Let Redaktion grant and revoke its own role

Any holder may add or remove another account, witnessed as
redaktion_grant/revoke so the vouching is legible. Not behind elevation:
onboarding must not wait for a keyholder, and a compromised Redaktion
account can already publish.

3 files changed, 30 insertions, 0 deletions

diff --git a/config/locales/de.yml b/config/locales/de.yml
index 6b5c97cc..67117945 100644
--- a/config/locales/de.yml
+++ b/config/locales/de.yml
@@ -150,6 +150,7 @@ de:
           attributes:
             roles:
               unknown: "enthält unbekannte Rollen: %{list}"
+              admin_needs_otp: "Die Administrator-Rolle setzt einen zweiten Faktor voraus. Der Nutzer muss diesen zuerst selbst unter »Mein Konto« einrichten"
         related_asset:
           attributes:
             headline:
@@ -226,6 +227,8 @@ de:
     otp_reset: "%{actor} hat den zweiten Faktor von %{target} zurückgesetzt"
     user_deactivate: "%{actor} hat %{target} deaktiviert"
     user_reactivate: "%{actor} hat %{target} reaktiviert"
+    redaktion_grant: "%{actor} hat %{target} in die Redaktion aufgenommen"
+    redaktion_revoke: "%{actor} hat %{target} aus der Redaktion entfernt"
 
   open_gallery: "Gallerie anzeigen"
   asset_licenses:
@@ -291,6 +294,11 @@ de:
       deactivate: "Deaktivieren"
       reactivate: "Reaktivieren"
       confirm_deactivate: "%{login} deaktivieren? Die Anmeldung wird sofort verweigert, Zuschreibungen bleiben erhalten."
+      grant_redaktion: "In die Redaktion aufnehmen"
+      revoke_redaktion: "Aus der Redaktion entfernen"
+      confirm_grant_redaktion: "%{login} in die Redaktion aufnehmen? Damit darf %{login} in den geschützten Bereichen veröffentlichen."
+      confirm_revoke_redaktion: "%{login} aus der Redaktion entfernen?"
+      needs_otp: "zweiter Faktor fehlt"
     index:
       title: "Benutzerkonten"
       create_editor: "Editor-Konto anlegen"
@@ -301,6 +309,7 @@ de:
       group_editor: "Editors"
       group_alumni: "Ehemalige"
       group_empty: "— keine —"
+      admin_hint: "Administrative Rechte lassen sich erst vergeben, nachdem der Nutzer sich angemeldet und einen zweiten Faktor eingerichtet hat."
     labels:
       roles: "Rollen"
     roles:
@@ -595,6 +604,10 @@ de:
       deactivated: "%{login} ist jetzt alumni und kann sich nicht mehr anmelden."
       reactivated: "%{login} kann sich wieder anmelden."
       cannot_deactivate_self: "Das eigene Konto kann nicht deaktiviert werden."
+      redaktion_granted: "%{login} gehört jetzt zur Redaktion."
+      redaktion_revoked: "%{login} gehört nicht mehr zur Redaktion."
+      redaktion_needs_otp: "%{login} braucht zuerst einen zweiten Faktor."
+      redaktion_not_self: "Die eigene Redaktions-Rolle kann nicht abgegeben werden."
     assets:
       created: "Asset wurde angelegt."
       updated: "Asset wurde aktualisiert."
diff --git a/config/locales/en.yml b/config/locales/en.yml
index e4c7ecc4..95eb7e94 100644
--- a/config/locales/en.yml
+++ b/config/locales/en.yml
@@ -97,6 +97,7 @@ en:
           attributes:
             roles:
               unknown: "contains unknown roles: %{list}"
+              admin_needs_otp: "Administrator role requires an enrolled second factor. The user has to set one up under My account first"
         related_asset:
           attributes:
             headline:
@@ -170,6 +171,8 @@ en:
     otp_reset: "%{actor} reset the second factor of %{target}"
     user_deactivate: "%{actor} deactivated %{target}"
     user_reactivate: "%{actor} reactivated %{target}"
+    redaktion_grant: "%{actor} added %{target} to Redaktion"
+    redaktion_revoke: "%{actor} removed %{target} from Redaktion"
 
   open_gallery: "Open gallery"
   asset_licenses:
@@ -235,6 +238,12 @@ en:
       deactivate: "Deactivate"
       reactivate: "Reactivate"
       confirm_deactivate: "Deactivate %{login}? Sign-in is refused immediately; attributions are preserved."
+      grant_redaktion: "Add to Redaktion"
+      revoke_redaktion: "Remove from Redaktion"
+      confirm_grant_redaktion: "Add %{login} to Redaktion? They will be able to publish in the protected sections."
+      confirm_revoke_redaktion: "Remove %{login} from Redaktion?"
+      needs_otp: "no second factor"
+
     index:
       title: "User accounts"
       create_editor: "Create editor account"
@@ -245,6 +254,7 @@ en:
       group_editor: "Editors"
       group_alumni: "Alumni"
       group_empty: "— none —"
+      admin_hint: "Administrative rights can only be granted after the account has signed in and set up a second factor."
     labels:
       roles: "Roles"
     roles:
@@ -554,6 +564,11 @@ en:
       deactivated: "%{login} is now an alumnus and can no longer sign in."
       reactivated: "%{login} can sign in again."
       cannot_deactivate_self: "You cannot deactivate your own account."
+      redaktion_granted: "%{login} is now part of Redaktion."
+      redaktion_revoked: "%{login} is no longer part of Redaktion."
+      redaktion_needs_otp: "%{login} needs a second factor first."
+      redaktion_not_self: "You cannot give up your own Redaktion role."
+
     assets:
       created: "Asset was successfully created."
       updated: "Asset was successfully updated."
diff --git a/config/routes.rb b/config/routes.rb
index 58e1e632..d19ac25b 100644
--- a/config/routes.rb
+++ b/config/routes.rb
@@ -102,6 +102,8 @@ Cccms::Application.routes.draw do
         put :reset_otp
         put :deactivate
         put :reactivate
+        put :grant_redaktion
+        put :revoke_redaktion
       end
     end
     resource :otp_enrollment, :only => [:show, :create, :update, :destroy]