Assign roles to groups from your directory

Ihr Verzeichnis kennt schon, wer wohin gehört: Wer in der Gruppe des Lagers ist, arbeitet im Lager. Mit einer Zuordnung von Gruppe zu Rolle nutzt knooing dieses Wissen. Jede Person in der Gruppe bekommt die passende Rolle in knooing von selbst. Sobald Sie den Rollenentzug einschalten (Schritt 4), verliert sie die Rolle auch wieder, wenn sie die Gruppe verlässt. Sie müssen Rechte nicht mehr von Hand pflegen.

Wie das Verzeichnis seine Gruppen an knooing liefert, steht in Unternehmensverzeichnis per SCIM anbinden. Hier ordnet Julia Beispiel der gelieferten Gruppe GG-Lager-Nord die Rolle Lagerteam zu, prüft die Vergabe und schaltet den Rollenentzug ein. Am Ende hat Paul Beispiel aus dem Lager die Rolle Lagerteam, ohne dass jemand sie ihm von Hand gegeben hat. Wie Rollen mit besonderen Rechten über Gruppen vergeben werden, steht in Schritt 5.

Die wichtigsten Begriffe

• Claim-Wert: der Name der Gruppe, wie ihn Ihr Verzeichnis liefert, etwa GG-Lager-Nord. Das Wort kommt aus der Anmeldetechnik: Ein Claim ist eine Angabe über die angemeldete Person. Groß- und Kleinschreibung und Leerzeichen am Rand zählen nicht, sonst muss der Name genau stimmen.
• Anmelde-Token: die Angaben, die Ihr Identity-Provider bei der Anmeldung an knooing übergibt. Es ist nicht das SCIM-Token aus dem ersten Teil.
• Gilt für: woher die Gruppe kommen darf. SCIM heißt: aus der Übertragung Ihres Verzeichnisses. Anmeldung heißt: aus den Gruppen, die bei der Anmeldung über Ihren Identity-Provider mitkommen; das gibt es nur mit eingerichteter Föderation (Single Sign-on, kurz SSO). Anmeldung und SCIM ist der Normalfall.
• Abgleich: knooing prüft alle Mitglieder neu und vergibt die Rollen ihrer Gruppen. Ist der Rollenentzug an, entzieht der Abgleich auch Rollen, die keine Gruppe mehr trägt.
• Privilegierte Rolle: eine Rolle mit besonderen Rechten, etwa Benutzer verwalten, Rollen verwalten, Integrationen verwalten, Auditprotokoll ansehen oder Massenimport und Export. Eine Gruppe vergibt sie erst, wenn eine zweite Person die Zuordnung freigegeben hat.
• Rollen der Mandantenadministration: Sie werden nie über Gruppen vergeben, nur von Hand.
• Rollenentzug bei Gruppenwegfall: Ist er an, entzieht knooing eine Rolle aus einer Gruppe, sobald die Person die Gruppe verlässt oder die Gruppe wegfällt. Von Hand vergebene Rollen bleiben dabei. Ist er aus, entzieht knooing nichts und vermerkt nur im Protokoll, was es entziehen würde. Verlässt jemand das ganze Unternehmen, verliert er dagegen immer alle Rollen, siehe erster Teil.

In den Bildern markieren Zahlen, wo Sie klicken. (i) markiert, wo Sie etwas ablesen.

Schritt 1: Gruppe und Rolle wählen

Klicken Sie unten in der Seitenleiste auf Einstellungen, links auf Nutzer & Rechte und daneben auf Identitätsanbindung. Klicken Sie auf den Reiter Gruppen und Rollen. Unter dem Block Rollenentzug bei Gruppenwegfall stehen die Gruppen aus dem Verzeichnis (i), im Beispiel GG-Lager-Nord mit 1 Mitglied und noch keine Zuordnung.

Darunter, unter Zuordnung von Gruppe zu Rolle, tragen Sie ein:

• Claim-Wert (1): Tragen Sie „GG-Lager-Nord“ ein.
• Interne Rolle (2): Wählen Sie Lagerteam.
• Gilt für (3): Anmeldung und SCIM bleibt stehen.

Klicken Sie dann auf Zuordnung hinzufügen (4).

i1234

Warum über die Gruppe? Wechselt jemand ins Lager, nimmt ihn das Verzeichnis in die Gruppe auf. knooing gibt ihm die Rolle dann von selbst, ohne Antrag und ohne Vergessen.

Beispiel: Im Verzeichnis der Beispiel GmbH sind alle Beschäftigten des Lagers Nord in der Gruppe GG-Lager-Nord.

