Berechtigungen

Im Bereich Berechtigungen verwalten Sie, welche Rollen es in oikos gibt, welche Funktionen diese Rollen verwenden dürfen und für welche Datensätze der Zugriff eingeschränkt wird.

Eine Berechtigung besteht aus drei Teilen:

• Rollen bündeln Rechte, zum Beispiel guest, worker oder curator.
• Berechtigungen legen fest, welche Aktionen eine Rolle grundsätzlich ausführen darf.
• Mitglieder sind Benutzer oder Gruppen, denen eine Rolle zugewiesen wird.

Zusätzlich können Sie im Reiter Zugriff ACL-Regeln erfassen. ACL-Regeln schränken ein, auf welche Datensätze eine Rolle zugreifen darf.

Wichtig

ACL-Regeln vergeben keine neuen Grundrechte. Eine Rolle braucht zuerst die passende Berechtigung, zum Beispiel Lesen oder Bearbeiten. ACL-Regeln begrenzen danach, für welche Datensätze diese Berechtigung gilt.

Video-Platzhalter

[GIF-Platzhalter: Überblick über die Berechtigungsübersicht, Rollenliste und Detailseite]

Berechtigungsübersicht öffnen

Öffnen Sie den Admin-Bereich und wählen Sie Berechtigungen.

In der Übersicht sehen Sie alle Rollen. Die Tabelle zeigt pro Rolle:

• welche Berechtigungen vorhanden sind,
• ob ACL-Regeln hinterlegt sind,
• wie viele Mitglieder zugewiesen sind,
• welche Aktionen für die Rolle verfügbar sind.

Über die Filter oberhalb der Tabelle können Sie die Rollenliste einschränken:

• Alle zeigt alle Rollen.
• Mit ACL zeigt Rollen mit Zugriffseinschränkungen.
• Ohne Mitglieder zeigt Rollen, die aktuell niemandem zugewiesen sind.

Rolle erstellen

1. Klicken Sie in der Übersicht auf Rolle.
2. Geben Sie einen eindeutigen Rollennamen ein.
3. Speichern Sie die Rolle.

Der Rollenname darf nur Buchstaben, Zahlen, _ und - enthalten.

Video-Platzhalter

[GIF-Platzhalter: Neue Rolle erstellen und öffnen]

Berechtigungen zuweisen

Öffnen Sie eine Rolle und wechseln Sie in den Reiter Berechtigungen.

1. Wählen Sie über Ressource hinzufügen eine Ressource aus.
2. Aktivieren Sie die gewünschten Aktionen.
3. Speichern Sie die Rolle.

Typische Aktionen sind:

• Listenansicht: Datensätze in Listen sehen.
• Detailansicht: einen einzelnen Datensatz öffnen.
• Erstellen: neue Datensätze erstellen.
• Bearbeiten: bestehende Datensätze ändern.
• Löschen: den Lösch-Button in der Benutzeroberfläche sehen.
• Weitere Aktionen: zusätzliche Spezialaktionen wie Import, Export oder Berechtigungen verwalten.

Wenn Alle Aktionen aktiviert ist, erhält die Rolle alle Aktionen für diese Ressource.

Löschen

Für das Löschen eines Datensatzes können zwei Rechte relevant sein:

• Löschen zeigt den Lösch-Button in der Oberfläche an.
• Endgültig löschen erlaubt die tatsächliche Löschaktion auf dem Server.

Fehlt Endgültig löschen, kann der Löschvorgang trotz sichtbarem Button fehlschlagen.

Video-Platzhalter

[GIF-Platzhalter: Ressource hinzufügen, Aktionen aktivieren und speichern]

Zugriff mit ACL-Regeln einschränken

Wechseln Sie in den Reiter Zugriff, wenn eine Rolle nur bestimmte Datensätze sehen oder bearbeiten darf.

Eine ACL-Regel definiert:

• für welches Modul sie gilt,
• optional für welches Formular sie gilt,
• ob sie für Lesen oder Schreiben gilt,
• welche Datensatzfilter angewendet werden.

ACL-Regel hinzufügen

1. Klicken Sie auf Regel hinzufügen.
2. Wählen Sie ein Modul, zum Beispiel person.
3. Wählen Sie optional ein Formular.
4. Wählen Sie Lesen oder Schreiben.
5. Erfassen Sie einen oder mehrere Datensatzfilter.
6. Speichern Sie die Rolle.

Video-Platzhalter

[GIF-Platzhalter: ACL-Regel für ein Modul hinzufügen]

Einschliessen und Ausschliessen

ACL-Filter können Datensätze einschliessen oder ausschliessen.

• Einschliessen erlaubt Datensätze, die mindestens zu einem Einschlussfilter passen.
• Ausschliessen blendet Datensätze aus, die zu einem Ausschlussfilter passen.

Wenn mehrere Filter vorhanden sind, sollten Sie die Regel nach dem Speichern kurz mit einem passenden Benutzer testen.

Feld-Lookup und Operator

Im Feld Feld-Lookup wählen Sie das Datensatzfeld aus, das geprüft werden soll. Danach wählen Sie einen Operator, zum Beispiel ist gleich, enthält oder grösser als.

