Rollen & Berechtigungen

Papermerge verwendet ein rollenbasiertes Zugriffskontrollsystem (RBAC), um zu verwalten, was Benutzer tun können. Rollen bündeln Berechtigungen, und Benutzern werden Rollen zugewiesen, die ihnen den notwendigen Zugriff gewähren.

Funktionsweise

Das Berechtigungssystem hat drei Ebenen:

1. Berechtigungen — Einzelne Aktionen (z.B. “Tag erstellen”, “Dokument löschen”)
2. Rollen — Sammlungen von Berechtigungen (z.B. “Bearbeiter”, “Betrachter”)
3. Benutzer — Personen, denen eine oder mehrere Rollen zugewiesen sind

Berechtigungen

Eine Berechtigung (auch Scope genannt) repräsentiert eine einzelne Aktion im System. Berechtigungen folgen einem konsistenten Benennungsmuster:

entität.aktion

Beispiele:

Berechtigung	Beschreibung
document.create	Neue Dokumente hochladen
document.read	Dokumente anzeigen
document.update	Dokumentmetadaten bearbeiten
document.delete	Dokumente löschen
tag.create	Neue Tags erstellen
tag.delete	Tags löschen
user.create	Benutzerkonten erstellen
role.update	Rollen ändern

Berechtigungskategorien

Berechtigungen sind nach Entität organisiert:

• Dokument — document.create, document.read, document.update, document.delete
• Ordner — folder.create, folder.read, folder.update, folder.delete
• Tag — tag.create, tag.read, tag.update, tag.delete
• Metadaten — customfield.create, customfield.read, customfield.update, customfield.delete
• Kategorie — documenttype.create, documenttype.read, documenttype.update, documenttype.delete
• Benutzer — user.create, user.read, user.update, user.delete
• Gruppe — group.create, group.read, group.update, group.delete
• Rolle — role.create, role.read, role.update, role.delete

Rollen

Eine Rolle ist eine benannte Sammlung von Berechtigungen. Anstatt jedem Benutzer einzelne Berechtigungen zuzuweisen, weisen Sie Rollen zu.

Beispielrollen

Betrachter

• document.read
• folder.read
• tag.read

Kann Dokumente und Ordner anzeigen, aber keine Änderungen vornehmen.

Bearbeiter

• document.create, document.read, document.update
• folder.create, folder.read, folder.update
• tag.create, tag.read, tag.update

Kann Dokumente, Ordner und Tags erstellen und bearbeiten, aber nicht löschen.

Manager

• Alle Dokument-, Ordner-, Tag-, Metadaten-, Kategorieberechtigungen
• user.read

Volle Kontrolle über Dokumente und Organisationsfunktionen.

Administrator

• Alle Berechtigungen

Vollständiger Systemzugriff einschließlich Benutzer- und Rollenverwaltung.

Rollen erstellen

So erstellen Sie eine neue Rolle:

1. Navigieren Sie zu Einstellungen → Rollen
2. Klicken Sie auf Neue Rolle
3. Geben Sie einen Namen ein (z.B. “Buchhalter”)
4. Wählen Sie die einzuschließenden Berechtigungen
5. Speichern Sie die Rolle

Tipp

Beginnen Sie mit minimalen Berechtigungen und fügen Sie nach Bedarf weitere hinzu. Es ist einfacher, zusätzlichen Zugriff zu gewähren, als überschüssige Berechtigungen zu entziehen.

Rollen Benutzern zuweisen

So weisen Sie einem Benutzer eine Rolle zu:

1. Navigieren Sie zu Einstellungen → Benutzer
2. Wählen Sie den Benutzer aus
3. Fügen Sie im Bereich Rollen die entsprechende(n) Rolle(n) hinzu
4. Speichern Sie die Änderungen

Ein Benutzer kann mehrere Rollen haben. Seine effektiven Berechtigungen sind die Vereinigung aller Berechtigungen aus allen zugewiesenen Rollen.

