Первые шаги администратора

Инструкция для нового администратора Zentro: первый вход, второй фактор, что где в панели и что делать в первый день. Установка — Установка панели и кабинета, единый вход для приложений — Единый вход.

Первый вход

Первого администратора заводит тот, кто устанавливал Identity: в панели на экране «Первый запуск» по коду установки из журнала сервера (логин и пароль задаёте сами) или командой bootstrap-admin <email> (временный пароль печатается один раз) — см. Установка сервера. Следующих администраторов заводят в панели (Пользователи) и выдают им роль IDENTITY_ADMIN.

1. Откройте панель (https://admin.example.com — только из внутренней сети) и войдите логином и временным паролем.
2. Identity попросит сменить пароль — придумайте свой (не короче минимума политики, по умолчанию 12 символов).
3. Вы в панели, но почти всё закрыто: без второго фактора админские разделы не открываются.

Второй фактор — обязательно

Уровень входа — это то, чем вы подтвердили, что вы — это вы:

Уровень	Чем	Что открыто
AAL1	Только пароль	Личный кабинет, но не админские разделы
AAL2	Пароль + код из приложения-аутентификатора или резервный код	Админские разделы
AAL3	Ключ доступа (passkey): Touch ID, Windows Hello, аппаратный ключ	Всё, в том числе операции, для которых порог поднят до ключа

Завести фактор: меню аккаунта в шапке → Личный кабинет → Безопасность:

1. «Подключить приложение-аутентификатор» — отсканируйте QR приложением (Google Authenticator, 1Password, Яндекс Ключ…), введите код → «Подтвердить».
2. Сразу — «Сгенерировать коды» (резервные коды). Сохраните их в менеджере паролей или распечатайте. Пока их нет, на странице висит предупреждение — и не зря: потеряете телефон без кодов — войти сможет помочь только другой администратор.
3. Лучше всего — ещё и «Добавить passkey»: вход по отпечатку или ключу, фишинг-устойчивый, даёт высший уровень AAL3 и позволяет входить без пароля.

Затем подтвердите личность — нажмите «Подтвердить личность» на Обзоре (или откройте любой админский раздел): введите код или приложите ключ. Уровень поднимется до AAL2/AAL3 без выхода.

Второй фактор, заведённый сейчас, не поднимает уже открытую сессию сам — поэтому и нужно «Подтвердить личность». При следующем входе код спросят сразу.

Подтверждение на опасных операциях

Сброс пароля и второго фактора, привязки, безвозвратное удаление, смена настроек, роли — операции привилегированные. Панель перед ними сама попросит подтвердить личность (ключом, кодом или паролем) и продолжит операцию — ничего повторять не нужно.

Если порог в настройках поднят до ключа (security.privileged_min_aal = AAL3), такие операции потребуют именно passkey — код не подойдёт. Поднять порог до AAL3, не имея своего ключа, Identity не даст: иначе вы бы заперли себя.

Что где в панели

Раздел	Для чего
Обзор	Всё ли в порядке: входы и неудачные входы, покрытие вторым фактором, заявки на согласование, лицензия, ваш уровень входа
Пользователи	Завести, выдать роли, помочь с входом, заблокировать, удалить — Пользователи
Сервисы	Подключить сервис целиком мастером: роли, приложения, API — Подключение сервиса
Роли	Роли и их права — Роли и права
OAuth-клиенты	Приложения, которые входят через Zentro или ходят в API — Подключение приложения
Ресурсы OAuth	API сервисов и кто в них ходит — Подключение приложения
Внешние IdP	Вход через корпоративный каталог (OIDC, Keycloak, LDAP, AD) — Внешние провайдеры входа
Согласования	Заявки «двух пар глаз» на необратимые операции — Роли и права
Аудит	Журнал «кто что сделал» с фильтрами; целостность журнала и юридические удержания — Настройки установки
Настройки	Политика безопасности, бренд, аудит, лимиты — Настройки установки
Лицензия	Ключ, тариф, использование лимитов, сверка с вендором — Настройки установки

Чего вам нельзя по правам — в меню не видно. Разделы с частью прав открываются, но кнопки недоступных действий скрыты; решает всё равно сервер.

Личное — в шапке: «Язык и время» (язык, часовой пояс, тема, плотность списков — только в этом браузере) и меню аккаунта → Личный кабинет (профиль, сессии, безопасность). Раздел или действие быстро находит поиск в шапке.

Первый день: чек-лист

Большую часть списка панель проверяет сама: на «Обзоре» висит блок «Настройка установки» — лицензия, почта, второй администратор, свой ключ доступа и резервные коды, название и логотип, состояние компонентов системы. У каждого невыполненного пункта — ссылка «Открыть» на нужный экран; выполненные зачёркиваются, когда всё сделано — блок пропадает. Пункт, который вам не по правам проверить, в блок не попадает. «Скрыть» убирает блок в этом браузере, но если появится новый невыполненный пункт (например, перестал отвечать воркер), блок вернётся.

Полный список — с тем, что панель проверить не может:

1. Сменить временный пароль, завести аутентификатор, сохранить резервные коды, добавить passkey.
2. Завести второго администратора — и проверить, что он вошёл со вторым фактором. Один администратор — это риск: потеряет доступ, и восстанавливать придётся с сервера.
3. Настройки → Безопасность: политика паролей, регистрация (нужна ли самостоятельная), пороги уровня входа — Настройки установки.
4. Настройки → Оформление: имя бренда, логотип, иконка вкладки.
5. Лицензия: ввести ключ от менеджера вендора (без ключа — бесплатный тариф).
6. Аудит → Целостность журнала и удержания: «Проверить заново» — цепочка журнала должна быть цела; достроить, если не построена.
7. Подключить первые сервисы и приложения; при корпоративном каталоге — внешний IdP.

Если потеряли доступ

Ситуация	Что делать
Потерян телефон, резервные коды есть	Войти резервным кодом, удалить старый фактор, завести новый, сгенерировать новые коды
Потерян телефон, кодов нет	Попросить другого администратора: Пользователи → вы → Второй фактор → Сбросить MFA
Забыли пароль	«Забыли пароль?» на экране входа — письмо уйдёт на подтверждённую почту; нет её — другой администратор выдаст временный пароль
Администраторов не осталось	Только с сервера Identity: admin-recover <email> (с --reset-mfa — снять и второй фактор). Это делает тот, кто обслуживает Identity

Частые ошибки

Что видно	Причина	Что сделать
«Раздел требует повышенного уровня входа (AAL2)»	Вход только по паролю	«Подтвердить личность»; нет фактора — Личный кабинет → Безопасность
«Эта операция требует подтверждения ключом доступа»	Порог поднят до AAL3	Завести passkey и повторить
Раздела нет в меню	Нет прав	Попросить роль у администратора
«Резервные коды не сохранены» на Безопасности	Фактор есть, кодов нет	«Сгенерировать коды» и сохранить
Passkey не добавляется: «Браузер или окружение не поддерживает»	Нужен HTTPS (или localhost) и адрес панели в настройках Identity	Вопрос к тем, кто разворачивал (Единый вход, WEBAUTHN_RP_ORIGIN)