Rechteverwaltung

In der Hilfe zur Rechteverwaltung werden folgende Themen behandelt:

• Vererbung und Abhängigkeiten

• Initialisierung der Berechtigungen

• Verwalten der Rollen und Benutzer

• Verwalten der Berechtigungen im Formular <Sicherheit>

Die Konfiguration der Benutzerrechte für Datenbanken über den Configuration Explorer wird in der Hilfe Datenbankschema-Konfigurationen beschrieben.

Vererbung und Abhängigkeiten

In diesem Abschnitt werden folgende Funktionen beschrieben:

Die Rechteverwaltung im Configuration Explorer stützt sich auf folgende drei Arten von Vererbung und Abhängigkeiten:

1. Objektvererbung der Berechtigungen

2. Rollenvererbung der Berechtigungen

3. Horizontale Abhängigkeit der Berechtigungen

Vererbung und Abhängigkeiten werden im Formular Sicherheit (siehe relevanten Abschnitt) angewendet.

Objektvererbung der Berechtigungen

Die Objektvererbung betrifft die Ordner und Dokumente. Sie folgt der Objekthierarchie in der jeweiligen Gruppe des Configuration Explorers.

Die Berechtigungen der Stammordner (Ordner der ersten Hierarchieebene) werden je Gruppe an alle untergeordneten Objekte (Ordner und Dokumente) vererbt.

Sobald für einen Ordner in der Hierarchie individuelle Berechtigungen festgelegt sind, werden diese an seine untergeordneten Objekte (Ordner und Dokumente) vererbt.

Rollenvererbung der Berechtigungen

Die Rollenvererbung betrifft die Rollen und Benutzer des Configuration Explorers. Rollen definieren je Objekt (Ordner oder Dokument) die Berechtigungen der zugeordneten Benutzer und / oder Rollen. Die Rollen werden im BaSYS System Manager (siehe relevanten Abschnitt), deren Berechtigungen im Formular Sicherheit des Configuration Explorers verwaltet. Alle Berechtigungen, die einer Rolle zugewiesen sind, werden automatisch an die zugeordneten Rollen / Benutzer weitergegeben, also an diese vererbt.

Benutzer können nicht vererben. Sie werden alleine oder in Zuordnung zu einer Rolle verwaltet.

Für Rollen ist die Vererbung über beliebig viele Unterhierarchien möglich. Die Berechtigungen der obersten Rolle werden also in dieser Struktur bis in die unterste Hierarchieebene weitergegeben.

Im Formular Sicherheit sind vererbte Berechtigungen farblich hervorgehoben.

Mehr Details werden im Abschnitt Vertikale Ebene der Sicherheit behandelt.

Geerbte Berechtigungen

Im Formular Sicherheit sind die Kontrollkästchen geerbter Berechtigungen grau hinterlegt, um die betreffenden Rollen / Benutzer übersichtlich erkennen zu können.

Individuelle Berechtigungen

Im Formular Sicherheit sind die Kontrollkästchen individueller Berechtigungen weiß hinterlegt, um die betreffenden Rollen / Benutzer übersichtlich erkennen zu können.

 Administratoren

Die Rolle Administratoren ist fest vom System vorgegeben und besitzt automatisch alle Berechtigungen. Im Formular Sicherheit sind die Häkchen aller Kontrollkästchen fest gesetzt und grau hinterlegt. Alle Einstellungen der Rolle besitzen permanenten Schreibschutz.

 Jeder

Die Rolle Jeder ist fest vom System vorgegeben und vererbt ihre Berechtigungen an alle Benutzer außer Administratoren. Daher sind die Kontrollkästchen dieser Rolle weiß hinterlegt. Es wird empfohlen, der Rolle Jeder während der Initialisierung (siehe folgenden Abschnitt) alle Berechtigungen zuzuweisen.

Horizontale Abhängigkeit der Berechtigungen

Die horizontale Abhängigkeit betrifft die spezifischen Berechtigungen der Rollen und Benutzer des Configuration Explorers. Über diese Form der Abhängigkeit werden je Rolle / Benutzer die Berechtigungen Lesen, Schreiben, Löschen und Ausführen festgelegt.

Mehr Details werden im Abschnitt Horizontale Ebene der Sicherheit behandelt.

