aufgrund von meinem anderem Thema Fernzugriff via Home Assistant Cloud habe ich mich gefragt, wann und wo ich die Administrator-Rechte wirklich benötige (ich hatte immer welche!)
Ich habe mich dazu entschlossen, ab sofort 2 Benutzer zu verwenden: Micha und Micha-Mobil
Einstellungen für die Person „Micha“
Administrator aktiviert
nur lokaler Zugriff aktiviert
Geräte auswählen, die dieser Person gehören (kein Handy!)
Einstellungen für die Person „Micha-Mobil“
Administrator deaktiviert!
nur lokaler Zugriff deaktiviert!
Geräte auswählen, die dieser Person gehören (nur das Handy!)
Ich musste jetzt noch alle Automatisierungen anpassen, wo die Änderung zutrifft und dort die Person von „Micha“ auf „Micha-Mobil“ ändern.
Du findest so die Automatisierungen:
-> Einstellungen-> Geräte & Dienste → Entitäten
suche nache Deiner Person (hier person.micha)
oben rechts auf die 3 Punkte
Zugehörig
wähle die Automatisierung aus
wieder oben auf die 3 Punkte
Automation bearbeiten
hier kannst Du jetzt überall die Person ersetzen
Du musst Dich jetzt nur noch auf dem Handy mit dem neuen Benutzer „Micha-Mobil“ anmelden.
Neues Verhalten:
ich habe jetzt nur noch „Zuhause“ Administrator-Rechte (mit Ausnahme vom Handy)
die Zonen triggern jetzt nur noch über das Handy
unterwegs habe ich weiterhin Zugriff auf mein Smarthome (ohne Administrator-Rechte)
ich „baue“ auch relativ viel… aber nie auf dem Handy und daher bin ich auf dem Handy ein mobiler normaler Anwender und auf den lokalen Geräten habe ich Administrator-Rechte
OK, ich nutze Home Assistant (Web/App) Zuhause nur am PC/Tablet und auf dem Handy unterwegs verwende ich das Home Assistant App nur als reiner Anwender.
Also mein Remote-Zugriff (über die App und Nabu-Casa) erfolgt ohne Admin-Rechte. Es ist mir durch Dummheit schon zu oft passiert, dass ich von unterwegs was geschrottet habe, obwohl ich „nur mal eben schnell“ was optimieren wollte…
Und natürlich haben alle User mit Remote-Zugriff 2FA aktiviert und einzigartige, zufällige Passwörter
Ich habe da auch schon häufiger drüber nachgedacht mir für den externen Zugriff übers Smartphone einen extra Account ohne Admin-Rechte anzulegen. Aktuell greife ich von extern nur über VPN zu, plane aber das ganze auch ohne VPN zugänglich zu machen (für meine Partnerin). Dafür würde sich die Trennung wohl anbieten.
Allerdings betreibe ich gerne Debugging mit vom Smartphone aus, wenn wieder mal etwas nicht funktioniert (wenn ich zuhause bin). Und das würde dann bei einer Trennung der Accounts ja nicht mehr funktionieren. Außerdem kann man dann ja auch keine Geräte mehr vom Smartphone verwalten, was z.B. die Einbindung von Matter-Geräten mit dem Smartphone unterbinden würde (oder?)
ich Debugge auch zu gerne oder füge was hinzu auch mal vom Büro oder von unterwegs aus.
Daher bleibt mein Account als Admin. Meine Frau logischerweise hat ihren eigenen (auch für die Personentracker weil wir darüber Automationen auslösen).
Ich nutze auch Nabu Casa Cloud dafür (auch weil ich damit das Projekt unterstützen will).
Jedoch nutze ich nur Geräte worüber ich die Gewalt habe wenn ich Debugge. Noch nicht mal den Arbeitsrechner.
Ich nutze für mich selber auch 2 Accounts. Den Admin-Account nur mit lokalen Geräten (Zuhause) und den Mobilen nur auf dem Handy.
Ich denke, es ist grundsätzlich sinnvoll, dass jede Person einen eigenen Account bekommt, damit die Trennung ggf. auch in Automatisierungen entsprechend funktioniert.
Das jede Person auch einen eigenen Account bekommt ist für mich klar, alles andere würde auch irgendwie in meinen Augen keinen Sinn ergeben.
Was ich mich halt frage, wenn ich über Mobilgeräte (Smartphones in erster Linie) nur einen Zugang ohne Admin-Rechte verwende, verliere ich ja jede Form der Debug-Möglichkeit auf dem Handy. Sogar noch viel weiter, wenn ich die Rechte richtig verstehe, kann ich damit ja auch keine Geräte mehr hinzufügen. Während das bei Z2M z.B. in erster Linie vielleicht nervig ist (mache das gerne via Smartphone, damit ich es auch direkt am Einsatzort anlernen kann), würde das ja bedeuten das man Geräte über Matter so gar nicht mehr hinzufügen kann (außer man macht das direkt über einen Bluetooth-Dongle an HA). Oder verstehe ich die Einschränkung hier falsch?
Und da würde mich dann schon mal interessieren wie ihr das handhabt?
Ne, das wird die Konseqenuz sein, wie du es beschreibst. Ich mache solche Dinge zu Hause am Laptop. Aber klar, wenn man keinen Laptop hat, kann es nervig sein nicht das Handy für solche Aktionen nutzen zu können!
Das habe ich schon befürchtet, danke für deine Antwort! Wie machst du dass dann bei dir mit Matter-Geräten? Oder nutzt du keine?
Ich hatte gestern noch einen anderen Gedanken. Bei Nextcloud z.B. gibt es ja die Möglichkeit, die Admin-„Range“ einzuschränken. Sprich du kannst Adminzugang nur in einem bestimmten IP-Bereich zulassen. Wisst ihr ob es in HA auch so eine Möglichkeit gibt?
Für Nextcloud kann hier einfach in der config.php ein IP-Adressbereich definiert werden, aus welchem Admin-Features benutzt werden können. Wenn von außerhalb des Bereichs zugegriffen wird, sind Admin-Rechte für den Account einfach deaktiviert.
Ist hier in dem Artikel beschrieben (unter Restrict admin actions to a specific range of IP addresses):
ich habe zur „Rechteverwaltung“ eine andere Meinung und habe hier den Eindruck, dass sehr viele (mit Ausnahmen) eh immer und überall mit Adminrechten aktiv sein wollen und hier ist die Trennung Admin Ja/Nein vollkommen ausreichend.
… wenn Du aber meinst, über die Rechteverwaltung verschiedene Ansichten im Dashboard je Account zu haben, dann bin ich wieder bei Dir
je nachdem wo man gerade is wenn gerade nicht ein Rechner zu Hand is oder so
das war mir nicht bekannt