Berechtigungen
Konzept
Das primedocs Berechtigungskonzept verfolgt folgende Ziele:
- Verringerung des administrativen Aufwandes
- Sicherstellung, dass nur benutzerrelevante Daten auf dem Computer der Benutzer synchronisiert werden
- Einbindung der Fachabteilungen zur Pflege der Snippets
- Einschränkung der Sichtbarkeit von Vorlagen und Snippets aufgrund der Organisations- und Rollenzugehörigkeit
- Unterstützung von Active Directory und Windows-Gruppen bzw. dem Entra ID (ehemals Azure Active Directory) und die Möglichkeiten des Microsoft Graphs.
Das Berechtigungskonzept basiert auf Rollen, Benutzern, Benutzergruppen und Objekten. Rollen und damit Rechte werden den Objekten durch AD-Gruppen, AD-Benutzer, primedocs-Gruppen oder primedocs-Benutzer verknüpft.
primedocs-Gruppen
primedocs-Gruppen und primedocs-Benutzer sind eigenständige Authorisierungsklassen.
Eine primedocs-Gruppe kann Gruppen bzw. Benutzer enthalten. Dies kann sowohl statisch definiert als auch durch eine Konfiguration dynamisch gemacht werden. Bei dynamischen Gruppen wird eine Konfiguration hinterlegt, welche basierend auf Benutzerinformationen einen Benutzer automatisch einer Gruppe zuordnet oder entfernt.
Berechtigungen
| Berechtigung / Rolle | Sys-Admin | Org-Admin | Benutzer-Admin | Vorlagen-Admin | Kampagnen-Admin | Snippet-Admin | Dev | Benutzer |
|---|---|---|---|---|---|---|---|---|
| Organisationen verwalten | ☑ | ☑ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ |
| Logo verwalten | ☑ | ☑ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ |
| Vorlagen verwalten | ☑ | ☐ | ☐ | ☑ | ☐ | ☐ | ☐ | ☐ |
| Vorlagen und deren Berechtigungen ändern | ☑ | ☐ | ☐ | ☑ 1 | ☐ | ☐ | ☐ | ☐ |
| Benutzer verwalten | ☑ | ☐ | ☑ | ☐ | ☐ | ☐ | ☐ | ☐ |
| Gemeinsame Snippets verwalten | ☑ | ☐ | ☐ | ☑ | ☐ | ☑ | ☐ | ☑ 2 |
| Vorlagen-Snippets erstellen | ☑ | ☐ | ☐ | ☑ | ☐ | ☐ | ☐ | ☐ |
| Felder verwalten | ☑ | ☐ | ☐ | ☑ | ☐ | ☐ | ☐ | ☐ |
| Kampagnen verwalten | ☑ | ☐ | ☐ | ☐ | ☑ | ☐ | ☐ | ☐ |
| Signaturen verwalten | ☑ | ☐ | ☐ | ☑ | ☐ | ☐ | ☐ | ☐ |
Die Berechtigung Dev gibt keine Rechte auf Organisationen, Vorlagen, Benutzer, Snippets oder Kampagnen (daher in allen Zeilen ☐). Sie berechtigt zur technischen Konfiguration der Datasource, siehe Dev.
- Sofern der Vorlagenadministrator explizit ein Änderungsrecht auf der Vorlage besitzt.
- Sofern der Benutzer explizit ein Änderungsrecht auf dem Snippet besitzt.
Folgende Berechtigungen sind in primedocs vorgesehen:
User
"User" steuert, dass der jeweilige Benutzer sich bei primedocs anmelden kann oder nicht. Diese Berechtigung ist standardmässig initial gesetzt.
Dev
«Dev» (im Web-Admin «Developer») ist für die technische Konfiguration einer Datasource vorgesehen:
- Im Web-Admin lassen sich damit die Integrationen (ohne Verzeichniswechsel), die Einstellungen, Outlook (Classic), die Profil-Freigaben und die Profil-Organisationsprüfung bearbeiten und die Auswertungen einsehen. Benutzer, Gruppen, Organisationseinheiten, Rollen, Felder, Profil-Rollen sowie Export / Import erfordern andere Rollen.
- Ein Client der Admin API mit dieser Rolle erhält Zugriff auf dieselben Bereiche.
- In primedocs Desktop zeigt die Seite Hilfe zusätzlich die Performance-Statistik.
Sys - Systemadministrator
Diese Berechtigung beinhaltet alle anderen Berechtigungen von hier an nach rechts (also „Org", „User", etc.). Der Systemadministrator kann in primedocs Desktop die Rollenzuweisungen für Benutzer und Benutzergruppen vornehmen. Weiter kann er alle Vorlagen sowie Organisationen, Snippets und Benutzer und deren Profile in primedocs verwalten.
Org - Organisationadministrator
Diese Berechtigung erlaubt das Verwalten der Organisationseinheiten (OEs). Hat der Benutzer diese Berechtigung, sieht dieser in primedocs desktop im Register „Organisation" den Eintrag „Organisationseinheiten" und kann dort neue OEs erfassen, bestehende anpassen (Logos ändern, Adressänderungen, etc.) und löschen.
User - Benutzeradministrator
Diese Berechtigung erlaubt das Verwalten der Benutzer und deren Profile. Hat der Benutzer diese Berechtigung, sieht dieser in primedocs desktop im Register „Organisation" den Eintrag „Benutzer- / Profiladministration". Dort kann er die Benutzer und deren Profile verwalten: Benutzer/Profile erstellen, bearbeiten und löschen sowie Profilfreigaben machen.
Templ. - Vorlagenadministrator
Diese Berechtigung ermöglicht das Pflegen der Vorlagen:
- Der Vorlagenadministrator sieht alle Vorlagen und deren Berechtigungen.
