

Das Administrationskonto#

Bei der Installation legt aictl ein erstes Administrationskonto an:

Das Passwort siehst du jederzeit wieder mit:

sudo aictl auth info --show-password

Wichtig: Melde dich nach der Installation einmal an, ändere das Passwort und aktiviere eine Zwei-Faktor-Anmeldung. Das erzeugte Passwort ist nur für die allererste Anmeldung gedacht.

Gut zu wissen#

• E-Mail-Adresse und Startpasswort werden nur beim allerersten Start der Benutzerverwaltung übernommen. Änderst du später --auth-admin-email, passiert nichts mehr. Ändere die Adresse direkt in der Benutzerverwaltung.
• auth info --show-password zeigt immer das ursprünglich erzeugte Passwort. Hast du es in der Benutzerverwaltung geändert, ist dieser Wert nicht mehr gültig.
• Den Anzeigenamen setzt aictl nur, solange das Konto noch den Standardnamen trägt. Benennst du das Konto selbst um, bleibt dein Name erhalten.
• akadmin wird bei jedem Abgleich der Gruppe Administratoren hinzugefügt. Andere Mitgliedschaften fasst aictl nie an.
• Lösche das Konto akadmin nicht. aictl richtet den Firmen-Login über den Zugang ein, der bei der Installation für dieses Konto entstanden ist.

Wo du die Benutzerverwaltung findest#

sudo aictl auth info

Der Befehl zeigt:

• die Adresse der Benutzerverwaltung, zum Beispiel https://auth.ki.firma.ch/if/admin/ (ohne Domain http://localhost:9000/if/admin/),
• das Anmeldekonto akadmin mit seiner E-Mail-Adresse,
• die beiden Gruppen und was sie erlauben,
• die Administrationsoberfläche der KI-Zentrale und ihr eigenes Konto aictl-admin,
• alle veröffentlichten Bereiche mit ihrer Adresse und ihrem Schutz.

Passwörter sind verdeckt, damit du den Befehl auch in einem geteilten Terminal ausführen kannst. Mit --show-password erscheinen das Startpasswort von akadmin, das Passwort von aictl-admin und der Schlüssel des Wissensspeichers. Die Bereiche der Erweiterungen listet auth info nicht auf.

Gruppen und Rechte#

Alle Berechtigungen hängen an zwei Gruppen, die aictl automatisch anlegt:

Die Gruppen entstehen auch dann schon, wenn noch keine Domain eingerichtet ist. Du kannst sie also im Voraus befüllen.

Der Firmen-Login bestimmt, wer in einer Gruppe ist. Welche Modelle und Wissenssammlungen eine Gruppe im Chat nutzen darf, stellst du im Chat selbst ein.

Wer aictl-admins erhält, verwaltet auch die Benutzerverwaltung selbst, also Personen, Gruppen und Anwendungen. Gib die Gruppe deshalb nur Personen, denen du das Personenverzeichnis anvertraust.

In der Benutzerverwaltung siehst du ausserdem die eingebaute Gruppe «authentik Admins». Sie enthält nur akadmin, über dessen Zugang aictl den Firmen-Login einrichtet. Lass sie und ihr Mitglied stehen. Weitere eingebaute Gruppen für Funktionen, die die Plattform nicht nutzt, entfernt aictl, solange niemand in ihnen ist.

In der Benutzerverwaltung sehen angemeldete Personen ihre Anwendungen: den Chat und die Erweiterungen unter «Apps», die Verwaltungswerkzeuge unter «Admin» (nur für Administratoren).

Wie die Bereiche geschützt sind#

Chat#

• Jede Person hat eine eigene Sitzung.
• Rollen und Gruppen werden bei jeder Anmeldung aus dem Firmen-Login übernommen. Entfernst du jemanden aus einer Gruppe, verliert die Person die Gruppe im Chat bei der nächsten Anmeldung.
• Gibt es im Chat bereits ein lokales Konto mit derselben E-Mail-Adresse, wird es übernommen.
• Sobald der Firmen-Login aktiv ist, ist das lokale Anmeldeformular des Chats ausgeschaltet. Man kommt nur noch über den Firmen-Login hinein.

