Header

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

Link zu der Vergleichsansicht

Beide Seiten, vorherige ÜberarbeitungVorherige Überarbeitung
Nächste Überarbeitung		Vorherige Überarbeitung
settings:userlogins [2026/07/27 21:56] – Rollenpyramide als iFrame eingebunden, Seite bereinigt mlumme_redaktionsettings:userlogins [2026/08/25 19:16] (aktuell) – mlumme_redaktion
Zeile 2: Zeile 2:
  
 Diese Liste führt alle Kundenkonten auf, die einen Login für das Backend besitzen. Die Rollen werden im Kundenkonto zugewiesen. Diese Liste führt alle Kundenkonten auf, die einen Login für das Backend besitzen. Die Rollen werden im Kundenkonto zugewiesen.
-{{ :settings:benutzerinnen.png?400 |/Users/mischalumme/Desktop/Bildschirmfoto 2026-06-08 um 21.12.03.png}}+{{ :settings:benutzerinnen.png?400 |}}
  
 Die folgenden Rollen können zugewiesen werden: Die folgenden Rollen können zugewiesen werden:
Zeile 15: Zeile 15:
   * Developer   * Developer
  
 +===== Rollen und Berechtigungen in inOne =====
  
-====== Verwaltung Backend Nutzer*innen ======+==== Wie funktioniert der Zugriff in inOne? ====
  
-Diese Liste führt alle Kundenkonten auf, die einen Login für das Backend besitzen. Die Rollen werden im Kundenkonto zugewiesen. +inOne verwendet ein sogenanntes **Role-Based Access Control**-System (kurz **RBAC**) – ergänzt um **Field-Level Security**. Jeder Account erhält eine **Rolle**, und jede Rolle definiert, welche Bereiche und Funktionen zugänglich sind. Einzelne Datenfelder können darüber hinaus mit einer eigenen Mindestberechtigung geschützt werden.
-{{ :settings:benutzerinnen.png?400 |/Users/mischalumme/Desktop/Bildschirmfoto 2026-06-08 um 21.12.03.png}}+
  
-Die folgenden Rollen können zugewiesen werden: +==== Rollenhierarchie ====
-  * System Administrator +
-  * Administrator +
-  * User Extended +
-  * User +
-  * Infopoint Extended +
-  * Infopoint +
-  * Übungsleiter +
-  * Kunde +
-  * Developer+
  
-===== Rollenhierarchie (Übersicht) =====+Die Rollen sind aufeinander aufbauend — jede höhere Stufe schließt alle Rechte der darunter liegenden Stufen ein.
  
-Die Rollen sind aufeinander aufbauend — eine höhere Rolle schließt alle Rechte der darunter liegenden Stufen ein. Auf eine Stufe klicken zeigt die jeweiligen Funktionen.+^ Stufe ^ Rolle ^ Zusätzliche Funktionen (jeweils ergänzend) ^ 
 +| ▲ 6 – höchste | **System Administrator** | Systemkritische Massenvorgänge (z. B. Vertragsverlängerungen), Verwaltung von Zahlungsdateien (DTA) | 
 +| ▲ 5 | **Administrator** | Rollenvergabe, Zahlläufe, Abrechnungsexporte, globale Einstellungen, Öffnungszeiten, Pakete, Zugriffstokens | 
 +| ▲ 4 | **User Extended** | Stornierungen, Verträge und Kurse löschen, Zahlungsart und Rechnungsstatus ändern | 
 +| ▲ 3 | **User** | Kurse anlegen/bearbeiten, Buchungen und Check-ins, Kunden pflegen, Zahlungen erfassen, Statistik | 
 +| ▲ 2 | **Infopoint Extended** | Erweiterter Funktionsumfang am Infopoint | 
 +| ▲ 1 – Basis | **Infopoint** | Anmeldung am Backend, Einsicht in Termine/Kurse/Belegungen, Nachrichten senden | 
 +| * | **Übungsleiter** | Self-Service-Zugang im Frontend: eigene Dienstverträge und Stundenzettel einsehen/drucken, Kurse freigeben, Vertretungsgesuche und Bewerbungen auslösen | 
 +| — | //Kunde// | Nur Kundenoberfläche (Self-Service), **kein** Backend-Zugang |
  
-<iframe src="https://owncloud.gwdg.de/index.php/s/9h7YhHhux8Zp4Df/download" width="100%" height="620" frameborder="0"></iframe>+> **Hinweis:** Jede Rolle schließt automatisch alle Rechte der darunter liegenden Stufen ein. Wer also die Rolle //Administrator// hat, kann auch alles, was //User//, //Infopoint Extended// und //Infopoint// dürfen.
  
