Verwalten des Zugriffs

Überblick

Mit dem Modul Zugriff verwalten können Sie Benutzerrollen für eine Entität in Ihrem Data Fabric-/Data Service-Mandanten verwalten. Mit diesem umfangreichen und detaillierten Berechtigungsmodell können Sie alle Ihre Geschäftsbenutzer mithilfe des Dienstes integrieren, je nach Fachwissen und Ihren geschäftlichen Anforderungen. Darüber hinaus können Sie Benutzer oder Gruppen aus Ihrer Organisation auswählen und ihnen Rollen zuweisen.

Hinweis:

Data Fabric ist so konfiguriert, dass Organisationsbenutzer standardmäßig Daten über die Gruppe Everyone lesen können.

Um den Datenzugriff zu beschränken, verwalten Sie Berechtigungen und stellen Sie sicher, dass nur relevante Benutzer über die Leseberechtigung verfügen**.** Fügen Sie außerdem Benutzer oder Gruppen hinzu, die Zugriff benötigen, und weisen Sie ihnen die gewünschten Rollen zu.

Mit den folgenden Schritten können Sie Ihre Benutzer und Gruppen verwalten:

1. Wählen Sie auf der Startseite von Data Fabric/Data Service im Header das Menü Weitere Optionen aus.
2. Wählen Sie Zugriff verwalten aus.

Die folgenden Registerkarten sind verfügbar:

Registerkarte	Beschreibung
Rollen zuweisen	Enthält eine Liste aller Benutzer und Gruppen, die für Ihren aktuellen Mandanten definiert sind, und deren zugeordnete Rollen Verwenden Sie die Schaltfläche Rolle zuweisen , um Rollenzuweisungen zu erstellen und zu aktualisieren.
Rollen	Eine Liste aller Rollen , die für Data Fabric/Data Service definiert sind. Für jede Rolle können Sie die Anzahl der Benutzer- oder Gruppenzuweisungen sehen. Verwenden Sie die Schaltfläche Neue Rolle erstellen , um neue Rollen zu erstellen, und die Schaltfläche Rolle bearbeiten , um Rollen zu aktualisieren.

Standardrollen

Standardrollen haben einen vordefinierten Satz von Berechtigungen. Die folgenden Standardrollen können Data Fabric-/Data Service-Benutzern zugewiesen werden:

• Administrator
• Datenleser
• Datenverfasser
• Designer
  Hinweis:

  Sie können keine Standardrollen entfernen.

Berechtigungen für Standardrollen

Jede Standardrolle verfügt über einen anderen Satz von Berechtigungen, einschließlich mindestens einer Administratorberechtigung und einer Datenzugriffsberechtigung.

Administrative Berechtigungen

Nachfolgend finden Sie eine Beschreibung der administrativen Berechtigungen einer Standardrolle.

Berechtigung	Rollen mit dieser Berechtigung …
Berechtigungen verwalten	... können neue Rollen erstellen, vorhandene Rollen bearbeiten und löschen und Benutzern oder Gruppen eine oder mehrere Rollen zuweisen.
Gesamtes Schema anzeigen	... können das Schema aller Entitäten und Auswahlsatzdefinitionen anzeigen, können sie jedoch nicht ändern.
Gesamtes Schema anpassen	... können das Schema aller Entitäten und Auswahlsatzdefinitionen anzeigen, erstellen, bearbeiten oder löschen.

Hinweis:

Gesamtes Schema anzeigen und Gesamtes Schema anpassen gelten nur für Entitäten mit aktiviertem rollenbasierten Zugriff.

Datenzugriffsberechtigungen

Nachfolgend finden Sie eine Beschreibung der Datenzugriffsberechtigungen einer Standardrolle.

