Utilizatori, roluri, grupuri și permisiuni în Open WebUI & RAG Local

Admin Panel > Users (roluri admin / user / pending, Groups)   |   Settings > Admin > Authentication (New Sign Ups, Default User Role)

Rolurile de sistem sunt admin (acces complet, trece peste majoritatea verificărilor de permisiuni), user (supus permisiunilor) și pending (niciun acces până la aprobare). Primul cont creat este administratorul principal. Rolul conturilor noi vine din Default User Role / DEFAULT_USER_ROLE (implicit pending). Rolurile se schimbă în Admin Panel > Users; schimbarea închide conexiunile WebSocket ale contului, dar nu îi revocă sesiunea, pentru care există Sign out all devices în dialogul utilizatorului.

Grupurile (Admin Panel > Users > Groups) servesc la permisiuni și la partajare. Permisiunile se adună: cine este în mai multe grupuri primește reuniunea lor, iar o permisiune nu se poate retrage printr-un grup. Grupurile pot fi imbricate, cu moștenire de la grupul părinte. Fiecare model, bază Knowledge, prompt, skill sau unealtă are un buton Access: public sau partajat cu anumiți utilizatori ori grupuri. Cine folosește un model cu unelte atașate are nevoie de acces și la acele unelte.

Autentificarea, din Settings > Admin > Authentication: email și parolă, LDAP, OAuth / OIDC (SSO), sincronizare SCIM 2.0 și autentificare în doi pași (MFA, cu coduri dintr-o aplicație de tip authenticator). Grupurile pot fi sincronizate din OAuth sau LDAP. După crearea primului administrator, înregistrarea se oprește; New Sign Ups o repornește. Cu ENABLE_ADMIN_CHAT_ACCESS=False, administratorii nu mai pot deschide chaturile altor utilizatori.

Concepte cheie și caracteristici

Concept / Parametru	Descriere practică
admin	Acces complet, gestionează utilizatori, grupuri și setările instanței.
user	Drepturi din permisiunile implicite și din grupuri.
pending	Niciun acces; refuzat la fiecare cerere API și la conexiunea WebSocket.
DEFAULT_USER_ROLE	Rolul conturilor noi: pending (implicit), user, admin. ConfigVar.
ENABLE_SIGNUP / New Sign Ups	Permite crearea de conturi; implicit True, oprit automat după primul admin.
Groups	Permisiuni aditive și partajare; „Who can share to this group”: Anyone, Members (implicit), No one.
Access	Partajarea unui element din Workspace cu utilizatori sau grupuri.
WEBUI_ADMIN_EMAIL / WEBUI_ADMIN_PASSWORD	Creează contul de administrator la prima pornire, pe o bază goală, și oprește înregistrarea.
ENABLE_ADMIN_CHAT_ACCESS	Implicit True; False împiedică administratorii să citească chaturile altora.

Exemple practice și scenarii reale

Exemplul 1: Administrator creat automat la instalare

Parola vine dintr-un secret, nu scrisă în fișier.

services:
  open-webui:
    image: ghcr.io/open-webui/open-webui:main
    environment:
      - WEBUI_ADMIN_EMAIL=admin@firma.ro
      - WEBUI_ADMIN_PASSWORD=${ADMIN_PASSWORD}
      - WEBUI_ADMIN_NAME=Administrator

Exemplul 2: Grupuri pentru permisiuni separate de grupuri pentru partajare

Strategia propusă în documentație: grupurile de echipă nu primesc permisiuni, ca o funcție oprită global să se oprească pentru toți.

[Perms] Generare imagini   Who can share: No one   permisiunea Image Generation
[Perms] Căutare web        Who can share: No one   permisiunea Web Search
Marketing                  Who can share: Members  fără permisiuni; modele și baze partajate

Exemplul 3: Conturi noi aprobate manual

-e ENABLE_SIGNUP=true \
-e DEFAULT_USER_ROLE=pending

Greșeli frecvente și capcane

• Încerci să interzici o funcție unui grup. Permisiunile doar se adaugă; o funcție oprită în permisiunile implicite rămâne disponibilă oricui o primește dintr-un grup.
• Partajezi un model cu unelte private: utilizatorii fără acces la unelte le pierd fără niciun mesaj.
• Dai utilizatorilor obișnuiți dreptul de a crea sau importa Tools. Documentația îl tratează ca acces la shell pe server.

Noțiuni și module înrudite

• docker-run-open-webui
• backup-export-data
• open-webui-workspace-modele
• open-webui-api