So funktionieren Benutzer, Gruppen & Berechtigungen
Wie Benutzer, Gruppen, Berechtigungen sowie Kunden- und Gerätezugriff zusammenspielen — mit allen Berechtigungen, Geräteaktionen und Benutzerfeldern zum Nachschlagen.
In octoja steuern Gruppen den gesamten Zugriff. Eine Gruppe legt drei Dinge fest: welche Funktionen ihre Mitglieder nutzen dürfen (Berechtigungen), welche Kunden sie erreichen (Kundenzugriff) und welche Geräte dieser Kunden sie erreichen und was sie dort tun dürfen (Gerätezugriff). Es gibt keine festen Rollen — du baust dein Zugriffsmodell aus Gruppen, die zur Arbeitsweise deines Teams passen.
Benutzer
Ein Benutzer ist eine Person, die sich in octoja anmeldet — per Passwort, optional mit Zwei-Faktor-Authentifizierung, oder per SSO (siehe So funktioniert die Anmeldung). Benutzer haben keine eigenen Berechtigungen; sie erhalten alles über ihre Gruppen. Ein Benutzer ohne Gruppenmitgliedschaft kann sich anmelden und sein eigenes Profil sehen, erreicht aber sonst nichts in octoja.
Benutzer verwaltest du unter Administration → Benutzer mit der Berechtigung Benutzerverwaltung. Ein Benutzerkonto besteht aus diesen Feldern:
Auf der Benutzer-Detailseite verwaltest du Mobilnummer, Anzeigename bei Fernsupport, Passwort, Zwei-Faktor-Authentifizierung und Verknüpfte Anmeldungen. Die Gruppenmitgliedschaft änderst du dort nicht, sondern an der Gruppe. Für den Zugriff per API siehe Users-API.
Gruppen
Eine Gruppe bündelt Berechtigungen mit einem Kundenzugriff und einem Gerätezugriff. Ein Benutzer kann mehreren Gruppen angehören; sein effektiver Zugriff ist die Vereinigung aller seiner Gruppen. Gewährt Gruppe A etwa Meldungsverwaltung und Gruppe B Monitoring-Check-Verwaltung, hat der Benutzer beides. Keine Gruppe kann Zugriff entziehen, den eine andere gewährt.
Gruppen verwaltest du unter Administration → Gruppen mit der Berechtigung Gruppenverwaltung. Der Gruppeneditor hat vier Tabs:
Eine neu erstellte Gruppe gewährt nichts: keine Berechtigungen, keine Kunden, keine Geräte. Die Mitgliedschaft pflegst du an der Gruppe; die Benutzerliste unter Administration → Benutzer zeigt die Gruppen jedes Benutzers.
Administratorgruppen
Eine Gruppe kann als Administratorgruppe markiert werden. Die Beschreibung auf dem Bildschirm lautet: „Neue Berechtigungen aus zukünftigen Updates werden Administratorgruppen automatisch zugewiesen.“ Aktiviere den Schalter für deine Vollzugriffs-Gruppe, damit sie nicht zurückfällt, wenn ein octoja-Update eine neue Berechtigung hinzufügt.
Die Markierung schaltet außerdem instanzweite Bereiche frei, die keine Berechtigung abdeckt. Nur Mitglieder einer Administratorgruppe erreichen — unabhängig von ihren übrigen Berechtigungen:
- Administration → Protokoll (siehe Das Protokoll (Audit-Log))
- unter Administration → Einstellungen die Seiten Richtlinie zur Agent-Registrierung, Authentifizierung, Aktive Alarme, Beta-Funktionen, Eigene Domain, E-Mail-Absender und Fernwartung
Alarme auf Aktive Alarme manuell auflösen können nur Mitglieder einer Administratorgruppe, die zusätzlich Alarmkonfigurationen verwalten haben.
Schutz der Gruppenverwaltung
octoja stellt sicher, dass immer mindestens ein Benutzer die Berechtigung Gruppenverwaltung (groups.manage) behält. Du kannst sie dir selbst entziehen, solange jemand anderes sie noch hat; eine Änderung, nach der kein Benutzer sie mehr hätte — durch Bearbeiten oder Löschen einer Gruppe, Leeren ihrer Mitglieder oder Löschen eines Benutzers —, wird blockiert. Andere Berechtigungen, auch Benutzerverwaltung, sind nicht geschützt. Sei vorsichtig, wenn du sie aus deinen eigenen Gruppen entfernst.
