Einer Rolle Zugriff auf Datensätze gewähren

Ziel

Entscheiden, was jede Rolle mit den Datensätzen einer Umgebung tun darf – als Teil der Lösung, die die Anwendung ausliefert, damit derselbe Zugriff auch Test und Produktion erreicht.

Voraussetzungen

• Sie sind beim Admin Control Center angemeldet.
• Eine Lösung ist geöffnet (siehe Eine Lösung erstellen).
• Die Tabellen, für die Sie Zugriff gewähren möchten, existieren in der Umgebung. Eine Tabelle wird mit den zugehörigen Daten erstellt, daher können Sie für jede Tabelle, die Sie sehen, Zugriff gewähren.

Zwei Fragen, nicht eine

Jede Zeile einer Rolle beantwortet zwei getrennte Fragen, und wer diese Trennung versteht, hat diese Seite im Wesentlichen verstanden:

• Eine Berechtigung – Was dürfen sie tun? Create, Read, Update, Delete für eine Tabelle.
• Eine Richtlinie – Bei welchen Datensätzen? Von Eigene Datensätze über Meine Einheit und darunter bis Alle Datensätze.

Deshalb ist jede Zelle im Raster eine Dropdown-Liste und kein Kontrollkästchen: Ein Kontrollkästchen kann nur die erste Frage beantworten.

Die Rolle einem Team geben

Über dem Raster steht eine Liste der Teams der Umgebung, jeweils mit einem Kontrollkästchen. Alle Mitglieder eines aktivierten Teams haben diese Rolle hier inne, zusätzlich zu allen, denen die Rolle direkt auf der Seite Benutzer gegeben wurde. Beide Wege zählen gleichzeitig: Wer in einem aktivierten Team ist und die Rolle auch persönlich innehat, hat sie einmal inne.

Das ist die zweite Hälfte dessen, was es bedeutet, jemanden in ein Team aufzunehmen. Die Teammitgliedschaft hat bereits entschieden, welche Datensätze eine Berechtigung erreicht – die Richtlinien für meine Teams –, und nun kann sie auch entscheiden, welche Berechtigungen jemand innehat.

Das ist die eigene Entscheidung Ihrer Organisation, daher reist sie nie in einer Lösung. Ein Paket bringt eine Rolle und das, was diese Rolle darf; wer sie innehat, betrifft Ihre Leute, und dazu hat ein Herausgeber nichts zu sagen. Daher ist diese Liste dieselbe, in welcher Lösung Sie auch stehen, und eine Deinstallation berührt sie nicht.

Sie wirkt ab der nächsten Anfrage, wie jede andere Änderung auf dieser Seite – auch wenn jemand später dem Team beitritt oder es verlässt.

Plattformprivilegien – was nicht an einer Tabelle hängt

Über dem Raster steht eine kurze Liste von Kontrollkästchen: Lösung importieren, Lösung exportieren, Daten importieren. Das sind die Fähigkeiten, hinter denen keine Tabelle steht, daher stellt sich die zweite Frage nicht – es gibt keine Datensätze, die eine Richtlinie filtern könnte. Man hat sie oder hat sie nicht, deshalb sind es Kontrollkästchen und keine Dropdown-Listen.

Sie gelten pro Umgebung, wie alles andere auf dieser Seite: Eine Rolle, die eine Lösung in die Entwicklung importieren darf, darf deshalb noch keine in die Produktion importieren.

Die Verwaltung von Benutzern und Rollen gehört nicht hierher, und das ist Absicht, kein Versehen. Benutzer und Rollen gelten mandantenweit – sie existieren, in welcher Umgebung Sie auch sind –, daher ist „darf Benutzer verwalten, in der Entwicklung“ kein Satz, der etwas bedeutet. Das bleibt beim Plattformadministrator.

Die Zeile „Alle Tabellen“ deckt kein Privileg ab. Sie bedeutet jede Tabelle, und die Plattform ist keine. Ein Privileg wird gewährt, indem Sie es aktivieren.

Schritte

1. Öffnen Sie Lösungen und dann die Lösung, in der Ihre Anwendung liegt.
2. Öffnen Sie Rollen in der Navigation der Lösung.
3. Wählen Sie entweder Neu, um eine Rolle zu erstellen, die diese Lösung besitzt, oder Vorhandene Rolle hinzufügen, um einer Rolle Zugriff zu gewähren, die Ihre Organisation bereits hat.
4. Setzen Sie im Raster jede Zelle auf eine Richtlinie oder lassen Sie sie auf Nicht gewährt.
5. Die erste Zeile ist Alle Tabellen. Eine dort vorgenommene Gewährung deckt jede Tabelle ab – auch solche, die Sie später erstellen, was eine Gewährung pro Tabellenzeile nicht tun würde.
6. Wählen Sie Speichern aus.

