How to: Einen neuen Benutzer vorbereiten und einladen

Eine neue Kollegin braucht ein Konto. Name und Adresse sind bekannt, ebenso die Gruppen, in die sie gehört, und dass sie eine Authenticator-App verwenden soll. Ein Kennwort soll weder gewählt noch notiert noch verschickt werden – und die Selbstregistrierung ist auf dieser Instanz abgeschaltet. Alles soll einmal festgelegt werden, mit genau einer Nachricht, ohne nach dem Einlösen in zwei weitere Bildschirme zurückzukehren.

Eine Einladung ist derselbe Vorgang wie eine Selbstregistrierung, nur von der Verwaltung eröffnet statt von der Person selbst – und sie trägt, womit das Konto angelegt werden soll: seine Gruppen und die Pflicht zum zweiten Faktor. Sie legt kein Konto an: Geschrieben wird nur ein offener Vorgang, und das Konto entsteht – in diesen Gruppen, unter dieser Pflicht – in dem Moment, in dem die Person den Code mit einem selbst gewählten Kennwort einlöst.

Drei Dinge folgen daraus, alle beabsichtigt:

• Eine abgeschaltete Selbstregistrierung blockiert die Einladung nicht. Dass Fremde sich nicht anmelden dürfen, ist eine Aussage über Fremde; dass Sie eine Person benennen, ist keine. Zwei Schalter, nicht einer.
• Sie erfahren das Kennwort nie. Sie geben einen Code weiter, und der berechtigt zum Setzen eines Kennworts, ohne eines zu offenbaren.
• Eine nie eingelöste Einladung hinterlässt nichts. Gruppen und Pflicht liegen auf dem Vorgang, nicht in der Benutzerverwaltung und nicht in der Richtlinie. Wer die Einladung zurückzieht oder ablaufen lässt, zieht beides mit zurück.

Verwaltung → Einladungen und offene Vorgänge (do=admin&page=wkidentity_invites), Recht: Superuser. Wählen Sie in der Befehlsleiste Neue Einladung:

1. Identität – Anmeldename, vollständiger Name, E-Mail-Adresse.
2. Zugriff – je Projekt eine Rolle wählen: keine, Leser, Mitwirkender oder Maintainer; unter jedem Projekt steht sein Namensraum. Administrator unter Allgemeine Rollen gibt vollen Zugriff auf das ganze Wiki. Eine Gruppe, die es noch nicht gibt, kommt in Weitere Gruppen, durch Komma getrennt. Die Standardgruppe user fehlt, weil jedes Konto sie erhält. Was eine Rolle darf, legt die Zugangsverwaltung fest, die von hier aus verlinkt ist.
3. MFA – vorbelegt sind die Art Authenticator-App und die Verbindlichkeit Erforderlich. Damit sieht das Konto keinen Inhalt, bis eine Authenticator-App eingerichtet und in der Sitzung bewiesen ist; die Profilseite zum Einrichten bleibt erreichbar, und die Einladung nennt der Person diesen Schritt.
4. Anlass – wird im Kontoprotokoll festgehalten, sobald die Einladung eingelöst ist.
5. Einladung prüfen. Dieselben Prüfungen wie beim Versand laufen jetzt, ohne dass etwas geschrieben wird; eine Ablehnung führt zurück ins Formular, mit dem Satz am betroffenen Feld. Geht alles durch, zeigt die Seite, was geschrieben wird: die bereinigten Werte, die Gruppen, wo die ACL für diese Gruppen ihre Antwort ändert (nach Stufe gruppiert: Bearbeiten, Lesen, Keine), die Startseite nach der Anmeldung, die Pflicht, die Fristen – und dass genau eine E-Mail an genau eine Adresse geht.
6. Einladen – oder Zurück.

Der Code geht als Nachricht hinaus und wird Ihnen einmal angezeigt, damit Sie ihn weitergeben können, falls die Zustellung unzuverlässig ist. Der Vorgang erscheint in der Liste darunter, mit seinen Gruppen und seiner Pflicht.