Berechtigungen
Berechtigungen entscheiden, welche Funktionen die Mitglieder einer Gruppe nutzen. Der Tab Berechtigungen ordnet sie in sechs Bereiche, und jede Zeile hat eine Auswahlliste statt eines Kontrollkästchens:
- Sechs Zeilen sind abgestuft — Kunden, Meldungen, Patch-Verwaltung, Berichte, TV-Ansicht und Automatisierungen. Sie bieten Kein Zugriff, Lesen oder Lesen & Schreiben. Lesen & Schreiben vergibt die Lese-Berechtigung immer mit.
- Alle anderen Zeilen bieten Kein Zugriff oder Aktiviert.
- Eingerückte Zeilen (in den Tabellen mit ↳ markiert) ergänzen die Zeile darüber und lassen sich erst wählen, wenn diese mindestens Lesen bzw. Aktiviert hat.
Die Tabellen nennen für jede Stufe die Berechtigung, die sie vergibt. Der Bezeichner erscheint in technischen Kontexten wie der API.
Kunden & Meldungen
Überwachung & Alarme
Patches & Software
Berichte
Verwaltung
Achtung: Benutzerverwaltung und Gruppenverwaltung gelten für die gesamte octoja-Instanz; Kunden- und Gerätezugriff grenzen sie nicht ein. Mit Gruppenverwaltung können Mitglieder beliebige Berechtigungen und Zugriffe vergeben, Gruppen als Administratorgruppen markieren und Mitgliedschaften ändern — auch ihre eigenen Zugriffe erweitern. Benutzerverwaltung erlaubt Änderungen an den Konten anderer Benutzer, einschließlich Passwort, Zwei-Faktor-Authentifizierung und verknüpften Anmeldungen. Vergib beide Berechtigungen nur an vertrauenswürdige Instanzadministratoren.
Tags
Kundenzugriff
Der Kundenzugriff entscheidet, welche Kunden die Mitglieder einer Gruppe sehen und bearbeiten dürfen. Was sie dort tun dürfen, legen die Berechtigungen fest.
Ausgewählte Kunden und Regeln lassen sich in derselben Gruppe kombinieren. Regeln gewähren nur Zugriff; eine Regel, die Kunden ausschließt, verhindert nicht, dass eine andere Gruppe sie freigibt.
Gerätezugriff
Der Gerätezugriff verfeinert, was Mitglieder innerhalb ihrer zugänglichen Kunden erreichen. Eine Gruppe ohne Kundenzugriff erreicht keine Geräte, egal was ihr Gerätezugriff sagt.
Erlaubte Aktionen legen fest, was Mitglieder auf den erreichbaren Geräten tun dürfen. Eine Gruppe, die Geräte erreicht, aber keine erlaubten Aktionen hat, gewährt nur lesenden Gerätezugriff: Mitglieder sehen die Geräte, können aber nicht darauf agieren.
Wie sich ein eingeschränkter Kundenzugriff auf Konfigurationspakete, Automatisierungen und Patch-Richtlinien auswirkt, die mehrere Kunden betreffen, beschreibt Gemeinsam genutzte Konfigurationen.
Zugriffsübersicht
Die Seite Administration → Zugriffsübersicht zeigt das kombinierte Ergebnis aller Gruppen — wer welche Kunden und Geräte erreicht und warum. Sie erfordert die Berechtigung Gruppenverwaltung und bietet drei Ansichten: Nach Benutzer, Nach Kunde und Nach Gerät. Für jeden Eintrag siehst du die erreichbaren Kunden und Geräte, die Spalte Erlaubte Aktionen (mit dem Abzeichen Alle, wenn jede Aktion erlaubt ist) und den Grund: über welche Gruppe der Zugriff kommt und ob er für alle Kunden, für alle Geräte, ausdrücklich zugewiesen oder über eine Regel gilt.
Beispiel-Gruppen
Die Beispiele dienen nur zur Orientierung — du kannst Berechtigungen und Zugriff beliebig kombinieren.
Verwandte Artikel
War dies hilfreich?
Brauchen Sie noch Hilfe? Team fragen