Berechtigung	Rollen mit dieser Berechtigung …
Kein Zugriff	... haben keinen Zugriff auf Entitätsdaten. Benutzer oder Gruppen mit dieser Berechtigung dürfen keine Datensätze einer Entität erstellen, lesen, bearbeiten oder löschen.
Lesezugriff für alle Entitäten	... können die Datensätze einer Entität anzeigen.
Vollständiger Lese- und Schreibzugriff für alle Entitäten	... können Datensätze für eine Entität erstellen, anzeigen, bearbeiten und löschen.

Übersicht über die Berechtigungen für Standardrollen

In der folgenden Tabelle sind die Standardberechtigungen der einzelnen Standardrollen zusammengefasst:

Standardrolle	Administrative Berechtigungen	Datenzugriffsberechtigungen
Administrator	Berechtigungen verwalten	Kein Zugriff
Datenleser	Gesamtes Schema anzeigen	Lesezugriff für alle Entitäten
Datenverfasser	Gesamtes Schema anzeigen	Vollständiger Lese- und Schreibzugriff für alle Entitäten
Designer	Gesamtes Schema anzeigen Passen Sie das gesamte Schema an	Kein Zugriff

Benutzerdefinierte Rollen

Mit benutzerdefinierten Rollen können Sie benutzerdefinierte Berechtigungssätze erstellen, die Benutzern bzw. Gruppen zugewiesen werden können.

Zum Erstellen neuer benutzerdefinierter Rollen muss die Berechtigung Berechtigungen verwalten zugewiesen sein.

Berechtigungen für benutzerdefinierte Rollen

Bei benutzerdefinierten Rollen können Sie entscheiden, welche Berechtigungen Sie der Rolle zuweisen möchten.

Weisen Sie der neuen Rolle bei der Erstellung mindestens eine administrative Berechtigung zu. Danach können Sie der Rolle Datenzugriffsberechtigungen zuweisen, die Berechtigungen zum Erstellen, Lesen, Bearbeiten oder Löschen für die angegebenen Entitäten gewähren.

Administrative Berechtigungen

Nachfolgend finden Sie eine Beschreibung der administrativen Berechtigungen, die einer benutzerdefinierten Rolle zugewiesen werden können.

Berechtigung	Beschreibung
Rollen verwalten	Rollen mit dieser Berechtigung können neue Rollen erstellen, vorhandene Rollen bearbeiten und löschen und Benutzern/Gruppen eine oder mehrere Rollen zuweisen.
Schema anzeigen	Rollen mit dieser Berechtigung können das Schema aller Entitäten und Auswahlsatzdefinitionen anzeigen, aber nicht ändern.
Gesamtes Schema anpassen	Rollen mit dieser Berechtigung können das Schema aller Entitäten und Auswahlsatzdefinitionen anzeigen, erstellen, bearbeiten oder löschen.

Datenzugriffsberechtigungen

Beim Definieren einer benutzerdefinierten Rolle können Sie den ausgewählten Entitäten im Mandanten unterschiedliche Datenzugriffsberechtigungen zuweisen.

Sie können auswählen, ob die benutzerdefinierte Rolle die Entitätsdatensätze erstellen, lesen, bearbeiten bzw. löschen kann. Wenn eine Entität über Felder mit rollenbasiertem Feldzugriff verfügt, können Sie den einzelnen Entitätsfeldern Datenzugriffsberechtigungen zuweisen.

Nachfolgend finden Sie eine Beschreibung der Datenzugriffsberechtigungen für eine Entität, die einer benutzerdefinierten Rolle zugewiesen werden kann.

Berechtigung	Beschreibung
Erstellen	Rollen mit dieser Berechtigung können Entitätsdatensätze erstellen.
Lesen	Rollen mit dieser Berechtigung können Entitätsdatensätze anzeigen.
Bearbeiten	Rollen mit dieser Berechtigung können Entitätsdatensätze anzeigen und ändern.
Löschen	Rollen mit dieser Berechtigung können Entitätsdatensätze anzeigen und löschen.
Besitzer neu zuweisen	Rollen mit dieser Berechtigung können Besitzer von Entitätsdatensätzen anzeigen und neu zuweisen. Hinweis: Wenn Sie einer vorhandenen Entität neue Daten hinzufügen, sind Sie der Standarddatensatzbesitzer der neuen Daten. Sie können den Besitz jedoch einem anderen Benutzer neu zuweisen, wenn Sie Daten bearbeiten oder neue Daten hinzufügen.

