Rollen und Berechtigungen verwalten

Diese Seite führt durch die administrativen Aufgaben: Rollen erstellen, ihre Berechtigungen setzen und Benutzer zuweisen. Die Konzepte hinter diesen Ansichten findest du zuvor in Berechtigungen im Überblick. Welche Kästchen du setzen musst, findest du über die Aktion in Welche Berechtigung brauche ich?.

Nur für Administratoren

Alle Aufgaben auf dieser Seite erfordern eine Rolle, die Rollen verwalten darf – in der Regel Admin. Wenn du keine solche Rolle hast, sind die Schaltflächen Rolle hinzufügen und zum Löschen deaktiviert, mit einem Hinweis, dass nur Administratoren Rollen erstellen oder löschen dürfen.

Das Recht, Rollen zu verwalten, kommt vom Merkmal Kann Rollen verwalten, das die vordefinierte Rolle Admin besitzt. Es wird im Detaildialog der Rolle als Chip angezeigt. Es ist keine der sechs Berechtigungen und lässt sich in CertHub keiner Rolle zuweisen oder entziehen.

Die Rollenliste öffnen

Gehe zu Einstellungen → Rollen. Die Rollenliste zeigt jede Rolle deiner Organisation mit ihrer Beschreibung und den zugewiesenen Benutzern. Du kannst nach Namen suchen und die Liste nach dem Datum der letzten Änderung jeder Rolle sortieren.

Wenn du Rollen verwalten darfst, hat jede Zeile ein Stiftsymbol, das die Rolle zum Bearbeiten öffnet. Andernfalls ist der Stift ausgeblendet; klicke stattdessen auf den Namen der Rolle, um sie im schreibgeschützten Dialog Rolle ansehen zu öffnen.

Abbildung 1: Die Rollenliste mit den in deiner Organisation definierten Rollen

Deine Organisation startet mit einer Reihe vordefinierter Rollen, die typische Funktionen im Qualitätsmanagement für Medizinprodukte abdecken. Sie sind in der Rollenreferenz aufgeführt. Du kannst sie umbenennen, ihre Berechtigungen bearbeiten und ihnen Benutzer zuweisen – es sind gewöhnliche Rollen und keine festen Vorgaben.

Die Ausnahme ist eine geschützte Rolle: eine Rolle, die Kann Rollen verwalten besitzt, eine Systemrolle ist oder Admin heißt. Ihre Berechtigungen sind gesperrt, und beim Darüberfahren erscheint „Die Berechtigungen dieser Rolle sind geschützt und können nicht geändert werden.“ So kann niemand der Rolle, die alle anderen verwaltet, ihre Berechtigungen entziehen.

Eine Rolle, InternalAutomation, ist eine Systemrolle: Sie gehört zur internen Automatisierung von CertHub, und ihr Benutzer erscheint in Mitgliederlisten als CertHub Support. Ihr Detaildialog zeigt das Kennzeichen Systemrolle. Sie kann weder geändert noch gelöscht werden – das Speichern von Änderungen wird mit "This role cannot be modified" abgelehnt. Sie ist CertHub vorbehalten und sollte keinen Personen zugewiesen werden. Ansonsten kannst du sie ignorieren.

Eine Rolle erstellen

1. Klicke oben rechts in der Rollenliste auf Rolle hinzufügen.

2. Gib unter Rollen-Daten einen Rollenname und eine Rollenbeschreibung ein.

   Formuliere die Beschreibung so, als richte sie sich an einen Auditor: Benenne die Funktion, die die Rolle abbildet, und warum sie die jeweiligen Berechtigungen besitzt. Die Beschreibung wird in der Rollenliste angezeigt und ist die einzige Erläuterung, die deine Kolleginnen und Kollegen in der Anwendung sehen.

3. Wähle unter Benutzerzuweisung im Feld Zugewiesene Benutzer die Benutzer aus, die diese Rolle erhalten sollen. Du kannst das Feld leer lassen und Benutzer später zuweisen.

