Staff-Rollen
Die Personen, die eine sol2flow-Instanz betreiben, haben eine Staff-Rolle. Alle anderen sind „Kein Staff“ und sehen den Admin-Bereich nie. Es gibt vier Rollen:
- Owner: alles, was ein Admin darf, und entscheidet, wer zum Staff gehört.
- Admin: Instanz-Einstellungen, Benutzer, Workspaces, Freigaben von Registrierungen und Kontowiederherstellung.
- Support: sieht Benutzer, gibt Registrierungen frei und stellt Konten wieder her (mit Begründung). Keine Einstellungen, kein Löschen.
- Auditor: nur Lesezugriff auf Benutzer (mit maskierten E-Mail-Adressen), Workspaces und das Audit-Log.
Staff-Rollen sind unabhängig von Workspace-Rollen (Workspace-Admin, Mitglied, Gast).
Was jede Rolle darf
| Berechtigung | Owner | Admin | Support | Auditor |
|---|---|---|---|---|
| Instanz-Einstellungen ändern (Admin → Allgemein, Admin → Authentifizierung: Registrierung, Anmeldung, rechtliche Links, Aufbewahrung, API-Schalter) | ✓ | ✓ | – | – |
| Staff-Rollen vergeben und entziehen | ✓ | – | – | – |
| Benutzer sehen und in welchen Workspaces sie sind | ✓ | ✓ | ✓ | ✓ |
| Vollständige E-Mail-Adressen sehen | ✓ | ✓ | ✓ | maskiert |
| Registrierungen freigeben oder ablehnen | ✓ | ✓ | ✓ | – |
| Konten wiederherstellen: 2FA zurücksetzen, Passkeys entfernen, Passwort-Reset senden, überall abmelden (immer mit Begründung) | ✓ | ✓ | ✓ | – |
| Benutzer und ihren Workspace-Zugriff anlegen und bearbeiten, API-Schlüssel widerrufen, Profilfotos entfernen | ✓ | ✓ | – | – |
| Benutzer und Workspaces löschen und wiederherstellen | ✓ | ✓ | – | – |
| Alle Workspaces sehen (Namen und Nutzung, nie Inhalte) unter Admin → Workspaces | ✓ | ✓ | ✓ (nur lesen) | ✓ (nur lesen) |
| Audit-Log lesen (Admin → Audit-Log) | ✓ | ✓ | – | ✓ |
| Admin in jedem Workspace, der nicht privat ist | ✓ | ✓ | – | – |
Admin-Seiten pro Rolle
Die Seitenleiste im Admin-Bereich zeigt nur die Seiten, die eine Rolle öffnen darf. Eine Seite, die die Rolle nicht öffnen darf, antwortet mit „Seite nicht gefunden“, auch wenn die Adresse von Hand eingegeben wird.
| Seite | Owner | Admin | Support | Auditor |
|---|---|---|---|---|
| Benutzer, Seite eines Benutzers | voll | voll (das Konto eines Owners ist schreibgeschützt) | lesen, Registrierungen freigeben, Kontowiederherstellung | nur lesen, E-Mail-Adressen maskiert |
| Workspaces | voll | voll | nur lesen | nur lesen |
| Allgemein, Authentifizierung | ✓ | ✓ | – | – |
| Audit-Log | ✓ | ✓ | – | ✓ |
Regeln, die die Instanz schützen
- Nur ein Owner ändert Staff-Rollen, auch wenn jemand zum Admin gemacht wird.
- Der letzte Owner behält Rolle und Konto: Der einzige aktive Owner kann nicht herabgestuft (auch nicht von sich selbst), deaktiviert oder gelöscht werden und kann sein eigenes Konto nicht löschen. Machen Sie zuerst jemand anderen zum Owner. Owner können zurücktreten, solange ein anderer Owner bleibt.
- Das Konto eines Owners kann nur ein anderer Owner bearbeiten, deaktivieren, löschen oder dessen API-Schlüssel widerrufen. So kann ein Admin es nicht übernehmen, indem er E-Mail-Adresse oder Passwort ändert.
- Kontowiederherstellung für Staff-Konten (jede Rolle) ist nur Ownern vorbehalten, damit Support kein Admin-Konto übernehmen kann. Niemand kann sein eigenes Konto im Admin-Bereich wiederherstellen; dafür gibt es Einstellungen → Sicherheit.
- Jede Änderung einer Staff-Rolle wird im Audit-Log festgehalten (von → nach).
Eine Staff-Rolle zuweisen
So geben Sie jemandem eine Staff-Rolle oder ändern sie:
- Öffnen Sie Admin → Benutzer und wählen Sie die Person aus.
- Wählen Sie unter Staff-Rolle Owner, Admin, Support, Auditor oder Kein Staff. Unter dem Auswahlfeld sehen Sie, was die gewählte Rolle erlaubt; Alle Rollen vergleichen zeigt die vollständige Tabelle.
- Bestätigen Sie mit Rolle ändern. Der Dialog zeigt, was die Person dazugewinnt und verliert. Die Änderung gilt sofort.
Sie können die Rolle auch festlegen, wenn Sie mit Benutzer hinzufügen ein Konto anlegen.
Wenn Sie Single Sign-on nutzen, gibt die Admin-Gruppe eines Providers ihren Mitgliedern bei der Anmeldung die Rolle Admin, und die optionale Support-Gruppe gibt die Rolle Support. Die Gruppensynchronisierung ändert nie einen Owner (oder einen von Hand gesetzten Auditor) und entzieht nur eine Rolle, die ihre Gruppen vergeben haben. Siehe Anmeldung.
Der erste Owner
Eine neue Instanz braucht zu Beginn einen Owner. Wie Sie ihn bei der Installation anlegen, steht unter Installation. Danach vergibt der Owner alle weiteren Staff-Rollen unter Admin → Benutzer.
Staff in Workspaces
Staff mit der Rolle Owner oder Admin ist automatisch Workspace-Admin in jedem Workspace, der nicht privat ist. Support und Auditor erhalten keinen automatischen Zugriff auf Workspaces. Admin → Audit-Log zeigt jedes Ereignis, auch was innerhalb von Workspaces passiert.
Private Workspaces
Ein Workspace-Admin kann einen Workspace auf Privat stellen. Staff erhält dann keine automatische Rolle darin: Nur ausdrücklich hinzugefügte Personen können ihn öffnen. Unter Admin → Workspaces wird er weiterhin aufgeführt (Name, Mitglieder, Speicherplatz), aber ohne Link und mit dem Hinweis Kein Zugriff. Auf der Seite eines Benutzers erscheint er mit gekürztem Namen, etwa „No••••••“.