Rollen und Berechtigungen

Was darüber entscheidet, ob man einen Bildschirm sehen kann, und die zwei Dinge, die eine Rolle nicht umgehen kann.

Der Zugriff erfolgt rollenbasiert. Eine Rolle ist ein Satz von Modul- und Aktionsberechtigungen, der pro Unternehmen vergeben wird – jedes Unternehmen hat seinen eigenen Rollensatz und seinen eigenen Administrator, und eine Rolle kann nur einem Benutzer innerhalb seines eigenen Unternehmens zugewiesen werden.

Was für eine Berechtigungsanlage!

• Die Navigation. Ein Modul, das Sie nicht erreichen können, hat keine Registerkarte; ein Bildschirm, den Sie nicht erreichen können, hat keine Kachel und kein Suchergebnis.
• Die API. Jeder Endpunkt prüft, ob die Anfrage über den jeweiligen Weg eingegangen ist – sei es über die Konsole, einen Import, einen geplanten Job oder ASK.
• Berichterstellung. Jeder Cube wird bei jeder Abfrage überprüft, daher ist ein Bericht kein leichter Zugang zu den Daten, die durch die Bildschirme geschützt sind.

Zwei Dinge, die man mit einer Rolle nicht umgehen kann

• Funktionstrennung. Wenn die Plattform zwei Personen erfordert – beispielsweise für die Lohnabrechnung und die Lohnfreigabe –, verhindert die gleichzeitige Ausübung beider Rollen, dass eine Person beide Aufgaben im selben Durchlauf erledigen kann.
• Der Prüfpfad. An- und Abmeldungen sowie Rollenwechsel werden stets protokolliert und können von niemandem, auch nicht von einem Administrator, deaktiviert werden.

Jeder Bildschirm kann auf eine Rolle gesetzt werden

Eine Rolle, der nicht alle Aktionen zugewiesen sind, sieht nur die ihr zugewiesenen Bildschirme. Jeder Bildschirm in der Konsole kann zugewiesen werden, einschließlich der Boards, Workbenches und Berichte ohne eigene Datensätze – beispielsweise das OEE-Board, der MRP-Workbench, die Beschaffungspipeline und alle Analyseberichte. Hier ist nur die Anzeigeberechtigung relevant, die anderen drei werden nicht angeboten. Bildschirme, die nur Administratoren öffnen dürfen (Benutzer, Rollen, Laufzeiteinstellungen usw.), sind nicht im Raster enthalten, da eine Berechtigung dort keine Auswirkung hätte.

Jedes Modul verfügt über ein Dashboard mit Kennzahlen, Benachrichtigungen und den letzten Aktivitäten auf der Startseite. Aktivieren Sie die Option „Anzeigen“, damit nur bestimmte Rollen diese Informationen sehen können; Rollen mit Zugriff auf alle Aktionen in den Modulen sehen diese Informationen bereits.

Die Zeilen eines Dokuments sind Bestandteil des Dokuments. Die Berechtigung „Antworten“ unter „Lieferkette → Strategische Beschaffung“ fügt den Zeilen einer Antwort diese hinzu: Es gibt keine separate Berechtigung „Antwortzeilen“, nach der gesucht werden muss; Änderungen an der Kopfzeile ermöglichen das Hinzufügen oder Bearbeiten einer Zeile.

Was jede Berechtigung einer Person erlaubt

Jede Schaltfläche, die Änderungen bewirkt, reagiert auf die angezeigte Berechtigung. Das Anlegen eines Datensatzes bedeutet Hinzufügen. Jede Aktion an einem bestehenden Datensatz – genehmigen, buchen, empfangen, freigeben, übermitteln, stornieren, rückgängig machen, Zeilen bearbeiten – bedeutet Ändern. Das Entfernen eines Datensatzes bedeutet Löschen. Lesen, Ausführen eines Berichts oder Anzeigen einer Vorschau bedeutet Anzeigen. Eine Rolle mit reiner Anzeigeberechtigung für Bestellungen kann eine Bestellung zwar sehen, aber nicht genehmigen, empfangen oder Zeilen hinzufügen; eine Rolle mit Änderungsberechtigung kann dies.

Der Rolleneditor erläutert dies in jeder Zeile des Bildschirms: „Ändern Sie außerdem: Empfangen, zur Genehmigung einreichen, Zeilen bearbeiten“. Jede Berechtigung, die eine Schaltfläche anfordert, verfügt über ein Kontrollkästchen. Genehmigungen, die an eine bestimmte Person oder Rolle weitergeleitet werden, werden ausschließlich von dieser Person bzw. Rolle entschieden. Eine Genehmigungsregel kann nicht gespeichert werden, wenn sie an eine Rolle weitergeleitet wird, die die Genehmigung nicht öffnen kann.

Dasselbe gilt auch außerhalb der Module: Das Anhängen oder Entfernen eines Dokuments, benutzerdefinierter Feldwerte, Klassifizierungen, eines angeschlossenen Laufwerks, des Imports einer Tabellenkalkulation sowie das Stornieren oder Rückgängigmachen einer Rechnung oder Bestellung erfordern jeweils die Berechtigung auf dem Bildschirm, zu dem der Datensatz gehört.

Einen Benutzer unter Hunderten finden

Plattform → Zugriff → Benutzer bietet dieselben Such- und Bedingungsoptionen wie alle anderen Listen: Geben Sie einen Teil des Namens, eine E-Mail-Adresse oder eine Rolle ein oder fügen Sie eine Bedingung hinzu (Status ist deaktiviert, Rollen enthalten „Finanzen“). Neue Benutzer, deren E-Mail-Adresse bereits vergeben ist, werden direkt im Formular „Neuer Benutzer“ abgelehnt, während Sie die Eingabe vornehmen, und nicht in der darunterliegenden Liste.

