Kullanıcılar, roller ve erişim

Bu sayfa Spitfire'a kimin girebileceğini, kimin neyi görüp koşturabileceğini ve bunların nasıl yönetildiğini anlatır: kullanıcılar, roller, gruplar, workspace'ler (çalışma alanları), SSO (OIDC ve LDAP), unutulan parolalar, API token'ları, audit log, mobil uygulama ve Gate, sistem olayları.

#Ne işe yarar

• Ekibinizin her üyesine ayrı bir hesap açarsınız; kim ne yaptıysa audit log'a adıyla yazılır.
• Gruplar ile hangi testin kimlere görüneceğini ve kimin koşturabileceğini belirlersiniz; test düzenleme admin'lerde kalır.
• SSO ile kullanıcılar kurumsal kimlikleriyle girer; roller ve grup üyelikleri kimlik sağlayıcınızdaki gruplardan gelebilir.
• API token'ları CI hatlarının sizin adınıza test koşturmasını sağlar.

#Ne zaman kullanılır

• Kurulumdan ve lisanstan sonra, ekibi eklerken.
• Bir kullanıcı bir testi göremiyor ya da koşturamıyorsa.
• Kurumunuz merkezi kimlik yönetimi (Entra ID, Okta, Google, Keycloak, Active Directory…) istiyorsa.
• Bir CI pipeline'ı kurarken (API token).
• Biri parolasını unuttuğunda.

#Roller

Tek workspace'li bir kurulumda (Ajans planı olmayan her kurulum) "admin" kurulum yöneticisidir; alan yöneticisi ayrımı görünmez.

#Kullanıcı ekleme

Kullanıcılar sayfası ve Yeni kullanıcı penceresi: E-posta, Ad, Rol, Giriş yöntemi, Parola ve İlk girişte kendi parolasını belirlesin seçeneği

1. Menüde Altyapı → Kullanıcılar'ı açın (yalnızca kurulum yöneticileri görür).
2. Sağ üstteki Kullanıcı ekle'ye tıklayın; Yeni kullanıcı penceresi açılır.
3. E-posta ve Ad girin.
4. Rol seçin:
   • Kullanıcı — yalnızca gruplarıyla paylaşılan testleri görür; "koşturabilir" olanları koşturur
   • Admin — test oluşturur, düzenler ve koşturur; her şeyi yönetir
5. Giriş yöntemi seçin: Parola (Spitfire parolası), OIDC ya da LDAP (SSO ile girecek hesaplar; Spitfire parolası olmaz, ilk girişte hesap sağlayıcıdaki kimliğe ya da dizindeki kayda bağlanır).
6. Parolalı hesapta bir Parola (en az 8 karakter) yazın. Kullanıcının ilk girişte kendi parolasını seçmesi için İlk girişte kendi parolasını belirlesin kutusunu işaretleyin.
7. Kaydet. Parolayı kullanıcıya güvenli bir kanaldan iletin.
8. Kullanıcı rolündeyse onu bir gruba ekleyin (Gruplar); aksi hâlde hiçbir test göremez.

Kullanıcılar silinmez; ayrılan birinin hesabını düzenleyip Devre dışı işaretleyin. Devre dışı hesap giriş yapamaz, API token'ları da çalışmaz ve lisansın kullanıcı sayısına dahil edilmez. Parola değiştirilirse kullanıcının açık oturumları kapanır.

Listede Giriş sütunu her hesabın giriş yöntemini, Gruplar sütunu gruplarını (admin'lerde "tüm testler") gösterir; satırın üzerine gelince son giriş zamanı görünür.

#Gruplar

Kullanıcı rolündeki hesaplar yalnızca gruplarına atanmış testleri görür.

Gruplar sayfası: Yeni grup penceresinde Üyeler listesi ve testlerin yanında Görünür ve Koşturabilir kutuları

1. Menüde Altyapı → Gruplar'ı açın.
2. Yeni grup'a tıklayın, grubun adını yazın.
3. Üyeler listesinden kullanıcıları seçin (Süz ile arayabilirsiniz). Admin'leri eklemek bir şey değiştirmez; onlar zaten her testi görür.
4. Testler listesinde her test için:
   • Görünür — üyeler testi, koşularını ve sonuçlarını görür.
   • Koşturabilir — ayrıca koşu başlatıp durdurabilirler (Görünür'ü de açar).
5. Kaydet. Liste her grup için "N görünür · M koşturabilir" özetini gösterir.

