Claude f2578cedab feat(auth): Admin-Zugang über Authentik-Gruppe steuern ...

Statt manuell gesetzter DB-Rolle erhalten Mitglieder der Authentik-Gruppe
AUTHENTIK_ADMIN_GROUP (Default floriannetz-admins) beim SSO-Login automatisch
platform_admin; Nicht-Mitglieder werden abgewiesen. Erstes Seeding entfällt.

- auth.config.ts: Scope 'openid email profile groups' anfordern
- lib/auth/authentik.ts: reine Helfer extractGroups/isAdminGroupMember (+ 7 Unit-Tests)
- auth.ts: signIn wertet groups-Claim aus, upsert (idempotent) als platform_admin
  mit stabiler users.id für Audit/FKs
- env.ts/.env.example: AUTHENTIK_ADMIN_GROUP
- docs/reference/authentik-setup.md: Provider-/Gruppen-/Scope-Setup

Verifiziert offline: tsc OK; lint sauber; vitest 240 passed / 7 skipped.
Wehr-Konten bleiben lokale Accounts (kein Authentik).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

2026-06-10 09:39:13 +02:00

..

authentik-setup.md

feat(auth): Admin-Zugang über Authentik-Gruppe steuern

2026-06-10 09:39:13 +02:00

deployment-traefik.md

Workstream 10: Deployment (Docker + externes Traefik) (Phase 7)

2026-06-09 12:35:45 +02:00

fahrzeug-katalog-noelfv.md

Fold NÖ findings into spec; fix Allrad naming (HLFA n, A infixed)

2026-06-08 15:07:22 +02:00

sicherheitshaertung-checkliste.md

Workstream 11: Tests & Sicherheitshärtung (Phase 7)

2026-06-09 14:17:10 +02:00