Die Initialisierung aller Berechtigungen zur Nutzung der Masterdatenbank wird in folgenden Fällen durchgeführt:

• Start der Barthauer Management Console.

• Start des Configuration Explorers.

Dabei werden alle aktuellen Berechtigungen automatisch geprüft.

Es wird empfohlen, die Berechtigungen während der ersten Initialisierung nach Erstellung der Masterdatenbank zu definieren. So geht's:

1. Falls die Berechtigungen noch nicht definiert sind, fordert eine Meldung dazu auf, dies zu tun.

2. Die Meldung sollte mit <Ja> bestätigt werden. Dann können die erforderlichen Berechtigungen sofort gesetzt werden.
   Die Wahl von <Nein> birgt die Gefahr, dass im Configuration Explorer eventuell nicht alle Elemente (Ordner und Dokumente) angezeigt werden. Dies kann für Benutzer der Fall sein, die keine Administratoren-Rolle besitzen.

3. Bei Wahl von <Ja> öffnet sich das Formular Sicherheit zur Rechteverwaltung. Die Nutzung des Formulars wird weiter unten beschrieben.

4. Es wird empfohlen, die Rolle Jeder für alle Berechtigungen (Lesen, Schreiben, Löschen, Ausführen) zu aktivieren. Dadurch wird allen Benutzern der Masterdatenbank der Vollzugriff auf alle Elemente (Ordner und Dokumente) des Configuration Explorers ermöglicht.

5. Die Rolle Administratoren der Masterdatenbank besitzt automatisch alle Berechtigungen (Lesen, Schreiben, Löschen, Ausführen).

Tipp: Alle Berechtigungen der Rolle Jeder (Schritt 4) können schnell per Klick auf die Häkchen der Berechtigungen Löschen und Ausführen aktiviert werden.

Verwalten der Rollen und Benutzer

In diesem Abschnitt werden folgende Funktionen beschrieben:

Im System Manager werden die Rollen und Benutzer des Datenbankmanagementsystems (DBMS) verwaltet. Diese stehen nicht automatisch als Elemente des Configuration Explorers zur Verfügung.

Wichtige Hinweise

Die Rollen / Benutzer können für eine beliebige Datenbank oder Masterdatenbank angelegt werden.

Über die Funktionen Rolle bearbeiten / Benutzer bearbeiten durchgeführte Änderungen gelten nicht für die Masterdatenbank, solange sie nicht über die zugehörige Funktion des System Managers hinzugefügt worden sind! Diese Regel gilt auch für Mitgliedschaften / Abhängigkeiten.

Vorsicht! Nach Änderungen von Mitgliedschaften / Abhängigkeiten muss die Funktion Rolle hinzufügen für die übergeordnete Rolle durchgeführt werden, damit die Änderungen für die Masterdatenbank wirksam werden.

Die Änderung der Berechtigungen ist ausschließlich über den Configuration Explorer möglich.

Die hier beschriebenen Funktionen sind alternativ an folgenden Stellen aufrufbar:

• Kontextmenü des System Managers.

• Menüleiste des System Managers.

• Werkzeugleiste des System Managers.

Die Nutzung der Funktionen wird im Folgenden für das Kontextmenü (rechte Maustaste) des System Managers beschrieben.

Anlegen einer Rolle

So geht's:

Anlegen eines Benutzers

So geht's:

4. Per Klick auf <OK> wird der Benutzer angelegt.

5. Der neue Benutzer gehört noch nicht zur aktuellen Masterdatenbank, also auch nicht zum Configuration Explorer.

7. Über den Eintrag Benutzer zur aktuellen Master-Datenbank hinzufügen wird der Benutzer im Configuration Explorer ergänzt.

Anzeige im Configuration Explorer

Nachdem Benutzer und / oder Rollen über den BaSYS System Manager angelegt worden sind, stehen sie noch nicht im Formular Sicherheit des Configuration Explorers zur Verfügung:

• Falls der Configuration Explorer geschlossen ist, werden die Benutzer / Rollen automatisch beim Start aktualisiert.

• Falls der Configuration Explorer gestartet ist, kann die Funktion Aktualisieren genutzt werden. Danach sind alle aktuellen Benutzer / Rollen im Formular gelistet.

