Anmeldeverfahren

Alle melden sich an; der Name im Speicherverlauf jedes Bildes ist der angemeldete Benutzer. Drei Verfahren lassen sich kombinieren. Sie und ihre Geheimnisse werden nur in der Konfigurationsdatei des Servers eingestellt (Abschnitt auth), nie im Browser.

Anmeldekarte mit der Schaltfläche Sign in with Company SSO und den Feldern Benutzername und Passwort für das Firmenkonto

Lokale Konten

"local_login": true (Standard). Admins legen lokale Konten im Browser an (siehe Benutzer und Rollen). Passwörter haben mindestens 10 Zeichen und werden als PBKDF2-SHA256-Hashes mit 600 000 Runden gespeichert.

Behalten Sie mindestens einen lokalen Administrator, auch mit Verzeichnis oder Single Sign-on. Er ist Ihr Zugang, wenn das Verzeichnis nicht erreichbar ist.

Active Directory / LDAP

Der Server sucht den Benutzer mit einem Dienstkonto mit Lesezugriff, prüft das Passwort mit einer Anmeldung als dieser Benutzer und liest die Gruppen. Die Benutzer melden sich mit demselben Namen und Passwort an wie an ihrem Arbeitsplatzrechner.

"ldap": {
  "enabled": true,
  "label": "company account",
  "url": "ldaps://dc01.ad.example.com:636",
  "ca_file": "company-root-ca.pem",
  "bind_dn": "CN=ldap-bind,OU=Service Accounts,DC=ad,DC=example,DC=com",
  "bind_password_file": "ldap-bind.secret",
  "base_dn": "DC=ad,DC=example,DC=com",
  "user_filter": "(&(objectClass=user)(sAMAccountName={username})(!(userAccountControl:1.2.840.113556.1.4.803:=2)))",
  "group_attribute": "memberOf",
  "group_filter": "(&(objectClass=group)(member:1.2.840.113556.1.4.1941:={dn}))"
}

url

ldaps://host:636 (empfohlen) oder ldap://host:389 mit "start_tls": true. Das Zertifikat wird gegen ca_file oder den Zertifikatspeicher des Systems geprüft.

bind_dn, bind_password_file

Das Dienstkonto mit Lesezugriff. Leer: anonyme Suche.

base_dn, user_filter

Wo und wie Benutzer gesucht werden; {username} wird durch den eingegebenen Namen ersetzt. Das Beispiel überspringt deaktivierte Konten.

group_attribute

Gruppen am Benutzereintrag (memberOf im Active Directory).

group_filter, group_base_dn

Optionale Gruppensuche; das Beispiel findet verschachtelte Gruppen im Active Directory. {dn} und {username} werden ersetzt.

username_attribute, display_name_attribute, email_attribute

Standard sAMAccountName, displayName, mail.

label

Name auf der Anmeldeseite.

timeout_s

Standard 10.

Eine zusätzliche Bibliothek ist nicht nötig: Der LDAP-Client ist Teil des Servers.

Single Sign-on (OpenID Connect)

Die Benutzer klicken auf Sign in with … und melden sich beim Identitätsanbieter des Unternehmens an (Authorization Code Flow mit PKCE). Abmelden beendet auch die Sitzung beim Anbieter.

  1. Registrieren Sie beim Anbieter einen vertraulichen Client mit der Rücksprungadresse <public_url>/api/auth/oidc/callback.

  2. Konfigurieren Sie ihn:

    "oidc": {
  "enabled": true,
  "label": "Company SSO",
  "issuer": "https://sso.example.com/realms/example",
  "client_id": "lumiscan-annotation",
  "client_secret_file": "oidc-client.secret",
  "scopes": "openid profile email",
  "username_claim": "preferred_username",
  "groups_claim": "groups"
}

  3. Setzen Sie public_url (siehe Konfiguration).

    Keycloak

    Client mit Client authentication an, Valid redirect URI wie oben, Valid post logout redirect URI <public_url>/ und einem Mapper *Group Membership mit dem Claim-Namen groups. Alternativ Client-Rollen: "groups_claim": "resource_access.lumiscan-annotation.roles".

    Microsoft Entra ID

    Issuer https://login.microsoftonline.com/<Tenant>/v2.0; "groups_claim": "groups" (Objekt-IDs der Gruppen) oder App-Rollen mit "roles".

Wer welche Rolle bekommt

  • Neue Verzeichnis- und Single-Sign-on-Benutzer erhalten default_role (Standard annotator; leer: keine Rolle, bis ein Admin oder eine Gruppenzuordnung eine vergibt).

  • In initial_admins aufgeführte Namen werden bei ihrer ersten Anmeldung Admins.

  • Groups → roles im Browser vergibt Rollen an ganze Gruppen; sie werden bei jeder Anmeldung aktualisiert. Siehe Gruppen und Rollen.

  • Benutzer ohne jede Rolle können sich nicht anmelden; sie werden gebeten, einen Administrator zu fragen, und den Admins aufgelistet.

Unter Ihrem Namen → Users and sign-in → Sign-in methods sehen Admins, was konfiguriert ist, die beim Anbieter einzutragende Rücksprungadresse und können eine Verzeichnisanmeldung testen:

Reiter Sign-in methods: lokale Konten, Verzeichniseinstellungen mit einem Formular zum Testen einer Verzeichnisanmeldung, Single-Sign-on-Einstellungen mit der Redirect URI