Grubu silmek kullanıcıları ve testleri silmez; üyeler grubun testlerini (başka bir grup paylaşmıyorsa) artık görmez. SSO'da Grup üyeliklerini eşitle açıksa kullanıcılar, sağlayıcıdaki gruplarıyla aynı adı taşıyan Spitfire gruplarına kendiliğinden eklenir.

#Çalışma alanları

Ajans planında bir kurulumda birden çok müşteri workspace'i (çalışma alanı) tutulabilir. Testler, bağlantılar ve secret'ları, veri dosyaları, ortamlar, zamanlamalar, sentetik izlemeler, mock servisler, bildirim kanalları, gruplar, bütçeler ve sonuçlar tam olarak bir alana aittir ve alanlar arasında görünmez. Runner'lar ve kurulum ayarları (SSO, e-posta, OTLP, lisans, veri saklama, güncellemeler) bütün kurulum için ortaktır.

Çalışma alanları sayfası: Yeni çalışma alanı formu ve Varsayılan ile demo alanlarının listesi

1. Menüde Altyapı → Çalışma alanları'nı açın (yalnızca birden çok alana izin veren lisansta görünür).
2. Yeni çalışma alanı alanına adı yazın (ör. {workspace:demo}) ve Oluştur'a tıklayın.
3. Alanın satırındaki Ayarlar'a tıklayın. Üyeler kartında hesabı olan kişileri e-postasıyla ekleyin ve rol verin: Alan yöneticisi ya da Kullanıcı. Hesapları kurulum yöneticisi Kullanıcılar sayfasında açar.
4. İsterseniz aynı yerdeki Rapor markası bölümünden firma adı, logo (PNG ya da JPEG, en çok 512 KB) ve vurgu rengi verin; PDF/HTML raporlarda Spitfire işaretinin yerine geçer.
5. Üst çubuktaki Çalışma alanı seçicisiyle alanlar arasında geçin. Seçim kullanıcı başına saklanır.

Kullanılmayan bir alanı Arşivle ile salt okunur yapabilirsiniz (hiçbir şey silinmez, Geri al ile döner). Varsayılan alan arşivlenemez. Lisans daha az alana izin verirse fazla alanlar silinmez, salt okunur olur.

#SSO

SSO sayfası (kurulum yöneticisi; Altyapı → SSO) kullanıcıların kurum kimliğiyle girmesini sağlar. Ücretli planlarda vardır.

SSO sayfası: Genel kartında Parolayla giriş seçeneği ve Yönlendirme adresi, altında OpenID Connect ve LDAP / Active Directory kartları

#Genel ayarlar

• Parolayla giriş: Herkes ya da Yalnız yöneticiler. Yalnız yöneticiler seçilirse diğer herkes SSO ile girer; yönetici parolası acil durum girişi olarak kalır.
• Yönlendirme adresi (redirect URI): <Spitfire'ın herkese açık adresi>/api/v1/auth/oidc/callback. Bu adresi kimlik sağlayıcıdaki uygulama kaydına ekleyin.

#OpenID Connect

1. Kimlik sağlayıcınızda (Entra ID, Okta, Google, Keycloak…) bir uygulama (web, authorization code) oluşturun ve yukarıdaki Yönlendirme adresi'ni ekleyin.
2. OpenID Connect kartında Açık'ı işaretleyin.
3. Issuer adresi'ni girin (sonuna /.well-known/openid-configuration eklenerek keşif yapılır) ve Keşfi dene ile doğrulayın; "Sağlayıcı bulundu." görünmeli.
4. Client ID ve gizli istemci için Client secret girin.
5. Düğme adı giriş sayfasında "… ile giriş" olarak görünür.
6. Gerekirse Kapsamlar (scope), Grup claim'i, İzin verilen e-posta alan adları (boşsa her alan adı) ayarlayın.
7. Grup kuralları (aşağıda) ve Kaydet.

Spitfire PKCE ve nonce kullanır, ID token imzasını sağlayıcının anahtarlarıyla doğrular. Entra ID'de grup adları yerine grup nesne kimlikleri gelir.

Kaydettikten sonra giriş sayfasında Düğme adı ile bir "… ile giriş" düğmesi çıkar:

Ekran görüntüsüGiriş sayfası: e-posta ve parola formunun üstünde kimlik sağlayıcının "… ile giriş" düğmesi

#LDAP / Active Directory

SSO sayfasının LDAP / Active Directory kartı: Sunucu adresi, StartTLS, hizmet hesabı, base DN, kullanıcı filtresi, öznitelikler ve Dene düğmesi

1. LDAP / Active Directory kartında Açık'ı işaretleyin.
2. Sunucu adresi (ldap:// ya da ldaps://); ldap:// ile StartTLS önerilir. Sertifikayı doğrulama yalnız test ortamı içindir.
3. Hizmet hesabı (bind DN) ve Hizmet hesabı parolası (boşsa anonim arama).
4. Kullanıcı arama kökü (base DN) ve Kullanıcı filtresi ({login} yazılanla değiştirilir).
5. Öznitelikler ve grup araması: E-posta, Ad, Grup özniteliği; memberOf olmayan dizinler için Grup arama kökü ve Grup filtresi.
6. Kaydetmeden önce Dene ile bir kullanıcıyla bağlanıp Spitfire'ın ne yapacağını görün ("Girebilir · rol: …").
7. Kaydet.