Verwalten der Berechtigungen im Formular <Sicherheit>

In diesem Abschnitt werden folgende Funktionen beschrieben:

Im Formular Sicherheit werden alle Berechtigungen (Benutzer und Rollen) der Masterdatenbank verwaltet. Das Formular wird an folgenden Stellen von BaSYS aufgerufen:

• Bei der Initialisierung der Berechtigungen. Dieser Anwendungsfall wird weiter oben beschrieben.

• Als Formular zur globalen Verwaltung aller Berechtigungen. Dieser Anwendungsfall wird weiter unten im Abschnitt Globales Formular beschrieben.

• Als Formular zur individuellen Verwaltung der Berechtigungen für die relevanten Objekte (Ordner und Dokumente). Dieser Anwendungsfall wird weiter unten im Abschnitt Individuelles Formular beschrieben.

Statuszeile

Die Statuszeile zum Formular Sicherheit befindet sich unterhalb der Liste der Berechtigungen.

Während der Arbeit im Formular Sicherheit sollte die Statuszeile mit beachtet werden. Dort werden:

• Warnungen ausgegeben, falls die gerade durchgeführte Änderung der Berechtigungen beispielsweise individuell gesetzte Berechtigungen überschreiben würde.

• Die Vererbungspfade bis auf die gewählte Rolle / den gewählten Benutzer dargestellt.

• Andere informative Meldungen angezeigt.

Editiertipps

Die Berechtigungen der horizontalen Ebene zu einer Rolle / einem Benutzer können schnell aktiviert werden:

1. Klick in das leere Kontrollkästchen zum Berechtigungentyp Löschen.

2. Klick in das leere Kontrollkästchen zum Berechtigungentyp Ausführen.

Das Rücksetzen der genannten Berechtigungen geht dann genauso schnell:

1. Klick auf das Häkchen im Kontrollkästchen zum Berechtigungentyp Lesen.

2. Klick auf das Häkchen im Kontrollkästchen zum Berechtigungentyp Ausführen.

Eine andere Möglichkeit zur Bearbeitung der horizontalen Ebene bietet der Cursor:

1. Wahl des linken oder rechten Kontrollkästchens.

2. Festhalten der Umschalttaste und Markierung der übrigen Kontrollkästchen mit dem Cursor:

3. Anklicken der Auswahl oder Drücken der Leertaste.

Dieselbe Form der Bearbeitung ist für die vertikale Ebene möglich:

1. Wahl des obersten oder untersten Kontrollkästchens der vertikalen Ebene.

2. Festhalten der Umschalttaste und Markierung der übrigen Kontrollkästchen mit dem Cursor. Die gewählten Kontrollkästchen sind dann blau hinterlegt.

3. Anklicken der Auswahl oder Drücken der Leertaste. Alle gewählten Kontrollkästchen sind jetzt angehakt.

Undefinierte Sicherheit

Falls beim ersten Aufruf der Barthauer Management Console / des Configuration Explorers trotz mehrfacher Aufforderung durch die Menüführung keine expliziten Berechtigungen festgelegt wurden, werden die Berechtigungen unter Umständen nicht im individuellen Formular Sicherheit angezeigt. Über die Funktion Benutzer / Rollen einfügen werden alle Benutzer und Rollen für eine nachträgliche Berechtigungenvergabe sichtbar gemacht.

So geht's:

1. Es sollte zunächst der Stammordner der gewünschten Gruppe gewählt werden. Dadurch werden die Änderungen an alle Elemente der Gruppe vererbt.

3. Durch Setzen der Häkchen in den Kontrollkästchen der Spalten Löschen und Ausführen zur Rolle Jeder erhalten alle Benutzer der Gruppe vollständige Berechtigungen.

Globale Sicherheitsregeln setzen

Das Formular Globale Sicherheitsregeln setzen ermöglicht die globale Festlegung aller Berechtigungen der vorgesehenen Rollen / Benutzer. Das Formular kann ausschließlich über die zugehörige Schaltfläche geöffnet werden. Zum Schutz vor dem Zugriff durch nicht autorisierte Nutzer ist die Schaltfläche für Rollen / Benutzer ohne Administratoren-Berechtigungen unsichtbar.

Die hier vorgenommenen Einstellungen gelten global für alle Gruppen des Configuration Explorers! Anders ausgedrückt heißt dies, dass die jeweiligen Stammordner der obersten Hierarchieebene die über das globale Formular vergebenen Berechtigungen erhalten und an alle Unterelemente vererben.