-===== Rollen und Berechtigungen in inOne ===== +==== Feldberechtigungen – Field-Level Security ====
- +
-===== Wie funktioniert der Zugriff in inOne? ===== +
- +
-inOne verwendet ein sogenanntes **Role-Based Access Control**-System (kurz **RBAC**) – ergänzt um **Field-Level Security**. Das klingt technisch, ist aber intuitiv: Jeder Account erhält eine **Rolle**, und jede Rolle definiert, welche Bereiche und Funktionen zugänglich sind. Einzelne Datenfelder können darüber hinaus mit einer eigenen Mindestberechtigung geschützt werden. +
- +
-===== Rollen – Role-Based Access Control (RBAC) ===== +
- +
-Beim RBAC werden Berechtigungen nicht einzeln pro Person vergeben, sondern gebündelt in **Rollen**. Jede Rolle steht für ein bestimmtes Aufgabenprofil und öffnet genau die Bereiche im System, die dafür nötig sind – nicht mehr und nicht weniger. Dieses Prinzip nennt sich auch **Least Privilege** (minimale Rechtevergabe). +
- +
-^ Rolle ^ Beschreibung ^ +
-| **System Administrator** | Systemkritische Massenvorgänge, höchste Berechtigungsstufe | +
-| **Administrator** | Stammdaten, Einstellungen, Rollenvergabe | +
-| **User Extended** | Erweiterte Sachbearbeitung (Stornos, Löschungen) | +
-| **User** | Reguläres Tagesgeschäft | +
-| **Infopoint Extended** | Erweiterter Infopoint-Zugang | +
-| **Infopoint** | Minimalrolle für Backend-Zugang | +
-| **Kunde** | Nur Kundenoberfläche, kein Backend-Zugang | +
- +
-===== Feldberechtigungen – Field-Level Security =====+
  
 Über die Rolle hinaus kann für einzelne **Datenfelder** eine **Mindestberechtigung** hinterlegt werden. Diese sogenannte **Field-Level Security** sorgt dafür, dass sensible Felder nur für Nutzer*innen sichtbar sind, deren Rolle die erforderliche Berechtigung mitbringt – alle anderen sehen das Feld schlicht nicht. Über die Rolle hinaus kann für einzelne **Datenfelder** eine **Mindestberechtigung** hinterlegt werden. Diese sogenannte **Field-Level Security** sorgt dafür, dass sensible Felder nur für Nutzer*innen sichtbar sind, deren Rolle die erforderliche Berechtigung mitbringt – alle anderen sehen das Feld schlicht nicht.
  
-===== Zusammenfassung =====+==== Zusammenfassung ====
  
   * **RBAC** – Die Rolle bestimmt, welche Bereiche und Funktionen zugänglich sind.   * **RBAC** – Die Rolle bestimmt, welche Bereiche und Funktionen zugänglich sind.
Zeile 70: Zeile 50:
  
 Wenn ein Menüpunkt, eine Funktion oder ein Datenfeld nicht sichtbar ist, kann das an der zugewiesenen Rolle liegen. In diesem Fall bitte an den **Admin der eigenen Einrichtung** wenden – das ist die Person, die in inOne die Rollenvergabe für die Einrichtung verwaltet. Wenn ein Menüpunkt, eine Funktion oder ein Datenfeld nicht sichtbar ist, kann das an der zugewiesenen Rolle liegen. In diesem Fall bitte an den **Admin der eigenen Einrichtung** wenden – das ist die Person, die in inOne die Rollenvergabe für die Einrichtung verwaltet.
-===== Rollen und Berechtigungen in inOne ===== 
  
-===== Wie funktioniert der Zugriff in inOne? =====+===== IP-Beschränkung =====
  
-[Produktname] verwendet ein sogenanntes **Role-Based Access Control**-System (kurz **RBAC**). Jeder Account erhält eine **Rolle**, und jede Rolle definiert, welche Bereiche und Funktionen zugänglich sind. +Über die **Meta-Felder** im Nutzerprofil kann der Backend-Zugang auf einen definierten IP-Adressbereich beschränkt werden. Meldet sich ein Nutzer von einer IP-Adresse außerhalb des erlaubten Bereichs an, wird der Zugriff verweigert.
  
-===== Rollen – Role-Based Access Control (RBAC) ===== +Dies ist besonders relevant für Rollen mit eingeschränktem Vertrauensniveau — z.B. studentische Hilfskräfte (HiWis), die nur aus dem Hochschulnetz heraus auf das Backend zugreifen dürfen.
- +
-Beim RBAC werden Berechtigungen nicht einzeln pro Person vergeben, sondern gebündelt in **Rollen**. Jede Rolle steht für ein bestimmtes Aufgabenprofil und öffnet genau die Bereiche im System, die dafür nötig sind – nicht mehr und nicht weniger. Dieses Prinzip nennt sich auch **Least Privilege** (minimale Rechtevergabe). +
- +
-In inOne gibt es beispielsweise **8 Rollen**, die einem Account zugewiesen werden können: +
- +
-^ Rolle ^ Beschreibung ^ +
-| [Rolle 1] | [Beschreibung] | +
-| [Rolle 2] | [Beschreibung] | +
-| ... | ... | +
- +
-Die Rolle wird beim Anlegen oder Bearbeiten eines Accounts festgelegt und steuert automatisch, welche Menüpunkte und Funktionen sichtbar sind. +
- +
- +
-===== Zusammenfassung ===== +
- +
-  * **RBAC** – Die Rolle bestimmt, welche Bereiche und Funktionen zugänglich sind. +
-  * Die Berechtigungen greifen automatisch im Hintergrund – Nutzer*innen sehen immer genau das, was für ihre Rolle freigegeben ist. +
- +
-===== Eine Funktion oder ein Feld fehlt? =====+
  
-Wenn ein Menüpunkt, eine Funktion oder ein Datenfeld nicht sichtbar ist, kann das an der zugewiesenen Rolle liegen. In diesem Fall bitte an den **Admin der eigenen Einrichtung** wenden – das ist die Person, die in [Produktname] die Rollenvergabe für die Einrichtung verwaltet.+Die IP-Beschränkung wird im [[customer:edit|Kundendatensatz]] der betreffenden Person unter dem Reiter **Zusatzdaten** hinterlegt — als MetaKey **allowed_ip** mit dem gewünschten IP-Kreis als Wert (z.B. ''134.76.0.0/16'' für das Hochschulnetz).