Rollen und Berechtigungen
Was darüber entscheidet, ob man einen Bildschirm sehen kann, und die zwei Dinge, die eine Rolle nicht umgehen kann.
Der Zugriff erfolgt rollenbasiert. Eine Rolle ist ein Satz von Modul- und Aktionsberechtigungen, der pro Unternehmen vergeben wird – jedes Unternehmen hat seinen eigenen Rollensatz und seinen eigenen Administrator, und eine Rolle kann nur einem Benutzer innerhalb seines eigenen Unternehmens zugewiesen werden.
Was für eine Berechtigungsanlage!
- Die Navigation. Ein Modul, das Sie nicht erreichen können, hat keine Registerkarte; ein Bildschirm, den Sie nicht erreichen können, hat keine Kachel und kein Suchergebnis.
- Die API. Jeder Endpunkt prüft, ob die Anfrage über den jeweiligen Weg eingegangen ist – sei es über die Konsole, einen Import, einen geplanten Job oder ASK.
- Berichterstellung. Jeder Cube wird bei jeder Abfrage überprüft, daher ist ein Bericht kein leichter Zugang zu den Daten, die durch die Bildschirme geschützt sind.
Zwei Dinge, die man mit einer Rolle nicht umgehen kann
- Funktionstrennung. Wenn die Plattform zwei Personen erfordert – beispielsweise für die Lohnabrechnung und die Lohnfreigabe –, verhindert die gleichzeitige Ausübung beider Rollen, dass eine Person beide Aufgaben im selben Durchlauf erledigen kann.
- Der Prüfpfad. An- und Abmeldungen sowie Rollenwechsel werden stets protokolliert und können von niemandem, auch nicht von einem Administrator, deaktiviert werden.
Anmelden als jemand anderes
Ein Administrator, der ein Problem untersucht, kann die Identität eines anderen Benutzers annehmen, um dessen Sichtweise einzusehen. Dies erfordert zwei Genehmigungen, ist standardmäßig schreibgeschützt (sofern nicht explizit erweitert), jeder unter dieser Identität getätigte Anruf wird als unter angenommener Identität getätigt protokolliert, und die Person, deren Identität angenommen wurde, kann den Anruf einsehen.