Wenn überhaupt keine Nachricht hinausgeht, über die Kommandozeile:

php bin/plugin.php wkidentity invite mmustermann "Max Mustermann" max@example.org --groups=redaktion --mfa

Das Werkzeug gibt die Gruppen, die das Konto erhalten wird, und die Pflicht bereinigt aus, danach den Code. Weitere Befehle desselben Werkzeugs: list, code, cancel, purge.

Was die eingeladene Person tut: den Verweis aus der Nachricht öffnen (do=wkidentity_otp&ticket=<kennung>) – oder ohne Verweis über den Anmeldenamen –, Code, Anmeldename und zweimal ein Kennwort eingeben, sich anmelden und, wenn verlangt, im Profil die Authenticator-App einrichten. Danach ist nichts mehr zu tun, auch nicht für die Verwaltung.

• Der Code wird genau einmal gezeigt. Abgelegt ist nur sein Fingerabdruck; es gibt keine Stelle, an der er ein zweites Mal zu lesen wäre. Das ist die Eigenschaft, die den Ablauf trägt, nicht ein Versäumnis.
• Die Standardgruppe wird ergänzt, nicht verlangt. Jede ACL dieser Instanz gibt das Grundrecht der Gruppe @user; ein Konto ohne sie könnte sich anmelden und nichts lesen. Sie wird deshalb nicht angeboten und ist beim Einlösen dabei.
• „Erforderlich“ sperrt den Inhalt, nicht die Anmeldung. Die Pflicht greift an der Rechteprüfung. Die Person kann sich also anmelden, ihr Profil öffnen und einrichten; jede andere Seite nennt den Grund der Ablehnung und verweist auf das Profil. Die Einrichtung selbst zählt als Nachweis der Sitzung – die nächste Seite verlangt keinen zweiten Code.
• Wo das Konto nach der Anmeldung landet, folgt aus seinen Gruppen. Dieses Wiki kennt keinen Startbereich je Konto: Die Weiterleitungsregeln der Oberfläche (wkfluentui, Einstellung routing_rules) wählen die Seite nach Gruppe, und die ACL entscheidet, was das Konto dort lesen darf. Die Prüfseite zeigt beides für die gewählten Gruppen, damit die Folge vor dem Versand sichtbar ist. Wer sie ändern will, ändert Regeln oder Gruppen, nicht das Konto.
• Das Kennwort wird vor dem Code geprüft. Wer sich beim neuen Kennwort vertippt, verbraucht dafür keinen Code. Geprüft wird serverseitig gegen min_password_length (Vorgabe 14).
• Ein Name mit offenem Vorgang bekommt keinen zweiten. Stattdessen nachschicken – der Knopf steht auf demselben Bildschirm und macht den vorherigen Code ungültig.
• Eine vertippte Adresse ist der häufigste Grund für einen nie angekommenen Code. Adresse ändern und neu senden behebt beides in einem Zug: neue Zustellung, und der bereits zur falschen Adresse unterwegs befindliche Code verfällt.
• Der Vorgang überlebt den Code: sieben Tage gegen dreißig Minuten in der Vorgabe, sodass sich über ein Wochenende nachschicken lässt, ohne von vorn zu beginnen.
• Der Mindestabstand für Nachschub entfällt auf dem Verwalterweg. Eine Rettung eine Minute warten zu lassen, nachdem sich der Gerettete vertippt hat, ist das Gegenteil ihres Zwecks.
• Nichts besetzt einen Namen. Wird die Einladung nie eingelöst, läuft sie ab und wird abgeräumt; der Anmeldename war nie vergeben.
• Die Pflicht später aufheben: Verwaltung → MFA (Mehr-Faktor-Authentifizierung), Fläche Benutzer, Spalte Authenticator erforderlich – dieselbe Stelle, an der sie für jedes andere Konto sichtbar ist.

• Überblick
• How to: Einen zweiten Faktor verlangen
• Fehlerdiagnose