Relution Signet Customer Hub

Berechtigungen

Relution ermöglicht es, Berechtigungen sehr präzise und feingranular zu konfigurieren. So kann für jeden Anwendungsfall ein spezielles Berechtigungsset erstellt werden, ohne dass Benutzer mehr Funktionen erhalten als nötig.

Über eine Berechtigung lässt sich zudem eine Multi-Faktor-Authentifizierung (MFA) für alle Benutzer erzwingen, die diese Berechtigung besitzen. Darüber hinaus lassen sich Berechtigungen aus der Global-Organisation für alle Organisationen und aus einer Meta-Organisation für alle Untermandanten bereitstellen.

Standard-Berechtigungsvorlagen

Unter Benutzer → Berechtigungen sind bereits Standardberechtigungen hinterlegt, z. B. Administrator, Teacher oder Student. Sie gelten global für alle Organisationen, entsprechen den Systemgruppen und sind mit diesen verknüpft. In der Liste sind sie in der Spalte System markiert. Diese Standardberechtigungen werden automatisch verwaltet und können weder geändert noch gelöscht oder exportiert werden.

Es ist jedoch jederzeit möglich, neue, benutzerdefinierte Berechtigungen anzulegen.

Berechtigungen konfigurieren

In der Kategorie Berechtigungen kann über Hinzufügen ein neuer Eintrag erstellt werden. Pflichtfeld ist der Name (bis zu 255 Zeichen), optional ist eine Beschreibung (bis zu 4000 Zeichen). Nahezu jede Funktion im Relution-Portal kann hier einzeln berechtigt werden.

In der Regel stehen vier Optionen zur Verfügung: Lesen, Erstellen, Aktualisieren und Löschen. Setzt eine Option eine andere voraus, wird diese automatisch mit aktiviert und ist dann gesperrt, z. B. setzt Erstellen das Recht Lesen voraus.

Beispiel: Ein Benutzer kann ein Konto mit Nur-Lese-Berechtigungen erhalten, sodass er keine Änderungen im System vornehmen kann.

Auch Geräteaktionen lassen sich einzeln konfigurieren:

  • Beispiel: Alle Aktionen sind erlaubt außer Geräteortung.
  • Ein weiteres Beispiel: Ein Benutzer darf nur die Token für Apps und Bücher (im Portal: VPP) und für die Automatische Geräteregistrierung (ADE, im Portal: DEP) erneuern, sonst aber keine Änderungen vornehmen. Für Apps und Bücher ist dafür im Eintrag Volume Purchase Programm (VPP) die Option Aktualisieren nötig, für ADE im Eintrag Apple Automated Device Enrollment die Option Erstellen. Eine Option Aktualisieren gibt es für ADE nicht; mit Erstellen kann der Benutzer auch neue ADE-Server-Konten anlegen.

Multi-Faktor-Authentifizierung erzwingen

Mit der Option Multi-Faktor-Authentifizierung wird für die Rolle erzwungen müssen sich alle Benutzer mit dieser Berechtigung per MFA anmelden. Der Abschnitt Multi-Faktor-Authentifizierung erscheint nur, wenn unter Einstellungen → Verwaltung der Anmeldedaten mindestens eine MFA-Methode aktiviert ist. Da sich die Standardberechtigungen nicht ändern lassen, wird dafür eine eigene Berechtigung benötigt. Details enthält der Artikel Multi-Faktor-Authentifizierung →.

Anwendungsbereich

Die Spalte Anwendungsbereich zeigt, wo eine Berechtigung gilt: Lokal (nur in der eigenen Organisation), Meta (in allen Untermandanten einer Meta-Organisation) oder Global (in allen Organisationen). Neue Berechtigungen werden lokal angelegt.

In der Global-Organisation macht der Kontextmenüeintrag Global verfügbar machen ausgewählte Berechtigungen in allen Organisationen verfügbar, in einer Meta-Organisation der Eintrag Meta-weit verfügbar machen in allen Untermandanten. Die Berechtigung wird dadurch niemandem zugewiesen, sondern steht dort nur zur Auswahl.

Berechtigungen exportieren und importieren

Über das Kontextmenü der Liste lassen sich ausgewählte Berechtigungen mit Berechtigungen exportieren als JSON-Datei sichern und über Berechtigungen importieren wieder einlesen, z. B. in einer anderen Organisation. Importierte Berechtigungen werden immer lokal angelegt. Standardberechtigungen lassen sich nicht exportieren.

Verknüpfung von Berechtigungen mit Benutzerkonten

Im Benutzerkonto wird eine Berechtigung im Bereich Direkte Mitgliedschaften unter Gruppen & Berechtigungen zugewiesen: Die Schaltfläche Berechtigungen verwalten im Feld Berechtigungen öffnet die Auswahl.

Auf dieselbe Weise lassen sich Berechtigungen auch einer Gruppe zuweisen. Alle Mitglieder der Gruppe erhalten sie dann, auch über verschachtelte Gruppen.

Berechtigungen beim CSV-Import zuweisen

Berechtigungen lassen sich auch beim Anlegen mehrerer Benutzerkonten über den CSV-Import zuweisen. Der eigentliche Import-Vorgang ist im Artikel CSV-Import → beschrieben.

Die Zuweisung kann auf drei Wegen erfolgen:

  • In der Spalte permissions der CSV-Vorlage werden pro Zeile Berechtigungen über ihren exakten Namen eingetragen, z. B. Teacher oder Student. Mehrere Einträge werden durch | getrennt.
  • In der Spalte memberOfGroups werden Gruppen über ihren exakten Namen eingetragen, z. B. die Systemgruppe [Organisation] Teacher. Die Berechtigungen der Gruppe erhält das Benutzerkonto über die Gruppenmitgliedschaft.
  • Im optionalen Schritt Gruppen des Import-Dialogs werden eine oder mehrere bestehende Gruppen ausgewählt. Alle importierten Benutzerkonten werden zusätzlich zu den Gruppen aus memberOfGroups Mitglied dieser Gruppen. Der Schritt ist nur sichtbar, wenn Leserecht auf Gruppen besteht.

Ein unbekannter Name in permissions führt dazu, dass die betroffene Zeile nicht importiert wird. Für memberOfGroups gilt das ebenso, sofern die Option Automatisch Gruppen und Klassen erstellen nicht aktiv ist; mit der Option wird eine neue, leere Gruppe ohne Berechtigungen angelegt.