Module melden ihre Rollen selbst an
CIAS erfindet keine Rollen. Jedes Modul weiß am besten, welche Rechte es braucht, und meldet seine Rollen, die benötigten Benutzerattribute und die verlangten Anmeldestufen an. CIAS nimmt das in seinen Rollenkatalog auf und entscheidet, wie eine Rolle vergeben wird und wer sie weitergeben darf.
Der Abgleich mit dem Identity Provider legt neue Rollen an, löscht aber nie und vergibt nie. Meldet ein Modul eine Rolle nicht mehr an, wird sie stillgelegt statt gelöscht. Was eine Rolle auf den Daten erlaubt, bestimmt die Anwendung – CIAS führt bewusst keine Kopie davon.
Delegation und Obergrenze
Ein Plattform-Administrator darf jede Rolle vergeben. Alle anderen nur, wenn vier Bedingungen zugleich erfüllt sind:
- Die Rolle ist eine Mandantenrolle, keine Plattformrolle.
- Sie ist laut Delegation an eine Rolle der vergebenden Person freigegeben.
- Sie wird im eigenen Mandanten vergeben.
- Die vergebende Person hält die Rolle dort selbst – die Obergrenze.
Global, im Mandanten oder befristet
Eine Rolle kann für die ganze Installation gelten oder nur in einem bestimmten Mandanten. So kann eine Person in einem Mandanten andere Rechte haben als im nächsten. Plattformweite Rollen wie die Plattformadministration kann kein Modul anmelden und kein Mandant vergeben.
Vergaben dürfen einen Beginn und ein Ende haben – für ein Projekt, eine Urlaubsvertretung oder ab dem ersten Arbeitstag. CIAS trägt die Rolle erst zu Beginn im Identity Provider ein und nach dem Ende wieder aus. Jede Vergabe hält fest, wer sie wann, in welchem Mandanten und mit welchem Grund erteilt hat.
Attribute sind auch Rechte
Ein Attribut wie „Region = Nord“ schneidet in Data Management die sichtbaren Zeilen zu. Ein Wert mehr ist mehr Reichweite. Deshalb gelten für Attribute dieselben Regeln: Delegation je Attribut und Obergrenze für die Werte. Wer selbst nur „Nord“ sieht, kann niemandem „Süd“ geben.
Arbeitet eine Person für mehrere Mandanten, kann ein Attribut je Mandant einen eigenen Wert haben – etwa Region Nord im einen, Süd im anderen. CIAS setzt bei jeder Anfrage den Wert des aktiven Mandanten ein.
Rollen am ersten Tag
Welche Rollen eine neu registrierte Person bekommt, legt ein Regelwerk fest – getrennt für drei Situationen: Sie gründet einen Mandanten, sie tritt einem bestehenden bei oder sie bleibt ohne Mandant. Eine Regel des Mandanten ersetzt die Regel der Installation, statt sie zu ergänzen. Wer eine solche Regel schreibt, muss jede Rolle darin selbst halten.