Benutzerdefinierte Rollen erstellen

So erstellen Sie eine neue Rolle:

1. Wählen Sie auf der Registerkarte Rollen die Option Neue Rolle erstellen aus.
2. Geben Sie im Panel Rolle erstellen in das Feld Rollenname einen Namen für die neue Rolle ein.
3. Wählen Sie die administrativen Berechtigungen aus, die Sie der Rolle zuweisen möchten.
4. Um der Rolle Datenzugriffsberechtigungen hinzuzufügen, wählen Sie die Zielentität aus:
   • Wählen Sie Entität hinzufügen aus, um die verfügbaren Entitäten anzuzeigen.
   • Wählen Sie die Entität aus, für die Sie die Berechtigungen festlegen möchten.
   • Wählen Sie die gewünschten Berechtigungen aus. Standardmäßig sind die Leseberechtigungen aktiviert.
5. Wählen Sie Speichern aus, um die neue benutzerdefinierte Rolle zu erstellen. Die Rolle wird auf der Registerkarte Rollen vom Typ–Benutzerdefiniert angezeigt.

Festlegen von Berechtigungen für bestimmte Felder

Beim Erstellen von Entitäten ist es möglich, den rollenbasierten Feldzugriff für von Benutzern erstellte Felder zu aktivieren. Beim Definieren einer benutzerdefinierten Rolle können Sie diesen Feldern die Datenzugriffsberechtigungen zuweisen.

Hinweis:

Nur benutzerdefinierte Rollen können aktualisiert werden, um Berechtigungen zu erteilen, um auf die Daten in den Feldern zugreifen zu können.

Führen Sie die folgenden Schritte aus, um rollenbasierte Feldberechtigungen festzulegen:

1. Erstellen Sie eine neue Rolle, oder bearbeiten Sie eine bereits vorhandene benutzerdefinierte Rolle.
2. Wenn die Entität über rollenbasierten Feldzugriff verfügt, wird eine Meldung angezeigt, die zum Hinzufügen von Datenzugriffsberechtigungen auffordert: Für bestimmte Felder sind Datenzugriffsberechtigungen erforderlich. Wählen Sie Hinzufügen aus.
3. Wählen Sie auf der Dropdownliste die Felder aus, für die Sie Datenzugriffsberechtigungen festlegen möchten.
4. Legen Sie die gewünschten Berechtigungen fest: Erstellen, Lesen, Bearbeiten oder Löschen.
5. Klicken Sie auf Speichern (Save).

Siehe auch Anpassen einer Entität.

Hinweis:

Wenn Sie keine Berechtigungen für Felder konfigurieren, für die Sie den rollenbasierten Feldzugriff aktiviert haben, sind diese standardmäßig nicht sichtbar.

Bearbeiten von benutzerdefinierten Rollen

Sie können bestimmte Berechtigungen für eine benutzerdefinierte Rolle ändern. Sie können benutzerdefinierte Rollen bearbeiten, indem Sie die entsprechende Schaltfläche Bearbeiten auswählen.

Entfernen von benutzerdefinierten Rollen

Wenn keine benutzerdefinierte Rolle mehr benötigen, können Sie sie entfernen, indem Sie die entsprechende Schaltfläche Löschen auswählen.

Hinweis:

Sie können keine Standardrollen entfernen.

