Mehrere Admins

Admins, Schlüssel und Quorum #

Jede Änderung am Netz, etwa die Aufnahme eines Geräts oder eine Rolle, ist ein Eintrag im Mitgliederlog. Sie gilt, sobald genug Admins sie signiert haben.

Ein Admin ist eine Person. Ein Admin-Schlüssel ist das, womit sie signiert. Er liegt als Datei wie admins/alice@home.key in ihrem Keystore ~/.config/juist. Ein Admin hat auf jedem Gerät, von dem aus er bestätigt, einen eigenen Schlüssel. Kopiere nie einen Schlüssel auf ein anderes Gerät, sondern leg dort einen neuen an.

Das Quorum ist die Zahl der Stimmen, die eine Änderung braucht. Jeder Admin-Schlüssel hat eine Stimme, aber alle Schlüssel einer Person zählen zusammen nur einmal. Angenommen, alice, bob und carol haben je eine Stimme, und das Quorum ist 2. Dann reichen zwei beliebige, einer darf im Urlaub sein, und allein kann niemand etwas ändern.

Von zwei Laptops aus bestätigen #

Deinen Admin-Namen findest du in der Ausgabe von juist create in der Zeile Admin, und juist admins listet ihn auf. Es ist dein Login-Name, es sei denn, du hast --admin-name angegeben. Verwende genau diesen Namen für den Schlüssel des zweiten Laptops. Unter jedem anderen Namen würde der Schlüssel zu einem zweiten Admin.

juist admins new alice

juist admins add alice nid:… --on laptop2

juist admins zeigt dann, auf welchem Rechner welcher Schlüssel liegt. Wartet eine Änderung auf Bestätigung, sagt sie, wo die Schlüssel liegen, die sie bestätigen können.

Ein Schlüssel pro Netz #

Jedes Netz bekommt einen eigenen Admin-Schlüssel, etwa admins/alice@home.key. Geht ein Schlüssel verloren oder wird er gestohlen, ist nur ein Netz betroffen, und zwei Netze teilen sich nie einen Schlüssel.

• Ein Schlüssel aus juist admins new wird unter dem ersten Netz abgelegt, in dessen Log er auftaucht, sobald juist admins ihn auflistet oder er dort eine Änderung unterschreibt. Mit juist admins new alice --network home legst du das Netz gleich fest.
• Soll ein neues Netz mit einem Schlüssel verwaltet werden, den du schon hast, gibst du ihn an: juist create lab --admin-key alice@home.
• juist admins listet die Schlüssel auf diesem Rechner auf und zu jedem die Netze, die er verwaltet.
• Auf einem Rechner, der zu keinem Netz gehört, legst du mit juist approve --key alice@home FILE fest, welcher Schlüssel signiert.

Zwei Admins, keiner entscheidet allein #

Angenommen, alice und bob haben je zwei Geräte, und jede Änderung soll die Zustimmung von beiden brauchen.

juist admins add bob nid:…

juist grant nas voucher
juist grant vps voucher
juist grant pi voucher
juist admins vouchers 2
juist admins quorum 2

Mit juist admins vouchers 2 kann ein Voucher, der über den Stand des Netzes lügt, kein Gerät mehr ohne Hilfe täuschen; er bräuchte einen Komplizen. Dafür müssen aber zwei Voucher online sein. Fällt einer aus, sorgt der dritte dafür.

Ein Admin, zwei Geräte pro Änderung #

Auch als einziger Admin kannst du verlangen, dass jede Änderung von zwei deiner Geräte bestätigt wird:

juist admins require alice 2

Halte dafür drei Schlüssel bereit. Mit genau zwei kann schon der Verlust eines Geräts das Netz sperren.

Wenn eine Änderung einen weiteren Admin braucht #

Braucht eine Änderung die Stimme eines anderen Admins, wartet sie auf den Voucher-Geräten des Netzes auf ihn. Das siehst du schon, wenn du die Änderung anstößt:

$ juist remove phone
remove phone (198.18.36.4  fd77:9359:d9fb:bcb6:5fc:cc5c:f45d:c475) from "home"? [y/N] y
pending remove-phone.rec: needs 1 more vote, from bob on nas; another admin runs, on an admin device or with the file:
  juist approve
  juist approve remove-phone.rec

Auf bobs Gerät weist juist status dann mit hint: 1 change waits for your vote: juist approve darauf hin, und juist health nennt die Änderung. Bob bestätigt sie dort:

$ juist approve
device removal, proposed by alice's key on laptop:
  removes the device phone (nid:A7Bu6lgr…)
approve? [y/N] y
signed as bob's key on nas
applied

juist approve fragt zu jeder Änderung nach, die auf deine Stimme wartet. Was eine Änderung bewirkt, entnimmt es dem Eintrag und dem Log, nie dem Dateinamen. Sobald eine Änderung genug Stimmen hat, gilt sie auf jedem Gerät.

Damit wartende Änderungen die Geräte eines Admins erreichen, führt jeder Admin einmal juist admins receive aus. Wer ein Netz gegründet hat, hat das bereits getan. juist admins receive ist selbst eine Änderung und wird wie jede andere bestätigt.

Änderungsdateien #

Jede Änderung wird zusätzlich als Datei gespeichert, etwa remove-phone.rec, in dem Verzeichnis, in dem du den Befehl aufgerufen hast. Du kannst sie einem anderen Admin schicken, der auf einem Gerät im Netz Folgendes aufruft:

juist approve remove-phone.rec

Der Befehl zeigt, was die Änderung bewirkt, fragt nach, signiert die Datei an Ort und Stelle und wendet die Änderung an, sobald sie genug Stimmen hat. juist apply macht dasselbe.

Auf einem Rechner in keinem Netz kann ein Admin nur Änderungen bestätigen, die nicht beeinflussen, wer bestätigt oder Voucher ist, etwa die Aufnahme eines Geräts, das kein Voucher wird, neue Tunnelschlüssel, Namen oder die Zugriffsregeln. Ein Entfernen, eine Rolle, ein Admin-Schlüssel oder das Quorum brauchen das Log, also bestätige sie auf einem Gerät im Netz.

Gut zu wissen #

• juist admins listet alle Admins mit ihren Stimmen und den Rechnern ihrer Schlüssel auf, dazu das Quorum und die Zahl der nötigen Voucher.
• juist admins add NAME KEY --votes N gibt einem Schlüssel mehr als eine Stimme; juist create --admin-votes N tut das für den ersten Schlüssel.
• juist admins remove NAME|KEY entzieht einem Schlüssel die Stimme. Das wird abgelehnt, wenn die übrigen Schlüssel das Quorum nicht mehr erreichen.
• juist admins quorum warnt, wenn jede Änderung alle Admins braucht, denn dann sperrt der Verlust der Schlüssel eines Admins das Netz.
• Admin-Schlüssel verlassen ihren Rechner nur als Sicherungszeile (Schlüssel). Dieser Rechner muss zu keinem Netz gehören: juist create --no-device legt ein Netz von einem Rechner aus an, der nur signiert.
• Führe Admin-Befehle als du selbst aus, ohne sudo: Die Schlüssel liegen in deinem Keystore.
• Zugriffsregeln änderst du genauso. juist approve policy.rec zeigt die Änderung als Diff.

Fehlersuche #