Schritt 2: Die Zuordnung hinzufügen und abgleichen

Danach steht die Zuordnung in der Liste unter der Überschrift Zuordnung von Gruppe zu Rolle (i): GG-Lager-Nord → Lagerteam mit Anmeldung und SCIM. Mit dem roten Papierkorb rechts daneben löschen Sie eine Zuordnung wieder. Klicken Sie oben auf Jetzt abgleichen (1). knooing meldet „Der Abgleich ist vorgemerkt und läuft im Hintergrund. Das Ergebnis steht im Protokoll.“

1i

Die Tabelle der Gruppen oben zeigt die neue Zuordnung erst, wenn Sie die Seite neu laden. Danach steht bei GG-Lager-Nord unter Zugeordnete Rollen Lagerteam. Der Abgleich gibt allen Mitgliedern der Gruppe die Rolle, meist innerhalb einer Minute.

Warum Jetzt abgleichen? Sonst bekommen Mitglieder die Rolle erst, wenn das Verzeichnis die Gruppe das nächste Mal liefert oder sie sich anmelden.

Beispiel: Paul Beispiel ist Mitglied von GG-Lager-Nord. Nach dem Abgleich hat er die Rolle Lagerteam.

Schritt 3: Die Vergabe prüfen

Klicken Sie oben auf den Reiter Protokoll. Dort steht Rolle aus Gruppe vergeben mit der Gruppe GG-Lager-Nord (i). Bei Einzelheiten steht bei eigenen Rollen statt des Namens eine interne Kennung, die mit custom_ beginnt; das ist kein Fehler. Ein Eintrag Würde entziehen zeigt eine Rolle, die knooing einer Person entziehen wird, sobald der Rollenentzug an ist.

i

Wer die Rolle bekommen hat, sehen Sie an der Rolle selbst:

• Klicken Sie links in den Einstellungen auf Nutzer & Rechte und daneben auf Rollen & Rechte.
• Klicken Sie unter Eigene Rollen bei Lagerteam auf Bearbeiten.
• Klicken Sie auf den Reiter Zuweisungen (1). Die Zahl am Reiter zählt die Personen mit dieser Rolle.

Dort steht Paul Beispiel mit dem Hinweis Aus Gruppe (SCIM): GG-Lager-Nord (i). Speichern müssen Sie hier nichts. Rollen ohne diesen Hinweis sind von Hand vergeben.

1i

Warum prüfen? Ein Tippfehler im Claim-Wert vergibt nichts; eine falsche Gruppe vergibt die Rolle an die Falschen. Beides sehen Sie hier, bevor Sie den Rollenentzug einschalten.

Beispiel: Julia Beispiel sieht Paul Beispiel in den Zuweisungen und keinen Eintrag Würde entziehen.

Schritt 4: Den Rollenentzug einschalten

Klicken Sie wieder auf Einstellungen, Nutzer & Rechte, Identitätsanbindung und den Reiter Gruppen und Rollen. Ganz oben steht Rollenentzug bei Gruppenwegfall. Ist der Schalter aus, steht darunter: „Der Schalter ist aus. knooing entzieht noch nichts und trägt im Protokoll ein, was es entziehen würde (Ereignis Würde entziehen). Prüfen Sie das Protokoll und schalten Sie dann ein.“ Das Protokoll haben Sie in Schritt 3 geprüft. Schalten Sie den Schalter ein (1); der Kreis springt nach rechts.

1

Danach meldet knooing „Der Rollenentzug ist eingeschaltet. Alle Mitglieder werden im Hintergrund neu bewertet.“ Ab jetzt verliert eine Person die Rolle aus einer Gruppe, sobald sie die Gruppe verlässt. Rollen, die jemand von Hand vergeben hat, bleiben. Im Protokoll steht danach Rollenentzug eingeschaltet.

Der Hinweis unter Gruppen aus dem Verzeichnis sagt schon vor dem Einschalten, dass Rollen entzogen werden. Maßgeblich ist der Schalter.

Warum erst prüfen? Ist der Schalter aus, sehen Sie im Protokoll unter Würde entziehen, welche Rollen knooing entziehen würde. So bemerken Sie eine falsche Zuordnung, bevor jemand Rechte verliert.

Beispiel: Julia Beispiel schaltet den Rollenentzug ein. Verlässt Paul Beispiel später das Lager und damit die Gruppe, verliert er die Rolle Lagerteam.

Schritt 5: Rollen mit besonderen Rechten freigeben lassen

Diesen Schritt brauchen Sie nur für privilegierte Rollen. Angenommen, die Rolle Interne Revision darf das Auditprotokoll ansehen, und die Gruppe GG-Interne-Revision soll sie vergeben. Sie legen die Zuordnung wie in Schritt 1 und 2 an; die Gruppe muss dafür noch nicht geliefert sein.

Den genauen Gruppennamen nennt Ihnen die Person, die den Identity-Provider betreut. Bei dieser Zuordnung steht dann Nicht freigegeben, vergibt keine privilegierte Rolle (i). Klicken Sie daneben auf Bestehende Zuordnung freigeben (1). Der Knopf beantragt die Freigabe nur; freigeben muss eine zweite Person. Der Hinweis über der Liste nennt dieselbe Aktion „Freigabe anfordern“.

i1

Es öffnet sich der Dialog Bestehende Zuordnung freigeben. Er nennt unter Privilegierte Rechte dieser Rolle die besonderen Rechte, im Beispiel Auditprotokoll ansehen. Prüfen Sie sie und klicken Sie auf Freigabe beantragen. Danach meldet knooing „Der Antrag liegt einer zweiten Person zur Freigabe vor.“ Sagen Sie der Person Bescheid, damit sie den Antrag prüft.

