Dein Server
Drei Wege hinein, und du bestimmst, welche gelten.
Passwort, das Konto des Medienservers oder ein Anmeldedienst, den du ohnehin betreibst: Nexview kann alle drei gleichzeitig, und ein neuer Weg nimmt von selbst keinen alten weg. Wer sein Passwort behalten will, behält es. Erst wenn ein Anbieter läuft, kannst du das Passwort abschalten, und der Betreiber kommt immer damit herein.
Der Überblick
Was auf der Anmeldeseite steht, entscheidest du.
Ab Werk gibt es genau ein Feld für den Benutzernamen und eines fürs Passwort. Alles Weitere erscheint erst, wenn du es einrichtest. Ist nichts eingerichtet, sieht die Seite aus wie immer.
Ist ein Medienserver verbunden, kommt ein Knopf „Mit Plex anmelden“ dazu, oder Jellyfin, oder Emby. Sind Anmeldedienste eingetragen, kommt je Anbieter ein weiterer Knopf dazu, mit dem Namen, den du vergeben hast.
Jeder dieser Wege führt in dasselbe Konto. Rolle, Kontingent, Freigaben und Verlauf hängen am Nexview-Konto, nicht am Weg hinein.
Passwort
Der Weg, der immer da ist.
Konten kommen per Einladung
Der Administrator setzt nur die Adresse und die Rolle. Benutzername, Anzeigename und Passwort wählt die eingeladene Person selbst, über den Link in der Mail. Das Passwort erfährt sonst niemand, auch der Administrator nicht.
Die Adresse muss bestätigt sein
Ohne bestätigte Adresse kommt kein Konto mit Passwort herein. Ist die Bestätigungsmail nie angekommen, bietet die Anmeldeseite mit dem richtigen Passwort „Bestätigungsmail erneut senden“ und „Adresse korrigieren“ an, damit ein Tippfehler nicht endgültig ist. Das Konto aus dem Einrichtungsassistenten gilt sofort als bestätigt.
Eine Bremse gegen Raten
Nach ein paar falschen Passwörtern verlangsamt Nexview den nächsten Versuch, nach zehn schließt es die Tür für fünfzehn Minuten. Sie geht von selbst wieder auf. Gezählt wird je Konto, und wer NEXVIEW_CLIENT_IP setzt, bekommt zusätzlich eine Zählung je Adresse.
Gut zu wissenSagst du bei NEXVIEW_CLIENT_IP „direct“, obwohl ein Proxy davorsteht, sieht jede Anfrage aus, als käme sie von derselben Adresse, und ein Tippfehler sperrt den ganzen Haushalt aus. Im Zweifel lässt du die Variable weg, das ist immer sicher.
OpenID Connect
authentik, Entra ID, Keycloak, Google, oder was du sonst betreibst.
OpenID Connect ist ein Standard, und deshalb gibt es hier keine Liste unterstützter Anbieter. Aus Nexviews Sicht ist ein Anbieter eine Adresse, eine Client-ID und ein Geheimnis. Ob dahinter authentik, Microsoft Entra ID, Keycloak, Authelia, Pocket ID, Zitadel oder Google steckt, macht keinen Unterschied. Mehrere Anbieter gleichzeitig gehen, je Anbieter ein Knopf, in einer Reihenfolge, die du ziehst. Eingerichtet wird unter Einstellungen › System › Anmeldung in drei Karten: Anmeldung, Anmeldeanbieter und authentik in einem Schritt.
authentik in einem Schritt
Adresse von authentik und ein API-Token eintragen, „Einrichten“ drücken. Nexview legt Anbieter und Anwendung dort selbst an und trägt alles ein. Jeder Schritt steht mit Haken oder Kreuz da, und das Token wird nicht gespeichert. Wer lieber selbst einspielt, lädt „Stattdessen Blueprint herunterladen“.
Microsoft Entra ID
Mit der Mandanten-ID für den eigenen Mandanten oder mit common oder organizations für mehrere. Nexview nimmt dann ein Token jedes Mandanten, dessen Aussteller und Mandantenkennung zusammenpassen. Entra erlaubt als Rückleitadresse nur https, localhost ausgenommen.
Von Hand
„Anbieter hinzufügen“ fragt nach Name auf dem Knopf, Kurzname, Aussteller, Client-ID und Geheimnis. Die einzelnen Endpunkte trägst du nicht ein, Nexview liest sie unter /.well-known/openid-configuration beim Anbieter und prüft sie, bevor etwas gespeichert wird. Angefragt werden openid email profile, mehr nicht.
Was dein Anbieter von dir braucht, ist die Rückleitadresse. Nexview baut sie aus deiner öffentlichen Adresse und zeigt sie fertig zum Kopieren an, noch bevor du speicherst:
https://nexview.example.com/api/oidc/<Kurzname>/callbackGut zu wissenDie öffentliche Adresse muss vorher stimmen. Ein Anbieter lehnt jede Rückleitadresse ab, die nicht exakt so bei ihm hinterlegt ist. Läuft Nexview unter einem Unterpfad, gehört der mit hinein. Ändert sich die öffentliche Adresse später, fragt Nexview vorher nach, wenn ein Anbieter die alte kennt. Hinter einem Proxy, der TLS beendet, gehört NEXVIEW_CLIENT_IP=proxy dazu, dann liest Nexview auch X-Forwarded-Proto, und die Rückleitadresse beginnt mit https.
Konten
Verknüpfen statt raten, und zwei Schalter, die man verstehen sollte.
