Initiales Passwort ändern (Pflicht bei Inbetriebnahme)

Direkt nach der Installation verfügt PlantPulse bei allen Installationen über dasselbe Standardkonto. Diese Werte stehen im Quellcode und sind damit für jeden einsehbar. Ändern Sie sie alle, bevor Sie das System an den Kunden übergeben.

Diese Seite ist eine Checkliste, die die vollständige Liste der zu ändernden Konten und die jeweiligen Änderungspfade an einer Stelle bündelt. Für den regelmäßigen Austausch während des Betriebs siehe Passwort ändern (Credential-Rotation).

Wird auch nur eines nicht geändert, ist es ein offenes Tor

Die folgenden Konten verwenden unterschiedliche Oberflächen und unterschiedliche Speicher. Wenn Sie nur das Passwort der Web-Konsole ändern und das Control Center unverändert lassen, bleibt die Oberfläche zum Starten und Stoppen der gesamten Plattform mit dem Standardpasswort offen.

Was zu ändern ist — vollständige Liste

#	Konto	Standardwert	Wo ändern?
1	Web-Konsole Administrator	`admin` / `admin123!`	Konsolenoberfläche → unten
2	Control Center (`:9700`)	`admin` / `admin123!`	Umgebungsvariablen → unten
3	PlantPulse Dashboard (`:3000`)	`admin` / `admin`	In der PlantPulse-Dashboard-Oberfläche → unten
4	Kestra (`:8380`)	`admin@plantpulse.io` / `Kopens123!`	Umgebungsvariablen → unten
5	Infrastrukturdienste (DB, MQ, Storage usw.)	Je nach Installation unterschiedlich	`passwd.sh` → unten

1–4 sind Oberflächen, bei denen sich Personen anmelden, daher werden sie hier behandelt. 5 sind Anmeldeinformationen für die Kommunikation zwischen Diensten, dafür gibt es ein separates Rotationsverfahren.

1. Web-Konsole Administrator

Zuerst ändern. Dies geschieht vollständig in der Oberfläche.

Melden Sie sich mit admin / admin123! an.
Öffnen Sie im linken Menü System > Benutzer.
Klicken Sie in der Zeile admin auf das 🔑 Schlüsselsymbol (Tooltip "Passwort ändern").
Geben Sie aktuelles Passwort (admin123!) und neues Passwort ein und speichern Sie.

Für das eigene Konto ist das aktuelle Passwort erforderlich

Um das Passwort eines anderen zu ändern, reicht die Berechtigung ADMIN, aber für das eigene Konto müssen Sie das aktuelle Passwort mit angeben. Detaillierte Regeln und die Nutzung der REST API finden Sie unter Benutzerverwaltung — Passwort ändern.

2. Control Center (`:9700`)

Eine separate Weboberfläche zum Starten, Stoppen und Steuern der gesamten Plattform mit root-Rechten. Die Konten sind hier vollständig getrennt von der Web-Konsole; ein Passwortwechsel in der Konsole ändert hier nichts.

Wird über zwei Umgebungsvariablen festgelegt. Wenn Werte angegeben werden, werden diese statt der Standardwerte verwendet.

Umgebungsvariable	Zweck
`PP_CONTROL_USER`	Login-Benutzername
`PP_CONTROL_PASSWORD`	Login-Passwort

Wenn nicht gesetzt, erfolgt die Anmeldung mit dem für alle Installationen identischen Entwicklungs-Standardkonto. Das genaue Vorgehen finden Sie unter Credential-Rotation — Control Center.

9700 nicht nach außen öffnen

Auch wenn das Passwort geändert wurde, sollte dieser Port gemäß Prinzip per Firewall nur aus dem Operator-Netzwerk erreichbar sein → Portkonfiguration.

3. PlantPulse Dashboard (`:3000`)

Zeitreihen-Visualisierungs-Dashboard. Das Standardkonto ist der in PlantPulse Dashboard eingebaute Standardwert admin / admin.

Nicht über Umgebungsvariablen änderbar

🔴 Es gibt keine Variablen PP_GRAFANA_ADMIN_USER · PP_GRAFANA_ADMIN_PASSWORD. Das Administrator-Konto von PlantPulse Dashboard lebt im eigenen Speicher von PlantPulse Dashboard, und Werte aus der Konfigurationsdatei werden nur berücksichtigt, wenn noch kein Benutzer im Speicher existiert – sobald einer angelegt wurde, hat der Speicher Vorrang, und es gibt auch keinen Fehler, der das meldet. Deshalb wird davon abgeraten (Entscheidung vom 08.09.2026).

Es gibt zwei Stellen zum Ändern.

Methode	Wann
PlantPulse-Dashboard-Oberfläche → Profil → Change password	Im Normalfall
`dashboard-cli --homepath <dashboard> admin reset-admin-password --password-from-stdin`	Wenn die Anmeldung nicht funktioniert

Zusätzlich benötigte Werte — `PP_GRAFANA_DB_PASSWORD`

Seit dem 08.09.2026 ist der Speicher von PlantPulse Dashboard PostgreSQL (Dashboards, Datenquellen, Benutzer, Alarmregeln). Dafür werden die Zugangsdaten benötigt.

Umgebungsvariable	Standardwert
`PP_GRAFANA_DB_USER`	`grafana` (fest – das Schema erstellt Rollen unter diesem Namen)
🔑 `PP_GRAFANA_DB_PASSWORD`	Kein Standard – für den Start erforderlich

🔴 Wenn leer, stoppt pd start mit Exit-Code 3. In den Secret Sidecar des Hosts (/etc/kopens/plantpulse-platform.env) eintragen und mit bin/restart.sh neu starten.

4. Kestra (`:8380`)

Workflow-Engine. Das Standardkonto ist admin@plantpulse.io / Kopens123!.

