Rolle – was sie ist und wie Berechtigungen berechnet werden

Eine Rolle ist eine Sammlung von Berechtigungen, die einem Unternehmen zugeordnet ist. Sie ist nicht global: Jedes Unternehmen hat seine eigenen Rollen, selbst wenn sie gleich heißen. Es gibt weder Vorlagen noch unternehmensübergreifend geteilte Rollen.

Eine Rolle enthält zwei Dinge

1. Modulberechtigungen – was du in einem Systembereich sehen und tun kannst (Modulberechtigungen – Lesen, Schreiben, Erstellen).
2. Feldberechtigungen – Zugriff auf bestimmte Felder und einzelne Aktionen (Feldberechtigungen — einzelne Felder und einzelne Aktionen).

Dazu kommt der Schalter Unternehmensadministrator, der beides ersetzt (Unternehmensadministrator und Superadministrator – wer welche Prüfungen umgeht).

Mehrere Rollen gleichzeitig – Berechtigungen werden addiert

Ein Nutzer kann in einem Unternehmen beliebig viele Rollen haben. Ihre Berechtigungen werden addiert.

Das ist die wichtigste Regel im gesamten Modul, deshalb noch einmal ganz deutlich:

Es gibt keine Verweigerungsberechtigung. Eine Rolle kann nur Zugriff erteilen. Eine weitere Rolle kann den Zugriff nur erweitern, niemals einschränken.

Die praktische Folge: Um jemandem etwas zu entziehen, musst du es in allen seinen Rollen entziehen. Eine zusätzliche „eingeschränkte“ Rolle schränkt nichts ein. Wenn jemand zu viel sieht, prüfe alle seine Rollen und nicht nur die zuletzt zugewiesene.

Rollen gelten je Unternehmen

Dieselbe Person kann in einem Unternehmen Administrator und in einem anderen Bediener sein. Das System berechnet Berechtigungen nur für das aktive Unternehmen (Meine Unternehmen – aktives Unternehmen und Kontextwechsel).

Daher kommt die typische Meldung: „Bei uns hat die Person Zugriff, sagt aber, dass sie nichts sieht“ – vielleicht arbeitet sie gerade in einem anderen Unternehmen.

Der Rollenname muss im Unternehmen eindeutig sein

Zwei Rollen mit demselben Namen kann es innerhalb eines Unternehmens nicht geben. In zwei verschiedenen Unternehmen hingegen schon.

Das Löschen einer Rolle wirkt sich kaskadierend aus

Beim Löschen einer Rolle werden ihre Modulberechtigungen, Feldberechtigungen und ihre Zuweisungen an Nutzer entfernt. Das Bestätigungsfenster warnt dich, wenn die Rolle jemandem zugewiesen ist. Nimm diese Warnung ernst, denn der Vorgang kann nicht rückgängig gemacht werden.