Ja, genau so ist es.

Die Ausnahme ist die Erstinstallation über die Weboberfläche. Da kommt man ohne Login rein. Während der Installation wird dann ein User mit Admin-Rechten angelegt und das Password wird vom Installierenden gesetzt. Nach der Erstinstallation ist dann die Installations-URL generell gesperrt.