Die zweite Person öffnet Einstellungen, Nutzer & Rechte, Vier-Augen-Freigabe, Reiter Anträge, und klickt beim Antrag auf Freigeben. Eigene Anträge kann niemand selbst freigeben. Offene Anträge verfallen nach 7 Tagen. Danach steht bei der Zuordnung Freigegeben, und die Gruppe vergibt die Rolle. Damit die Mitglieder sie sofort bekommen, klicken Sie auf Jetzt abgleichen.

Warum eine zweite Person? Wer Rollen verwaltet, könnte sich sonst über eine Gruppe selbst besondere Rechte geben. Die Freigabe gilt nur für die Rechte, die geprüft wurden. Ändern sich die Rechte der Rolle später, gilt die Freigabe nicht mehr, und die Zuordnung braucht eine neue.

Beispiel: Julia Beispiel beantragt die Freigabe, Tobias Beispiel prüft die Rechte und gibt frei.

Wenn etwas nicht klappt

• Bei Zugeordnete Rollen steht weiter „keine Zuordnung“. Die Seite ist noch nicht neu geladen, oder der Claim-Wert weicht vom Gruppennamen ab. Laden Sie die Seite neu und vergleichen Sie die Schreibweise Zeichen für Zeichen.
• Eine Person bekommt nie eine Rolle aus Gruppen. Sie hat ein Konto, das nicht aus dem Verzeichnis stammt; das Verzeichnis erreicht es nicht. Vergeben Sie ihre Rollen von Hand, siehe erster Teil.
• Die Gruppe wurde im Verzeichnis umbenannt. Der Claim-Wert passt nicht mehr. Ist der Rollenentzug an, verlieren die Mitglieder beim nächsten Abgleich die Rolle. Passen Sie den Claim-Wert sofort an: Legen Sie eine Zuordnung mit dem neuen Namen an und löschen Sie die alte.
• Die gewünschte Rolle fehlt in der Auswahl Interne Rolle. Sie ist noch nicht angelegt. Legen Sie sie unter Rollen & Rechte mit Rolle erstellen an.
• Eine Person bekommt die Rolle nicht. Sie ist nicht Mitglied der Gruppe im Verzeichnis, der Abgleich ist noch nicht gelaufen, oder die Zuordnung ist nicht freigegeben. Prüfen Sie die Gruppe im Verzeichnis, klicken Sie auf Jetzt abgleichen und lesen Sie den Hinweis an der Zuordnung.
• Im Protokoll steht ein unerwarteter Eintrag Würde entziehen. Die Person ist nicht mehr in der Gruppe, oder die Zuordnung passt nicht. Klären Sie die Mitgliedschaft im Verzeichnis und prüfen Sie den Claim-Wert, bevor Sie den Rollenentzug einschalten.
• Nach dem Einschalten fehlen Personen Rechte. Prüfen Sie im Verzeichnis die Mitgliedschaft und die Schreibweise des Claim-Werts. Ist beides richtig, klicken Sie auf Jetzt abgleichen; dann bekommen die Mitglieder ihre Rolle wieder. Im Notfall vergeben Sie die Rolle von Hand im Reiter Zuweisungen der Rolle.
• Bei der Zuordnung steht „Wird nie über Gruppen vergeben“. Die Rolle hat die Rechte der Mandantenadministration. Solche Rollen vergeben Sie nur von Hand.
• Niemand gibt den Antrag frei. Offene Anträge stehen unter Vier-Augen-Freigabe, Reiter Anträge, und verfallen nach 7 Tagen. Bitten Sie eine zweite Person mit Rollen verwalten, den Antrag dort zu prüfen.
• „Für diese Änderung ist die Vier-Augen-Freigabe aktiv, aber es gibt keine zweite Person mit der nötigen Befugnis. …“ Niemand außer Ihnen darf Rollen verwalten. Geben Sie die Befugnis Rollen verwalten zuerst einer weiteren Person: Weisen Sie ihr unter Rollen & Rechte im Reiter Zuweisungen eine Rolle mit dieser Befugnis zu.
• „Die Zuordnung ist bereits freigegeben.“ Für diese Zuordnung ist nichts mehr zu tun.
• Eine Person hat eine Rolle noch, obwohl sie die Gruppe verlassen hat. Der Rollenentzug ist aus, oder die Rolle wurde von Hand vergeben. Schalten Sie den Rollenentzug ein; von Hand vergebene Rollen entfernen Sie im Reiter Zuweisungen der Rolle mit Entfernen. Von Hand vergeben sind alle Einträge ohne den Hinweis Aus Gruppe.