Benutzerverwaltung

Vaultigen funktioniert nur auf Einladung. Es gibt keine öffentliche Registrierung. Super-Admins verwalten Konten unter System → Benutzer und Teams unter System → Teams.

Benutzer einladen

1. Öffnen Sie System → Benutzer und wählen Sie Benutzer einladen.
2. Geben Sie die E-Mail-Adresse und optional Plattformrollen an.
3. Vaultigen sendet einen Einmal-Link, der nach 24 Stunden abläuft.

Die eingeladene Person öffnet den Link, bestätigt die E-Mail-Adresse, wählt ein Passwort und richtet einen erlaubten zweiten Faktor ein, bevor sie einen Tresor öffnen kann. Eine erneute Einladung an dieselbe Adresse ersetzt die vorherige offene Einladung.

Die Liste Letzte Einladungen zeigt Status (offen, angenommen, abgelaufen, widerrufen) und Zustellstatus jeder Einladung. Dort können Sie:

• Erneut senden: verschickt einen neuen Link; der vorherige funktioniert sofort nicht mehr.
• Widerrufen: der Link funktioniert sofort nicht mehr, und die Einladung belegt keinen Platz mehr.

Wurde eine Einladung angelegt, aber die E-Mail nicht versendet, prüfen Sie die Mail-Konfiguration und nutzen Sie Erneut senden.

Plätze und Benutzerlimit

Jeder aktive Benutzer und jede offene Einladung belegt einen Platz. Die kostenlose Edition erlaubt 10 Plätze; Ihre Lizenz erlaubt eventuell mehr oder unbegrenzt viele. Die Benutzerseite zeigt, wie viele Plätze belegt sind.

Ist kein Platz frei, lehnt Vaultigen das Hinzufügen weiterer Benutzer ab: Neue Einladungen, das Annehmen älterer Einladungen und das Reaktivieren von Konten werden blockiert, und die Ablehnung erscheint in Aktivität als „Benutzerlimit erreicht“. Bestehende Benutzer werden nie eingeschränkt. Um einen Platz freizugeben, deaktivieren Sie einen Benutzer oder widerrufen eine offene Einladung. Siehe Lizenzierung.

Teams

Ein Team ist eine Gruppe von Benutzern, die gemeinsam Berechtigungen auf Tresore, Ordner oder Einträge erhalten kann. Wer einem Team hinzugefügt wird, bekommt sofort genau die Zugriffe, die das Team bereits hat. Wer entfernt wird, verliert sie sofort. Direkt an den Benutzer vergebene Zugriffe bleiben unberührt.

Legen Sie Teams unter System → Teams an und verwenden Sie Team verwalten, um es umzubenennen und Mitglieder hinzuzufügen oder zu entfernen.

Plattformrollen

Plattformrollen gelten installationsweit und geben nie Zugriff auf Geheimnisse:

Rolle	Darf
Super-Admin	Benutzer, Teams, Einstellungen, Backups, Schlüssel, Importe und Tresor-Hüllen verwalten. Liest keine Geheimnisse ohne Tresor-Berechtigung oder den protokollierten Notfallzugriff.
Auditor	Das Audit-Log und berechtigte Metadaten lesen.
Tresorersteller	Neue Tresore anlegen, sonst nichts.

Rollen vergeben Sie bei der Einladung oder später über die Aktionen des Benutzers. Tresorzugriffe werden getrennt davon im jeweiligen Tresor verwaltet. Siehe Rollen und Berechtigungen.

Zweiten Faktor eines Benutzers zurücksetzen

Verliert jemand sein Telefon oder kann keine Codes mehr empfangen, nutzt ein Super-Admin Authentifizierung zurücksetzen in den Aktionen des Benutzers. Das Zurücksetzen:

• erfordert das eigene Passwort des Admins und einen frischen Code des zweiten Faktors,
• erfordert eine schriftliche Begründung (schreiben Sie nie ein Passwort hinein),
• widerruft alle Sitzungen, gemerkten Geräte und Wiederherstellungscodes des Benutzers,
• benachrichtigt den Benutzer und zwingt ihn, vor dem nächsten Tresorzugriff erneut einen Faktor einzurichten.

Benutzer mit Authenticator-App sollten zuerst einen ihrer Wiederherstellungscodes verwenden. Konten, die nur E-Mail-Codes nutzen, haben keine Wiederherstellungscodes und brauchen immer ein Zurücksetzen durch einen Admin.

Deaktivieren und reaktivieren

Deaktivieren meldet den Benutzer überall ab: Sitzungen und Remember-Tokens werden widerrufen, jede weitere Anfrage wird abgelehnt. Deaktivierte Benutzer belegen keinen Platz. Für das Reaktivieren muss ein Platz frei sein.

Verlässt jemand die Organisation, verwenden Sie statt einer einfachen Deaktivierung das Offboarding. Es entscheidet auch, was mit den Tresoren der Person geschieht, und listet die Zugangsdaten, die sie angezeigt hat.

Administratoren können sich nicht selbst deaktivieren oder sich die eigene Super-Admin-Rolle entziehen; das muss ein anderer Admin tun.

Administratoren über die Kommandozeile anlegen

Auf dem Server legt vaultigen:bootstrap einen weiteren Super-Admin an:

php artisan vaultigen:bootstrap [email protected] --name="Second Admin"

Bei Docker Compose führen Sie ihn im Web-Container aus: docker compose exec web php artisan vaultigen:bootstrap [email protected] --name="Second Admin".

Halten Sie mindestens zwei Administratoren vor, damit ein verlorener Faktor Sie nie aus der Verwaltung aussperrt.