Anmeldung

Mitglieder melden sich auf einer einzigen Seite an, ob im Dashboard oder auf einem Gerät: Die Apps öffnen sie in einem Browser, ebenso sxaccess start (mit --no-browser gibt die CLI stattdessen den Link aus). SXAccess betreibt das Identitätssystem selbst; auf Ihrer Seite müssen Sie also nichts bereitstellen oder einrichten.

Eine Anmeldung weist nach, wer jemand ist. Was die Person darf, wird bei jeder Anfrage neu entschieden: Rolle und Sperrstatus werden jedes Mal gelesen, eine Änderung an einem von beiden gilt also sofort.

Ein Passkey ersetzt das Passwort durch Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Er funktioniert nur, wenn die Organisation ihn unter Settings → Authentication → Allow signing in with a passkey erlaubt; in einer neuen Organisation ist das ausgeschaltet. Das Passwort funktioniert daneben weiter. Verlangt die Organisation einen zweiten Faktor, ersetzt ein Passkey nur das Passwort, und der zweite Faktor wird trotzdem abgefragt. Wie Sie einen Passkey registrieren, beschreibt Mit einem Passkey anmelden.

Hat ein Mitglied einen zweiten Faktor eingerichtet (eine Authenticator-App, einen Code per E-Mail oder einen Sicherheitsschlüssel), wird er bei jeder Anmeldung mit Passwort oder mit Google im nächsten Schritt abgefragt. Eine Organisation kann einen zweiten Faktor mit Settings → Authentication → Require it to enter this organization vorschreiben, auch für Anmeldungen mit Google; wer keinen hat, wird bei der nächsten Anmeldung gebeten, einen einzurichten, sodass niemand ausgesperrt wird. Die einzelnen Fälle beschreibt Was bei der Anmeldung abgefragt wird; wie Sie die Methoden einrichten, steht unter Zwei-Faktor und Passkeys.

Mitglieder mit der Rolle Owner oder Admin laden Personen unter People → Members → Invite member ein. Für eine Adresse ohne SXAccess-Konto wird ein Konto mit der Adresse als Anmeldenamen angelegt, und an die Adresse geht eine E-Mail mit dem Betreff You have been invited to SXAccess. Deren Schaltfläche Accept invitation öffnet Complete your invite, wo die Person Vor- und Nachnamen und ein Passwort festlegt und sich dann anmeldet. Wer lieber Google nutzt, schließt die Einladung zuerst ab und verbindet Google danach, wie unten beschrieben.

Eine Adresse, die bereits ein Konto hat, wird sofort hinzugefügt und per E-Mail benachrichtigt. Diese Person meldet sich wie bisher an, mit ihrem Passwort oder mit Continue with Google, wenn das Konto über Google angelegt wurde. Siehe Jemanden einladen.

No account yet? Register fragt nach Vor- und Nachnamen, E-Mail-Adresse und Passwort, danach nach dem Bestätigungscode aus der E-Mail, die daraufhin eintrifft. Ist die Adresse bereits registriert, sagt die Seite das und bietet stattdessen die Anmeldung an. Ein Konto, das noch zu keiner Organisation gehört, ob registriert oder über Google angelegt, landet nach der Anmeldung bei Create your Organization; siehe Eine Organisation anlegen.

Eine Google-Anmeldung mit einer Adresse, die bereits ein Konto hat, wird abgelehnt, bis das Mitglied Google aus diesem Konto heraus verbindet, unter Profile Settings → Sign-in → Connected sign-in providers. Verbinden lässt sich nur ein Google-Konto mit derselben E-Mail-Adresse; danach funktionieren beide Wege. Der Umweg ist Absicht: Entschiede allein die Adresse, könnte jeder, der sich ein Google-Konto für die Adresse einer Kollegin beschafft, deren Konto übernehmen. Die Schritte stehen unter Anmeldung mit Google und Ihr Passwort.

Gruppen entscheiden, was die Geräte eines Mitglieds erreichen können. Für Personen werden sie im Reiter Access der Seite des Mitglieds festgelegt, und per Anmeldung registrierte Geräte übernehmen sie von dort; jedes Gerät gehört außerdem zur Gruppe All. Nichts ist erreichbar, solange keine Zugriffsregel es erlaubt; siehe Gruppen und Zugriffsregeln.

Ob eine Änderung an den Gruppen eines Mitglieds auch dessen vorhandene Geräte verschiebt, hängt von Enable user group propagation ab (People → Groups → Settings, standardmäßig an); siehe Gruppenweitergabe.