Rollen und Berechtigungen für Entitäten auf Ordnerebene

Der Zugriff auf Entitäten auf Ordnerebene wird über Orchestrator-Rollen verwaltet, wie in der folgenden Tabelle gezeigt:

Berechtigung	Beschreibung
Entitätsdatensatz	Steuert den Zugriff auf die Daten, die in den Entitäten innerhalb des Ordners gespeichert sind (lesen, schreiben, löschen).
Entitätsschema	Steuert den Zugriff auf die Struktur- und Schemadefinition der Entitäten innerhalb des Ordners.
Entitätsrollen	Steuert die Verwaltung von Rollen, die den Entitäten innerhalb des Ordners zugewiesen sind.

Der Benutzerzugriff wird durch die Berechtigungen bestimmt, die in Orchestrator-Rollen zugewiesen sind.

Hinzufügen von Benutzern oder Gruppen

Alle Aufrufe in Data Fabric/Data Service basieren auf Benutzerautorisierung. Die Entscheidung, einen Vorgang zu gewähren bzw. zu verweigern, basiert immer auf den aktuellen Berechtigungen für den Benutzer und ist abhängig von den gewährten Berechtigungen für seine Einzel- oder Gruppenmitgliedschaft. Studio, Assistant und Robot übernehmen auch Berechtigungen, die auf ihren konfigurierten Benutzern basieren.

Data Fabric/Data Service unterstützt alle in der Organisation definierten Benutzer und Gruppen und unterhält keine separate Benutzerliste.

Um Benutzer hinzuzufügen, die Teil Ihrer Organisation sind, gehen Sie wie folgt vor:

1. Navigieren Sie zu Administrator, wählen Sie Zugriff verwalten und dann die Registerkarte Rollenzuweisungen aus.
2. Wählen Sie Rolle zuweisen aus. Der Bereich Rollen zuweisen wird geöffnet.
3. Suchen Sie im Feld Namen nach einem vorhandenen Benutzer oder einer Orchestrator-Gruppe und wählen Sie den Benutzer oder die Gruppe aus, dem/der Sie eine Rolle zuweisen möchten.
4. Wählen Sie im Feld Rollen die Rollen aus, die Sie Ihren ausgewählten Benutzern oder Gruppen zuweisen möchten.
5. Wählen Sie Zuweisen aus.
   Hinweis:

   Wenn Sie einen Benutzer nicht finden können, bedeutet das, dass er kein Konto innerhalb der Organisation hat.

Definieren von Rollen für einen Benutzer oder eine Gruppe

Eine Gruppe ist eine Sammlung von Benutzerkonten. Data Fabric/Data Service unterstützt alle im Konto definierten Gruppen und pflegt keine separate Liste von Gruppen. Eine Berechtigung, die einer Gruppe gewährt wurde, wird auf alle Benutzer und Gruppen übertragen.

Um die Rollen für einen Benutzer oder eine Gruppe zu definieren, führen Sie die folgenden Schritte aus:

1. Zeigen Sie auf der Registerkarte Rollen zuweisen mit dem Mauszeiger auf den Benutzer oder die Gruppe, dem Sie Rollen zuweisen möchten.
2. Wählen Sie das Symbol Bearbeiten auf der rechten Seite aus. Das Panel Rollen bearbeiten wird geöffnet.
3. Wählen Sie die gewünschten Rollen für den Benutzer oder die Gruppe aus.
4. Wählen Sie Speichern.
   Hinweis:

   Sie können einem Benutzer bzw. einer Gruppe mehrere Rollen zuweisen. In diesem Fall verfügt der Benutzer/die Gruppe über alle Berechtigungen aller zugewiesenen Rollen.

Standardmäßige Gruppenzuordnung

Gruppen sind Benutzercontainer mit bestimmten Berechtigungssätzen. Berechtigungen für Gruppen können innerhalb jedes Dienstes konfiguriert werden, indem Sie die Gruppe auswählen und die gewünschten Berechtigungen zuweisen. Benutzer erhalten alle Berechtigungen, die den Gruppen zugewiesen werden, in denen sie Mitglieder sind.

