Festlegen von Rechten
In der folgenden Tabelle sind die Optionen zusammengefasst, die Ihnen beim Festlegen erweiterter
Rechte zur Verfügung stehen.
Tabelle 6-1: Rechteoptionen
Symbol Rechteoption Beschreibung
Gewährt
Das Recht wird einem Subjekt gewährt.
Verweigert
Nicht angegeben
Das Recht wird einem Subjekt verweigert.
Das Recht wird für ein Subjekt nicht angegeben. Auf
Nicht angegeben festgelegte Rechte sind standardmä-
ßig verweigert.
Auf Objekt anwenden
Auf Unterobjekt anwenden
Das Recht wird auf das Objekt angewendet. Diese Option ist verfügbar, wenn Sie auf Gewährt oder Verwei-
gert klicken.
Das Recht wird auf Unterobjekte angewendet. Diese
Option ist verfügbar, wenn Sie auf Gewährt oder Ver-
weigert klicken.
Verwandte Themen
•
Typspezifische Rechte
6.1.3 Übernahme
Objektrechte werden für einen Prinzipal festgelegt, um den Zugriff auf das jeweilige Objekt zu steuern.
Dabei erweist es sich jedoch als undurchführbar, den expliziten Wert jedes möglichen Rechts für jeden
Prinzipal an jedem Objekt zu definieren. Stellen Sie sich beispielsweise ein System mit 100 Rechten,
1000 Benutzern und 10.000 Objekten vor: Um die Rechte explizit für jedes Objekt festzulegen, müssten im CMS-Speicher zigtausende von Rechten gespeichert werden, die darüber hinaus von einem
Administrator auch noch einzeln festgelegt werden müssten.
Mit Übernahmemustern lässt sich dies umgehen. Bei Verwendung der Übernahme stammen die Rechte, die Benutzern an den im System enthaltenen Objekten gewährt werden, aus einer Kombination ihrer
Mitgliedschaften in unterschiedlichen Gruppen und Untergruppen mit Objekten, die Rechte von
übergeordneten Ordnern und Unterordnern übernommen haben. Diese Benutzer können Rechte infolge einer Gruppenmitgliedschaft übernehmen, Untergruppen können Rechte von übergeordneten Gruppen
129 2013-01-07
Festlegen von Rechten
übernehmen, und sowohl Benutzer als auch Gruppen können Rechte von übergeordneten Ordnern
übernehmen.
Standardmäßig übernehmen Benutzer oder Gruppen, die Rechte für einen Ordner besitzen, dieselben
Rechte für jedes Objekt, das nachfolgend in diesem Ordner veröffentlicht wird. Daher ist es strategisch ratsam, zuerst die entsprechenden Rechte für Benutzer und Gruppen auf Ordnerebene festzulegen und dann die Objekte in diesem Ordner zu veröffentlichen.
Die BI-Plattform erkennt zwei Arten der Übernahme: Gruppenübernahme und Ordnerübernahme.
6.1.3.1 Gruppenübernahme
Bei der Gruppenübernahme können Prinzipale Rechte infolge einer Gruppenzugehörigkeit übernehmen.
Die Gruppenübernahme ist besonders nützlich, wenn Sie alle Benutzer in Gruppen organisieren, die den aktuellen Sicherheitskonventionen Ihres Unternehmens entsprechen.
Aus “Gruppenübernahme: Beispiel 1” ist ersichtlich, wie die Gruppenübernahme funktioniert. Da die rote Gruppe eine Untergruppe der blauen Gruppe ist, übernimmt sie die Rechte der blauen Gruppe. In diesem Fall übernimmt die Gruppe Recht 1 als "Gewährt" und die übrigen Rechte als "Nicht angegeben".
Jedes Mitglied der roten Gruppe übernimmt diese Rechte. Darüber hinaus werden alle weiteren, für die Untergruppe festgelegten Rechte von deren Mitgliedern übernommen. Da der grüne Benutzer in diesem Beispiel ein Mitglied der roten Gruppe ist, übernimmt er Recht 1 als "Gewährt", die Rechte 2,
3, 4 und 6 als "Nicht angegeben" und Recht 5 als "Verweigert".
130
Abbildung 6-1: Gruppenübernahme: Beispiel 1
Wenn die Gruppenübernahme für einen Benutzer aktiviert ist, der mehreren Gruppen angehört, werden die Rechte aller übergeordneten Gruppen berücksichtigt, wenn das System die Anmeldedaten prüft.
Dem Benutzer werden alle Rechte verweigert, die in einer der übergeordneten Gruppen explizit verweigert wurden, sowie jegliche Rechte, deren Status vollständig "Nicht angegeben" lautet. Folglich werden dem Benutzer nur die Rechte gewährt, die (explizit oder durch Zugriffsberechtigungen) in einer oder mehreren Gruppen gewährt und nie explizit verweigert wurden.