Kullanıcı giriş formuna dizindeki kullanıcı adını (ya da e-postasını) ve dizin parolasını yazar; parola saklanmaz.

#Grup kuralları (ikisi için de)

• Girebilen gruplar — boşsa kimliği doğrulanan herkes girer.
• Yönetici grupları — üyeler admin, diğerleri kullanıcı olur; her girişte güncellenir. Boşsa roller Spitfire'da yönetilir.
• İlk girişte hesap oluştur — kapalıysa yönetici hesabı önceden açar (Kullanıcılar → Giriş yöntemi).
• Grup üyeliklerini eşitle — kullanıcı, sağlayıcıdaki gruplarıyla aynı adı taşıyan Spitfire gruplarına eklenir, gruptan çıkınca çıkarılır; elle eklenen üyeliklere dokunulmaz.

#Unutulan parolalar

Kullanıcı tarafı:

Parolamı unuttum sayfası: e-posta alanı ve Gönder düğmesi

1. Giriş sayfasında Parolamı unuttum'a tıklayın, e-posta adresinizi yazıp Gönder'e basın. Yanıt her adres için aynıdır; hesap var mı söylemez.
2. Kurulumda e-posta tanımlıysa (Entegrasyonlar → E-posta (SMTP) ve Spitfire'ın herkese açık adresi), 30 dakika geçerli, tek kullanımlık bir bağlantı gelir. Bağlantıyla yeni parola seçilir; hesabın tüm oturumları kapanır.
3. E-posta tanımlı değilse talep yöneticiye gider.

Yönetici tarafı (e-posta yokken):

1. Kullanıcılar sayfasında talep eden hesabın yanında parola sıfırlama istiyor etiketi görünür.
2. Hesabı düzenleyin, geçici bir parola yazın, İlk girişte kendi parolasını belirlesin işaretli olsun ve Kaydet. (Talebi işlem yapmadan kapatmak için Talebi kapat.)
3. Geçici parolayı kullanıcıya iletin; kullanıcı ilk girişte başka bir şey yapmadan kendi parolasını seçer.

Kullanıcılar kendi parolasını kullanıcı menüsünden Parolayı değiştir ile değiştirir. SSO hesaplarının Spitfire parolası yoktur.

Kimse giremiyorsa (tek yönetici parolasını unuttuysa) controller'ın sunucusunda:

cd ~/spitfire && docker compose -p spitfire -f deploy/docker/docker-compose.yml exec controller spitfire-controller reset-password admin@ornek.com
kubectl -n spitfire exec -it deploy/spitfire-controller -- spitfire-controller reset-password admin@ornek.com

Yeni parolayı iki kez sorar; --generate rastgele bir parola basar (sonraki girişte değiştirilir), --enable devre dışı hesabı da açar. İşlem audit log'a yazılır.

#API token yönetimi

CI hatlarınız (GitHub Actions, GitLab CI, Jenkins…) bir API token ile sizin adınıza testleri listeler, doğrular, koşturur, durdurur ve sonucu okur.

API token'ları sayfası ve Yeni API token'ı penceresi: ad, Geçerlilik seçimi ve bir kez gösterilen token

1. Sağ üstteki kullanıcı menüsünden API token'ları'nı açın.
2. Token oluştur'a tıklayın; Yeni API token'ı penceresinde bir ad (ör. "GitHub Actions — shop") ve Geçerlilik (30, 90, 365 gün ya da Süresiz) seçin.
3. Çok workspace'li kurulumda token oluşturulduğu alana bağlıdır; kurulum yöneticisi Her çalışma alanı için seçeneğiyle her alanda çalışan bir token açabilir (CI alanı --workspace ile seçer).
4. Token yalnızca şimdi gösterilir. Kopyalayıp CI'ın gizli değişkenine (SPITFIRE_TOKEN) kaydedin (GitHub: Settings → Secrets and variables → Actions; GitLab: Settings → CI/CD → Variables, Masked), sonra Kopyaladım, kapat.

