Teams, SSO und Zugriff

Alles in Railyard gehört zu einem Team: seine Server, Apps, Cloud-Keys und seine Historie. Team-Einstellungen findest du unter Settings → Team. Admins sehen jeden Tab; die anderen Rollen sehen weniger.

Rollen

Rolle	Kann
viewer	Apps, Server, Logs und Deploys sehen
deployer	Zusätzlich deployen, neu starten, Variablen ändern und Befehle ausführen
admin	Zusätzlich Mitglieder, Cloud-Credentials, Benachrichtigungen, Tokens, SSH-Keys und Team-Einstellungen verwalten
owner	Alles. Nur Owner können die Owner-Rolle vergeben, ändern oder entziehen

Eine App kann auch Deploy-Genehmigung verlangen. Ihre Deploys warten dann, bis jemand sie genehmigt.

Mitglieder und Einladungen

Team → Members → Invite a member. Die Einladung wird per E-Mail versendet. Du kannst sie erneut senden, und die Liste zeigt, wann sie abläuft.

API-Tokens

Team → API tokens. Ein Token ist read oder write und kann ein Ablaufdatum haben. Es wird nur einmal angezeigt, also kopiere es dann sofort. Tokens werden von der CLI, der REST-API und MCP genutzt. Ein Token funktioniert auch als Service-Account für CI.

Single Sign-On (OpenID Connect)

Settings → Single sign-on (Admins). Du kannst Google Workspace, Okta, Microsoft Entra, Authentik, Keycloak oder jeden anderen OpenID-Connect-Provider nutzen:

1. Erstelle in deinem Identity Provider eine OpenID-Connect-Web-App mit der auf der Seite angezeigten Redirect-URI.
2. Trage Issuer URL, Client ID, Client secret und deine E-Mail-Domain ein.
3. Wähle die Rolle, mit der neue Personen beitreten: viewer, deployer oder admin.
4. Optional Require SSO for @domain emails aktivieren, was Passwörter für diese Domain deaktiviert.

Personen mit dieser E-Mail-Domain nutzen Sign in with SSO auf der Login-Seite und treten dem Team beim ersten Sign-In bei.

SAML 2.0 wird zusätzlich zu OpenID Connect unterstützt: wähle SAML auf der Single-Sign-on-Seite, füge die Sign-In-URL und das Zertifikat des Identity Providers ein, und Railyard zeigt die ACS-(Reply-)URL, die Entity-ID und die SP-Metadaten zum Einfügen in Okta, Entra, OneLogin, JumpCloud oder ADFS. Antworten werden auf Signatur, Audience, Zeit und Request-ID geprüft.

Domain-Verifizierung: Bevor sich jemand über SSO für @deinedomain anmelden kann, füge den auf der Seite angezeigten TXT-Record (_railyard-sso.<domain>) bei deinem DNS-Provider hinzu und prüfe ihn. SSO meldet sich nie bei einem Site-Operator oder einem bestehenden Account außerhalb des Teams an, und Nutzer mit Zwei-Faktor werden weiterhin nach ihrem Code gefragt. Eine Domain-Änderung bedeutet eine erneute Verifizierung.

SCIM-Provisioning

Sobald SSO gespeichert ist, Create SCIM token und richte die SCIM-2.0-App deines Identity Providers auf https://app.railyard.run/scim/v2 mit diesem Bearer-Token aus:

• Eine Zuweisung in deinem Identity Provider fügt die Person dem Team hinzu.
• Eine Deaktivierung entfernt sie.
• Owner werden nie entfernt.

Ein ungültiges Token erhält 401.

Team-SSH-Keys

Team → SSH keys. Füge einen Public Key hinzu (die einzelne Zeile aus ~/.ssh/id_ed25519.pub, nie einen Private Key). Railyard installiert ihn auf jedem Team-Server, für den Nutzer, mit dem der Server eingerichtet wurde. Er steht in seinem eigenen Block in authorized_keys, sodass selbst hinzugefügte Keys nie berührt werden. Das Entfernen eines Keys oder eines Mitglieds entfernt dessen Keys innerhalb von etwa einer Minute von jedem Server. Der Security-Tab jedes Servers zeigt, wer sich per SSH einloggen kann.

Zwei-Faktor-Anmeldung

Mitglieder können die Zwei-Faktor-Anmeldung unter Settings → Security aktivieren. Der Sicherheits-Score zählt jeden ohne diese Einstellung.

Audit-Log

Activity (Sidebar → Operate) protokolliert Deploys, Variablenänderungen, Mitgliederänderungen, Genehmigungen und Datenjobs. Du kannst nach Mitglied, App, Art und Datum filtern, dich durchblättern und die gefilterte Ansicht als CSV exportieren. Variablenänderungen erscheinen auch im Variables-Tab der App: wer welchen Namen wann geändert hat, aber nie der Wert.

Aktionen, die ein Railyard-Operator an deinem Team vornimmt – etwa Server- oder App-Limits ändern, suspendieren oder reaktivieren – landen im selben Log, nicht in einem versteckten, sodass du sehen kannst, was wann getan wurde.

Sicherheits-Score

Settings → Security bewertet das Team von 0 bis 100 mit zehn Checks:

• Zwei-Faktor bei jedem Mitglied;
• Admins, die sich seit 90 Tagen nicht angemeldet haben;
• Server mit ausstehenden Sicherheitsupdates;
• Betriebssysteme nach End-of-Life;
• ActiveProtect ausgeschaltet;
• zusätzliche offene Ports;
• Zertifikate kurz vor Ablauf;
• kein verifiziertes Backup seit 30 Tagen;
• öffentliche Stagings ohne Passwort oder IP-Regeln;
• alte API-Tokens, die nie ablaufen.

Jeder Check verlinkt zu seiner Lösung. Der Score wird auch im Dashboard angezeigt.

Eine App in ein anderes Team verschieben

Über Settings → General der App kann eine App in ein anderes Team verschoben werden. Ihre Datenbanken, Volumes, Domains und Historie werden mitgenommen, und die Daten einer deployten App wandern auf einen Server im neuen Team.