Dashboard Passwort / Readonly für Einstellungen

[Mathek]

Hallo,

ich habe eedc als iframe/website in mein HA Dashboard eingebunden.
Nun wäre es schön, wenn die Familie sich das eedc Dashboard anschauen könnte aber keine Änderungen an den Einstellung machen dürfte.
Gibt es schon eine Art Readonly Modus oder Passwortschutz für das Einstellungen-Tab?

Viele Grüße
Mathek

[supernova1963]

Hallo Mathek,

nein, so etwas gibt es in eedc nicht — und ich will dir gleich sagen, warum das
kein Versehen ist, sondern eine Entscheidung, die man umdrehen müsste.

Was heute schon geschützt ist

Weil eedc als Add-on über Ingress läuft, kommt niemand an die Oberfläche,
der nicht in Home Assistant angemeldet ist. Die Außentür ist also zu. Was fehlt,
ist die Unterscheidung zwischen deinen HA-Benutzern — und genau die kennt
eedc nicht: Es gibt in eedc keinen Benutzerbegriff, keine Rollen, kein Login.
Die Anwendung ist von Anfang an als Einzelplatz-Werkzeug im eigenen Netz gebaut,
und das steht auch so im README, damit sich niemand auf einen Schutz verlässt,
den es nicht gibt.

Ein „Readonly-Modus" ist deshalb kein Schalter, den ich umlegen kann. Er
verlangt, dass eedc weiß, wer gerade davorsitzt — und ab da redet man über ein
Berechtigungskonzept. Das ist machbar, aber es ist ein eigenes Vorhaben, kein
Häkchen.

Was ich dir NICHT rate

Die naheliegende Idee wäre, das eedc-Tab im Dashboard für andere Benutzer
auszublenden. Das sieht aus wie eine Lösung, ist aber keine: Die Adresse bleibt
erreichbar, wer sie kennt oder zufällig findet, ist trotzdem drin. Ich möchte
dir keinen Schutz empfehlen, der nur so aussieht.

Eine Rückfrage, und die entscheidet einiges

Willst du verhindern, dass jemand aus Versehen etwas verstellt — oder dass es
jemand absichtlich tut?

Das sind zwei sehr verschiedene Aufgaben. Gegen das Versehen hilft schon eine
Sperre, die man bewusst lösen muss, bevor Einstellungen bearbeitbar werden —
ohne jede Benutzerverwaltung, für alle gleich. Gegen die Absicht hilft nur ein
echtes Berechtigungskonzept mit allem, was dazugehört.

Wenn es dir ums Versehen geht — und ich vermute das, wenn die Familie einfach
mal draufschaut —, ist das eine deutlich kleinere Sache, über die es sich zu
reden lohnt.

Einen Termin sage ich dir nicht zu; erst will ich wissen, welche der beiden
Fragen deine ist.

Viele Grüße
Gernot

[Mathek]

Danke für die Antwort.
ich verstehe, dass ein Berechtigungskonzept samt Implementierung viel Aufwand ist und für eedc auch nicht zielführend ist.
Evtl. könnte man über eine Kompromisslösung nachdenken. Denn ich will schon, dass die Familie und Besucher sich die schönen Grafiken anschauen können, aber es "in der Praxis" ausgeschlossen ist, dass jemand außer mir etwas an den Einstellungen ändert.

Die praktischste Lösung wäre dein Vorschlag mit der Sperre, die man mit einer PIN/Passwort quittieren muss. (Das Wording "PIN" suggeriert bereits, dass es nicht 100% sicher ist). Die Sperre müsste bei jeder Session erneut entsperrt werden. (solange eine PIN/Passwort gesetzt ist).
Fall PIN Vergessen:
-Für den Fall, dass man die PIN vergisst, könnte es einen API call geben um die PIN zu resetten. Die reset URL könnte man öffentlich in der Git doku schreiben, s.d. man diese über google findet im Notfall.
-Falls dir die URL Reset Idee nicht gefällt könnte man es auch auf einen Button legen.

Die PIN Methodik ist offensichtlich ein Kompromiss. Aber es reicht für die Praxis m.E. nach aus um Modifikationen durch Familie oder Besucher zu vermeiden.

Wäre das ein gangbarer Kompromiss?

VG

[supernova1963]

Hallo Mathek,

ja, dein Kompromiss war gangbar — und er ist gebaut. Mit eedc 4.0.26 gibt es unter Einstellungen → Anlage eine optionale PIN. Ist sie gesetzt, kann jeder weiterhin alle Auswertungen ansehen; zum Ändern wird sie einmal je Browser-Sitzung abgefragt. Hell/dunkel bleibt frei, das ist keine Einstellung in diesem Sinne.

Zwei Dinge habe ich anders gelöst, als du vorgeschlagen hattest.

Erstens sitzt die Sperre im Server, nicht in der Oberfläche. eedc stellt seine Schnittstelle offen bereit — eine PIN, die nur Knöpfe ausblendet, wäre in zwei Minuten umgangen, und dann hätte ich dir ein Schloss verkauft, das keins ist.

Zweitens der Rückweg: keine Reset-Adresse in der Dokumentation. Wer die PIN umgehen möchte, gehört per Annahme zu deinem Haushalt und fände sie mit derselben Suche wie du. Stattdessen verlangt der Rückweg Zugriff auf die Maschine — im Add-on die Option einstellungen_pin_zuruecksetzen, im Standalone-Betrieb EEDC_PIN_RESET=1. Genauso vergessenssicher wie deine Idee, nur eben nicht für alle.

Was ich dir noch schulde: eine Korrektur. Ich hatte geschrieben, die fehlende Zugriffskontrolle stehe „so im README". Ich habe nachgesehen — sie steht dort nur für die Standalone-Variante. Du betreibst die Home-Assistant-App, und für die sagt derselbe Text sinngemäß, der Ingress übernehme die Authentifizierung. Das ist für die Haustür richtig und für deine Frage irreführend gewesen. Der Punkt geht an dich; ich habe den Text inzwischen präzisiert.

Und ein Hinweis, der dich betrifft: In derselben Version erscheint eedc jetzt auch bei Home-Assistant-Benutzern ohne Administratorrechte in der Seitenleiste — das war ein Wunsch von anderer Seite (#393, Wandtablets). Für dich heißt das: Der Menüeintrag verbirgt eedc nicht mehr, die PIN ist ab jetzt die Hürde. Falls deine Familie eigene HA-Konten hat, lohnt es sich, sie einzuschalten.

Danke fürs Dranbleiben und für den konkreten Vorschlag — der hat die Lösung geformt.

Viele Grüße
Gernot