- Vorlagen und deren Berechtigungen kann ein Benutzer aber nur bearbeiten, wenn er das explizite Änderungsrecht auf der Vorlage besitzt.
- Der Vorlagenadministrator kann zudem alle Vorlagen-Snippets bearbeiten und neue erstellen. Er hat ein Änderungsrecht auf die globalen Dokumentfunktionen, die Globalen Konfigurationen und Übersetzungen und auf alle Tags.
Campaign - Kampagnenadministrator
Kampagnenadministratoren können E-Mail-Kampagnen erstellen, bearbeiten und löschen.
Snippet - Snippet-Administrator
Diese Berechtigung ermöglicht die Verwaltung aller gemeinsam genutzten Snippets. Im Gegensatz zum Vorlagenadministrator, benötigt der Snippet-Administrator kein explizites Änderungsrecht auf einem Snippet oder einer Snippet-Kategorie: er kann immer alle Snippets bearbeiten.
HINWEIS
Es ist empfehlenswert, eine Vorlagengruppe pro Amt oder pro Abteilung zu erstellen. So kann die Sichtbarkeit von Vorlagen einfacher eingeschränkt werden, was den Benutzern beim Finden der gewünschten Vorlage hilft.
Berechtigungen für Snippets
In primedocs gibt es Gemeinsame, Vorlagen- und eigene Snippets. Diese werden unterschiedlich berechtigt. Es werden nur Snippets zum primedocs Client synchronisiert, auf welchen der Benutzer auch Leserechte besitzt.
Gemeinsame Snippets
Lesezugriff wird für ein Snippet oder eine Snippet-Gruppe zugelassen, wenn
- der Benutzer Lesezugriff auf dem Element selber und allen übergeordneten Snippet-Gruppen hat,
- es sich um das Stammelement "Gemeinsame Snippets" handelt,
- er Schreibzugriff durch eine übergeordnete Snippet-Gruppe besitzt,
- er Snippet-Administrator ist,
- oder Systemadministrator ist.
Schreibzugriff wird für ein Snippet oder eine Snippet-Gruppe zugelassen, wenn der Benutzer
- Schreibrechte auf dem Element oder einer übergeordneten Snippet-Gruppe hat
- und dabei das oberste Element mit Schreibrechten sichtbar ist, d. h. der Benutzer muss für dieses auch Leserechte besitzen.
- oder Snippet-/Systemadministrator ist.
HINWEIS
Zu beachten ist dabei, dass ein Element ohne explizite Berechtigungen alle von der übergeordneten Gruppe erbt und daher keinen Einfluss hat. Das heisst im Umkehrschluss, dass sobald explizit definiert wird, von oben nicht mehr vererbt wird.
Auf der obersten Ebene kann nur ein Snippet- oder Systemadministrator Elemente erstellen.
Es ist nicht möglich, eine Snippet-Gruppe sichtbar zu machen, wenn die übergeordnete Gruppe nicht auch sichtbar ist. Für einen solchen Fall hilft die einfache Umstrukturierung in weitere Unterordner weiter:
Beispiel
Gruppe Management
├─ Personal
├─ Snippet A
├─ Snippet B
└─ Snippet C
Eine Person soll jetzt auf die Gruppe Personal berechtigt werden, aber nicht die Snippets in der Gruppe Management selbst sehen. Dazu wird eine weitere Gruppe erstellt und die Snippets darin einsortiert:
Gruppe Management
├─ Personal
└─ Weiteres
├─ Snippet A
├─ Snippet B
└─ Snippet C
Jetzt kann der Person einfach das Leserecht für "Weiteres" entzogen werden.
Vorlagen-Snippets
Lesezugriff haben alle Benutzer, d.h. die Snippets werden für die Dokumentgenerierung allen Benutzern zur Verfügung gestellt. Sie werden jedoch nur System-/Snippet-Administratoren angezeigt.
Schreibzugriff haben nur System-/Snippet-Administratoren.
Private Snippets
Lesezugriff und Schreibzugriff hat nur der entsprechende Benutzer. Auch System-/Snippet-Administratoren haben aus Datenschutzgründen keinen Zugriff.
Berechtigungen im Web-Admin vergeben
Im Web-Admin weisen Systemadministratoren Rollen unter Organisation › Berechtigungen Gruppen oder einzelnen Benutzern zu. Einzelnen Benutzern lässt sich eine Rolle auch direkt aus der Benutzerliste zuweisen. Siehe Gruppen und Berechtigungen.
Berechtigungen im Dashboard vergeben
Im Browser das Admin Dashboard öffnen und die Registerkarte Security wählen.
Einzelne Benutzer berechtigen
Den zu berechtigenden Benutzer auswählen oder über das Textfeld Search Query suchen.
Alternativ lassen sich primedocs groups erstellen oder die Berechtigungen einer vorhandenen Windows group vergeben. Mit Letzterem werden die berechtigten Benutzer statt über primedocs über das interne Berechtigungskonzept geregelt. Einen Screenshot dazu zeigt Alternative: Windows-Groups berechtigen.
(1) In der Zeile des Benutzers und der Spalte der gewünschten Berechtigung einen Haken setzen.
(2) In der entsprechenden Zeile auf save klicken.
Alternative: Windows Groups berechtigen
Die Registerkarte windows groups wählen.
(1) Im Feld «New User Group» eine existierende AD-Gruppe suchen und mit Klick auf +Create User Group hinzufügen.
(2) Der hinzugefügten Windows group die gewünschten Berechtigungen vergeben.
(3) In der entsprechenden Zeile auf save klicken.