4. Setze unter Zugriffsmodule die Häkchen für die Berechtigungen, die die Rolle gewähren soll.

   Eine neue Rolle gewährt nur Lesen, bis du mehr auswählst

   Lesen ist bei jeder neuen Rolle bereits angehakt, und die Checkbox ist gesperrt. Die anderen fünf Berechtigungen – Bearbeiten/Aktualisieren, Herunterladen, Genehmigen, Neu erstellen und Löschen – sind zunächst deaktiviert. Eine Rolle, die ohne weitere Häkchen gespeichert wird, lässt ihre Benutzer Inhalte ansehen, aber nichts ändern, erstellen, genehmigen, herunterladen oder löschen. Das ist beabsichtigt – Berechtigungen werden bewusst vergeben – entscheide also vor dem Speichern über jede der fünf.

5. Klicke auf Neu anlegen.

Abbildung 2: Eine Rolle erstellen – die sechs Berechtigungen erscheinen unter Zugriffsmodule

Die Berechtigungen einer Rolle ändern

1. Klicke in der Rollenliste auf das Stiftsymbol der Rolle.
2. Passe die Häkchen unter Zugriffsmodule an. Lesen lässt sich hier nicht ändern, und die Berechtigungen einer geschützten Rolle lassen sich gar nicht ändern.
3. Klicke auf Speichern.

Die Änderung gilt für jeden Benutzer, der die Rolle innehat. Es gibt eine kurze Verzögerung – normalerweise deutlich unter einer Minute – bis die Änderung in ganz CertHub durchgesetzt wird. Ein Benutzer mitten in einer Sitzung kann daher kurzzeitig noch tun, was du gerade entzogen hast.

Der Entzug von Berechtigungen wirkt sofort

Wird eine Berechtigung entfernt, verlieren sie alle Inhaber der Rolle, ohne Vorwarnung. Prüfe vor dem Einschränken einer weit verbreiteten Rolle im Bereich Diese Rolle wird verwendet von der Detailansicht, wer betroffen ist.

Beim Bearbeiten einer Rolle zeigt die Detailansicht außerdem, wer sie erstellt und wer sie zuletzt geändert hat, jeweils mit Zeitstempel.

Benutzer Rollen zuweisen

Du kannst aus beiden Richtungen arbeiten:

• Von der Rolle aus – bearbeite die Rolle und ergänze oder entferne Benutzer im Feld Zugewiesene Benutzer. Das eignet sich, wenn mehrere Personen dieselbe Funktion erhalten.
• Vom Benutzer aus – öffne Einstellungen → Benutzer und ändere die Rollen dieses Benutzers. Das eignet sich, wenn sich die Aufgaben einer Person ändern. Siehe Anwendungseinstellungen & Benutzerverwaltung.

Ein Benutzer kann mehrere Rollen innehaben; seine Berechtigungen sind die Vereinigungsmenge aller Rollen. Weise eine weitere Rolle zu, um Berechtigungen zu ergänzen, und entferne eine Rolle, um Berechtigungen zu entziehen.

Im Feld Zugewiesene Benutzer ist ein Benutzer, für den dies die einzige Rolle ist, gesperrt und kann nicht entfernt werden. Weise ihm zuerst eine andere Rolle zu.

Der letzte Benutzer, der Rollen verwalten darf, kann dieses Recht nicht verlieren: Ihn aus seiner Rolle Admin zu entfernen, wird mit "Cannot remove the last Admin. At least one Admin per organization is required." abgelehnt. Mache zuerst eine andere Person zum Admin.

Abbildung 3: Benutzer einer Rolle zuweisen

Eine Rolle löschen

Eine Rolle lässt sich erst löschen, wenn niemand sie mehr innehat.

1. Öffne die Rolle und prüfe den Bereich Diese Rolle wird verwendet von.
2. Weise verbliebenen Benutzern eine andere Rolle zu – über das Feld Zugewiesene Benutzer der Rolle oder über Einstellungen → Benutzer.
3. Wähle die Rolle über die Checkbox in der Rollenliste aus.
4. Klicke auf die Lösch-Aktion und bestätige.