Wichtiger Hinweis

Alle bisher vergebenen individuellen Berechtigungen werden durch die an dieser Stelle vorgenommen Einstellungen überschrieben. In der Statuszeile weist eine Warnmeldung auf diese Gefahr hin.

So geht's

2. Bearbeitung der Benutzer und / oder Rollen.
   Die Meldungen der Statuszeile sollten dabei beachtet werden.

 Sicherheit - Individuelles Formular

Das individuelle Formular Sicherheit kann zu jedem Element (Ordner oder Dokument) des Configuration Explorers bearbeitet werden.

Außerdem sind - zum Schutz vor dem Zugriff durch nicht autorisierte Nutzer - die Aufruf-Funktionen (Schaltfläche und Kontextmenü) für Rollen / Benutzer ohne Administratoren-Berechtigungen unsichtbar.

Die Arbeitsschritte zur bewussten Definition individueller Berechtigungen werden im Folgenden beschrieben.

So geht's

1. Wahl des zu bearbeitenden Ordners oder Dokuments.

6. Bearbeitung der Rolle oder des Benutzers.

Horizontale Ebene der Sicherheit

Die horizontale Ebene der Sicherheit ist folgendermaßen definiert: Die Berechtigungen (Lesen, Schreiben, Löschen, Ausführen) werden je Zeile des Formulars Sicherheit, also je Rolle / Benutzer, individuell festgelegt. Jede Rolle / jeder Benutzer bildet somit eine horizontale Ebene der Sicherheit.

So geht's

Die im Folgenden beschriebenen Arbeitsweisen erleichtern die Benutzung.

Simultane Vergabe von Lösch-, Schreib- und Leseberechtigungen:

2. Die Lösch-, Schreib- und Leseberechtigungen sind für die gewünschte Rolle / den gewünschten Benutzer aktiviert.

Simultanes Rücksetzen aller Berechtigungen:

2. Die Lösch-, Schreib-, Lese- und Ausführen-Berechtigungen sind für die gewünschte Rolle / den gewünschten Benutzer zurückgesetzt.

Simultane Vergabe von Schreib- und Leseberechtigungen:

2. Die Schreib- und Leseberechtigungen sind für die gewünschte Rolle / den gewünschten Benutzer aktiviert.

Simultane Vergabe von Ausführungs- und Leseberechtigungen:

2. Die Ausführungs- und Leseberechtigungen sind für die gewünschte Rolle / den gewünschten Benutzer aktiviert.

Simultanes Rücksetzen der Schreib- und Löschberechtigungen:

2. Die Schreib- und Löschberechtigungen sind für die gewünschte Rolle / den gewünschten Benutzer zurückgesetzt.

Geerbte Berechtigungen lassen sich nicht editieren

Falls sich geerbte Berechtigungen nicht editieren lassen, sollten folgende Einstellungen geprüft werden:

• Die Berechtigungen der Rolle Administratoren sind nicht geerbt und generell / systembedingt nicht editierbar.

• Bei Nutzung des individuellen Formulars Sicherheit (siehe weiter oben) muss die Funktion Geerbte Berechtigungen überschreiben aktiv sein. Andernfalls ist die Bearbeitung der Objektvererbung nicht möglich.

• Berechtigungen der Rollenvererbung können nur dann bearbeitet werden, wenn das Häkchen im relevanten Kontrollkästchen der übergeordneten Rolle nicht gesetzt ist. Weitere Details werden im Abschnitt Vertikale Ebene der Sicherheit beschrieben.

Aktionen der Kontrollkästchen

Im Folgenden werden die wichtigsten Aktionen der Kontrollkästchen kurz beschrieben.

Die aktive Berechtigung Lesen gibt der Rolle / dem Benutzer das Recht, einen Ordner oder ein Dokument des Configuration Explorers zu sehen. Über die Berechtigung kann also die Zugriffsmöglichkeit auf Ordner und Dokumente ermöglicht oder verhindert werden.

• Bei nicht gesetztem Häkchen besitzt die Rolle / der Benutzer darüber hinaus nicht die aktiven Berechtigungen Schreiben und Löschen.

