Scegliere la fonte di identità creando un utente: esiste sul server o solo nel pannello

Il suffisso alla fine di un nome utente non è un ornamento. Dice dove vive l’account, e questa scelta poi non si sposta.

Due tipi di utente

Il primo tipo esiste davvero sul server. Sono gli utenti propri della macchina, e la loro password è la password della macchina. L’account root con cui entri la prima volta è di questo tipo.

Il secondo tipo esiste solo dentro Proxmox. Sulla macchina non ha corrispettivo: niente shell, niente accesso remoto, nessun posto nel sistema. Suona incompleto, ma è esattamente ciò che si vuole. Far usare il pannello a qualcuno non richiede di aprirgli il server.

Il primo errore classico

Si crea un utente sul server, e poi il pannello non lo fa entrare. Creare un account di sistema da solo non concede nulla nel pannello, perché identità e permessi sono lavori distinti. L’account viene riconosciuto, ma che cosa possa vedere non è mai stato detto. È il gemello del problema in cui il permesso è dato e comunque non appare nulla.

Il secondo errore classico

Si crea un utente nel pannello, e poi qualcuno prova a collegarsi al server con quello. Non funzionerà, ed è un bene che non funzioni. Un account che esiste solo nel pannello esiste proprio per questo: la sua portata finisce allo schermo.

Quale scegliere

Se la persona non deve toccare il server stesso, scegli il tipo che esiste solo nel pannello. Si aprono meno porte, e il giorno in cui va chiuso si chiude in un punto solo. Se qualcuno lavorerà davvero sul server gli serve comunque un account di sistema, ma non prendere quella decisione per un bisogno legato al pannello.

Disattivare invece di eliminare

Un account può essere disattivato senza essere eliminato, e può ricevere una data di scadenza. Eliminare porta via la storia insieme alla voce: la domanda su chi avesse ricevuto che cosa resta senza risposta. Per chi se n’è andato, disattivare è di solito la risposta più giusta rispetto a eliminare.

Dare al gruppo, non alla persona

Dare direttamente alla persona è veloce il primo giorno, ricomincia da capo con la seconda, e alla terza diventa confuso chi ha che cosa e perché. Dare al gruppo e metterci dentro la persona lascia pochi secondi di lavoro per ognuna delle successive e non accumula voci sparse dietro di te.

Secondo fattore

Una password da sola è una porta. Se il pannello è raggiungibile dall’esterno, o se l’account porta autorità, attiva il secondo fattore. Per l’automazione è meglio generare una chiave separata che condividere una password, ed è un argomento a sé.

Che cosa fa Atlas

Atlas mostra l’accesso come una catena e non come un elenco: server, ambito, fonte di identità, utente, gruppo, ruolo e percorso stanno collegati su un’unica mappa. Così alla domanda "da quale porta entra questa persona e fin dove arriva" si risponde guardando, non ricomponendo voci a mente. Password, secondo fattore e chiavi di automazione si gestiscono per account, e poiché Atlas non costruisce un proprio sistema di ruoli, l’autorizzazione che vedi a schermo è la stessa che c’è sul server.