Wenn Sie Benutzer innerhalb einer Gruppe zuweisen, gewähren Sie ihnen Zugriff auf alle Dienste, die über für diese bestimmte Benutzergruppe konfigurierte Berechtigungen verfügen. Das Zugriffsrecht auf den Dienst wird durch die Rollen bestimmt, die dieser Gruppe auf der Dienstebene zugewiesen sind.

Gruppenmitgliedschaft	Rolle auf Organisationsebene	Data Fabric-/Data Service -Rollen
Administratoren	Administrator der Organisation	Administrator, Designer und Datenverfasser
Automation-Entwickler	Benutzer	Designer und Datenverfasser
Automation-Benutzer	Benutzer	Datenverfasser
Citizen Developers	Benutzer	Designer und Datenverfasser
Jeder	Benutzer	Datenleser

Hinweis:

Die automatische Rollenzuordnung gilt für Mandanten, die nach der Einführung der Citizen Developer-Gruppe erstellt wurden. Für Mandanten, die vor dem Hinzufügen der Gruppe erstellt wurden, müssen Sie die Citizen Developer-Gruppe hinzufügen und die Rollen Designer und Datenverfasser manuell zuweisen.

Entfernen von Benutzern oder Gruppen

Das Entfernen von Benutzern oder Gruppen von der Registerkarte Rollen zuweisen hat zur Folge, dass der Zugriff auf Data Fabric/Data Service nicht möglich ist. Das heißt, jeder gelöschte Benutzer und Benutzer, die Teil der gelöschten Gruppe sind, können nicht mehr auf Data Fabric/Data Service zugreifen.

Um den Zugriff erneut zuzulassen, fügen Sie Organisationsbenutzer oder -gruppen einzeln hinzu und weisen Sie ihnen Data Fabric-/Data Service-Rollen zu.

Um einen Benutzer oder eine Gruppe aus Data Fabric/Data Service zu entfernen, wählen Sie die entsprechende Option Benutzer/Gruppe entfernenaus Taste.

Rollenbasierter Datensatzzugriff

Mit dem rollenbasierten Datensatzzugriff können Sie den Zugriff auf bestimmte Datensätze in Ihrer Data Fabric-/Data Service-Entität einschränken.

Hinweis:

Der rollenbasierte Datensatzzugriff schränkt den Datenzugriff auf Datensatzebene ein. Der rollenbasierte Feldzugriff schränkt den Datenzugriff auf Feldebene ein.

Das Systemfeld „Datensatzbesitzer“.

Wenn Sie den rollenbasierten Datensatzzugriff aktivieren, fügt Data Fabric/Data Service das Feld RecordOwner zu Ihrer Entität hinzu.

Das Feld „Datensatzbesitzer“ ist ein Systemfeld, das den Benutzer oder die Gruppe angibt, die den Datensatz besitzt. Wenn der Datensatz erstellt wird, weist Data Fabric/Data Service standardmäßig den Ersteller des Datensatzes als Datensatzbesitzer zu.

Wenn Sie den rollenbasierten Datensatzzugriff aktivieren, fügt Data Fabric/Data Service Ihren Rollen eine Zugriffsebene hinzu: Lesen/Bearbeiten/Eigenständig zuweisen/Eigenständige löschen. Diese Zugriffsebene beschränkt die Rolle auf die Arbeit mit Datensätzen, für die sie der Datensatzbesitzer ist.

Wenn Sie beispielsweise eine Entität für ein Szenario mit einem Anwendungsformular erstellen:

• Sie können die Zugriffsebenen Kann erstellen, Alle lesen, Alle bearbeiten, Alle neu zuweisen und Alle löschen für einen Manager zuweisen.
• Sie können die Zugriffsebenen Kann nicht erstellen, Alle lesen, Eigene bearbeiten, Eigene neu zuweisen und Kann nicht löschen für einen Überprüfungsagenten zuweisen.

Aktivieren oder Deaktivieren des rollenbasierten Datensatzzugriffs für eine Entität

Sie können den rollenbasierten Datensatzzugriff aktivieren, wenn Sie eine Entität erstellen oder eine vorhandene Entität bearbeiten.

