Ersteinrichtung

Für externe Konten nutzen Sie die Integrationsübersicht, um Hosting, Git, SSH oder Cloudflare auszuwählen. Konfigurieren Sie nur die Verbindungen, die Sie für Ihren ersten Ablauf benötigen; für die manuelle Registrierung von Nodes ist kein Anbieterkonto erforderlich.

Der Einrichtungsassistent legt den ersten Administrator und die anfängliche Sicherheitskonfiguration der Opfield-Instanz fest. Schließen Sie ihn über die kanonische HTTPS-URL ab, nachdem die Dienste der Control Plane fehlerfrei laufen. Führen Sie den Assistenten nicht über eine temporäre IP-Adresse aus, um danach auf einen anderen Hostnamen zu wechseln: Browser-Cookies, Weiterleitungen, generierte Links und die Konfiguration des Identitätsanbieters hängen von einem einheitlichen Origin ab.

Die Person, die die Einrichtung abschließt, verantwortet vorübergehend die privilegierteste Operation der Installation. Verwenden Sie einen kontrollierten Administrator-Arbeitsplatz, vermeiden Sie Bildschirmfreigaben und halten Sie den vom Installationsprogramm ausgegebenen Einrichtungscode geheim, bis er verbraucht ist.

Bevor Sie den Assistenten öffnen

Bestätigen Sie, dass:

• die kanonische URL ohne Zertifikatswarnung lädt;
• die Opfield-Anwendung, PostgreSQL, Redis und Relay fehlerfrei laufen;
• der vorgesehene Authentifizierungsanbieter sowohl vom Browser als auch von Opfield aus erreichbar ist;
• ausgehende E-Mails funktionieren, bevor Sie Einmalcodes per E-Mail als verpflichtenden Anmeldeweg wählen;
• Adresse und Identität des ersten Administrators korrekt sind;
• eine zweite vertrauenswürdige Person oder ein dokumentiertes Notfallverfahren (Break Glass) die Wiederherstellung absichert.

Wenn OIDC die primäre Methode sein soll, legen Sie den Client im Identitätsanbieter mit genau der Redirect-URI an, die Opfield anzeigt. Schema, Hostname, Pfad und Port müssen übereinstimmen. Raten Sie den Callback nicht und normalisieren Sie ihn nicht über eine zusätzliche Proxy-Weiterleitung.

Die Ersteinrichtung abschließen

1. Öffnen Sie die kanonische Opfield-URL und geben Sie den gültigen Einrichtungscode ein.
2. Prüfen Sie die erkannte öffentliche URL und die Netzwerkeinstellungen. Halten Sie an, wenn der angezeigte externe Origin nicht die Adresse ist, die Benutzer öffnen werden.
3. Wählen Sie mindestens eine Anmeldemethode: OIDC, lokales Passwort oder Einmalcode per E-Mail. Der Assistent fragt dann nach dem OIDC-Anbieter und, bei Passwort oder E-Mail-Code, nach dem E-Mail-Versand.
4. Erstellen Sie den ersten Administrator und prüfen Sie die Kontokennung vor dem Absenden. Sind mehrere Anmeldemethoden aktiviert, wählen Sie außerdem, wie sich der Administrator anmeldet.
5. Wählen Sie das strukturierte Logging: deaktiviert, verwaltetes lokales ClickHouse oder ein externes ClickHouse. Beide Speicheroptionen erfordern den Business-Tarif; ohne ihn lassen Sie das Logging deaktiviert und aktivieren es später unter Settings.
6. Prüfen Sie Review configuration und wenden Sie die Konfiguration an. Der Assistent fragt dann nach einem Lizenzschlüssel oder Continue with Community und bietet zuletzt AI Workspace an, das Sie überspringen können.
7. Schließen Sie die Einrichtung ab und melden Sie sich über die normale Anmeldeseite an, statt sich weiter auf den Einrichtungszustand zu verlassen.
8. Legen Sie Wiederherstellungsmaterial im freigegebenen Secrets-System ab und machen Sie jede temporäre Kopie unbrauchbar.

Ein erfolgreicher Abschluss verbraucht den Einrichtungsweg. Der Einrichtungscode ist keine dauerhafte administrative Zugangsberechtigung und sollte nicht als Ersatz für ein Wiederherstellungskonto aufbewahrt werden.

Authentifizierung bewusst wählen

OIDC ist in der Regel die erste Wahl, wenn eine Organisation bereits einen Identitätsanbieter betreibt. Es zentralisiert den Lebenszyklus von Identitäten und die Richtlinien, Opfield wendet nach der Authentifizierung aber weiterhin seine eigenen Gruppen und Scopes an. Testen Sie An- und Abmeldung, Claim-Zuordnung, Kontoabgleich und das Verhalten bei Ausfall des Anbieters, bevor Sie es zum einzigen administrativen Weg machen.

