Häufig gestellte Fragen

1. Was passiert mit dem Zugriff eines Benutzers, der mehreren Gruppen angehört?

Der Benutzer erhält die vereinten Zugriffsrechte, die jeder Gruppe zugeordnet sind, der er angehört.

Beispiel: John Smith gehört zu den HR- und Finance-Gruppen, die zum Orchestrator hinzugefügt wurden. Die HR-Gruppe hat die Management-Rolle und Zugriff auf den HR-Ordner, Finance hat die Executor-Rolle und Zugriff auf den Finance-Ordner. Als Teil beider Gruppen hat John die Management- und Executor-Rolle sowie Zugriff auf die HR- und Finance-Ordner.

2. Was passiert mit dem Zugriff, wenn ein Benutzer separat neben einer Gruppe hinzugefügt wird, zu der er gehört?

Der Benutzer erhält die gemeinsamen Zugriffsrechte, die der Gruppe zugeordnet sind, der er angehört, und die explizit festgelegt wurden. Beachten Sie, dass geerbte Zugriffsrechte von Gruppeneinstellungen abhängig sind und dass explizit festgelegte Zugriffsrechte unabhängig von Gruppeneinstellungen sind.

Beispiel: John Smith wurde einzeln von AD hinzugefügt und explizit die Executor-Rolle und Zugriff auf den Finance-Ordner verliehen. Die HR-Gruppe (der John angehört) wurde ebenfalls zum Orchestrator hinzugefügt und erhielt die Management-Rolle und Zugriff auf den HR-Ordner. John hat die Executor- und Management-Rollen sowie Zugriff auf die HR- und Finance-Ordner. Wenn er auf AD-Ebene aus der HR-Gruppe entfernt wird, verliert er die Management-Rolle und den Zugriff auf den HR-Ordner, behält jedoch die explizit festgelegten.

3. Mein Benutzer gehört zu zwei Gruppen, die erste erlaubt die automatische Robotererstellung, die zweite nicht. Wird ein Roboter für meinen Benutzer erstellt oder nicht?

Da ein Benutzer die gemeinsamen Rechte erhält, die allen Gruppen zugeordnet sind, denen er angehört, wird ein Roboter für Ihren Benutzer basierend auf der Konfiguration für die erste Gruppe erstellt.

4. Ich habe eine Verzeichnisgruppe gelöscht/deaktiviert. Können sich die zugehörigen Verzeichnisbenutzer weiterhin anmelden?

Nein, wenn Sie Zugriffsrechte nicht explizit für sie festgelegt haben. Ja, wenn Sie ihnen Zugriffsrechte einzeln im Orchestrator gewährt haben. Vererbte Zugriffsrechte werden nur für die Dauer der aktiven Benutzersitzung beibehalten. Nur explizit festgelegte Zugriffsrechte bleiben zwischen Sitzungen bestehen. Durch das Löschen oder Deaktivieren einer Verzeichnisgruppe werden geerbte Rechte gelöscht, aber an den explizit festgelegten ändert sich nichts.

5. Wann werden Änderungen an einer AD-Gruppe im Orchestrator wirksam?

Änderungen, die an Ihren AD-Gruppen vorgenommen wurden, wie Hinzufügen, Verschieben oder Löschen eines Benutzers, werden vom Orchestrator bei jeder Benutzeranmeldung oder einmal alle 60 Minuten für aktive Sitzungen abgefragt. 60 Minuten ist der Standardwert und kann in web.config über den Parameter WindowsAuth.GroupMembershipCacheExpireHours geändert werden.