Nexview erkennt einen Menschen allein an seiner Identität beim Anbieter, nie an der Mailadresse, auch wenn der Anbieter sie als bestätigt meldet. Ändert jemand beim Anbieter Namen oder Adresse, hält die Verknüpfung trotzdem.
Wie jemand hereinkommt
- Bestehende Konten verknüpfen sich selbst, unter Profil › Konto › Sicherheit bei „Anmeldeanbieter“. „Verknüpfen“ fragt noch einmal nach dem eigenen Passwort, dann geht es zum Anbieter und zurück. Danach geht beides: der Knopf des Anbieters und weiterhin das Passwort. „Lösen“ nimmt die Verknüpfung wieder weg.
- Eingeladene wählen auf der Einladungsseite „Weiter mit …“ statt eines Passworts. Die Einladung reist zum Anbieter und zurück und wird genau einmal verbraucht.
- Alle anderen kommen nur herein, wenn „Neue Personen bekommen ein Konto“ für diesen Anbieter an ist. Sonst sagt die Anmeldeseite, dass es eine Einladung braucht oder dass sich das Konto im Profil verknüpfen lässt.
Zwei Schalter
- „Neue Personen bekommen ein Konto“ ist ab Werk aus. Bei Google und Microsoft heißt „automatisch anlegen“ wörtlich: jeder Mensch mit einem Konto dort. Diese Anbieter geben eine Mailadresse für die halbe Welt aus. Der Schalter gehört nur an, wenn du selbst entscheidest, wer beim Anbieter ein Konto hat, oder wenn du die Anwendung dort auf deine eigene Organisation beschränkt hast. Nexview schreibt genau das neben den Schalter.
- „Aktiv“ nimmt einen Anbieter von der Anmeldeseite, ohne die Einrichtung wegzuwerfen. Das ist der richtige Griff, wenn beim Anbieter gerade etwas umgebaut wird. Eine einzelne Identität lässt sich außerdem sperren, ohne den ganzen Anbieter abzuschalten.
Gruppen des Anbieters liest Nexview nicht. Wer jemand ist, sagt der Anbieter. Was jemand darf, also Rolle, Kontingente, gesperrte Qualitätsprofile und Auto-Freigabe, bleibt in Nexview. Wird ein Konto gelöscht, sperrt Nexview dessen Identität, damit „Neue Personen bekommen ein Konto“ dieselbe Person nicht gleich wieder hereinlässt. Die Sperrliste steht unter den drei Karten, und „Sperre aufheben“ lässt die Identität wieder herein. Administratoren sehen die Anbieter jedes Kontos als kleine Marken unter „Einstellungen › Benutzer“ und können dort eine Verknüpfung lösen, mit ihrem eigenen Passwort.
Der andere Weg
Mit dem Konto des Medienservers.
Wer schon einen Medienserver betreibt, hat die Konten dort bereits und muss sie in Nexview nicht ein zweites Mal anlegen. Plex, Jellyfin und Emby funktionieren alle drei, auch gleichzeitig. Zugeordnet wird nur zu einer Adresse, die in Nexview bestätigt oder vom Betreiber gesetzt ist, eine vom Anbieter übernommene zählt nicht.
Die Verknüpfung bringt mehr als eine Anmeldung: Nexview erkennt daran, was in deiner Bibliothek schon liegt und wer welchen Titel bereits gesehen hat. Ausführlich steht das auf der Seite Medienserver.
Was geprüft wird
Wenn eine Anmeldung abgelehnt wird.
Was Nexview prüft
Am Token des Anbieters die Signatur mit den veröffentlichten Schlüsseln des Anbieters (nie mit einem gemeinsamen Geheimnis), Aussteller, Empfänger, Ablauf, die Nonce und eine nicht leere Kennung. Am Versuch selbst PKCE, einen Zustand, der nur einmal gilt, und ein kurzlebiges Cookie mit eigenem Schlüssel.
Wo der Grund steht
Jede abgelehnte Anmeldung hinterlässt unter Einstellungen › System › Protokoll eine Zeile mit dem Grund. Adressen stehen verkürzt da, Token und Geheimnisse nie. Wer sich anmelden wollte, bekommt dagegen einen kurzen Satz, der sagt, was zu tun ist.
Gut zu wissenFällt ein Anbieter aus, bleibt der Betreiber nicht draußen: Er kommt immer mit dem Passwort herein, über „Als Betreiber mit Passwort anmelden“. Fällt der letzte Anbieter weg oder wird er abgeschaltet, gelten Passwörter wieder für alle. Ist der Betreiber selbst ausgesperrt, hilft der Notausgang NEXVIEW_BETREIBER: Mit deinem Benutzernamen und einem Neustart des Containers trägt dieser Benutzer wieder das Betreiber-Kennzeichen. Die Zeile danach wieder entfernen.
Ehrlich gesagt
Was die Anmeldung nicht kann.
Was jemand in Nexview darf, wird nicht aus den Gruppen des Anbieters gelesen. Rolle und Kontingente stellst du in Nexview ein.
Nexview hat keinen eigenen zweiten Faktor. Wer einen will, schaltet ihn beim Anbieter ein und nutzt dessen Anmeldung.
Auch eine bestätigte Adresse macht aus einer Identität kein bestehendes Konto. Wer sich so anmelden will, verknüpft einmal im Profil oder kommt mit einer Einladung.
Genau ein Konto besitzt die Installation. Kein anderer Administrator kann es abschalten, löschen, herabstufen oder ihm ein Passwort setzen. Weitergeben kann es nur der Inhaber selbst.