Darf sich ein Mitarbeiter mit dem Firmen-Login selbst ins VPN freischalten?

Mit dem Firmen-Login allein kommt bei uns niemand ins VPN. Die Kollegen melden sich mit ihrem zentralen Login aus Authentik bei unserem selbst betriebenen NetBird an. Nach der ersten Anmeldung gilt jedes Konto aber als wartend und darf kein einziges Gerät verbinden. Erst wenn ich das Konto von Hand freigebe, kommt die Person in eine Gruppe, die genau das Firmennetz erreicht, aber keine Kameras und keine Server-Konsolen. Heute habe ich den ersten von zwei Kollegen freigegeben. Der Login sagt, wer jemand ist, die Freigabe sagt, wohin er darf.