Die Änderung wirkt ab der nächsten Anfrage. Es gibt keine Wartezeit.

Warum das innerhalb einer Lösung liegt und warum nie nach der Umgebung gefragt wird

Eine Berechtigung nennt eine Tabelle, und Tabellen gehören zu einer Umgebung; eine Gewährung, die Test und Produktion erreichen soll, muss in einem Paket reisen. Das Öffnen einer Lösung hat beides bereits festgelegt – eine Lösung gehört zu einer Umgebung –, daher hat die Seite keine Umgebung, nach der sie Sie fragen müsste. Um derselben Rolle anderswo anderen Zugriff zu gewähren, exportieren Sie die Lösung und importieren Sie sie dort, oder wechseln Sie die Umgebung und arbeiten Sie in der Lösung dieser Umgebung.

Welche Rollen die Liste zeigt

Eine Rolle ist aus einem von zwei Gründen in einer Lösung, und beide erscheinen in der Liste:

• Die Lösung besitzt sie – hier mit Neu erstellt, daher trägt ihr logischer Name das Herausgeberpräfix (par_sales).
• Die Lösung gewährt ihr etwas – eine Rolle, die Ihre Organisation schon hatte, hinzugefügt mit Vorhandene Rolle hinzufügen.

Das Hinzufügen einer vorhandenen Rolle schreibt für sich allein nichts; sie wird Teil der Lösung, in dem Moment, in dem Sie ihr etwas gewähren und speichern. Wenn Sie Ihrer eigenen Rolle sales etwas gewähren, wird sie dadurch nie zur Rolle des Herausgebers: Ob eine Rolle zu einem Paket gehört, entscheidet ihr Präfix, daher kann eine Deinstallation Ihnen Ihre Rolle nicht wegnehmen.

Aus Lösung entfernen löscht nur die Gewährungen, die diese Lösung vornimmt. Eine Rolle, die die Lösung besitzt, kann so nicht entfernt werden – sie gehört zum Paket, daher heißt entfernen, die Rolle auf der Seite „Rollen“ des Admin Control Center zu löschen.

Die Ebene, die Sie bearbeiten

Die Zellen zeigen, was diese Lösung gewährt. Wo eine andere Ebene bereits etwas gewährt, das die Lösung leer lässt, sagt die Zelle das – Bereits anderswo gewährt: … –, statt es einzurechnen. Diese Unterscheidung ist wichtig, weil die Seite zurückschreibt, was sie zeigt: Würde sie das zusammengeführte Ergebnis zeigen, würde ein einziges Speichern Ihre lokalen Änderungen und die Gewährungen anderer Lösungen in Ihr Paket kopieren.

Die Standardlösung („Main“) ist die Ausnahme. Sie ist kein Paket, daher bearbeitet ihr Raster die eigenen Gewährungen Ihrer Umgebung: Sie reisen in nichts mit und haben Vorrang vor allem, was eine Lösung gewährt. Dort nehmen Sie eine lokale Anpassung vor, die Sie nicht ausliefern möchten.

Eine Rolle kopieren

Zwei Rollen, die sich in ein oder zwei Zellen unterscheiden, sind häufig – „Vertrieb“ und „Vertriebsleitung“, „Support“ und „Support-Leitung“ –, und die zweite Zelle für Zelle neu zu gewähren, ist der Weg zu einer Sicherheitsrolle, die sich irgendwo von ihrer Schwester unterscheidet, wo es niemand wollte.

1. Öffnen Sie die Rolle, von der Sie ausgehen möchten.
2. Wählen Sie Rolle kopieren aus.
3. Geben Sie der neuen Rolle einen Anzeigenamen, den Namen, den man auf der Seite Rollen und in der Benutzerliste liest, etwa Außendienst (nur lesen).
4. Geben Sie der neuen Rolle einen logischen Namen (mit Präfix, wie jede andere Komponente, die diese Lösung erstellt).
5. Wählen Sie Kopieren aus, passen Sie die Zellen an, die sich unterscheiden sollen, und Speichern Sie.

Die Kopie übernimmt die Berechtigungen so, wie sie auf dem Bildschirm stehen, einschließlich noch nicht gespeicherter Änderungen – wer eine gerade angepasste Rolle kopiert, sollte kopieren, was er vor sich sieht.

