Einrichten von Datenzugriffsprofilen

Allgemeine Regeln für die Datenzugriffssicherheit

Die Datenzugriffssicherheit basiert auf den folgenden Regeln:

• Standardmäßig hat außer dem Systemadministrator niemand Zugriff auf Elemente. Der Zugriff auf Elemente muss explizit erteilt werden.

• Einem Benutzer kann der Datenzugriff individuell oder über die Zugehörigkeit zu einem Team zugewiesen werden.

• Datenzugriffsrechte werden in einer Hierarchie vom übergeordneten Element an das untergeordnete Element weitergegeben.

• Im Fall eines Konflikts wird das am wenigsten restriktive Datenzugriffsprofil angewendet.

• Bei einem Konflikt zwischen dem Datenzugriff eines einzelnen Benutzers und dem eines Teams gilt die am wenigsten restriktive Einstellung.

Erstellen von Datenzugriffsprofilen

1. Gehen Sie zur Seite Administration und wählen im Bereich Sicherheit die Option Datenzugriffsprofile.

2. Wählen Sie auf dem daraufhin angezeigten Bild Neu.

3. Geben Sie die ID und die Beschreibung des neuen Datenzugriffsprofil ein.

4. Wählen Sie aus der Liste das gewünschte Modell aus.

5. Wählen Sie zu jeder berechtigungsrelevanten Dimension die gewünschten Elemente aus, und legen Sie Zugriffsrechte fest.

6. Navigieren Sie zur Registerkarte Benutzer bzw. Teams, um das Datenzugriffsprofil den Benutzern, die der aktuellen Umgebung zugewiesen sind, bzw. den Teams, denen die jeweiligen Benutzer zugewiesen sind, zuzuordnen.

Definieren von Zugriffsrechten für Elemente mit untergeordneten Elementen

Beim Definieren von Zugriffsrechten für eine gesicherte Dimension mit mehreren definierten Hierarchien werden die Sicherheitseinstellungen auf das jeweilige Element und alle zugehörigen untergeordneten Elemente angewendet. Wenn Sie beispielsweise Zugriffsrechte für ein Element mit zehn untergeordneten Elementen definieren, haben Benutzer mit Zugriff auf das übergeordnete Element auch Zugriff auf dessen zehn untergeordnete Elemente.

Sie können den Zugriff auf ein untergeordnetes Element eines übergeordneten Elements, dem die Zugriffsrechte „Nur Lesen“ oder „Schreiben“ zugeordnet sind, einschränken, indem Sie ein separates Datenzugriffsprofil erstellen und dem untergeordneten Element das Zugriffsrecht „Verweigern“ zuweisen. Alternativ können Sie dasselbe Datenzugriffsprofil wie für das übergeordnete Element verwenden und eine neue Position für das untergeordnete Element erstellen.

Lösen von Datenzugriffsprofil-Konflikten

Da der Zugriff auf Elemente sowohl für einzelne Benutzer als auch Teams definiert werden kann, können Konflikte auftreten. Im folgenden Abschnitt werden einige mögliche Szenarios von Konflikten beim Zugriff auf Elemente sowie die Regeln, die das System im Fall eines Konflikts anwendet, beschrieben. Diese Szenarios basieren auf der Annahme, dass die Entitätsdimension eine gesicherte Dimension ist und die folgende hierarchische Struktur aufweist:

Konflikt zwischen Profilen

Bei einem Konflikt zwischen Datenzugriffsprofilen wird stets das am wenigsten restriktive Profil angewendet. In diesem Abschnitt werden drei verschiedene Szenarios von Konflikten zwischen Profilen veranschaulicht.

Konflikt zwischen über- und untergeordneten Elementen

Befugnisse werden in einer Hierarchie vom übergeordneten Element an das untergeordnete Element weitergegeben. Sofern nicht anders definiert, verfügen untergeordnete Elemente stets über dieselbe Zugriffsebene wie dessen übergeordnete Elemente.

Konflikte, wenn dasselbe Element verschiedenen Hierarchien angehört

Gehört ein Element verschiedenen Hierarchien an und es kommt zu einem Konflikt beim Zugriff auf einzelne Elemente, wird das restriktivere Zugriffsrecht angewendet.

Attributbasierte Datenzugriffsprofile

Beim Erstellen eines Datenzugriffsprofils können Sie mehrere Ebenen von Zugriffsrechten basierend auf Eigenschaften zuordnen. Die nachfolgenden Beispiele basieren auf der folgenden Hierarchie:

Beispiel: Ein Datenzugriffsprofil

Das Datenzugriffsprofil DAP1 ist wie folgt definiert:

Bei sich widersprechenden Regeln in einem Datenzugriffsprofil gilt die folgende Priorität (von höchster zu niedrigster):

1. Die Zugriffsrechte, die für das Element (Basiselement oder übergeordnetes Element) genau definiert wurden.

2. Die Zugriffsrechte, die durch Attribute definiert wurden (werden nicht vererbt).

   Beispiel

   Sind die Attribute Currency=Euro: Read und Country=France: Write definiert, ist Entität102 beschreibbar.

3. Die Zugriffsrechte, die vom übergeordneten Element vererbt wurden.

4. Die Zugriffsrechte, die für „Alle Elemente“ definiert wurden (wie für das „virtuelle“ übergeordnete Element ganz oben in der Hierarchie definiert).

Das Ergebnis ist in der folgenden Tabelle veranschaulicht:

Beispiel: Zwei Datenzugriffsprofile

Das Datenzugriffsprofil DAP2 ist wie folgt definiert:

Das Ergebnis dieses Datenzugriffsprofils wird in der folgenden Tabelle veranschaulicht:

Sind einem Benutzer oder einem Team mehrere Datenzugriffsprofile zugewiesen, wird die Kombination der am wenigsten restriktiven Regeln aller Profile angewendet. Wenn einem Benutzer also sowohl DAP1 und DAP2 zugeordnet sind, besitzt der Benutzer die folgenden Berechtigungen: