API: Authentifizierung seit Neugestaltung

tl;dr

Geht so... halb? Aber ich glaube für die, die Spaß an so etwas haben, lohnt es sich dennoch mal meine Reise unten zu verfolgen - sie nimmt zum Ende hin eine seltsame Wendung ;-). Danke an Olivetti für's Weiterstubsen!

Okay, jetzt wird's lustig. Ich glaubte zwar nicht, dass das etwas bringt, aber man soll ja nichts unversucht lassen! Und ich muss zugeben, dass ich selber gar nicht daran dachte, weil ein Vertippen ja ausgeschlossen war (wie wir zum Ende hin auch sehen werden). Also, ran an's Werk.

Zuerst habe ich im SCP direkt probiert das Kennwort zu ändern. Ich kann mich ja (mittlerweile wieder - das was ja auch kaputt, nachdem ich mich beim Keycloak registriert hatte...) ins SCP mittels des CCP anmelden. Da fordert er mich auf, mich zu re-authentifizieren. Sehr gut. Und das lehnt er mit "invalid password" ab...

Na gut, dann habe ich es von der SCP-Anmeldemaske aus gemacht (wenn man direkt auf servercontrolpanel.de geht). Da funktioniert es dank des Email-Links. Ich setze das Kennwort wieder auf das One-and-only aus meinem Passwortmanager. Keine Sorge, es ist zwar alt, aber netcup-exklusiv, lang und von /dev/random erzeugt ;-). Wenn ich mich nun auf der normalen SCP-Anmeldemaske versuche anzumelden, kommt die Fehlermeldung, dass ich mich über das CCP anmelden müsse. So weit, so gut. Das ist doch ein Lebenszeichen und er erkennt immerhin mein Konto (und akzeptiert auch das Kennwort!).

Wenn ich jetzt versuche mich für die API anzumelden mittels des von ncctl generierten Links, dann kommt nun aber auch die gleiche Fehlermeldung! Dennoch ist das ein Fortschritt! Ich komme mir hier etwas komisch vor... aber nachdem ich immer nur das eine Kennwort nutze und das nie von Hand eingebe, habe ich mich immerhin nicht vertippt. (Dazu kommt später mehr...) Vielleicht hatte netcup bei der Portierung irgendwelche jahrealten Daten migriert, welche bei mir ja schon nicht mehr valide sind (nachdem der SCP-Zugang auf das CCP umgestellt wurde)? Jedenfalls hatte ich ja das Keycloak-Kennwort erst kürzlich in der Beta der API gesetzt, und da funktionierte es ja ein Weilchen. Nun gut, Migrationen sind immer ein Risiko. Schauen wir mal weiter!

Nun also verweigert die API den Zugriff, weil das SCP wiederum den Zugriff an das CCP deligiert. Und selbiges hat natürlich keine Ahnung von irgendwelchen API-Zugriffen. Das "witzige" ist nun, dass wenn ich mich per CCP wieder in das SCP einlogge und dann in einem anderen Browser-Tab die API-Anmeldung anstoße, bekomme ich als Fehlermeldung wieder "invalid username or password"... Wohlgemerkt mit den gleichen Zugangsdaten, die mir zuvor noch sagten, ich solle über das CCP gehen. Da ist dann wohl doch noch etwas mehr im Argen?

Dann schauen wir doch mal, ob ich nun im SCP mein Kennwort ändern kann. Immerhin gab es vorhin ja eine "schönere" Fehlermeldung. Ha! Jetzt geht das Ändern vom Kennwort innerhalb des SCPs. Fortschritt!

Also wieder eine API-Authentifizierung wagen (wie oben geschrieben: wenn ich abgemeldet war, kam zuvor "geh' über's CCP", wenn ich angemeldet war, kam auch nach dem Ändern des Kennworts "invalid username or password"). Nun kommt die "geh nach CCP"-Meldung! Hm, komisch. Einfach nochmal probieren. "invalid username or password". Ich werd' irre! Ich bin mir jetzt nicht mehr sicher, ob das vorher überhaupt mit "angemeldet" vs "nicht angemeldet" zu tun gehabt hatte...? Was ich jetzt hier sehe ist eher "Erster Loginversuch nach einer Kennwortänderung: geh zum CCP". Alle nachfolgenden "invalid username or password"? Aber das wäre schon sehr schräg... (Hier nehme ich gerne weitere Ideen auf )

Also verifizieren:

1. Ausloggen
2. Über servercontrolpanel.de anmelden -> "invalid username or password"
3. "Forgot Password?"
4. Auf das altbekannte Kennwort "neu" setzen
5. Über servercontrolpanel.de anmelden -> "Secure access mode is active for your user. Login is only possible via the Customer Control Panel."
6. Nochmal der gleiche Schritt, das gleiche Ergebnis! (also nicht "invalid username or password")
7. SCP Auto-Login mittel CCP -> geht
8. In anderem Tab auf servercontrolpanel.de gehen -> direkt drinnen (kein Login erfoderlich! (früher (letzen Monat?) ging es doch nicht mehrere Tabs offen zu haben, oder?)
9. Während ich angemeldet bin: API-Anmeldung mittels ncctl Link -> "invalid username of password"...
10. "Forgot Password?" direkt auf der API-Anmeldemaske aufrufen
11. Während die API-Authentifizierung im Hintergrund noch läuft(!) Kennwort zurücksetzen
12. Jetzt fragt er ob ich per Oauth gewisse Dinge freigeben will und der Login in ncctl funktioniert!
13. Sich freuen
14. ncctl logout/login -> Authentifizierung im Browser -> "Secure access mode is active for your user. Login is only possible via the Customer Control Panel."
15. Sich nicht mehr freuen
16. SCP abmelden, im CCP Auto-Login
17. API-Anmeldung -> "invalid username or password" (also wieder andere Meldung als zuvor)
18. "Forgot Password?"
19. Login funktioniert nach Reset
20. UUUND: Im noch offenen Tab mit der Fehlermeldung "invalid username of password" wird jetzt auf einmal die OAUTH Rechtevergabe angezeigt! "Code expired" wenn man das dann macht - ich bin ja schon durch den "Reset"-Tab reingekommen. Aber wir reden hier von dem Tab, in welchem ich mich eigentlich gar nicht korrekt authentifizieren konnte...
21. Secure Access Mode im SCP abschalten und abmelden (man ist ja mutig...
22. servercontrolpanel.de -> "invalid username or password" (Ich weiß nicht, was ich erwartet hatte...)
23. SCP Auto-Login im CCP -> funktioniert noch (puh)
24. Secure Access Mode im SCP wieder einschalten

So wie es jetzt also aussieht, war das Kennwort vorher wohl gar nicht falsch. Er besteht nur einfach immer auf seinem "invalid username or password", sofern man anderweitig angemeldet ist. Hin und wieder gibt es noch eine "Geh' ins CCP!" Meldung. Aber ich kann mich nur (einmalig) an der API authentifizieren, wenn ich das Kennwort zurücksetze. Das ist schon... spannend. Und auch nicht die Lösung die ich mir erhoffe und für 'nen Produktiveinsatz gewagt. Aber immerhin mal ein Schritt (oder zwanzig...) weiter um mal wieder mit den Skripten rumspielen zu können.

Haltet Euch fest! Am 6.7. hat sich der Support gemeldet und gefragt, ob das Problem noch besteht. (Ich war unterwegs und konnte erst heute wieder antworten.) Ich halte Euch auf dem Laufenden

Die Antwort war "Secure Mode geht nicht. Wir arbeiten dran."... Immerhin aber funktioniert jetzt das Anmelden, wenn Secure Mode deaktiviert ist (im Log oben kann man ja nachvollziehen, dass das vor ein paar Wochen nicht funktionierte). D.h. mein SCP ist jetzt ohne 2FA-Absicherung. Danke nochmal an alle, die hier halfen und hoffen wir, dass Netcup ihr Authentifizierung bald in den Griff kriegt!