====== Verwaltung Backend Nutzer*innen ======

Diese Liste führt alle Kundenkonten auf, die einen Login für das Backend besitzen. Die Rollen werden im Kundenkonto zugewiesen.
{{ :settings:benutzerinnen.png?400 |}}

Die folgenden Rollen können zugewiesen werden:
  * System Administrator
  * Administrator
  * User Extended
  * User
  * Infopoint Extended
  * Infopoint
  * Übungsleiter
  * Kunde
  * Developer

===== Rollen und Berechtigungen in inOne =====

==== Wie funktioniert der Zugriff in inOne? ====

inOne verwendet ein sogenanntes **Role-Based Access Control**-System (kurz **RBAC**) – ergänzt um **Field-Level Security**. Jeder Account erhält eine **Rolle**, und jede Rolle definiert, welche Bereiche und Funktionen zugänglich sind. Einzelne Datenfelder können darüber hinaus mit einer eigenen Mindestberechtigung geschützt werden.

==== Rollenhierarchie ====

Die Rollen sind aufeinander aufbauend — jede höhere Stufe schließt alle Rechte der darunter liegenden Stufen ein.

^ Stufe ^ Rolle ^ Zusätzliche Funktionen (jeweils ergänzend) ^
| ▲ 6 – höchste | **System Administrator** | Systemkritische Massenvorgänge (z. B. Vertragsverlängerungen), Verwaltung von Zahlungsdateien (DTA) |
| ▲ 5 | **Administrator** | Rollenvergabe, Zahlläufe, Abrechnungsexporte, globale Einstellungen, Öffnungszeiten, Pakete, Zugriffstokens |
| ▲ 4 | **User Extended** | Stornierungen, Verträge und Kurse löschen, Zahlungsart und Rechnungsstatus ändern |
| ▲ 3 | **User** | Kurse anlegen/bearbeiten, Buchungen und Check-ins, Kunden pflegen, Zahlungen erfassen, Statistik |
| ▲ 2 | **Infopoint Extended** | Erweiterter Funktionsumfang am Infopoint |
| ▲ 1 – Basis | **Infopoint** | Anmeldung am Backend, Einsicht in Termine/Kurse/Belegungen, Nachrichten senden |
| * | **Übungsleiter** | Self-Service-Zugang im Frontend: eigene Dienstverträge und Stundenzettel einsehen/drucken, Kurse freigeben, Vertretungsgesuche und Bewerbungen auslösen |
| — | //Kunde// | Nur Kundenoberfläche (Self-Service), **kein** Backend-Zugang |

> **Hinweis:** Jede Rolle schließt automatisch alle Rechte der darunter liegenden Stufen ein. Wer also die Rolle //Administrator// hat, kann auch alles, was //User//, //Infopoint Extended// und //Infopoint// dürfen.

==== Feldberechtigungen – Field-Level Security ====

Über die Rolle hinaus kann für einzelne **Datenfelder** eine **Mindestberechtigung** hinterlegt werden. Diese sogenannte **Field-Level Security** sorgt dafür, dass sensible Felder nur für Nutzer*innen sichtbar sind, deren Rolle die erforderliche Berechtigung mitbringt – alle anderen sehen das Feld schlicht nicht.

==== Zusammenfassung ====

  * **RBAC** – Die Rolle bestimmt, welche Bereiche und Funktionen zugänglich sind.
  * **Field-Level Security** – Die Feldberechtigung bestimmt, welche einzelnen Daten sichtbar sind.
  * Beides greift automatisch im Hintergrund – Nutzer*innen sehen immer genau das, was für ihre Rolle freigegeben ist.

===== Eine Funktion oder ein Feld fehlt? =====

Wenn ein Menüpunkt, eine Funktion oder ein Datenfeld nicht sichtbar ist, kann das an der zugewiesenen Rolle liegen. In diesem Fall bitte an den **Admin der eigenen Einrichtung** wenden – das ist die Person, die in inOne die Rollenvergabe für die Einrichtung verwaltet.

===== IP-Beschränkung =====

Über die **Meta-Felder** im Nutzerprofil kann der Backend-Zugang auf einen definierten IP-Adressbereich beschränkt werden. Meldet sich ein Nutzer von einer IP-Adresse außerhalb des erlaubten Bereichs an, wird der Zugriff verweigert.

Dies ist besonders relevant für Rollen mit eingeschränktem Vertrauensniveau — z.B. studentische Hilfskräfte (HiWis), die nur aus dem Hochschulnetz heraus auf das Backend zugreifen dürfen.

Die IP-Beschränkung wird im [[customer:edit|Kundendatensatz]] der betreffenden Person unter dem Reiter **Zusatzdaten** hinterlegt — als MetaKey **allowed_ip** mit dem gewünschten IP-Kreis als Wert (z.B. ''134.76.0.0/16'' für das Hochschulnetz).