midas/ssh-jumphost
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

umbau 1.0

Browse Source
This commit is contained in:
Midas Wollinger
2026-09-02 20:30:44 +02:00
parent afe6719f51
commit 5c95b21be7
77 changed files with 10733 additions and 1914 deletions
Download Patch File Download Diff File Expand all files Collapse all files

2
Jumphost_Konzept.md
View File

@ -131,7 +131,7 @@ Ziel ist ein zentraler **Jumphost/Bastion-Gateway**, über den sämtlicher admin
### 4.6 Rollen, Hostgruppen & Rechte (RBAC)
- **Hostgruppen** bündeln Zielsysteme (z. B. „Prod-Linux-DB", „Windows-Fileserver", „DMZ").
- **Rollen** definieren, was ein Nutzer/eine Gruppe innerhalb einer Hostgruppe darf: `ssh_connect`, `rdp_connect`, `file_transfer`, `clipboard`, `session_recording_view` (Playback fremder Sessions, z. B. für Auditoren), `admin_hostgroup`.
- **Rollen** definieren, was ein Nutzer/eine Gruppe innerhalb einer Hostgruppe darf: `ssh_connect`, `rdp_connect`, `file_transfer`, `credentials_view`/`credentials_manage` (Zugangsdaten-Zuordnung, siehe Phase 8/9). Copy & Paste ist bewusst **kein** eigenes Rollen-Recht, sondern rein host-global über `hosts.clipboard_enabled` steuerbar; Sitzungs-Playback ist bewusst dauerhaft ausschließlich globalen Admins vorbehalten (kein delegiertes Auditor-Recht); eine delegierte Hostgruppen-Admin-Rolle gibt es nicht (Betreiberentscheidung, Teil D.6 Schritt 1 in `Umsetzungsauftrag_Sonnet5.md` — die drei ursprünglich vorgesehenen, nie durchgesetzten Rollen `clipboard`/`session_recording_view`/`admin_hostgroup` wurden mit Migration `0015_remove_dead_roles.sql` entfernt statt ausimplementiert).
- Zuordnung erfolgt über eine Verknüpfungstabelle User/Gruppe × Hostgruppe × Rolle (siehe Datenmodell), sodass granular z. B. „Team A darf SSH auf Hostgruppe X, aber kein Copy & Paste und keinen Filetransfer" abgebildet werden kann.
- Optional vorbereitet: zeitlich befristete/Just-in-Time-Freigaben (Access-Requests mit Ablaufzeit) als Erweiterung.