Zum Hauptinhalt springen

Ändern des Initial-Passworts (bei der Inbetriebnahme verpflichtend)

Nach der Installation des AI-Stacks werden hier die Konten für Bildschirme, bei denen sich Menschen anmelden, bereinigt. Die Rotation der Schlüssel, die Dienste untereinander verwenden, finden Sie unter Passwort · API-Schlüssel ändern.

Konto der Admin-Konsole​

Bei der AI-Admin-Konsole werden Konten über Umgebungsvariablen festgelegt. Da keine Benutzer in einer Datenbank hinterlegt werden, gibt es keine Funktion, um das Passwort über den Bildschirm zu ändern.

UmgebungsvariableBedeutungStandardwert
PI_ADMIN_USERLogin-IDadmin
PI_ADMIN_PASSWORDLogin-Passwortkeiner — muss bei der Installation zwingend festgelegt werden
PI_ADMIN_SESSION_SECRETSignaturschlüssel für Sitzungenwird vom Installer erzeugt (Zufallswert, beginnend mit ppss_)
Im Container lauten die Namen anders

Der Konsolen-Container (plantpulse-admin-api) erhält diese Werte unter den Namen ADMIN_AUTH_USERNAME · ADMIN_AUTH_PASSWORD · ADMIN_SESSION_SECRET. Da compose diese Werte überträgt, ist es der Name aus der obigen Tabelle (PI_*), den der Betreiber anpasst.

Hier gibt es kein Standardpasswort

Der Wert PI_ADMIN_PASSWORD in der Vorlage ist ein Platzhalter (CHANGE_ME_…), und der Installer erzeugt diesen Wert nicht — weil sich Menschen mit genau diesem Wert anmelden. Solange der Platzhalter stehen bleibt, verweigert START=1 den Start, und ist das Feld leer, verweigert die Konsole den Start. Es ist also strukturell ausgeschlossen, dass "unbemerkt der Standardwert weiterverwendet wurde". Der bei der Installation festgelegte Wert ist zugleich der produktive Wert — prüfen Sie bei der Inbetriebnahme einmal, ob dieser Wert nicht nur ein schwacher, provisorischer Wert ist.

So ändern Sie es​

Das Konsolenkonto ist nicht in der Liste der Schlüssel enthalten, die bin/passwd.sh verwaltet. Bearbeiten Sie die Umgebungsdatei direkt und erstellen Sie den Container neu.

sudo vi /etc/kopens/plantpulse-ai.env      # PI_ADMIN_PASSWORD 수정
cd /opt/kopens/plantpulse-ai-docker/bin
./up.sh                                    # 컨테이너 재생성
Das Ändern des Sitzungs-Signaturschlüssels meldet alle ab

PI_ADMIN_SESSION_SECRET wird einmalig bei der Installation erzeugt. Ändern Sie den Wert, werden alle bis dahin bestehenden Anmeldungen aufgehoben. Bleibt das Feld leer, verweigert compose den Start.

Konto der LiteLLM-Admin-Oberfläche​

Dies ist das Konto, mit dem Menschen sich in der Admin-Oberfläche http://<AI 서버>:4000/ui des Modell-Gateways (LiteLLM) anmelden (bzw. unter dem Port, falls Sie den Port auf PI_LITELLM_PORT geändert haben). Für API-Aufrufe wird es nicht verwendet (dort kommen der Master-Key oder virtuelle Keys zum Einsatz).

UmgebungsvariableBedeutungStandardwert
PI_LITELLM_UI_USERNAMELogin-IDadmin (in der Vorlage auskommentiert)
PI_LITELLM_UI_PASSWORDLogin-Passwortadmin123!
Dieses Passwort ist bei jeder Installation identisch — ändern Sie es bei der Inbetriebnahme

admin123! ist der in der Vorlage hinterlegte Wert, und der Installer erzeugt dafür keinen neuen. Da Port 4000 im LAN offen ist, kann sonst jeder im selben Netzwerk auf die Admin-Oberfläche des Gateways zugreifen.

Löschen Sie diese Zeile nicht

PI_LITELLM_UI_PASSWORD ist erforderlich — ist sie leer oder fehlt sie, verweigert compose den Start. LiteLLM verwendet ohne diesen Wert den Master-Key (PI_LLM_API_KEY) als UI-Passwort, und genau das soll damit verhindert werden — dass ein Mensch den Schlüssel eintippt, der die gesamte API öffnet.

Die Vorgehensweise beim Ändern ist dieselbe wie beim Konsolenkonto — da es nicht in der passwd.sh-Liste enthalten ist, bearbeiten Sie die Umgebungsdatei und erstellen den Container mit ./up.sh neu.

Wenn Sie einen Host von 2026.08 oder früher auf 2026.09 aktualisiert haben

Dieses Konto wurde in 2026.09 eingeführt. Da der Installer eine bereits bestehende Umgebungsdatei nicht neu erzeugt, fehlt diese Zeile in älteren Dateien. Aktualisieren Sie ohne Anpassung, bleibt der Start wegen eines Fehlers stehen, dass PI_LITELLM_UI_PASSWORD fehlt. Fügen Sie die Zeile direkt in /etc/kopens/plantpulse-ai.env ein (mit einem neu festgelegten Passwort als Wert).