Rollendesign-Prinzipien

Prinzip der minimalen Berechtigung

Geben Sie Benutzern nur die Berechtigungen, die sie für ihre Arbeit benötigen:

• Eine Empfangsperson, die nur Dokumente hochlädt, braucht document.create
• Ein Buchhalter, der Rechnungen prüft, braucht document.read und document.update
• Ein Manager, der das Archiv organisiert, braucht umfassendere Berechtigungen

Aufgabentrennung

Verwenden Sie verschiedene Rollen für verschiedene Verantwortlichkeiten:

• Dokumentenrollen — Für Personen, die mit Dokumenten arbeiten
• Organisationsrollen — Für Personen, die Tags, Kategorien, Metadaten verwalten
• Admin-Rollen — Für Personen, die Benutzer und Systemeinstellungen verwalten

Rollenhierarchie

Gestalten Sie Rollen, die aufeinander aufbauen:

• Betrachter < Bearbeiter < Manager < Administrator

Dies erleichtert das Upgrade des Zugriffs eines Benutzers, wenn seine Verantwortlichkeiten wachsen.

Rollen bearbeiten

So ändern Sie eine bestehende Rolle:

1. Navigieren Sie zu Einstellungen → Rollen
2. Wählen Sie die zu bearbeitende Rolle
3. Fügen Sie Berechtigungen hinzu oder entfernen Sie sie
4. Speichern Sie die Änderungen

Achtung

Das Ändern einer Rolle betrifft alle Benutzer, die diese Rolle haben. Seien Sie vorsichtig beim Entfernen von Berechtigungen aus häufig verwendeten Rollen.

Rollen löschen

Wenn Sie eine Rolle löschen:

1. Benutzer verlieren die Berechtigungen, die von dieser Rolle kamen
2. Benutzer werden nicht gelöscht — nur die Rollenzuweisung wird entfernt
3. Wenn ein Benutzer nur diese Rolle hatte, kann er erheblichen Zugriff verlieren

Bevor Sie eine Rolle löschen, prüfen Sie, welche Benutzer sie zugewiesen haben, und stellen Sie sicher, dass sie bei Bedarf alternative Rollen haben.

Typische Rollenkonfigurationen

Kleines Büro

• Admin — Voller Zugriff (1-2 Personen)
• Mitarbeiter — Dokumente und Tags erstellen, lesen, aktualisieren
• Betrachter — Nur-Lese-Zugriff für gelegentliche Benutzer

Abteilungsbasiert

• Abteilungsbearbeiter — Voller Dokumentenzugriff innerhalb von Abteilungsordnern
• Abteilungsübergreifender Betrachter — Lesezugriff über Abteilungen hinweg
• IT-Admin — System- und Benutzerverwaltung

Compliance-orientiert

• Dokumentenersteller — Hochladen und erste Metadateneingabe
• Prüfer — Lesen und aktualisieren, kann nicht löschen
• Genehmiger — Kann Dokumente archivieren
• Löschgenehmiger — Kann Löschung abgelaufener Dokumente genehmigen
• Auditor — Nur-Lese-Zugriff auf alle Dokumente und Audit-Logs

Best Practices

1. Rollen klar benennen — Verwenden Sie beschreibende Namen wie “Rechnungsbearbeiter” statt generischer Namen wie “Rolle 1”.

2. Rollenzwecke dokumentieren — Verwenden Sie das Beschreibungsfeld, um zu erklären, wofür jede Rolle gedacht ist und wer sie haben sollte.

3. Regelmäßig überprüfen — Auditieren Sie periodisch Rollenzuweisungen. Entfernen Sie Rollen von Benutzern, die sie nicht mehr benötigen.

4. Einzelbenutzer-Berechtigungen vermeiden — Wenn Sie sich dabei ertappen, Rollen für einzelne Benutzer zu erstellen, überdenken Sie Ihr Rollendesign.

5. Vor Einsatz testen — Wenn Sie neue Rollen erstellen, testen Sie diese mit einem Testbenutzer, bevor Sie sie echten Benutzern zuweisen.

6. Admin-Zugriff begrenzen — Nur wenige vertrauenswürdige Benutzer sollten vollen administrativen Zugriff haben.