Zwei Dinge tut sie bewusst nicht:

• Sie kopiert die Rolle nicht in anderen Umgebungen. Nur in dieser. Dieselbe Rolle bedeutet in Entwicklung und Produktion Unterschiedliches, daher kann „was diese Rolle darf“ zu kopieren sinnvollerweise nur heißen, was sie hier darf.
• Sie kopiert nicht, wer die Rolle innehat. Das sind Ihre Leute, und eine Rolle zu duplizieren ist kein Grund, ihre Mitgliedschaft zu duplizieren. Weisen Sie die neue Rolle denen zu, die sie haben sollen (siehe Einem Benutzer eine Rolle zuweisen).

Womit eine neue Umgebung beginnt

Nur mit der Rolle Maker, der alles für alle Tabellen und alle drei Plattformprivilegien gewährt ist. Jede andere Rolle beginnt mit nichts – auch eine Rolle, die ein Benutzer bereits innehat. Das ist beabsichtigt: Zugriff ist etwas, das jemand gewährt hat, und „nichts“ ist der einzige Standard, bei dem ein Irrtum ungefährlich ist.

Der Mandantenadministrator steht überhaupt nicht im Raster. Er hat per Definition vollen Zugriff und umgeht diese Seite, damit das Entziehen des Falschen Sie nie von der Seite aussperren kann, auf der Sie es wiederherstellen würden.

Wenn eine Lösung die Rolle mitbringt

Eine installierte Lösung kann Sicherheitsrollen mitbringen – die Rolle und das, was sie darf, denn eine App, die ohne ihre Rollen ausgeliefert wird, ist eine App, die niemand nutzen kann. Diese Gewährungen gelten bereits, wenn die Installation der Lösung abgeschlossen ist; niemand muss sie neu gewähren.

Sie können sie trotzdem über die Lösung Main ändern, und Ihre Änderung hat Vorrang:

• Eine Zelle einschränken oder erweitern – Ihre Einstellung gilt, was auch immer die Lösung festgelegt hat.
• Eine Zelle auf Nicht gewährt zurücksetzen – sie bleibt nicht gewährt; die Gewährung der Lösung kehrt beim nächsten Öffnen der Seite nicht zurück.
• Die Lösung aktualisieren – Ihre Änderungen bleiben erhalten. Ein Import bringt die eigenen Gewährungen der Lösung auf den neuesten Stand und lässt Ihre in Ruhe.
• Die Lösung deinstallieren – ihre Gewährungen verschwinden mit ihr. Was Sie festgelegt haben, bleibt; eine von Ihnen geänderte Zelle kehrt zu Ihrem Wert zurück, und eine Zelle, die nur die Lösung gewährt hatte, wird Nicht gewährt.

Wer eine Rolle innehat, ist nie Teil eines Pakets. Das sind Ihre Leute, und die Rolle zuzuweisen ist immer etwas, das jemand hier tut (siehe Einem Benutzer eine Rolle zuweisen).

Die Richtlinien, die engste zuerst

Jede davon kann gewählt werden, und jede wird durchgesetzt:

Richtlinie	Erreicht
Keine Datensätze	Nichts. Eine so gewährte Berechtigung bewirkt nichts – nur nützlich, um etwas abzuschalten, ohne die Zeile zu entfernen.
Eigene Datensätze	Datensätze, die diesem Benutzer persönlich gehören.
Eigene und die meiner Teams	Das oben Genannte plus Datensätze, die einem Team gehören, dem er angehört.
Datensätze meiner Teams	Datensätze, die einem Team gehören, dem er angehört.
Meine Einheit	Datensätze, die innerhalb seiner eigenen Organisationseinheit besessen werden.
Meine Einheit und darunter	Seine Einheit und jede Einheit darunter.
Meine Einheit und darüber	Seine Einheit und jede Einheit, über die sie nach oben berichtet.
Mein gesamter Zweig	Die oberste Einheit über ihm und alles darunter.
Alle Datensätze	Die gesamte Umgebung.

Alles außer Alle Datensätze hängt davon ab, wem ein Datensatz gehört und wo Einheiten in der Organisation stehen. Der Besitzer eines Datensatzes wird bei der Erstellung festgelegt und kann danach weitergegeben werden (siehe Ändern, wem ein Datensatz gehört); Einheiten und Teams sind Tabellen in der Umgebung, daher bauen Sie Ihre Organisation dort auf, und die Richtlinien folgen ihr.