Die aktive Berechtigung Schreiben ermöglicht es der Rolle / dem Benutzer, einen Ordner oder ein Dokument des Configuration Explorers zu duplizieren, zu verschieben (nur bei Schreib-Berechtigung im Zielordner) oder seine Eigenschaften (wie Name, Dokumentart) und seinen Inhalt zu editieren.

• Bei gesetztem Häkchen besitzt die Rolle / der Benutzer darüber hinaus die aktive Berechtigung Lesen.

• Bei nicht gesetztem Häkchen besitzt die Rolle / der Benutzer darüber hinaus nicht die aktive Berechtigung Löschen.

Die aktive Berechtigung Löschen gibt der Rolle / dem Benutzer das Recht, einen Ordner oder ein Dokument des Configuration Explorers zu löschen.

• Bei gesetztem Häkchen besitzt die Rolle / der Benutzer darüber hinaus die aktiven Berechtigungen Lesen und Schreiben.

Die aktive Berechtigung Ausführen gibt der Rolle / dem Benutzer das Recht, die Funktionen des Dokuments oder aller über einen Ordner vererbten Dokumente auszuführen.

• Bei gesetztem Häkchen besitzt die Rolle / der Benutzer darüber hinaus die aktive Berechtigung Lesen.

Vertikale Ebene der Sicherheit

Die vertikale Ebene der Sicherheit ist folgendermaßen definiert: Die Rollenvererbung der Berechtigungen wird je Spalte des Formulars Sicherheit individuell festgelegt. Je horizontaler Abhängigkeit (Lesen, Schreiben, Löschen, Ausführen) gibt es somit eine vertikale Ebene der Sicherheit.

Vererbung

Standardmäßig vererbt die übergeordnete Rolle ihre Berechtigungen vertikal an jede Rolle (außer Administratoren, Jeder) und jeden Benutzer der jeweiligen Spalte. Bei Bedarf können für bestimmte Rollen / Benutzer Berechtigungen festgelegt werden, die nicht von der übergeordneten Rolle geerbt werden. Wie das geht, wird in diesem Abschnitt der Hilfe beschrieben.

Visualisierung

Ob die Berechtigungen geerbt sind oder nicht, ist intuitiv an der farblichen Hinterlegung der Kontrollkästchen erkennbar. Im individuellen Formular Sicherheit wird geschieht dies zusätzlich über die Schaltfläche Geerbte Berechtigungen überschreiben.

Außerdem wird der Vererbungspfad des gewählten Formulareintrags in der Statuszeile ausgegeben.

Im globalen Formular Sicherheit sind die Vererbungen nicht vor dem Editieren geschützt. Davon ist die Rolle Administratoren ausgenommen.

Beispiele

Im Folgenden werden ein paar Beispiele zur Rollenvererbung gezeigt:

So geht's

In diesem Beispiel wird zunächst die übergeordnete Rolle bearbeitet, um die Vererbung ihrer Berechtigungen in die relevanten vertikalen Ebenen aufzuheben (Schritt 1 bis 4). Dann werden für gewünschte Rollen / Benutzer in den nun weiß hinterlegten vertikalen Ebenen individuelle Berechtigungen festgelegt (Schritt 5). Wenn in einem nächsten Schritt (6) diese Berechtigungen auch in der übergeordneten Rolle eingestellt werden, behalten die zuvor bearbeiteten Rollen / Benutzer ihre individuell festgelegten Berechtigungen. Erst bei erneutem Klick in die Kontrollkästchen dieser Rollen / Benutzer (Schritt 7) werden die Berechtigungen erneut von der übergeordneten Rolle geerbt.

1. Wahl des zu bearbeitenden Ordners oder Dokuments.

 

Administrator-Benutzer verwalten

Im Formular "Administrator-Benutzer verwalten" wird zusätzlich zum Benutzernamen auch das zugeordnete Login angezeigt.
Die in diesem Formular ausgewählten Benutzer sind Inhaber der Rolle Administrator. 

 

Windows-Benutzer ausblenden

Wird für die Master-Datenbank DBMS-Authentifizierung verwendet, steht ein neuer Filterbutton zur Verfügung.
Dieser blendet die Windows-Benutzer aus, die mit dem selben Namen auch als DBMS-Login vorhanden sind. Auf diese Weise sieht man nur die für den 
BCE relevanten Benutzer.