Im Dashboard gilt eine Anmeldung höchstens 12 Stunden. Nach 30 Minuten ohne Aktivität meldet das Dashboard Sie ab, und die Anmeldeseite zeigt You were signed out after 30 minutes without activity. Sign in again to continue. Sind die 12 Stunden abgelaufen, zeigt sie Your session has ended. Sign in again to continue. Arbeit in einem beliebigen Dashboard-Tab zählt als Aktivität. Log out in Ihrem Kontomenü beendet eine Anmeldung sofort.

Auf einem Gerät gibt es keine Abmeldung bei Inaktivität; die Apps und die CLI bleiben angemeldet. Ein per Anmeldung registriertes Gerät folgt stattdessen den Sitzungsregeln der Organisation. Ist Settings → Security → Expire device sessions an (Standard, 24 Stunden), muss sich die Person auf dem Gerät erneut anmelden, wenn dessen Sitzung abläuft. Disconnect inactive devices kann die Sitzung außerdem nach einer festgelegten Zeit ohne Verbindung beenden. Mit einem Registrierungsschlüssel registrierte Geräte laufen nie ab. Siehe Organisationseinstellungen.

Änderungen an einem Mitglied wirken unabhängig davon: Eine neue Rolle oder eine Sperre gilt ab der nächsten Anfrage, und eine Sperre lässt außerdem jedes Gerät ablaufen, das die Person per Anmeldung registriert hat.

Ein Zugriffstoken authentifiziert ein Programm, keine Person, und läuft nie über die Anmeldeseite. Zwei-Faktor, Passkeys und die Abmeldung bei Inaktivität gelten dafür nicht: Es funktioniert, bis es abläuft oder gelöscht wird oder bis das Konto, zu dem es gehört, gesperrt oder entfernt wird. Stellen Sie Token für die Automatisierung für ein Dienstkonto aus, und bewahren Sie sie wie Passwörter auf.

• Google wird abgelehnt. Die Adresse hat bereits ein Konto; verbinden Sie Google wie oben beschrieben.
• Der Passkey funktioniert nicht. Die Meldung ist bei jeder Ursache dieselbe - Passkeys nicht erlaubt, Passkey entfernt, Abfrage abgebrochen. Melden Sie sich mit dem Passwort an.
• Aufforderung, einen zweiten Faktor einzurichten. Die Organisation verlangt einen zweiten Faktor. Richten Sie einen ein, dann geht die Anmeldung weiter.
• Zweiter Faktor verloren. Ist noch eine andere Methode zur Hand, wählen Sie bei der Anmeldung Use another method. Andernfalls prüft jemand mit der Rolle Owner oder Admin, mit wem er es zu tun hat, und wählt dann unter People → Members im Zeilenmenü des Mitglieds Reset two-factor. Das Zurücksetzen entfernt die Authenticator-App und die Codes per E-Mail. Sobald es auf einen Sicherheitsschlüssel oder Passkey stößt, bricht es jedoch mit einem Fehler ab, und alles, was es bis dahin nicht entfernt hat, bleibt bestehen. Schreiben Sie in diesem Fall an support@sxaccess.com. Siehe Wenn jemand seinen zweiten Faktor verliert.
• Nach 30 Minuten abgemeldet. Die Abmeldung bei Inaktivität im Dashboard, kein Fehler. Geräte bleiben verbunden.
• Sitzung beendet. Der Server hat Ihre Anmeldung im Dashboard beendet, und die Anmeldeseite zeigt Your session has ended. Sign in again to continue. Das geschieht, wenn die Anmeldung ihre Höchstdauer erreicht, wenn Sie sich in einem anderen Tab oder Fenster dieses Browsers abmelden und wenn sich das Passwort des Kontos ändert. Eine Änderung im Reiter Password beendet jede andere Anmeldung des Kontos, ein Zurücksetzen über Forgot your password? beendet alle. Melden Sie sich erneut an.
• Gesperrtes Mitglied. Jede Anfrage wird abgelehnt, im Dashboard wie über die API. Schalten Sie zum Entsperren Block user im Reiter Profile des Mitglieds aus.
• Gerätesitzung abgelaufen. Das Gerät verschwindet aus den Listen der anderen Geräte, bis sich die Person darauf erneut anmeldet. Hier tut Expire device sessions genau das, wofür es da ist.
• Angemeldet, und das Gerät erreicht trotzdem nichts. Prüfen Sie die Gruppen des Mitglieds und dann die Zugriffsregeln, die sie nennen.