Die Einheit eines Datensatzes ist die Einheit seines Besitzers, festgelegt beim Anlegen und erneut, wenn er jemand anderem zugewiesen wird. Wechselt eine Person später die Einheit, wandert nicht mit, was sie bereits besitzt; weisen Sie diese Datensätze neu zu, wenn sie folgen sollen. Datensätze einer Person ohne Einheit erreicht keine Einheiten-Richtlinie.

Eine Richtlinie, die die Engine nicht auswerten kann, wird unter dem Raster aufgeführt, kann aber nicht ausgewählt werden – eine Gewährung, die die Engine nicht auswerten kann, würde auf dieser Seite Zugriff anzeigen, den der Benutzer tatsächlich nicht hat. Heute ist jede integrierte Richtlinie auswertbar, daher erscheint dort nichts.

Was ein Benutzer bei einer eingeschränkten Gewährung sieht

Einem Benutzer werden keine Befehle angezeigt, die seine Rolle nicht erreicht. Bei einer Tabelle, in der er keine Datensätze erstellen darf, gibt es keine Schaltfläche Neu; bei einer, aus der er nicht löschen darf, kein Löschen; und eine Tabelle, die er lesen, aber nicht aktualisieren darf, öffnet ihre Datensätze schreibgeschützt, ohne Speichern. So wirkt eine eingeschränkte Gewährung wie eine einfachere App statt wie eine Wand aus Ablehnungen – und die Berechtigung wird trotzdem jedes Mal auf dem Server geprüft, was auch immer die Oberfläche anzeigt.

Fehlerbehebung

• „… ist keine Berechtigung, die diese Umgebung gewähren kann.“ – die Tabelle wurde gelöscht, nachdem die Rolle geschrieben wurde. Öffnen Sie die Seite erneut und legen Sie die Gewährung noch einmal fest.
• „… ist doppelt aufgeführt.“ – eine Rolle hat eine Berechtigung unter genau einer Richtlinie inne. Setzen Sie die Zelle nur einmal.
• Ein Benutzer sieht nach der Gewährung immer noch keine Datensätze. – prüfen Sie, welche Rolle sein Token tatsächlich trägt; eine Gewährung an „Sales“ bewirkt nichts für einen Benutzer, dessen Claim „sales“ lautet. Haben Sie die Rolle einem Team gegeben, prüfen Sie, ob er darin ist – unter Teams.
• Auf der Seite gibt es keine Liste von Teams. – die Umgebung hat noch keine, oder ihr Organisationsmodell wurde nicht befüllt. Erstellen Sie unter Teams ein Team und öffnen Sie die Rolle erneut.
• Ich habe alles entfernt, und jetzt kann niemand die App nutzen. – genau das bewirkt es. Gewähren Sie die Rolle erneut; als Administrator ist Ihr eigener Zugriff nicht betroffen.
• „Sie haben das Privileg ‚…‘ in dieser Umgebung nicht inne.“ – die Person versucht, eine Tabellenkalkulation zu importieren oder eine Lösung zu importieren oder zu exportieren, und ihre Rolle hat dafür kein Häkchen. Aktivieren Sie es unter Plattformprivilegien über dem Raster.
• „… ist ein Plattformprivileg, man hat es also oder hat es nicht.“ – ein Privileg wurde mit einer Richtlinie gesendet. Nichts auf dieser Seite kann das tun; es stammt aus einem Lösungspaket, das eine angegeben hat.
• Das Raster ist leer. – oben im Fenster ist keine Umgebung ausgewählt, oder diese Umgebung hat noch keine Tabellen.
• Eine hinzugefügte Rolle ist aus der Liste verschwunden. – Sie haben sie gespeichert, ohne ihr etwas zu gewähren. Eine Rolle ist in der Lösung, weil die Lösung ihr etwas gewährt; fügen Sie sie erneut hinzu und gewähren Sie ihr etwas.
• Ich habe die Rolle in der Entwicklung gewährt, und in der Produktion hat sich nichts geändert. – erwartet: Berechtigungen gelten pro Umgebung. Exportieren Sie die Lösung und importieren Sie sie in die Produktion (siehe Eine Lösung in eine Umgebung importieren) – genau dafür stehen die Gewährungen in einer Lösung.

Verwandte Szenarien

• Eine Datenrichtlinie schreiben – wenn keine der integrierten Richtlinien ausdrückt, was Sie meinen.
• Einen Benutzer in ein Team aufnehmen – was die Teamrichtlinien lesen.
• Eine Rolle erstellen.
• Einem Benutzer eine Rolle zuweisen.