KI-Zentrale#

Die Adresse der KI-Zentrale bedient zwei Zielgruppen: Menschen in der Administrationsoberfläche /ui und Programme über die Schnittstelle /v1. Nur die Oberfläche läuft über den Firmen-Login und ist auf Administratoren beschränkt. Programme melden sich weiter mit ihren Schlüsseln an.

Halte die Gruppe der Administratoren klein: Die Administrationsoberfläche der KI-Zentrale unterstützt die Anmeldung über den Firmen-Login für höchstens fünf Personen.

Automationen, Wissensspeicher und Websuche#

Diese Bereiche schützt das Gateway: Es fragt bei jeder Anfrage den Firmen-Login und schickt nicht angemeldete Browser zur Anmeldung. Nur Administratoren kommen durch. Dabei entsteht in diesen Anwendungen kein Konto. Die Automationen behalten hinter der Prüfung ihre eigene Anmeldung. Der Wissensspeicher fragt danach nach seinem Schlüssel, den sudo aictl auth info --show-password anzeigt. Dieser Schlüssel öffnet alle Sammlungen, gib ihn deshalb nicht weiter.

Erweiterungen#

Eine Erweiterung, die den Firmen-Login nutzt, erscheint in der Benutzerverwaltung als eigene Anwendung und meldet Personen selbst an. Das funktioniert nur, wenn sowohl die Benutzerverwaltung als auch die Adresse der Erweiterung veröffentlicht sind. Das Gateway prüft bei Erweiterungen nichts zusätzlich.

Am Ende von Installation, Update und apply warnt aictl, wenn eine Erweiterung ohne Anmeldung aus dem Netz erreichbar ist, oder wenn sie den Firmen-Login möchte, die Benutzerverwaltung aber nicht veröffentlicht ist.

Notzugang#

Fällt der Firmen-Login aus, gibt es zwei Wege zurück:

• Benutzerverwaltung: mit dem Konto akadmin direkt anmelden.
• KI-Zentrale: Die Administrationsoberfläche hat unter /fallback/login ein eigenes Anmeldeformular. Melde dich dort als aictl-admin an. Das Passwort zeigt sudo aictl auth info --show-password.

Das Passwort von aictl-admin verwaltet aictl. Jedes apply setzt es auf den gespeicherten Wert zurück. Eine Änderung in der Oberfläche der KI-Zentrale hält also nicht.

Der Hauptschlüssel der KI-Zentrale eignet sich nicht zur Anmeldung an der Oberfläche. Er berechtigt nur Programmaufrufe.

Personen hinzufügen#

1. Öffne die Benutzerverwaltung (Adresse siehe sudo aictl auth info).
2. Melde dich mit einem Konto an, das die Benutzerverwaltung verwalten darf, zum Beispiel akadmin.
3. Lege eine neue Person mit Name und E-Mail-Adresse an.
4. Füge sie der Gruppe Benutzer hinzu. Wer mehr Rechte braucht, kommt zusätzlich in die Gruppe Administratoren.
5. Setze ein Startpasswort oder schicke eine Einladung.

Die Person kann sich danach direkt im Chat anmelden.

Personen entfernen#

Verlässt jemand das Unternehmen, deaktiviere das Konto in der Benutzerverwaltung. Neue Anmeldungen sind sofort blockiert.

Eine bereits geöffnete Sitzung bleibt aber gültig, bis sie abläuft. Hat die Person «Angemeldet bleiben» gewählt, sind das bis zu 30 Tage. Soll der Zugang sofort enden, beende in der Benutzerverwaltung zusätzlich die aktiven Sitzungen der Person.

Gruppen umbenennen#

Die Namen der beiden Gruppen stehen in der Einstellungsdatei /etc/aictl/spec.yaml unter auth.userGroup und auth.adminGroup.

Regeln für die Namen:

• Buchstaben, Ziffern, Punkt, Bindestrich und Unterstrich,
• beginnend mit einem Buchstaben oder einer Ziffer,
• die beiden Namen müssen sich unterscheiden.