PI_LITELLM_UI_PASSWORD=<password>

Infrastruktur-Konten und API-Schlüssel​

Dies sind Zugangsdaten, die Dienste untereinander verwenden. bin/passwd.sh enthält die Liste der betroffenen Ziele.

cd /opt/kopens/plantpulse-ai-docker/bin

./passwd.sh --list          # 무엇을 바꿀 수 있는지 (현재값은 마스킹)
./passwd.sh --list --show   # 현재값 전체
./passwd.sh PI_INBOUND_API_KEY
./passwd.sh --generate PI_INBOUND_API_KEY   # 값을 직접 만들지 않고 도구가 만들게
SchlüsselWas
PI_NEO4J_PASSWORDNeo4j — ändert beide Instanzen gemeinsam: den LightRAG-Wissensgraphen und den Werksgraph-Spiegel
PI_RAG_API_KEYRAG-API-Schlüssel — wird gemeinsam von copliot-web · lightrag · rag-api verwendet
PI_VLLM_API_KEYvLLM-API-Schlüssel — wird gemeinsam von lightrag · insight-api verwendet
PI_LLM_API_KEYLiteLLM-Master-Key
PI_LITELLM_SALT_KEYLiteLLM-Salt-Key — 🔴 Wird dieser geändert, lassen sich die Schlüssel bereits registrierter externer Modelle nicht mehr entschlüsseln. Nicht rotieren
PI_INBOUND_API_KEYInbound-Schlüssel des Backends — wird von rag · insight · parser · vision · Digital Thread empfangen (ist er leer, verweigern diese fünf den Start), und Copilot · Admin-Konsole rufen mit demselben Wert auf
Die beiden Verschlüsselungsschlüssel für gespeicherte Zugangsdaten sind nicht in dieser Liste

PI_COPILOT_SECRET_KEY · PI_DT_SECRET_KEY werden vom Installer bei der Erstinstallation erzeugt und sind keine Werte, die bei der Inbetriebnahme geändert werden sollten — ändert man sie, lassen sich die mit diesem Schlüssel versiegelten Zugangsdaten nicht mehr entschlüsseln. Zwei Dinge sind zu erledigen:

  1. Prüfen Sie, ob der Wert vorhanden ist. Ist PI_COPILOT_SECRET_KEY leer, verweigert Copilot den Start. Bei Hosts, die von 2026.09 oder früher aktualisiert wurden, fehlt die Zeile komplett → Umgebungsvariablen konfigurieren
  2. Stellen Sie sicher, dass beide Werte im Backup der env-Datei enthalten sind.

Ist ein Austausch unbedingt erforderlich, folgen Sie dem _PREVIOUS-Verfahren → Passwort · API-Schlüssel ändern

Bei Inbound-Schlüsseln ist ein "Platzhalter" gefährlich

Ist der Wert leer, startet die Vorab-Prüfung den Stack gar nicht erst, und auch die Backend-Dienste verweigern jeweils einzeln den Start (ab dem Re-Release 2026.10 — davor galt bei fehlendem Schlüssel: "ohne Prüfung durchlassen"). Der Platzhalter CHANGE_ME_… ist jedoch kein leerer Wert und besteht diese Prüfung, wobei dieser Wert bei jeder Installation identisch ist. Der Installer ersetzt den Platzhalter zwar durch einen neuen Wert, prüfen Sie aber direkt nach der Installation mit bin/doctor.sh, ob kein Platzhalter übrig geblieben ist. Bei der Rotation geht passwd.sh in der Reihenfolge zuerst die Datei anpassen, danach neu starten vor. Halten Sie dieselbe Reihenfolge ein, wenn Sie manuell ändern.

Viele Schlüssel werden von mehreren Diensten gemeinsam genutzt

PI_RAG_API_KEY · PI_VLLM_API_KEY · PI_INBOUND_API_KEY haben mehrere Verbraucher. Ändern Sie nur an einer Stelle, schlägt die Authentifizierung bei den übrigen fehl — ändern Sie den Wert daher mit passwd.sh und starten Sie den gesamten Stack neu.

Prüfung​

# 콘솔이 떴는가 — HTTP 5959 · HTTPS 5960 (2026.09 까지는 9080)
curl -sf http://127.0.0.1:5959/health && echo OK
curl -sfk https://127.0.0.1:5960/health && echo OK

Prüfen Sie im Browser selbst, ob die Anmeldung mit dem alten Passwort blockiert wird.

Was diese Seite nicht behandelt​

GegenstandWo
Inbound-Schlüssel des Backends · LLM-Schlüssel · Neo4j usw.Passwort · API-Schlüssel ändern
Maschinen-Authentifizierungsschlüssel der öffentlichen API (/api/v1) CO_API_V1_KEY (bis 2026.09: CH_API_V1_KEY)Umgebungsvariablen konfigurieren
Benutzerkonten von AI Chat Webfolgt dem Benutzersystem der Platform → Platform-Benutzerverwaltung
Initiale Konten von Platform · Edge · Studiojeweils gleichnamige Seite in der Dokumentation des jeweiligen Produkts

Verwandte Dokumente​