In “Gruppenübernahme: Beispiel 2” ist der grüne Benutzer Mitglied in zwei Gruppen, die voneinander unabhängig sind. Der grüne Benutzer übernimmt von der blauen Gruppe die Rechte 1 und 5 als
"Gewährt" und die übrigen Rechte als "Nicht angegeben". Da der grüne Benutzer jedoch auch der roten
2013-01-07
Festlegen von Rechten
Gruppe angehört und der roten Gruppe Recht 5 explizit verweigert wurde, wird die Übernahme von
Recht 5 aus der blauen Gruppe außer Kraft gesetzt.
Abbildung 6-2: Gruppenübernahme: Beispiel 2
Verwandte Themen
•
Rechte überschreiben
6.1.3.2 Ordnerübernahme
Die Ordnerübernahme ermöglicht Prinzipalen die Übernahme aller Rechte, die für den übergeordneten
Ordner eines Objekts gewährt wurden. Die Ordnerübernahme erweist sich als besonders leistungsfähig, wenn Sie BI-Plattform-Inhalte in einer Ordnerhierarchie organisieren, die die aktuellen
Sicherheitskonventionen Ihres Unternehmens widerspiegelt. Angenommen, Sie erstellen einen Ordner namens "Vertriebsberichte" und gewähren der Gruppe "Vertrieb" für diesen Ordner das Recht Ansicht
auf Abruf. Standardmäßig übernimmt jeder Benutzer, der Rechte für den Ordner "Vertriebsberichte" besitzt, dieselben Rechte für alle Berichte, die Sie nachfolgend in diesem Ordner veröffentlichen. Folglich verfügt die Gruppe "Vertrieb" für alle Berichte über den Zugriff Ansicht auf Abruf, und die Objektrechte müssen nur einmal auf der Ordnerebene festgelegt werden.
In “Beispiel für die Ordnerübernahme” wurden für die rote Gruppe Ordnerrechte festgelegt. Rechte 1 und 5 wurden gewährt, während die übrigen Rechte nicht angegeben wurden. Bei aktivierter
Ordnerübernahme verfügen Mitglieder der roten Gruppe über Rechte auf der Objektebene, die mit den
Rechten der Gruppe auf der Ordnerebene identisch sind. Die Rechte 1 und 5 wurden als "Gewährt"
übernommen, während die übrigen Rechte nicht angegeben wurden.
131 2013-01-07
Festlegen von Rechten
Abbildung 6-3: Beispiel für die Ordnerübernahme
Verwandte Themen
•
Rechte überschreiben
132
6.1.3.3 Rechte überschreiben
Das “Überschreiben von Rechten” ist ein Verhalten, bei dem Rechte, die für untergeordnete Objekte festgelegt wurden, die für übergeordnete Objekte festgelegten Rechte überschreiben. Das Überschreiben von Rechten findet unter folgenden Bedingungen statt:
• Im Allgemeinen überschreiben die Rechte, die für untergeordnete Objekte festgelegt werden, die
Rechte, die für übergeordnete Objekte festgelegt werden.
• Im Allgemeinen überschreiben die Rechte, die für Untergruppen oder Gruppenelemente festgelegt werden, die Rechte, die für Gruppen festgelegt werden.
Die Übernahme muss nicht deaktiviert werden, um benutzerdefinierte Rechte für ein Objekt festzulegen.
Das untergeordnete Objekt übernimmt die Rechteeinstellungen des übergeordneten Objekts, mit
Ausnahme der Rechte, die explizit für das untergeordnete Objekt festgelegt werden. Alle Änderungen an den Rechteeinstellungen für das übergeordnete Objekt gelten auch für das untergeordnete Objekt.
“Rechte überschreiben: Beispiel 1” verdeutlicht, wie das Überschreiben von Rechten für übergeordnete und untergeordnete Objekte funktioniert. Dem blauen Benutzer wird das Recht zur Bearbeitung eines
Ordnerinhalts verweigert. Die Rechteeinstellung wird vom Unterordner übernommen. Ein Administrator gewährt dem blauen Benutzer jedoch Bearbeitungsrechte für ein Dokument im Unterordner. Das Be
arbeitungsrecht, das der blaue Benutzer für das Dokument erhält, überschreibt die übernommenen
Rechte des Ordners und Unterordners.
2013-01-07
Festlegen von Rechten
Abbildung 6-4: Rechte überschreiben: Beispiel 1
“Rechte überschreiben: Beispiel 2” verdeutlicht, wie das Überschreiben von Rechten für Mitglieder und
Gruppen funktioniert. Der blauen Gruppe wird das Recht zur Bearbeitung eines Ordners verweigert.
Die blaue Untergruppe übernimmt diese Rechteeinstellung. Ein Administrator gewährt dem blauen
Benutzer, der Mitglied der blauen Gruppe und der blauen Untergruppe ist, jedoch Bearbeitungsrechte für den Ordner. Die Bearbeitungsrechte, die der blaue Benutzer für den Ordner erhält, überschreiben die übernommenen Rechte der blauen Gruppe und der blauen Untergruppe.
