1.2. Prinzipien der Benutzerverwaltung
Um auch bei einer größeren Anzahl von Benutzern die übersichtliche Verwaltung von Zugriffsberechtigungen zu ermöglichen, verwendet MOS'aik das Konzept der Benutzergruppen. Im Wesentlichen werden dabei die Berechtigungen nicht den Benutzern, sondern zunächst den Benutzergruppen zugeteilt. Die Gruppen repräsentieren dabei typischerweise ein Rollenmodell, wie es in vielen Betrieben zum Einsatz kommt.
Ein Betrieb ist beispielsweise gemäß dem abgebildeten Organigramm strukturiert:
Die Rolle eines jeden Mitarbeiters ist hier durch die Zuordnung zu
einer Abteilung festgelegt. So ist beispielsweise Guido
Hacker (EDV-Abteilung) der Systemadministrator und verantwortlich
für den reibungslosen Betrieb aller Computer und des Firmennetzwerks. Dazu ist
der uneingeschränkte Zugriff auf alle Softwarekomponenten erforderlich.
Dr. Manfred v. Abels muss als
Geschäftsführer in der Lage sein alle relevanten Stammdaten, Akten und
Auswertungen einsehen zu können. Alle weiteren Mitarbeiter sollen jeweils nur
die für Ihren Bereich relevanten Teile der Software nutzen dürfen.
In der MOS'aik-Benutzerverwaltung kann eine Abteilung bzw. Rolle durch die Einrichtung einer entsprechenden Benutzergruppe abgebildet werden. Dabei ist es möglich beliebig viele Gruppen mit unterschiedlichen Namen und Eigenschaften einzurichten. Jeder dieser Gruppen werden anschließend Benutzer zugeordnet, die damit die Zugriffsberechtigungen der Gruppe erhalten.
Die Abteilung Lager soll nur den Zugriff auf die Lagerverwaltung sowie einzelne Grundfunktionen von MOS'aik erhalten (z.B. Agenda, Internet, Handbuch, ...). Dazu wird eine entsprechende Benutzergruppe Lager eingerichtet, die ausschließlich Berechtigungen für diese Komponenten erhält.
Anschließend wird für Hans Stapler ein Benutzer H.Stapler angelegt, der der Gruppe Lager zugeordnet wird und damit die entsprechenden Berechtigungen erbt.
Für größere Abteilungen mit mehreren Mitarbeitern können weitere Benutzer nach Bedarf angelegt und der Benutzergruppe zugeteilt werden. Spätere Korrekturen und Änderungen der Berechtigungen müssen dann nicht bei allen Benutzern, sondern lediglich in der entsprechenden Benutzergruppe vorgenommen werden!
Beispiel: Die Abteilung Service (3 Mitarbeiter)
Welcher Chef möchte nicht alle Stränge in der Hand halten? So ist es natürlich auch möglich, einem Benutzer alle Berechtigungen zuzuordnen. Der Chef Dr. Manfred v. Abels wird dazu einer Gruppe Geschäftsleitung zugeordnet, die sämtliche Berechtigungen besitzt:
Alternativ könnte man den Chef auch der Gruppe Admins zuordnen. Die separate Gruppe hat jedoch den Vorteil,
dass man darin ggf. nicht verwendete Arbeitsblätter ausblenden kann.
Auch die EDV-Abteilung muss in der Lage sein, sämtliche Komponenten des Systems zu verwenden, um ggf. bei der Lösung von Problemen behilflich zu sein. Einen uneingeschränkten Zugriff auf das gesamte System bietet dazu die in MOS'aik bereits vorgegebene Benutzergruppe Admins:
Wenn ein Benutzer mehreren Benutzergruppen zugeordnet wird, kann es vorkommen, dass sich einzelne Berechtigungen widersprechen. In solchen Fällen überwiegt grundsätzlich eine ausgesprochene Zugriffssperre gegenüber einem Zugriffsrecht!
Beispiel:
-
Gruppe A wurde die Berechtigung für das Arbeitsblatt "Notizen & Termine" zugeteilt. Gruppe B wurde keine Berechtigung für dieses Arbeitsblatt gegeben, jedoch auch keine Sperre ausgesprochen.
⇨ Damit darf ein Benutzer der beiden Gruppen angehört das Arbeitsblatt verwenden!
-
Für Gruppe B wird jetzt eine Sperre für die Verwendung des Arbeitsblatts "Notizen & Termine" ausgesprochen.
⇨ Damit darf ein Benutzer der beiden Gruppen angehört das Arbeitsblatt nicht mehr verwenden!
Um hier eventuelle Schwierigkeiten zu umgehen, sollte man die Zuordnung von mehr als einer benutzerdefinierten Gruppe zu einem Benutzer vermeiden!
Standardmäßig wird MOS'aik bereits mit einigen Benutzergruppen und Benutzern ausgeliefert. Man spricht dabei von sogenannten Systembenutzergruppen bzw. Systembenutzern, die bereits mit umfassenden Zugriffsberechtigungen ausgestattet sind. Weitere Details hierzu finden Sie im Abschnitt Abschnitt 1.4, „Systembenutzer und Systembenutzergruppen“. Zusätzlich können eigene Benutzergruppen für die Vergabe ihrer Berechtigungen angelegt werden.
Die tatsächlichen Zugriffsberechtigungen werden idealerweise nur den Benutzergruppen erteilt, die diese dann an ihre zugeordneten Benutzer weiterreichen. In besonderen Fällen können jedoch auch Zugriffsrechte bzw. -sperren für einzelne Benutzer ausgesprochen werden.
Vermeiden Sie die Vergabe von besonderen Rechten für einzelne Benutzer, da Sie so bei großen Benutzerzahlen unter Umständen die Übersicht über Ihre vergebenen Zugriffsberechtigungen verlieren können.
Richten Sie stattdessen eine zusätzliche Gruppe mit den speziellen Berechtigungen ein und ordnen Sie den oder die betroffenen Mitarbeiter der neuen Gruppe zu. Auf diese Weise können Sie einfach erkennen, welche Rechte ein Benutzer hat. Änderungen können so außerdem in der entsprechenden Gruppe vorgenommen werden und wirken sich automatisch auf alle zugeordneten Benutzer aus!
Nach Einrichtung der einzelnen Benutzer und Benutzergruppen sollten zunächst über die Einstellungen in den Systemrichtlinien (siehe auch Abschnitt 2.3.4.1, „Systemrichtlinien“) besondere Aktionen für ausgewählte Benutzer und Gruppen zugelassen oder gesperrt werden.
Anschließend können Sie weitere Zugriffsrechte bzw. -sperren für einzelne Vorgangsarten und Arbeitsblätter vergeben. Die erforderlichen Details hierzu finden Sie im Abschnitt Abschnitt 2.3.4, „Zugriffsrechte“.
Wenn für einzelne Benutzer oder Benutzergruppen in der Benutzerverwaltung und in den Systemrichtlinien Zugriffsrechte vergeben wurden, werden die „schärferen“ Zugriffseinschränkungen für den Benutzer berücksichtigt!
Beispiel: Der Benutzer Anton ist Mitglied der Gruppe Users und darf damit standardmäßig (im unveränderter Auslieferungszustand) verbuchte Vorgänge stornieren. Wird allerdings die Systemrichtlinie Stornieren von Vorgängen erlauben angewendet und der Benutzer oder die ihm zugeordnete Gruppe in der Systemrichtlinie nicht explizit für die Stornierung zugelassen, so wird die Aktion verweigert.