Zum Hauptinhalt springen

Deine Kontoeinstellungen

Deine persönlichen Einstellungen findest du unter dein Avatar → Einstellungen (frem.sh/user/settings). Sie gehören zu deinem Konto und sind von der Verwaltung jeder Organisation getrennt – sie begleiten dich durch alle Organisationen, in denen du Mitglied bist. Diese Seite beschreibt die Bereiche, die du selbst verwaltest: Schlüssel, Token und Benachrichtigungen.

SSH-Schlüssel

Erlaubt deine Organisation SSH (in neuen Organisationen ist es standardmäßig deaktiviert – siehe Wenn SSH nicht erlaubt ist unten), registrierst du hier deine öffentlichen Schlüssel.

Einen Schlüssel hinzufügen: Öffne Einstellungen → SSH- / GPG-Schlüssel, füge deinen öffentlichen Schlüssel ein (den Inhalt von ~/.ssh/id_ed25519.pub), gib ihm einen wiedererkennbaren Namen und speichere. fremforge zeigt den Fingerabdruck des Schlüssels und das Datum, an dem er zuletzt zur Authentifizierung verwendet wurde, damit du einen Schlüssel erkennst, den du nicht mehr zuordnen kannst.

Einen Schlüssel widerrufen: Lösche ihn auf derselben Seite. Der Widerruf wirkt sofort – die nächste Git-Operation mit diesem Schlüssel wird abgelehnt. Widerrufe jeden Schlüssel auf einem verlorenen oder ausgemusterten Gerät umgehend.

Bevorzuge hardwaregestützte Schlüssel (sk-*-Algorithmen – Touch ID, FIDO/YubiKey). Manche Organisationen verlangen sie; dann wird ein Schlüssel ohne Hardwarebindung bei der Registrierung abgelehnt. Die vollständige Anleitung zum Erzeugen von Schlüsseln findest du unter Sichere Anmeldung.

GPG-Schlüssel

Registriere hier einen öffentlichen GPG-Schlüssel, damit deine signierten Commits und Tags in der Oberfläche als Verified angezeigt werden.

Einen Schlüssel hinzufügen: Öffne Einstellungen → SSH- / GPG-Schlüssel, füge deinen ASCII-armored öffentlichen Schlüssel ein (gpg --armor --export <key-id>) und speichere. fremforge prüft, ob die E-Mail-Adresse des Schlüssels mit einer verifizierten E-Mail-Adresse deines Kontos übereinstimmt, bevor Commits als verifiziert markiert werden.

Einen Schlüssel widerrufen: Lösche ihn auf derselben Seite. Bereits damit signierte Commits behalten ihre historische Signatur; neue Commits, die mit dem gelöschten Schlüssel signiert werden, erscheinen nicht mehr als verifiziert.

Wenn du gar keine langlebigen Signaturschlüssel verwalten möchtest, unterstützt fremforge schlüsselloses, identitätsbasiertes Signieren von Commits über deinen IdP – kein Schlüssel zum Erzeugen, Aufbewahren oder Rotieren. Siehe Schlüsselloses Signieren von Commits.

Persönliche Zugriffstoken (PATs)

Ein persönliches Zugriffstoken authentifiziert Git-Operationen und API-Aufrufe in deinem Namen, ohne interaktive Anmeldung im Browser – praktisch für Skripte, lokale Werkzeuge und jeden Client, der den Browser-Ablauf von GCM nicht ausführen kann.

Ein Token erstellen: Öffne Einstellungen → Git-Zugriffstoken → Neues PAT erstellen, gib ihm einen aussagekräftigen Namen, wähle die Scopes (nur, was der Anwendungsfall braucht), lege ein Ablaufdatum fest und klicke auf PAT erstellen. Der Tokenwert wird nur einmal angezeigt – kopiere ihn sofort; später kannst du ihn nicht mehr abrufen.

Verwende ein PAT als Passwort für Git-Operationen über HTTPS oder als Bearer-Token für die REST-API:

# Git over HTTPS
git clone https://frem.sh/<org>/<repo>.git
# username: your fremforge username; password: the PAT

# REST API
curl -H "Authorization: token <PAT>" https://frem.sh/_app/api/v1/user

Ein Token widerrufen: Klicke auf derselben Seite daneben auf Widerrufen. Der Widerruf wirkt sofort. Widerrufe jedes Token, das möglicherweise nach außen gelangt ist, und bevorzuge kurze Laufzeiten, damit ein vergessenes Token von selbst abläuft. Deine Organisation kann die maximale Laufzeit von Token begrenzen; wird dein gewähltes Ablaufdatum abgelehnt, ist diese Grenze der Grund.

Für die tägliche Git-Nutzung durch Menschen ist interaktives HTTPS mit Git Credential Manager (mit MFA bei jeder Erneuerung) der empfohlene Weg statt eines langlebigen PAT. Siehe Sichere Anmeldung.

Benachrichtigungseinstellungen

Unter Einstellungen → Konto legst du fest, wie fremforge dich erreicht. Die Einstellung für E-Mail-Benachrichtigungen unter E-Mail-Adressen verwalten (gespeichert mit E-Mail-Einstellungen festlegen) bestimmt, ob du E-Mails zu Ereignissen erhältst, die du abonniert hast (Issues und Pull Requests, denen du zugewiesen bist, Erwähnungen, von dir angeforderte Reviews und Repositorys, die du beobachtest). Schalte ihn aus, wenn dir der Benachrichtigungseingang in der App genügt, oder lass ihn an, um zusätzlich E-Mails zu bekommen. Die Beobachtungseinstellungen pro Repository (das Steuerelement Watch in jedem Repository) entscheiden, welche Repositorys überhaupt in diese Benachrichtigungen einfließen.

Wenn SSH nicht erlaubt ist

Neue Organisationen starten mit deaktivierter SSH-Anmeldung – HTTPS ist der Standardweg für Git. Haben alle Organisationen, in denen du Mitglied bist, SSH deaktiviert, weist dich der Bereich SSH-Schlüssel deiner Einstellungen darauf hin: Statt des Formulars zum Hinzufügen siehst du den Hinweis „SSH- und GPG-Schlüssel sind nicht zulässig“, weil ein Schlüssel derzeit nirgends verwendet werden könnte.

Versuchst du es trotzdem, wird ein Clone, Fetch oder Push über SSH auf die Repositorys dieser Organisation mit einer Meldung abgelehnt, die die Organisationseinstellung nennt und dir stattdessen die HTTPS-URL zum Klonen gibt.

Was du tun kannst:

  • Nutze stattdessen HTTPS. Klone und pushe über https://frem.sh/<org>/<repo>.git mit Git Credential Manager – das ist ohnehin der empfohlene Weg, und er bringt MFA bei jeder Token-Erneuerung mit. Die Einrichtung beschreibt Sichere Anmeldung.
  • Für nicht interaktive Clients erstelle ein persönliches Zugriffstoken und verwende es als HTTPS-Passwort.
  • Wenn du wirklich SSH brauchst, bitte einen Owner der Organisation, das SSH-Protokoll für die Organisation wieder zu aktivieren (Organisationsverwaltung → Authentifizierungsrichtlinie). Sobald eine deiner Organisationen SSH erlaubt, erscheint hier wieder das Formular zum Hinzufügen von Schlüsseln.

Querverweise