Solange eine Rolle noch Benutzer hat, ist ihre Checkbox in der Rollenliste deaktiviert, mit dem Hinweis „Diese Rolle ist N Benutzer(n) zugewiesen und kann nicht gelöscht werden. Entfernen Sie zuerst die Benutzer aus der Rolle.“ (N ist die Anzahl der Benutzer). Das ist beabsichtigt: Eine noch genutzte Rolle zu löschen würde sie nebenbei auch ihren Inhabern entziehen, und wer nur diese eine Rolle hatte, verlöre unbemerkt jeden Zugriff, auch den Lesezugriff. Die Benutzer vorher umzuziehen macht daraus eine bewusste Entscheidung statt einer nachträglich entdeckten Folge.

Zwei weitere Löschungen werden grundsätzlich verweigert:

• Die letzte Rolle, die Rollen verwalten darf, damit deine Organisation die Verwaltung ihrer eigenen Berechtigungen nicht verlieren kann.
• Rollen mit dem Kennzeichen Systemrolle, die zur internen Automatisierung von CertHub gehören.

Das Löschen ist nicht umkehrbar

Beim Löschen wird die Rolle mit den zugehörigen Daten dauerhaft entfernt. Eine neu erstellte Rolle mit demselben Namen stellt die früheren Zuweisungen nicht wieder her.

Aus demselben Grund lässt sich einem Benutzer die letzte Rolle nicht entziehen – weder über die Rollen- noch über die Benutzeransicht. Weise ihm zuerst eine andere Rolle zu oder lösche den Benutzer.

Das eigene Rollenkonzept gestalten

Einige Praktiken, die ein Berechtigungsmodell auditierbar halten:

Funktionen abbilden, nicht Personen. Eine Rolle sollte eine Aufgabe beschreiben – Risk Manager, SME for Production – damit sie auch bei Personalwechseln korrekt bleibt. Rollen, die nach Einzelpersonen benannt sind, müssen bei jeder Veränderung überarbeitet werden.

Erstellung und Freigabe trennen. Gibt man einer Rolle Bearbeiten/Aktualisieren und Genehmigen, kann dieselbe Person ihre eigene Arbeit verfassen und freigeben. Wenn dein Qualitätsmanagementsystem eine Prüfung durch eine zweite Person verlangt, verwende getrennte Rollen und nutze Freigabeprozesse, um die Reihenfolge durchzusetzen.

Löschen sparsam vergeben. Die meisten QM-Funktionen müssen nie etwas löschen; ein Dokument über Versionierung zu ersetzen ist das auditierbare Äquivalent und erhält die Historie.

Herunterladen als eigene Entscheidung behandeln. Herunterladen steuert den Export von Inhalten aus CertHub heraus. Bei vertraulichen Inhalten sollte darüber eigenständig entschieden werden, statt es gewohnheitsmäßig zusammen mit Lesen zu vergeben.

Rollen kombinieren statt Varianten anlegen. Weil sich Berechtigungen summieren, kann ein Benutzer, der die Rechte zweier Funktionen benötigt, einfach beide Rollen innehaben. Eine zusammengeführte Rolle dupliziert eine Matrix, die du danach an zwei Stellen pflegen musst.

Die eigenen Berechtigungen prüfen

CertHub deaktiviert Aktionen, die du nicht ausführen darfst; die Anwendung spiegelt deine Berechtigungen also beim Navigieren wider. Ist eine Schaltfläche unerwartet nicht verfügbar – ihr Hinweis lautet „Sie haben keine Berechtigung, diese Aktion auszuführen“ – oder zeigt eine Seite „Kein Zugriff“ mit „Ihre Rolle hat keinen Lesezugriff auf diesen Bereich, daher können die Inhalte nicht angezeigt werden…“, liegt fast immer einer dieser Gründe vor:

• Du hast keine Rolle. Bitte einen Administrator, dir eine zuzuweisen.
• Keine deiner Rollen gewährt diese Berechtigung. Berechtigungen kommen ausschließlich aus Rollen; die Lösung ist eine Rollenänderung und keine Ausnahme für dein Konto.
• Die Berechtigung wurde kürzlich geändert. Lade die Seite neu, um den aktuellen Stand zu übernehmen.

Welche Berechtigung eine blockierte Aktion benötigt, findest du in Welche Berechtigung brauche ich?.

Administratoren können den tatsächlichen Stand prüfen, indem sie den Benutzer unter Einstellungen → Benutzer öffnen und die aufgeführten Rollen mit der Rollenreferenz vergleichen.