Header

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

Link zu der Vergleichsansicht

Beide Seiten, vorherige ÜberarbeitungVorherige Überarbeitung
Nächste Überarbeitung		Vorherige Überarbeitung
settings:userlogins [2026/06/17 06:34] – [Zusammenfassung] mlummesettings:userlogins [2026/08/25 19:16] (aktuell) – mlumme_redaktion
Zeile 2: Zeile 2:
  
 Diese Liste führt alle Kundenkonten auf, die einen Login für das Backend besitzen. Die Rollen werden im Kundenkonto zugewiesen. Diese Liste führt alle Kundenkonten auf, die einen Login für das Backend besitzen. Die Rollen werden im Kundenkonto zugewiesen.
-{{ :settings:benutzerinnen.png?400 |/Users/mischalumme/Desktop/Bildschirmfoto 2026-06-08 um 21.12.03.png}}+{{ :settings:benutzerinnen.png?400 |}}
  
 Die folgenden Rollen können zugewiesen werden: Die folgenden Rollen können zugewiesen werden:
Zeile 17: Zeile 17:
 ===== Rollen und Berechtigungen in inOne ===== ===== Rollen und Berechtigungen in inOne =====
  
-===== Wie funktioniert der Zugriff in inOne? =====+==== Wie funktioniert der Zugriff in inOne? ====
  
-[Produktname] verwendet ein sogenanntes **Role-Based Access Control**-System (kurz **RBAC**). Jeder Account erhält eine **Rolle**, und jede Rolle definiert, welche Bereiche und Funktionen zugänglich sind. +inOne verwendet ein sogenanntes **Role-Based Access Control**-System (kurz **RBAC**) – ergänzt um **Field-Level Security**. Jeder Account erhält eine **Rolle**, und jede Rolle definiert, welche Bereiche und Funktionen zugänglich sind. Einzelne Datenfelder können darüber hinaus mit einer eigenen Mindestberechtigung geschützt werden.
  
-===== Rollen – Role-Based Access Control (RBAC) =====+==== Rollenhierarchie ====
  
-Beim RBAC werden Berechtigungen nicht einzeln pro Person vergeben, sondern gebündelt in **Rollen**. Jede Rolle steht für ein bestimmtes Aufgabenprofil und öffnet genau die Bereiche im System, die dafür nötig sind – nicht mehr und nicht weniger. Dieses Prinzip nennt sich auch **Least Privilege** (minimale Rechtevergabe).+Die Rollen sind aufeinander aufbauend — jede höhere Stufe schließt alle Rechte der darunter liegenden Stufen ein.
  
-In inOne gibt es beispielsweise **8 Rollen**, die einem Account zugewiesen werden können:+^ Stufe ^ Rolle ^ Zusätzliche Funktionen (jeweils ergänzend) ^ 
 +| ▲ 6 – höchste | **System Administrator** | Systemkritische Massenvorgänge (z. B. Vertragsverlängerungen), Verwaltung von Zahlungsdateien (DTA) | 
 +| ▲ 5 | **Administrator** | Rollenvergabe, Zahlläufe, Abrechnungsexporte, globale Einstellungen, Öffnungszeiten, Pakete, Zugriffstokens | 
 +| ▲ 4 | **User Extended** | Stornierungen, Verträge und Kurse löschen, Zahlungsart und Rechnungsstatus ändern | 
 +| ▲ 3 | **User** | Kurse anlegen/bearbeiten, Buchungen und Check-ins, Kunden pflegen, Zahlungen erfassen, Statistik | 
 +| ▲ 2 | **Infopoint Extended** | Erweiterter Funktionsumfang am Infopoint | 
 +| ▲ 1 – Basis | **Infopoint** | Anmeldung am Backend, Einsicht in Termine/Kurse/Belegungen, Nachrichten senden | 
 +| * | **Übungsleiter** | Self-Service-Zugang im Frontend: eigene Dienstverträge und Stundenzettel einsehen/drucken, Kurse freigeben, Vertretungsgesuche und Bewerbungen auslösen | 
 +| — | //Kunde// | Nur Kundenoberfläche (Self-Service), **kein** Backend-Zugang |
  
-^ Rolle ^ Beschreibung ^ +> **Hinweis:** Jede Rolle schließt automatisch alle Rechte der darunter liegenden Stufen ein. Wer also die Rolle //Administrator// hat, kann auch alles, was //User//, //Infopoint Extended// und //Infopoint// dürfen.
-| [Rolle 1] | [Beschreibung] | +
-| [Rolle 2] | [Beschreibung] | +
-| ... | ... |+
  
-Die Rolle wird beim Anlegen oder Bearbeiten eines Accounts festgelegt und steuert automatisch, welche Menüpunkte und Funktionen sichtbar sind.+==== Feldberechtigungen – Field-Level Security ====
  
 +Über die Rolle hinaus kann für einzelne **Datenfelder** eine **Mindestberechtigung** hinterlegt werden. Diese sogenannte **Field-Level Security** sorgt dafür, dass sensible Felder nur für Nutzer*innen sichtbar sind, deren Rolle die erforderliche Berechtigung mitbringt – alle anderen sehen das Feld schlicht nicht.
  
-===== Zusammenfassung =====+==== Zusammenfassung ====
  
   * **RBAC** – Die Rolle bestimmt, welche Bereiche und Funktionen zugänglich sind.   * **RBAC** – Die Rolle bestimmt, welche Bereiche und Funktionen zugänglich sind.
-  * Die Berechtigungen greifen automatisch im Hintergrund – Nutzer*innen sehen immer genau das, was für ihre Rolle freigegeben ist.+  * **Field-Level Security** – Die Feldberechtigung bestimmt, welche einzelnen Daten sichtbar sind. 
 +  * Beides greift automatisch im Hintergrund – Nutzer*innen sehen immer genau das, was für ihre Rolle freigegeben ist.
  
 ===== Eine Funktion oder ein Feld fehlt? ===== ===== Eine Funktion oder ein Feld fehlt? =====
  
-Wenn ein Menüpunkt, eine Funktion oder ein Datenfeld nicht sichtbar ist, kann das an der zugewiesenen Rolle liegen. In diesem Fall bitte an den **Admin der eigenen Einrichtung** wenden – das ist die Person, die in [Produktname] die Rollenvergabe für die Einrichtung verwaltet.+Wenn ein Menüpunkt, eine Funktion oder ein Datenfeld nicht sichtbar ist, kann das an der zugewiesenen Rolle liegen. In diesem Fall bitte an den **Admin der eigenen Einrichtung** wenden – das ist die Person, die in inOne die Rollenvergabe für die Einrichtung verwaltet. 
 + 
 +===== IP-Beschränkung ===== 
 + 
 +Über die **Meta-Felder** im Nutzerprofil kann der Backend-Zugang auf einen definierten IP-Adressbereich beschränkt werden. Meldet sich ein Nutzer von einer IP-Adresse außerhalb des erlaubten Bereichs an, wird der Zugriff verweigert. 
 + 
 +Dies ist besonders relevant für Rollen mit eingeschränktem Vertrauensniveau — z.B. studentische Hilfskräfte (HiWis), die nur aus dem Hochschulnetz heraus auf das Backend zugreifen dürfen. 
 + 
 +Die IP-Beschränkung wird im [[customer:edit|Kundendatensatz]] der betreffenden Person unter dem Reiter **Zusatzdaten** hinterlegt — als MetaKey **allowed_ip** mit dem gewünschten IP-Kreis als Wert (z.B. ''134.76.0.0/16'' für das Hochschulnetz).