Umgebungsvariable	Standardwert
`PP_KESTRA_ADMIN_EMAIL`	`admin@plantpulse.io`
`PP_KESTRA_ADMIN_PASSWORD`	`Kopens123!`

Die frühere Warnung „Wenn geändert, stoppt das Archiv" wurde entfernt

Vor dem 04.09.2026 war das Warehouse über HTTP mit Kestra verbunden, und das Startskript hatte dieses Konto hartcodiert. Daher stoppte das S3-Archiv still, wenn das Kestra-Passwort geändert wurde.

Diese Verbindung existiert jetzt nicht mehr. Archivierung und Optimierung werden von Temporal Workern ausgeführt (PP-S3-ARCHIVER-DAILY täglich um 01:30, PP-S3-OPTIMIZER-WEEKLY sonntags um 04:00). Das Warehouse liest die Kestra-Zugangsdaten weder aus noch besitzt es sie.

⇒ Sie können das Kestra-Passwort bedenkenlos ändern. Das Archiv ist davon nicht betroffen.

5. Infrastruktur-Konten und API-Schlüssel

Dies sind Anmeldeinformationen für die Kommunikation zwischen Diensten wie Datenbank, Messaging und Storage. Keine Person meldet sich damit an, aber wenn die Standardwerte unverändert bleiben, kann im internen Netzwerk jeder auf die Daten zugreifen.

bin/passwd.sh ist die vordere Tür. Nur im Registry registrierte Variablen können rotiert werden. Wenn nicht registrierte Werte angegeben werden, werden sie nicht stillschweigend ignoriert, sondern abgelehnt.

cd /opt/kopens/plantpulse-platform-docker

bin/passwd.sh --list                 # 무엇을 바꿀 수 있는지 (현재값은 마스킹)
bin/passwd.sh --list --show          # 현재값을 그대로 보기
bin/passwd.sh PP_PG_PASSWORD         # 값은 프롬프트로 입력 (argv·셸 히스토리에 남지 않습니다)
bin/passwd.sh PP_PG_PASSWORD=... PP_S3_PASSWORD=...   # 여러 개를 한 번에 → 재시작 1회
bin/passwd.sh --dry-run PP_MQ_PASSWORD                   # 계획만 출력

Um bei der Inbetriebnahme alle registrierten Werte zufällig zu rotieren, wird die Rotations-Engine direkt aufgerufen. --all ist keine passwd.sh, sondern eine Option von rotate-secret.sh.

bin/rotate-secret.sh --dry-run --all --generate   # 계획 확인
bin/rotate-secret.sh --all --generate             # 실행

Umgebungsvariable	Ziel
`PP_PG_PASSWORD`	PostgreSQL `plantpulse`
`PP_TEMPORAL_PASSWORD`	PostgreSQL `temporal`
`PP_HIVE_PASSWORD`	PostgreSQL `hive`
`PP_CASSANDRA_PASSWORD`	Aster TSDB
`PP_REDIS_PASSWORD`	Valkey (Redis)
`PP_S3_PASSWORD`	RustFS
`PP_MQ_PASSWORD`	Kafka · HiveMQ (beide Dienste teilen sich einen Wert)
`PP_CEP_API_KEY`	CEP API
`PP_DATA_GATEWAY_API_KEY`	Daten-Gateway-API

Das sind nicht alle 9

PP_API_KEY · PP_FLOW_WEBHOOK_API_KEY · PP_SPARK_PASSWORD · PP_OPCUA_PASSWORD TLS-Keystore-/Truststore-Passwörter sind noch nicht in der Registry, daher lehnt das Skript sie ab. Wenn nicht registrierte Schlüssel übergeben werden, werden sie nicht stillschweigend ignoriert, sondern als „nicht in der Registry vorhandene Variable" abgelehnt. Folgen Sie für alle dem Abschnitt Credential-Rotation — manuelles Verfahren.

Reihenfolge beachten

Wenn Sie serverseitige Konten ändern, aber den Speicher nicht aktualisieren, startet die Plattform beim nächsten Neustart nicht. passwd.sh übernimmt diese Reihenfolge, aber bei manueller Änderung lesen Sie zuerst Warum ist die Reihenfolge wichtig?.

Prüfung nach der Änderung

Prüfen Sie direkt auf jeder Oberfläche, ob eine Anmeldung mit dem Standardpasswort nicht mehr möglich ist. „Ich dachte, ich hätte es geändert, aber die Konfigurationsdatei wurde nicht gelesen" ist der häufigste Fehler.

Was zu prüfen ist	Methode
Web-Konsole	Nach dem Abmelden versuchen, sich mit `admin123!` anzumelden → Fehler ist korrekt
PlantPulse Dashboard	Unter `:3000` versuchen, sich mit `admin` / `admin` anzumelden → Fehler ist korrekt
Kestra	Unter `:8380` versuchen, sich mit `Kopens123!` anzumelden → Fehler ist korrekt
S3-Archiv	Wenn Kestra geändert wurde, prüfen, ob die nächste geplante Ausführung erfolgreich war

In die Übergabedokumentation aufnehmen

Tragen Sie die Liste der geänderten Konten und wer die neuen Passwörter aufbewahrt in die Übergabedokumentation ein. Die Werte selbst sollten Sie nicht eintragen.

Was zu ändern ist — vollständige Liste​

1. Web-Konsole Administrator​

2. Control Center (:9700)​

3. PlantPulse Dashboard (:3000)​

Zusätzlich benötigte Werte — PP_GRAFANA_DB_PASSWORD​

4. Kestra (:8380)​

5. Infrastruktur-Konten und API-Schlüssel​

Prüfung nach der Änderung​

Verwandte Dokumente​