So benennst du eine Gruppe um:

1. Trage den neuen Namen in /etc/aictl/spec.yaml ein.

2. Übernimm die Änderung:

   sudo aictl apply
   

apply benennt die bestehende Gruppe in der Benutzerverwaltung um. Mitglieder und Zugänge bleiben dabei erhalten, und der neue Name gelangt in den Firmen-Login, in den Chat und in die Erweiterungen. Hast du die Gruppe vorher schon in der Benutzerverwaltung umbenannt, ist das ebenfalls in Ordnung.

Gibt es in der Benutzerverwaltung bereits beide Namen, etwa weil eine ältere Version eine neue, leere Gruppe angelegt hat, bricht die Umbenennung mit einer Meldung ab. Die Benutzerverwaltung behält dann den alten Namen. Verschiebe die Mitglieder in die Gruppe mit dem neuen Namen, lösche die alte Gruppe und führe sudo aictl apply erneut aus.

Ein Tippfehler bei einem Schlüssel in der Einstellungsdatei wird abgelehnt, statt still ignoriert zu werden.

Gut zu wissen#

• Benutzerverwaltung verbergen schaltet den Firmen-Login ab. Verbirgst du den Bereich auth mit aictl proxy hostname, warnt der Befehl: Nach dem nächsten apply fällt der Chat auf lokale Konten zurück. Konten, die nur über den Firmen-Login entstanden sind, haben dann in der Regel kein Passwort, das jemand kennt.
• Ohne Benutzerverwaltung sind die Verwaltungswerkzeuge offen. Bleiben Automationen, Wissensspeicher oder Websuche veröffentlicht, während auth verborgen ist, sind sie ohne Anmeldeprüfung aus dem Netz erreichbar. Der Wissensspeicher hat keine eigene Anmeldung. Verberge diese Bereiche zusammen mit auth.
• Lokale Ports umgehen den Schutz. Die Anmeldeprüfung findet im Gateway statt. Öffnest du die lokalen Ports mit --bind-address 0.0.0.0 für das Netzwerk, sind dieselben Anwendungen dort ohne Anmeldung erreichbar. Mehr dazu unter Domain und Zertifikate.
• E-Mail-Adressen ändern: Personen können ihre E-Mail-Adresse nicht selbst ändern. aictl setzt diese Einstellung bei jedem Abgleich wieder so.
• Benutzerlimit: Jedes Konto, das sich anmelden kann, zählt, Administratoren eingeschlossen. Die Plattform meldet die Anzahl regelmässig an den Lizenzserver. Das Limit deines Plans wird gezählt, aber nicht erzwungen: Niemand wird ausgesperrt. Mehr dazu unter Lizenz.
• Angemeldet bleiben: Nach dem Passwort fragt die Anmeldung, ob man angemeldet bleiben möchte. Mit Ja bleibt die Person 30 Tage angemeldet, mit Nein endet die Anmeldung, sobald der Browser geschlossen wird. Auf geteilten Geräten ist Nein die richtige Wahl. Chat und Erweiterungen erneuern ihre Anmeldung in dieser Zeit selbst, ohne nochmals nach dem Passwort zu fragen. Die 30 Tage gibt aictl vor. Änderst du sie in der Benutzerverwaltung, kann ein späterer Abgleich sie wieder zurücksetzen.
• Anmeldeseite: Die Anmeldeseite zeigt deinen Firmennamen und dein Logo und ist fest auf das helle Erscheinungsbild eingestellt. Siehe Branding.
• Entfernte Erweiterungen: Entfernst du eine Erweiterung, bleibt ihr Eintrag in der Benutzerverwaltung stehen. Lösche ihn dort bei Bedarf von Hand.
• Status prüfen: aictl status zeigt im Abschnitt «Sign-in» für jeden veröffentlichten Bereich, ob die Anmeldung funktioniert. Schlägt eine Prüfung fehl, hilft meistens sudo aictl apply.

Sicherung#

Benutzer, Gruppen, Anwendungen und Rechte sind Teil des normalen Backups. Nach einer Wiederherstellung ist alles wieder so wie zum Zeitpunkt der Sicherung. Mehr dazu unter Backup und Wiederherstellung.