Token'ın yetkisi her çağrıda sahibinin o anki rolü ve gruplarıdır; token ile token, kullanıcı, test ya da ayar yönetilemez. Hesap devre dışı kalırsa token'lar da çalışmaz. Bir kullanıcının en çok 50 etkin token'ı olabilir. İptal et token'ı hemen geçersiz kılar (onu kullanan CI hatları 401 alır; geri alınamaz). Admin'ler Tüm kullanıcıların token'ları ile herkesinkini görür. Pipeline örnekleri: CI/CD.

#Denetim kaydı

Denetim kaydı (audit log; Altyapı → Denetim kaydı, admin) kim, ne zaman, neyi yaptı sorusunu yanıtlar: girişler, testler, koşular, onaylanan veri yazmaları, kullanıcılar, gruplar, bağlantılar, runner'lar ve runner token'ları, lisans… Kayıtlar yalnız eklenebilir; değiştirilemez ve silinemez (yalnızca Veri saklama ayarındaki günlük bakım 30 günden eski satırları siler, o da kayda yazılır).

Denetim kaydı sayfası: Başlangıç, Bitiş, Eylem ve Ara filtreleri, CSV indir düğmesi ve kayıt listesi

1. Başlangıç / Bitiş tarihlerini, Eylem türünü seçin ya da Ara alanına kullanıcı, hedef, IP yazın.
2. Filtrele; sıfırlamak için Filtreleri temizle.
3. CSV indir ile kanıt olarak dışa aktarın (dışa aktarım da kayda geçer).

Audit log her planda tutulur ama okumak ve dışa aktarmak ücretli planlardadır. Çok workspace'li kurulumda kayıt alan başınadır; kurulum yöneticisi isterse her alanınkini görür.

#Mobil uygulama ve Gate

Spitfire mobil uygulaması (Android, iOS) koşu olaylarını telefona bildirim olarak getirir; koşuyu telefondan durdurmaya ve veri yazan bir koşuyu biyometrik doğrulamayla onaylamaya da yarar. Kullanıcı yalnız görebildiği testlerin bildirimini alır.

Kurulum yöneticisi bir kez:

Mobil ve Gate sayfası: Mobil bildirimleri aç, iki gönderim kipi ve Gate kipinde Gate kartı

1. Altyapı → Mobil ve Gate'i açın, Mobil bildirimleri aç'ı işaretleyin.
2. Bildirimler kontrolcüden nasıl çıksın? sorusunu yanıtlayın:
   • Doğrudan kontrolcüden (internet çıkışı varsa) — ayrı kurulum gerekmez; HTTPS_PROXY ayarına uyar.
   • Gate üzerinden (kontrolcünün internet çıkışı yoksa) — internet çıkışı olan bir makineye küçük bir servis (Gate) kurulur; yalnız dışarıya bağlanır.
3. Bildirim sunucusu (relay) alanını boş bırakın (Spitfire'ın sunucusu kullanılır) ve Kaydet.
4. Gate seçtiyseniz Gate token'ı oluştur'a tıklayın, ad verin (ör. dmz-gate) ve pencerede çıkan Linux (systemd hizmeti) ya da Docker komutunu Gate makinesinde çalıştırın. Gate makinesi controller'a ve relay.spitfire.tr:443'e ulaşabilmeli. Token yalnız bir kez gösterilir. Gate bağlanınca kart Bağlı gösterir.

Yeni Gate penceresi: bir kez gösterilen Gate token'ı ile Linux (systemd hizmeti) ve Docker kurulum komutları

Her kullanıcı:

1. Telefona Spitfire uygulamasını kurun.
2. Uygulamada Spitfire'ın adresini ve kendi hesabınızı girerek oturum açın (web arayüzü gibi); bildirimlere izin verin. Telefon böylece hesabınıza kaydolur.
3. Hangi olayları alacağınızı uygulamada seçin (varsayılan: başlama ve normal bitiş dışındaki her olay).

Bildirimler yalnızca alıcı telefonun açabileceği bir anahtarla şifrelenir; Gate, bildirim sunucusu ve Google/Apple test adını ya da sonucunu göremez. Kartın altındaki satır kaç telefon ve kullanıcının kayıtlı olduğunu ve iletilmeyi bekleyen bildirimleri gösterir.

#Sistem olayları ve destek paketi

Sistem olayları sayfası (kurulum yöneticisi; Altyapı → Sistem olayları) controller'ın fark ettiklerini listeler: panic'ler, sunucu hataları (5xx), runner bağlantıları ve kopmaları, başarısız koşular, lisans, güncelleme denetimi, veritabanı, SSO/LDAP ve bildirim kanalı hataları. Olaylar 30 gün, en çok 20.000 tane tutulur. Seviye ve Kaynak ile süzün; arayüzde gördüğünüz Hata kodu'nu (request id) arama kutusuna yapıştırarak o isteğin olayını bulun.