Lokales Passwort ist nützlich für eigenständige Installationen und ein kontrolliertes Notfallkonto. Wenden Sie eine strenge Passwort- und MFA-Richtlinie an, beschränken Sie, wer von der Existenz des Kontos weiß, und testen Sie es regelmäßig, ohne es für Routinearbeit zu verwenden.

Einmalcode per E-Mail hängt von zuverlässigem ausgehendem E-Mail-Versand und korrekter Zustellkonfiguration ab. Ein erfolgreicher Anbietertest reicht nicht: Prüfen Sie, dass ein tatsächlicher Code das vorgesehene Postfach erreicht und dass ein Zustellfehler nicht alle Administratoren aussperrt.

Passkeys werden registriert, nachdem das primäre Konto existiert, und können als starker, MFA-fähiger Faktor dienen. Registrieren Sie mehr als einen geeigneten Authenticator, wenn die Richtlinie es erlaubt, und dokumentieren Sie die Kontowiederherstellung für den Fall, dass ein Gerät verloren geht.

Opfield unterstützt SCIM noch nicht. Die SCIM-Bereitstellung ist geplant, ein Veröffentlichungstermin wird jedoch nicht garantiert. Bis sie verfügbar ist, verwalten Sie Benutzer und Gruppen in Opfield oder automatisieren den unterstützten Administrationsablauf über die REST API mit einem eingeschränkten OAuth-Client, sofern Ihr Identitätssystem externe APIs aufrufen kann. Die OIDC-Anmeldung weist die Identität nach; sie stellt Opfield-Zugriff weder selbst bereit noch entfernt sie ihn.

Die administrative Grundkonfiguration herstellen

Unmittelbar nach der ersten erfolgreichen Anmeldung:

• richten Sie einen zweiten administrativen Wiederherstellungsweg ein oder prüfen Sie ihn;
• konfigurieren Sie MFA, wo die Richtlinie der Organisation es verlangt, unter Settings > Authentication;
• öffnen Sie Profile > Authorizations, prüfen Sie aktive Sitzungen und widerrufen Sie nicht mehr benötigte Einrichtungs- oder Testsitzungen;
• legen Sie Gruppen nach dem Prinzip der geringsten Rechte an, bevor Sie normale Benutzer einladen;
• prüfen Sie den Lizenzstatus und die aktivierten Funktionseinstellungen;
• konfigurieren Sie Benachrichtigungen für Ausfälle der Control Plane und der Nodes;
• erstellen Sie ein verschlüsseltes Backup und bestätigen Sie, dass der Schlüssel zur Secret-Verschlüsselung im Wiederherstellungsverfahren enthalten ist;
• halten Sie die kanonische URL, die Zuständigkeit für den Identitätsanbieter und den Notfallzugriff im Betriebs-Runbook fest.

Geben Sie normalen Operatoren nicht die Rolle des Systemadministrators, nur um den Einstieg zu erleichtern. Ressourcenbezogener Zugriff kann vor dem ersten Produktions-Workload eingeführt werden und ist leichter nachzuvollziehen, als breiten Zugriff später wieder zu entziehen.

Sicher prüfen und wiederherstellen

Verwenden Sie eine neue private Browsersitzung, um den normalen Anmeldeweg zu bestätigen. Prüfen Sie, dass sich der erste Administrator anmelden, MFA abschließen, Profile erreichen und nur die erwarteten Autorisierungen sehen kann. Ist OIDC konfiguriert, bestätigen Sie außerdem die Abmeldung und eine zweite Anmeldung, damit eine zwischengespeicherte Einrichtungssitzung kein Weiterleitungsproblem verdeckt.

Wenn der Assistent den Einrichtungscode ablehnt, prüfen Sie, dass er weder abgelaufen noch bereits verbraucht ist und dass der Browser dieselbe Instanz erreicht, die ihn erzeugt hat. Wenn der Assistent in einer Schleife hängt oder die Sitzung verliert, untersuchen Sie kanonische URL, weitergeleiteten Host und weitergeleitetes Schema, Cookie-Sicherheit und Zeitsynchronisation. Schlägt er fehl, nachdem ein Teil der Konfiguration geschrieben wurde, prüfen Sie die Anwendungs- und Migrationslogs, bevor Sie es erneut versuchen; löschen Sie nicht die Datenbank und erzeugen Sie keine neue Installation, nur um die Seite zurückzusetzen.

Sobald normale Administration und Wiederherstellung geprüft sind, fahren Sie mit Ihren ersten Node hinzufügen fort.