Zentrale Anmeldung und RBAC

Aktueller Stand 16.10.2026

Verbindlich: main@8fb581b730f7a3833566c4bbb7c87875ad921e69; veröffentlicht bleibt v1.9.0. PR #74–#97 sind integriert. Deployment/Discovery, Imagebuilder, Pi-VPN und Syslog sind auf main, nicht mehr nur historische Vorschau. 26 reguläre Rollen einschließlich Deployment-VM; Provisioning ist optional zusätzlich.

Betreiberbestätigt: KDE-Boot, Rufe, SDS, Aufnahme/RF-Wiedergabe und WLAN am 13.10.; 28/28 Discovery-Agenten aktualisiert und keine ungeklärten Remote-Aufträge mehr am 15.10. Ein aktueller Backend-Gesamtrollout, NAS-Entlastung, SIP/Telegram, VPN-Wechsel und Dauerlauf bleiben separat offen. Vier alte Git-/Timeoutfehler bleiben Fehler.

Gesamtroadmap · Upstream-Vergleich · Roadmap und Releases. NETCORE-IAM-01 ist weiterhin Planung; AD-SSO-Pilot und Gruppenmapping sind konkretisiert, Produkt-/Betriebsentscheidung und Umsetzung offen.

NETCORE-IAM-01 bleibt Planung

Die kanonische aktuelle Roadmap ersetzt den alten nicht mehr vorhandenen CENTRAL_IDENTITY_RBAC_ROADMAP.md-Pfad. Am 14.10. wurde SSO mit vorhandenem AD für Dienst-WebUIs und Basisstationen konkretisiert: lesende AD-Anbindung und Gruppenmapping im Pilot M0–M2, native OIDC-Integration beziehungsweise begrenzter Proxy für Fremdanwendungen, getrennte Maschinenidentitäten und Ressourcenrechte.

Nächster Schritt M0-Endpunkt-/Rechtematrix, danach M1-Produkt-/Betriebs-/Sperr-/Ausfallentscheidung. Eigener Identity-LXC, Keycloak und gemeinsamer Rust-Auth-Baustein bleiben Vorschläge; keine Installation, Migration oder wirksame zentrale Zugriffssicherung nachgewiesen. Funkvermittlung darf nicht von einer erreichbaren Web-Anmeldung abhängen.

Historischer Seitenstand bis 07.10.2026

Die folgende frühere Fassung bleibt als datierte Historie erhalten. Frühere Dienstzahlen, Featurebranch-Aussagen, offene Tests und Prioritäten sind keine aktuelle Statusaussage; heutige Verfahren stehen oben beziehungsweise in den verlinkten kanonischen Docs.

Zentrale Anmeldung und RBAC

Aktueller Quellenstand 07.10.2026: main 990bffb2; Release weiterhin v1.9.0. PR #59 mit Hell/Dunkel ist integriert, PR #60 ergänzt Projektarchive. Nur main ist als Branch vorhanden. Deployment/Discovery, Imagebuilder, Pi-VPN und neuere Syslog-Pipeline bleiben ausschließlich am historischen Featurecommit bbf0397 vorhanden. Keine neue Live-Abnahme. Roadmap und Releases · Upstream-Vergleich

NETCORE-IAM-01

Die aktuelle Fachroadmap ist kanonisch. Zentrale Identität, lokale Durchsetzung der Ressourcenrechte und Ablösung regulärer menschlicher TOML-Zugangsdaten sind das Ziel. Eigener Identity-LXC, Keycloak, PostgreSQL, gemeinsamer Rust-Auth-Baustein und optionale AD-Anbindung bleiben Empfehlungen/offene Entscheidungen. M0/M1 sind der nächste Schritt; die Funkvermittlung darf nicht vom Weblogin abhängen. Identity-Ausfall öffnet keinen Zugriff und reaktiviert keine regulären lokalen Logins. Control-Room-Rollen sind eine vorhandene lokale Grundlage, kein zentrales IAM.

Meilensteine und Abnahme

M0 inventarisiert Endpunkte und Rechte, M1 entscheidet Architektur/Ausfallregeln, M2 stellt den Identity-Pilot bereit, M3 entwickelt die gemeinsame Integration. M4 migriert eine TBS; M5 folgt mit Control Room und Zentraldiensten; M6 integriert Provisionierung; M7 nimmt Betrieb/Ausfall/Restore ab. M8 umfasst optional NFC/RFID, AD-Ausbau und höhere Verfügbarkeit. Alle technischen IAM-Meilensteine sind weiterhin geplant.

Menschen, Gäste, Dienste/Stationen und TETRA-Teilnehmer bleiben getrennt. Token-, Ressourcen-, API-/WebSocket- und Sperrprüfungen erfolgen serverseitig. Ein lokaler begrenzter Notzugang ist kein zweiter regulärer Dauerlogin. Die Funkvermittlung bleibt vom Web-IAM unabhängig.

Roadmap und Releases · Security-and-Operations · Control-Room · Dashboard