ผู้ใช้และสิทธิ์

OpsMini ใช้การควบคุมการเข้าถึงตามบทบาท (RBAC) จัดการสิทธิ์การดำเนินการของพาเนลอย่างละเอียด

การจัดการผู้ใช้

• สร้าง / แก้ไข / ระงับ / ลบผู้ใช้
• ดูเวลาล็อกอินล่าสุด
• ผู้ใช้แต่ละรายสามารถผูก MFA (TOTP) ได้อิสระ
• หน้าการตั้งค่าส่วนตัวรองรับการแก้ไขชื่อเล่น รูปประจำตัว อีเมล และรหัสผ่าน

บทบาทและสิทธิ์

มีสามบทบาทในตัว:

บทบาท	ขอบเขตสิทธิ์
admin	สิทธิ์ทั้งหมด (รวมผู้ใช้ / บทบาท / การตั้งค่า)
operator	การปฏิบัติการประจำวัน (แอปพลิเคชัน คอนเทนเนอร์ ไฟล์ เทอร์มินัล งานตามกำหนดเวลา ฯลฯ)
readonly	ดูอย่างเดียว

รองรับบทบาทที่กำหนดเอง จัดสรรตามจุดสิทธิ์อย่างละเอียด เช่น:

• user.create / user.edit / user.delete
• website.create / website.edit / website.delete
• container.edit / container.delete
• security.scan / security.firewall / security.fim / security.threat
• settings.view / settings.edit (การตั้งค่าพาเนล)
• apps.install, cron.create, database.create, file.write, mcp.manage, skill.manage, alert.manage ฯลฯ

การยืนยันตัวตนสองปัจจัย (2FA)

• สวิตช์รวม: หลังเปิด "การตั้งค่า → การยืนยันตัวตนสองขั้นตอน" ของพาเนล บัญชีทั้งหมดที่ผูกตัวตรวจสอบแล้วจะต้องกรอกรหัสไดนามิก 6 หลักตอนล็อกอิน
• ผูกต่อผู้ใช้: ผู้ใช้สร้าง QR code ในการตั้งค่าความปลอดภัยส่วนตัว แล้วสแกนเพื่อผูกด้วย Google Authenticator / 1Password / แอป authenticator ของผู้ให้บริการคลาวด์ต่าง ๆ
• การกู้คืนบัญชี: เมื่อทำตัวตรวจสอบหาย ให้ล็อกอินเข้าเซิร์ฟเวอร์แล้วรัน opsmini -reset-mfa <username> เพื่อรีเซ็ตการผูก MFA ของผู้ใช้นั้น

การออกแบบความปลอดภัย

• รหัสผ่านเก็บเป็นแฮช bcrypt
• access JWT ระยะสั้น (15 นาที) + refresh token ที่เพิกถอนได้ (7 วัน)
• คีย์เซ็น JWT ถูกสร้างอัตโนมัติตอนเริ่มครั้งแรกและเก็บถาวรในฐานข้อมูล ไม่เขียนลงไฟล์กำหนดค่า
• การจำกัดอัตราและการล็อกเมื่อล็อกอินล้มเหลว (ป้องกัน brute force)
• การดำเนินการสำคัญเขียนล็อกการตรวจสอบ
• ลืมรหัสผ่านสามารถล็อกอินเข้าเซิร์ฟเวอร์แล้วรัน opsmini -reset-pass <username> เพื่อรีเซ็ต