Der passende Wert wird im Feld Wert eingetragen. Je nach Feldtyp erscheint ein Textfeld, eine Auswahl, ein Datumsfeld oder ein spezieller Picker.

Baum-Nachfahren auswählen

Für den Feld-Lookup Baumpfad: Nachfahren können Sie einen Datensatz über den Tree-Picker auswählen.

1. Wählen Sie Baumpfad: Nachfahren.
2. Öffnen Sie den Tree-Picker über das Baum-Symbol.
3. Suchen oder wählen Sie den gewünschten Datensatz im Baum.
4. Übernehmen Sie die Auswahl.

Im ACL-Wert wird der technische Baumpfad gespeichert. In der Oberfläche wird zusätzlich der Name des gewählten Datensatzes angezeigt, damit die Regel verständlich bleibt.

Video-Platzhalter

[GIF-Platzhalter: ACL-Baumpfad über Tree-Picker auswählen]

Mitglieder zuweisen

Wechseln Sie in den Reiter Mitglieder, um Benutzer oder Gruppen einer Rolle zuzuweisen.

1. Suchen Sie nach einem Benutzer oder einer Gruppe.
2. Wählen Sie den gewünschten Eintrag aus.
3. Klicken Sie auf Zuweisen.
4. Speichern Sie die Rolle.

Wenn Sie eine Gruppe zuweisen, erhalten alle Benutzer dieser Gruppe die Rolle.

Video-Platzhalter

[GIF-Platzhalter: Gruppe suchen und einer Rolle zuweisen]

Rolle speichern

Klicken Sie nach Änderungen auf Speichern.

Wenn eine Eingabe ungültig ist, zeigt oikos eine Fehlermeldung an. Korrigieren Sie die betroffenen Felder und speichern Sie erneut.

Berechtigungs-Guard

Es muss immer mindestens ein Benutzer oder eine Gruppe einer Rolle zugewiesen sein, die Berechtigungen verwalten darf. Dadurch wird verhindert, dass sich alle Benutzer versehentlich aus der Berechtigungsverwaltung aussperren.

Rollen löschen

Eine Rolle kann über das Lösch-Symbol entfernt werden.

Beim Löschen werden auch die Zuweisungen dieser Rolle bei Benutzern und Gruppen entfernt. Prüfen Sie deshalb vor dem Löschen, ob die Rolle noch verwendet wird.

Berechtigungen exportieren

Über Berechtigungen exportieren laden Sie die aktuelle Berechtigungskonfiguration als YAML-Datei herunter.

Der Export eignet sich für:

• Sicherungen vor grösseren Änderungen,
• Vergleiche zwischen Umgebungen,
• manuelle Kontrolle der Konfiguration.

Video-Platzhalter

[GIF-Platzhalter: Berechtigungen exportieren und YAML-Datei herunterladen]

Berechtigungen importieren

Über Berechtigungen importieren können Sie eine YAML-Konfiguration einfügen oder eine YAML-Datei hochladen.

1. Öffnen Sie Berechtigungen importieren.
2. Fügen Sie YAML ein oder laden Sie eine Datei hoch.
3. Klicken Sie auf Prüfen.
4. Wenn die Konfiguration gültig ist, klicken Sie auf Importieren.

Der Import ersetzt die gespeicherte Berechtigungskonfiguration. Exportieren Sie deshalb vor einem Import die aktuelle Konfiguration, wenn Sie eine Sicherung benötigen.

Video-Platzhalter

[GIF-Platzhalter: YAML prüfen und Berechtigungen importieren]

Empfohlener Ablauf

Für grössere Änderungen empfiehlt sich dieser Ablauf:

1. Aktuelle Berechtigungen exportieren.
2. Neue Rolle erstellen oder bestehende Rolle bearbeiten.
3. Berechtigungen setzen.
4. ACL-Regeln setzen, falls der Datenzugriff eingeschränkt werden soll.
5. Benutzer oder Gruppen zuweisen.
6. Speichern.
7. Mit einem passenden Testbenutzer prüfen, ob Listen, Detailansichten, Bearbeiten und Löschen wie erwartet funktionieren.

Häufige Fragen

Warum sieht ein Benutzer einen Button, kann die Aktion aber nicht ausführen?

Prüfen Sie, ob neben dem UI-Recht auch das passende Server-Recht gesetzt ist. Beim Löschen kann zum Beispiel der Button sichtbar sein, obwohl die tatsächliche Löschaktion nicht erlaubt ist.

Warum sieht ein Benutzer keine Datensätze, obwohl Lesen erlaubt ist?

Prüfen Sie die ACL-Regeln im Reiter Zugriff. Eine ACL-Regel kann den Zugriff auf bestimmte Module, Formulare oder Datensatzfilter einschränken.

Soll ich Benutzer oder Gruppen zuweisen?

Wenn mehrere Benutzer dieselben Rechte erhalten sollen, weisen Sie nach Möglichkeit eine Gruppe zu. Einzelne Benutzerzuweisungen eignen sich für Ausnahmen oder spezielle Rollen.

Was mache ich vor riskanten Änderungen?

Exportieren Sie zuerst die aktuelle Konfiguration. So können Sie später nachvollziehen, welche Einstellungen geändert wurden.