133
Abbildung 6-5: Rechte überschreiben: Beispiel 2
“Komplexes Überschreiben von Rechten” veranschaulicht eine Situation, in der die Auswirkungen des
Überschreibens von Rechten weniger transparent sind. Der violette Benutzer ist ein Mitglied der
Untergruppen 1A und 2A, die der Gruppe 1 bzw. 2 angehören. Die Gruppen 1 und 2 verfügen über
Bearbeitungsrechte für den Ordner. 1A übernimmt die Bearbeitungsrechte von Gruppe 1, die Bearbei
tungsrechte für 2A werden jedoch von einem Administrator verweigert. Die Rechteeinstellungen für
2A überschreiben aufgrund von "Rechte überschreiben" die Rechteeinstellungen für Gruppe 2. Der violette Benutzer übernimmt deshalb widersprüchliche Rechteeinstellungen von 1A und 2A. Zwischen
1A und 2A besteht keine Parent-/Child-Beziehung, sodass keine Überschreibung von Rechten stattfindet.
Die Rechteeinstellungen einer Untergruppe überschreiben also keine Rechteinstellungen einer anderen
Gruppe, da sie einen gleichwertigen Status haben. Dem violetten Benutzer werden also aufgrund des auf Verweigerungen basierenden Rechtemodells in der BI-Plattform “Bearbeitungsrechte” verweigert.
2013-01-07
Festlegen von Rechten
Abbildung 6-6: Komplexes Überschreiben von Rechten
Mit "Rechte überschreiben" können Sie geringfügige Änderungen an den Rechteeinstellungen für ein untergeordnetes Objekt vornehmen, ohne sämtliche übernommenen Rechteeinstellungen zu ignorieren.
Stellen Sie sich eine Situation vor, in der ein Vertriebsmanager Einsicht in vertrauliche Berichte im
Ordner "Vertraulich" nehmen muss. Der Vertriebsmanager gehört der Gruppe "Vertrieb" an, der der
Zugriff auf den Ordner und dessen Inhalt verweigert wurde. Der Administrator gewährt dem Manager
Ansichtsrechte für den Ordner "Vertraulich" und verweigert der Gruppe "Vertrieb" weiterhin den Zugriff.
In diesem Fall wird der verweigerte Zugriff, den der Manager durch die Mitgliedschaft in der Gruppe
"Vertrieb" übernommen hat, durch die dem Vertriebsmanager gewährten Ansichtsrechte überschrieben.
134
6.1.3.4 Gültigkeitsbereich von Rechten
Der “Gültigkeitsbereich von Rechten” bezieht sich auf die Fähigkeit, das Ausmaß der Übernahme von
Rechten einzuschränken. Um den Gültigkeitsbereich eines Rechts festzulegen, entscheiden Sie, ob das Recht auf das Objekt, seine Unterobjekte oder beides angewendet wird. Der Gültigkeitsbereich eines Rechts erstreckt sich standardmäßig sowohl auf Objekte als auch auf Unterobjekte.
Der Gültigkeitsbereich von Rechten kann verwendet werden, um persönlichen Inhalt an freigegebenen
Speicherorten zu schützen. Stellen Sie sich eine Situation vor, in der die Finanzabteilung einen gemeinsamen Ordner "Kostenabrechnungen" führt, der jeweils einen Unterordner "Persönliche
Kostenabrechnungen" für die einzelnen Mitarbeiter enthält. Die Mitarbeiter möchten in der Lage sein, den Ordner "Kostenabrechnungen" einzusehen und ihm Objekte hinzuzufügen. Gleichzeitig möchten
Sie den Inhalt ihrer Unterordner "Persönliche Kostenabrechnungen" schützen. Der Administrator gewährt allen Mitarbeitern Ansichts- und Hinzufügerechte für den Ordner "Kostenabrechnungen" und beschränkt den Gültigkeitsbereich dieser Rechte auf den Ordner "Kostenabrechnungen". Dies bedeutet, dass die
Ansichts- und Hinzufügeberechtigungen nicht für Unterobjekte im Ordner "Kostenabrechnungen" gelten. Der Administrator gewährt den Mitarbeitern dann Ansichts- und Hinzufügerechte für ihre eigenen Unterordner "Persönliche Kostenabrechnungen".
Durch den Gültigkeitsbereich von Rechten können auch die effektiven Rechte beschränkt werden, über die ein delegierter Administrator verfügt. Ein delegierter Administrator kann über die Rechte Sicher
Rechte ändern und Bearbeiten für einen Ordner verfügen, der Gültigkeitsbereich dieser Rechte ist jedoch nur auf den Ordner beschränkt und umfasst nicht dessen Unterobjekte. Der delegierte
Administrator kann diese Rechte für eines der Unterobjekte des Ordners keinem anderen Benutzer gewähren.
2013-01-07
