Rollen und Rechte
Jeder bekommt genau die Rechte, die er braucht – über Rollen statt über Einzelfreigaben.
In Zeitwart hängt kein Recht an einer Person und keines an einem Raum. Jedes Recht entsteht aus einer Kette: Nutzer → Rolle → Recht auf die Objekte einer Organisationseinheit. Das klingt nach einem Umweg, ist aber der Grund, warum auch große Installationen verwaltbar bleiben.
Warum nicht einfach direkt?
Würdest du Rechte einzeln zwischen Personen und Räumen vergeben, kämest du bei 1.000 Nutzern und 1.000 Ressourcen auf eine Million mögliche Beziehungen. Solche Umgebungen pflegt niemand mehr.
Zeitwart fasst deshalb beide Seiten zusammen: Nutzer in Rollen, Ressourcen in Organisationseinheiten. Verwaltet werden nur noch die Beziehungen dazwischen – ein paar Dutzend statt einer Million.
Dieselbe Rolle, unterschiedliche Rechte
Das Besondere: Eine Rolle trägt ihre Rechte nicht global, sondern je Organisationseinheit. Die Rolle „Sekretariat" darf in Fakultät A alles und in Fakultät B nur lesen – ohne dass du zwei Rollen anlegen musst. Verknüpfst du sie mit einer weiteren Einheit, entsteht dort ein eigener Satz Häkchen.
Jede Person kann beliebig vielen Rollen angehören: Studentin, Mitarbeiter, Geschäftsleitung. Auch die administrativen Rechte laufen über diesen Weg – die klassische Adminrolle ist nur eine Rolle unter vielen.
Rechte vererben sich nach unten
Weil Organisationseinheiten hierarchisch aufgebaut sind, vererbt sich auch die Rechtevergabe. Hat eine Rolle Buchungsrechte auf eine übergeordnete Einheit, gelten sie für alle Einheiten darunter und deren Ressourcen. Fasst du fünf PC-Pools unter einer gemeinsamen Einheit zusammen, genügt eine einzige Rechtevergabe für alle fünf.
Was sich damit abbilden lässt
Studierende buchen nur Lernräume, Mitarbeitende zusätzlich Besprechungsräume
die Hausverwaltung sieht alle Buchungen, darf aber keine Regeln ändern
eine Fakultätssekretärin verwaltet ihre eigene Einheit und sonst nichts
externe Gäste sehen ausschließlich die für sie freigegebenen Räume
ein Raumdisplay hat ein eigenes Konto mit einer Rolle, die nur anzeigen darf
Aus dem Verzeichnis übernehmen
Bei der Anmeldung über einen Identity Provider lassen sich Rollen automatisch vergeben – abhängig von den Attributen der Anmeldung, etwa der E-Mail-Domain oder einer Gruppenzugehörigkeit aus dem Verzeichnisdienst. Damit pflegst du Zugehörigkeiten dort weiter, wo sie ohnehin gepflegt werden.
Vorteile auf einen Blick
ein Rechtemodell, das auch bei tausenden Nutzern und Ressourcen übersichtlich bleibt
dieselbe Rolle kann je Organisationseinheit unterschiedliche Rechte tragen
Rechte vererben sich im Baum nach unten, eine Vergabe genügt für viele Ressourcen
beliebig viele Rollen je Person, auch für administrative Aufgaben
automatische Rollenvergabe bei der Anmeldung über den Identity Provider