Eine Rolle finden

• Unter Plattform → Zugriff → Rollen gibt es eine Such- und Filterleiste wie bei jeder Liste: Geben Sie einen Teil des Namens, des Codes oder der Beschreibung einer Rolle oder den Namen eines Moduls ein, auf das sie zutrifft.
• Im Benutzermenü, wo Rollen für eine Person ausgewählt werden, schränkt die Funktion „Rolle suchen“ die Liste ein, wenn ein Unternehmen über viele Rollen verfügt.
• Die Auswahlkriterien für die Unterzeichnungsbegrenzung können auf die gleiche Weise durchsucht werden.

Personen, die sich angemeldet haben, bevor ihnen eine Rolle zugewiesen wurde

Wenn Single Sign-On so konfiguriert ist, dass für neue Benutzer ein Benutzerkonto erstellt wird, erhält jeder Benutzer aus Ihrem Unternehmensverzeichnis, der sich ohne TRANXACT Konto anmeldet, ein Konto, das ausschließlich Zugriff auf Hilfe und Support bietet. In der Benutzerliste werden diese Benutzer mit dem Vermerk „Bei der ersten Anmeldung erstellt“ angezeigt. Öffnen Sie den Benutzer, weisen Sie ihm seine tatsächliche Rolle zu, und diese wird auf dem nächsten Bildschirm angewendet. Weitere Informationen finden Sie unter „Erstmalige Anmeldung über Ihr Unternehmensverzeichnis“.

Die Berichte reichen nicht über die Module hinaus.

Ein Bericht, der mehrere Module gleichzeitig einbezieht, ist nur für Benutzer relevant, deren Rollen tatsächlich Zugriff auf diese Module haben. Eine Rolle, die lediglich Hilfe und Support oder nur das Dashboard eines Moduls öffnet, sieht keines dieser Module.

Ein neuer Bildschirm wird wie jeder andere gewährt.

Die Funktionen „Anlagendetails“, „Anlagenetiketten“ und „Dokumentenabruf“ im Bereich „Lieferkette“ werden separat bereitgestellt: Für die Zählung von Anlagen ist die Erweiterung „Anlagendetails“ erforderlich, für das Drucken von Etiketten die Erweiterung „Anlagenetiketten“ und für die Anzeige von Materialbelegen die Funktion „Dokumentenabruf“. Die Lagerfunktionen und der Anlagenbuchhalter erhalten alle für ihre Arbeit benötigten Funktionen.

CRM → Lead-Kontakte, die Personen hinter jedem Lead, werden wie jede andere Ansicht separat angezeigt: Hinzufügen zum Erstellen oder Importieren von Kontakten, Ändern zum Bearbeiten, Anzeigen zum Sichten, Löschen zum Entfernen. Eine Rolle, die Leads verwaltet, benötigt normalerweise sowohl Leads als auch Lead-Kontakte.

Jeder Bildschirm, der durch ein Release hinzugefügt wird, kann unter Plattform → Rollen einer Rolle zugewiesen werden, mit denselben vier Berechtigungen wie die übrigen: Hinzufügen, Ändern, Anzeigen und Löschen. Zertifikate, Aufbewahrungsrichtlinien, Aufbewahrungsläufe und archivierte Datensätze sind die neuesten Beispiele. Außer dem Administrator hat niemand Zugriff darauf, bis eine entsprechende Rolle dies zulässt.

Die Berechtigungen für Migration Cockpit und Migrationsbereitschaft können auch rollenspezifisch vergeben werden. Im Cockpit bedeutet „Hinzufügen“ das Hochladen eines Extrakts, „Löschen“ das Verwerfen eines Extrakts oder das Zurücksetzen der Umstellung, und alle anderen Aktionen gelten als „Ändern“. Die Rollen „Migrationsleiter“ und „Go-Live-Reviewer“ können nun zugewiesen werden. Siehe „Übernahme aus einem anderen System → Wer darf was tun?“

Auf manchen Bildschirmen hat eine Berechtigung eine größere Bedeutung als ihr Name vermuten lässt, da die dahinterliegende Aktion unwiderruflich ist. Bei Aufbewahrungsrichtlinien muss beim Ausführen oder Ändern einer Bereinigungsrichtlinie gelöscht und nicht geändert werden – eine Bereinigung löscht Datensätze, und die Berechtigung, die Datensätze einzeln löscht, sollte diejenige sein, die sie tausendfach löscht. Siehe „Aufbewahren und Entfernen alter Daten“.

Die Ende September hinzugefügten Aktionen werden wie die übrigen Aktionen auf dem Bildschirm, zu dem sie gehören, gewährt:

Anmelden als jemand anderes

Ein Administrator, der ein Problem untersucht, kann die Identität eines anderen Benutzers annehmen, um dessen Sichtweise einzusehen. Dies erfordert zwei Genehmigungen, ist standardmäßig schreibgeschützt (sofern nicht explizit erweitert), jeder unter dieser Identität getätigte Anruf wird als unter angenommener Identität getätigt protokolliert, und die Person, deren Identität angenommen wurde, kann den Anruf einsehen.

Since 20 October new shipped roles include Security administrator, Security & AI Governance Admin, Records & Legal Admin, Governance Auditor (read only), Benefits Administrator, GL Interface Administrator, Payroll Auditor (read only), Learning & Development Administrator, HR Auditor, HR Recruiter and EEO Officer. HR Auditor reads the HR screens — people, recruiting, time and leave, learning, skills, performance, benefits, expenses and records — but not payroll; Payroll Auditor reads payroll (runs, payslips, pay rates, tax, garnishments, the GL interface and parallel payroll). A company that wants both gives a person both roles. See HRIS/HCM capability map.