Администраторы¶

Доступ к панели Mcaster устроен именными учётными записями: у каждого, кто заходит в панель, свой логин, свой пароль и своя роль. Список этих учётных записей машина хранит у себя — это её собственный список сотрудников, и он не пересекается ни с чем другим.

В частности, администраторы — не зрители. Сессии просмотра в разделе Сессии — это те, кто смотрит каналы, и к доступу в панель они отношения не имеют. Смешивать эти два списка нельзя: у них разный смысл, разный жизненный цикл и разные последствия у ошибки.

Первый вход¶

Свежепоставленная машина администраторов ещё не знает — заводить их некому. Войти в неё можно единственным способом: статическими учётными данными, которые пакет сгенерировал при установке. Логин — admin, пароль — значение EDIT_AUTH_PASSWORD из /etc/mcaster/secrets.env (файл читает только root, см. Установку).

Панель принимает эти данные и сразу просит завести именную учётную запись:

Заведённая здесь запись получает роль superadmin — только она управляет остальными администраторами. Дальше работайте под ней, а не статическими данными. Причина простая: статические данные одни на всех, и на вопрос «кто это сделал» они не отвечают.

Ссылка Продолжить со статическими учётными данными пропускает этот шаг. Предложение вернётся при следующем входе — пока список администраторов пуст, панель будет напоминать о нём.

Статические учётные данные — аварийный вход¶

Статические данные никуда не исчезают после того, как администраторы заведены. Это сделано намеренно: они остаются аварийным входом на случай, когда именные учётные записи не выручают — единственный суперадмин уволился, забыл пароль или запись отключили по ошибке. Войдя ими, вы всегда можете завести нового суперадмина.

Обращайтесь с ними как с ключом от серверной:

• пароль лежит в /etc/mcaster/secrets.env, доступ к файлу — только у root;
• меняется он там же, и машина подхватывает новое значение при перезапуске сервиса;
• тем, кому нужен повседневный доступ, заводите именную учётную запись, а не выдавайте этот пароль.

Раздел «Администраторы»¶

Раздел виден только суперадмину. Остальным ролям его нет ни в меню, ни по прямой ссылке — запрет держит сервер, а меню лишь не показывает того, чего роль всё равно не получит.

В списке три колонки, которые отвечают на три вопроса:

• Логин — под каким именем человек заходит.
• Роль — что ему можно.
• Состояние — Активен, Временный пароль (запись заведена, но владелец ещё не сменил выданный ему пароль) или Отключён (запись есть, доступа нет).

Роли¶

Роль у администратора ровно одна, и выбирать приходится из трёх:

• superadmin — всё, включая этот раздел и замену документа лицензии.
• admin — вся повседневная работа: стримы, шаблоны, машины кластера, архив, доступ к воспроизведению. Закрыты ровно две вещи — раздел администраторов и замена лицензии.
• viewer — только наблюдение: панель управления и сессии. Настройка закрыта целиком, включая чтение.

Про смотрителя стоит сказать отдельно, потому что запрет на чтение настроек выглядит избыточным. Он не избыточен: в документах настроек по построению лежат секреты — пароли доступа к чужим источникам, ключи, учётные данные машин. Отдать документ и вырезать из него секреты по дороге нельзя, поэтому смотрителю не отдаётся документ.

Роль проверяется сервером на каждом запросе, а не только при входе.

Добавление администратора¶

Кнопка Добавить администратора открывает форму:

Пароль здесь вводите временный и передавайте человеку любым способом, каким передаёте пароли. Поставьте галку Потребовать смену пароля при первом входе: пароль, который вы придумали за другого, знаете и вы, а значит общим секретом он быть перестал.

В списке новая запись видна в состоянии Временный пароль:

Владелец записи при первом входе попадает не в панель, а на форму смены пароля:

До смены пароля не открывается ничего больше — это отказ сервера, а не оформление окна: даже зная адреса, обойти форму нельзя. После смены человек оказывается в панели сразу, повторно входить не нужно.

Правка, сброс пароля и отключение¶

Кнопка Правка в строке открывает всё, что можно поменять у существующей записи:

• Роль — новая роль вступает в силу немедленно: сессии записи гасятся, и человек входит заново уже с новыми правами.
• Новый пароль — то, чем возвращают к работе забывшего пароль. Своего пароля панель не покажет никому, поэтому забытый пароль не восстанавливают, а выдают новый. Выданный здесь пароль тоже временный: владелец сменит его при следующем входе. Пустое поле означает «пароль не трогать».
• Заметка — для чего эта запись и чья она. Пригодится, когда записей станет десяток.
• Отключён — доступ закрывается сразу, вместе с уже открытыми сессиями, а сама запись остаётся.

Отключение — это то, чем пользуются в большинстве случаев: человек ушёл в отпуск, сменил роль в компании, потерял ноутбук. Кнопка Удалить стирает запись насовсем; удалять стоит тогда, когда запись заведена по ошибке.

Что видит смотритель¶

Так выглядит та же панель под ролью viewer: в меню остались панель управления и сессии, разделы настройки не показываются.

Это удобная роль для дежурной смены и для тех, кому нужно видеть, что происходит, но не нужно ничего менять.

Сессия в браузере¶

Панель не хранит пароль в браузере. После входа она работает по выданному сервером пропуску, который сама продлевает, пока вкладка открыта, — заново вводить пароль в течение рабочего дня не приходится.

Кнопка Выход гасит сессию на сервере, а не только закрывает вкладку. Это важно, когда вы уходите с чужой машины: закрытая вкладка сама по себе доступ не отбирает, а Выход отбирает.