Rollen

Eine Rolle bündelt einzelne Rechte. Sie ist die feine Achse neben der groben Security role (siehe Sicherheitsrollen) und gehört dem Mandanten: Namen und Rechte bestimmen Sie, nicht das Produkt.

Ein Recht heißt immer bereich:tätigkeit, zum Beispiel tenant-user:create. Ein Benutzer hat die Rechte aller Rollen zusammen, die ihm zugewiesen sind.

Die drei mitgelieferten Rollen

Jeder Mandant bekommt drei Rollen als Ausgangspunkt:

Rolle	Rechte	Gedacht für
admin	system:manage-roles, tenant-user:read, tenant-user:create, tenant-user:deactivate, tenant-user:assign-role, tenant-user:delete	die Person, die den Mandanten einrichtet
manager	tenant-user:read, tenant-user:create	Schichtleitung: Benutzer sehen und anlegen, aber nicht loeschen
operator	keine	der Werker an der Maschine; er braucht keine Verwaltungsrechte

admin ist eine Systemrolle. Sie lässt sich nicht löschen und ihr lässt sich das Recht system:manage-roles nicht entziehen — sonst könnte ein Mandant sich selbst aussperren. manager und operator sind gewöhnliche Rollen; sie dürfen Sie umbenennen, ändern oder entfernen.

Die Rechte der Benutzerverwaltung

Recht	Erlaubt
tenant-user:read	Liste, Detail und die Rollen des Mandanten sehen
tenant-user:create	einen Benutzer anlegen
tenant-user:deactivate	deaktivieren und reaktivieren
tenant-user:assign-role	Rollen zuweisen und entziehen, Security role setzen
tenant-user:delete	einen Benutzer loeschen
system:manage-roles	reserviert für die Rollenverwaltung

Geprüft wird jedes dieser Rechte auf dem Server, bei jeder einzelnen Aktion. Dass ein Knopf sichtbar ist, ist nie die Grenze.

Zuweisen

Die Rolle eines Benutzers wählen Sie in Bearbeiten unter Rolle in der Anwendung und speichern mit Aenderungen speichern. Der Dialog hält eine Rolle: Wählen Sie eine andere, ersetzt sie die bisherige. Was ein Benutzer hält, zeigt sein Detail unter Rollen. Die admin-Systemrolle zu entziehen wird abgelehnt, wenn danach kein aktiver Administrator mehr bliebe.

Ist die Benutzerverwaltung nur lesbar (siehe Verzeichnis), wird auch das Zuweisen und Entziehen abgelehnt — obwohl eine Rolle allein im Mandanten liegt.

Woher neue Rollen kommen

Rollen und ihre Rechte gehören zur Konfiguration eines Mandanten, nicht zu den Personendaten. Sie entstehen und ändern sich deshalb heute über das Laden einer Konfiguration oder einer Vorlage (Kapitel Vorlagen). Dabei gilt:

• Rollen und ihre Rechte werden ersetzt.
• Wer eine Rolle hält, bleibt erhalten — die Zuweisung wird über den Namen der Rolle hinweggerettet. Trägt die neue Konfiguration eine Rolle dieses Namens nicht mehr, hat die Person danach eine Rolle weniger.
• Die Systemrolle admin ist nie Teil einer Konfiguration und wird von keinem Ladevorgang angefasst.

Eine eigene Oberfläche, in der Sie eine Rolle von Hand anlegen und ihre Rechte zusammenstellen, gibt es heute noch nicht.