Sistem olayları sayfası: Seviye ve Kaynak süzgeçleri, olay listesi ve Destek paketi indir düğmesi

Destek paketi indir önce paketin içindeki dosyaları ve boyutlarını gösterir, sonra bir zip verir. Spitfire bu paketi hiçbir yere göndermez; içine bakıp isterseniz destek ekibine siz iletirsiniz.

Destek paketi penceresi: paketteki dosyalar ve boyutları, pakete konmayanlar ve İndir düğmesi

Ayrıntılar ve arayüz açılmazken komut satırından paket alma: Sorun giderme.

#Sık karşılaşılan sorunlar

Belirti: Kullanıcı giriş yapıyor ama "Sizinle henüz paylaşılmış test yok" görüyor. Neden: Kullanıcı rolündeki hesap hiçbir gruba üye değil ya da grubunda test yok. Çözüm: Gruplar sayfasında onu bir gruba ekleyin ve testleri Görünür işaretleyin.

Belirti: Kullanıcı testi görüyor ama Çalıştır yerine "salt görüntüleme" yazıyor. Neden: Grup testi yalnızca Görünür yapmış. Çözüm: Grubu düzenleyip testi Koşturabilir işaretleyin.

Belirti: Kaydet'e basınca "Yeni kullanıcı etkinleştirilemez (2. kullanıcı); ücretsiz sürüm en fazla 1 kullanıcıya izin veriyor." Neden: Lisans kullanıcı limiti doldu. Çözüm: Ücretli plana geçin ya da kullanılmayan bir hesabı Devre dışı yapın.

Belirti: SSO girişinde "Bu e-posta parolalı bir hesaba ait; yönetici hesabı SSO'ya geçirebilir." Neden: Aynı e-postayla parolalı bir Spitfire hesabı var. Çözüm: Kullanıcılar → hesabı düzenleyin → Giriş yöntemi'ni OIDC ya da LDAP yapın.

Belirti: SSO girişinde "Bu kullanıcı için Spitfire hesabı yok; yöneticiden oluşturmasını isteyin." Neden: İlk girişte hesap oluştur kapalı. Çözüm: Açın ya da hesabı Kullanıcılar sayfasında doğru giriş yöntemiyle önceden oluşturun.

Belirti: SSO girişinde "Girişe izin verilen bir grubun üyesi değilsiniz." ya da "Bu e-posta alan adıyla giriş yapılamaz." Neden: Girebilen gruplar ya da İzin verilen e-posta alan adları kuralı. Çözüm: Kullanıcıyı sağlayıcıda doğru gruba ekleyin ya da kuralı genişletin. Entra ID'de grup nesne kimliklerini yazdığınızdan emin olun.

Belirti: SSO girişinde "Kimlik sağlayıcıya ulaşılamadı." Neden: Controller sağlayıcıya çıkamıyor (proxy, DNS, güvenlik duvarı). Çözüm: Keşfi dene ile kontrol edin; proxy arkasındaysanız sağlayıcı iç ağdaysa adını NO_PROXY'ye ekleyin (Kurulum → Proxy).

Belirti: SSO sayfasında "SSO (OIDC, LDAP) ücretli planlarda (Growth ve üstü) var." Neden: Kurulum ücretsiz limitlerde; ayarlar saklanır ama devre dışıdır. Çözüm: Ücretli lisans yükleyin: Lisans.

Belirti: "Çok fazla giriş denemesi. N sn sonra yeniden deneyin." Neden: Giriş sınırı (adres başına 30 ani deneme; hesap başına 10 yanlış parola). Çözüm: Bekleyin. Çok kullanıcı tek bir NAT arkasındaysa SPITFIRE_SIGNIN_BURST artırılabilir.

Belirti: CI "Çok fazla etkin API token'ı var" hatası veriyor. Neden: Kullanıcının 50 etkin token'ı var. Çözüm: Kullanılmayan token'ları İptal et.

Belirti: Mobil bildirimler gelmiyor; Gate kartında "N bildirim bir Gate'in bağlanmasını bekliyor." Neden: Gate kipi seçili ama bağlı Gate yok. Çözüm: Gate'i kurun ya da makinesinin controller'a ve relay.spitfire.tr:443'e ulaşabildiğini kontrol edin.

#İlgili sayfalar

• Başlarken
• Lisans
• CI/CD
• Zamanlama ve izleme
• Sorun giderme