Aktivieren des rollenbasierten Datensatzzugriffs für eine neue Entität

Um den rollenbasierten Datensatzzugriff für eine neue Entität zu aktivieren, führen Sie die folgenden Schritte aus:

1. Wechseln Sie zu Data Service.
2. Wählen Sie Neue Entität erstellen.
3. Geben Sie Ihrer Entität einen Namen und eine Beschreibung.
4. Wählen Sie Rollenbasierten Datensatzzugriff aktivieren aus.
5. Wählen Sie Speichern aus.

Ein Popup wird geöffnet und Sie werden aufgefordert, auf Zugriff verwalten zuzugreifen, um benutzerdefinierte Rollen zu konfigurieren.

Aktivieren oder Deaktivieren des rollenbasierten Datensatzzugriffs für eine vorhandene Entität

Um den rollenbasierten Datensatzzugriff für eine vorhandene Entität zu aktivieren oder zu deaktivieren, führen Sie die folgenden Schritte aus:

1. Gehen Sie zu Data Fabric/Data Service.

2. Wählen Sie Entitäten aus, um alle Entitäten anzuzeigen.

3. Wählen Sie die Schaltfläche Bearbeiten neben einer Nicht-System-Entität aus.

4. Wählen Sie Rollenbasierter Datensatzzugriff aus.

   Hinweis:

   Der rollenbasierte Datensatzzugriff beschränkt den Datenzugriff auf Datensatzebene.

   Der rollenbasierte Feldzugriff schränkt den Datenzugriff auf Feldebene ein.

5. Wählen Sie Speichern aus.

Der Schieberegler Rollenbasierter Datensatzzugriff ist ein kontextbezogener Umschalter:

• Wenn Sie rollenbasierten Datensatzzugriff für eine Entität ohne diese aktive Funktion auswählen, aktiviert Data Fabric/Data Service die Funktion.
• Wenn Sie rollenbasierten Datensatzzugriff für eine Entität auswählen, bei der diese Funktion bereits aktiv ist, deaktiviert Data Fabric/Data Service die Funktion.

RBAC auf Entitätsebene für Entitäten auf Ordnerebene

RBAC auf Entitätsebene kann auch für Entitäten auf Ordnerebene direkt in Data Fabric unter Zugriff verwalten konfiguriert werden. Dies bietet eine zusätzliche Kontrollebene zusätzlich zu den Orchestrator-Ordnerberechtigungen.

• Der Ordnerzugriff im Orchestrator ist das Steuerelement der obersten Ebene.
• RBAC-Regeln werden als zusätzliche Sicherheitsebene zusätzlich zu den Ordnerberechtigungen angewendet.
• Benutzer müssen über Ordnerzugriff im Orchestrator verfügen, damit RBAC-Regeln wirksam werden.
  Hinweis:

  Berechtigungsänderungen unterliegen einem Zwei-Minuten-Cache. Nach der Aktualisierung des Zugriffs kann es zu einer kurzen Verzögerung bei der Synchronisierung der Berechtigungen kommen.

Führen Sie die folgenden Schritte aus, um Entitäts-RBAC auf Ordnerebene zu konfigurieren:

1. Wählen Sie Zugriff verwalten in Data Fabric aus.
2. Wählen Sie die Registerkarte Rollen und dann die Rolle Ordnerentitäten in der Dropdownliste Neue Rolle erstellen aus.
3. Geben Sie einen Rollennamen in das Feld Rollenname ein.
4. Wählen Sie einen Ordner aus der Auswahlliste Speicherort .
5. Wählen Sie Ihre bevorzugten Entitäten aus der Dropdownliste Entität hinzufügen aus.
6. Definieren Sie Ihre bevorzugten Berechtigungen für jede Entität.
7. Wählen Sie Speichern.
8. Wählen Sie die Registerkarte Rollenzuweisungen und dann Rolle zuweisen aus, um Benutzern oder Gruppen Rollen zuzuweisen.