Sicherheitsgruppen und Zuweisungen verwalten

Die Sicherheits- und Zugriffsverwaltung von PlaidCloud ist unkompliziert. Ein Mitglied erhält oder verliert Zugriff anhand der Gruppen, denen es zugeordnet ist. Die Sicherheitszuordnung eines Mitglieds lässt sich einfach hinzufügen oder ändern.

Sicherheitsgruppen verwalten

Sicherheitsgruppen können hinzugefügt, aktualisiert oder gelöscht werden.

So verwalten Sie Sicherheitsgruppen:

Öffnen Sie Identity
Wählen Sie die Registerkarte „Security“ aus
Klicken Sie im Dropdown-Menü auf „Sicherheitsgruppen“ (es wird ein Formular mit den vorhandenen Gruppen angezeigt)
Um eine Gruppe hinzuzufügen, klicken Sie auf „Create Security Group“
Um die Berechtigungen einer Gruppe zu bearbeiten, klicken Sie auf das Symbol ganz links

So verwalten Sie Gruppenmitglieder:

Öffnen Sie Identity
Wählen Sie die Registerkarte „Security“ aus
Klicken Sie im Dropdown-Menü auf „Sicherheitsgruppen“
Klicken Sie auf das Symbol „Mitglied“
Ziehen Sie die gewünschten Mitglieder aus der Spalte „Unassigned Members“ in die Spalte „Assigned Members“ oder umgekehrt, um Mitglieder zu entfernen

Zeilenzugriff verwalten

Der Zeilenzugriff schränkt anhand der Werte einer Spalte ein, welche Zeilen einer Tabelle eine Sicherheitsgruppe sehen kann. Beispielsweise kann eine Spalte region den Zugriff einschränken: Eine Gruppe mit den Werten East und Central sieht nur Zeilen, die diese Werte tragen. Alles für ein Projekt und eine Spalte – die Auswahl der Spalte, die Festlegung der Herkunft ihrer Werte und die Entscheidung, welche Gruppe was sieht – erfolgt auf einem einzigen Bildschirm, und das Speichern wirkt sofort.

Den Zeilenzugriff einzurichten und zu ändern erfordert einen Projekt-Architect oder einen Mandantenadministrator. Wer sonst die Registerkarte „Security“ eines Projekts öffnet, erfährt, dass der Zeilenzugriff nur Architects vorbehalten ist, und die folgenden Einstiegspunkte werden nicht angezeigt.

Zeilenzugriff öffnen

Jeder Einstiegspunkt öffnet denselben Bildschirm für den Zeilenzugriff:

Die Symbolleiste des Tabellen-Explorers enthält die Schaltfläche Zeilenzugriff, die ein Badge zeigt, wenn die Tabelle bereits Zeilen einschränkt. Sie öffnet sich auf der ersten eingeschränkten Spalte der Tabelle, sofern vorhanden, und Sie können zu jeder anderen Spalte der Tabelle wechseln.
Das Facettenmenü einer Spalte enthält Zeilen nach dieser Spalte einschränken…, wodurch der Zeilenzugriff für diese Spalte geöffnet wird. Bei einer Spalte, die bereits Zeilen einschränkt, lautet der Eintrag Zeilen durch diese Spalte eingeschränkt – bearbeiten….
Die Registerkarte „Security“ eines Projekts listet jede eingeschränkte Spalte des Projekts auf, mit den betroffenen Tabellen, den Gruppen mit Gewährungen und dem Synchronisieren-Status. Wählen Sie eine Spalte aus, um sie zu bearbeiten, oder klicken Sie auf Spalte einschränken…, um eine neue zu beginnen: Wählen Sie eine Tabelle und dann eine Spalte. Spalten, die bereits Zeilen einschränken, sind mit einem Schloss markiert.
Identity → Member auf der Registerkarte Zeilenzugriff eines Mitglieds und Identity → Security → Sicherheitsgruppen in der Zusammenfassung des Zeilenzugriffs einer Gruppe. Zeilenzugriff öffnen (oder Bearbeiten) öffnet die ausgewählte Spalte; Hinzufügen schränkt eine weitere Spalte im Projekt dieser Zeile ein.

Wird der Bildschirm auf einer Spalte geöffnet, bleibt er auf dieser Spalte. Wird er mit Spalte einschränken… oder Hinzufügen geöffnet, können Sie eine Spalte auswählen.

Das Raster für den Zeilenzugriff

So schränken Sie eine Tabelle anhand einer Spalte ein:

Öffnen Sie den Zeilenzugriff über einen der oben genannten Einstiegspunkte und wählen Sie die Spalte aus, falls Sie nicht mit einer Spalte gekommen sind – die Auswahl bietet die tatsächlichen Spalten der Tabelle an, keinen freien Text.
Wählen Sie eine Wertequelle aus – Spalte (die eindeutigen Werte der Spalte einer Tabelle), Dimension (Knoten einer Dimension) oder Liste (Werte, die Sie selbst eingeben). Der Werttyp folgt dem Datentyp der Spalte.
Aktivieren Sie für jede Sicherheitsgruppe die Werte, die diese Gruppe sehen darf. Das Raster listet die Gruppen mit Zugriff auf das Projekt auf sowie jede Gruppe, die bereits eine Gewährung für die Spalte besitzt.
Setzen Sie Everyone else auf sees all rows oder sees no rows – das betrifft jede Gruppe, für die im Raster nichts aktiviert ist.
Klicken Sie auf Speichern.

Das Speichern wirkt sofort. Die eigenen Abfragen von PlaidCloud folgen der Änderung unmittelbar, Ihre Superset-Dashboards innerhalb von etwa einer Minute – es gibt keinen separaten Schritt zum Anwenden und keinen Genehmigungsdialog. Der Synchronisierungsstatus des Bildschirms zeigt, wie weit die Änderung gekommen ist; siehe Dashboards synchron halten.

Das Raster übernimmt außerdem die Details für Sie:

Viele Werte. Werte werden sortiert. Hat eine Spalte mehr Werte, als hineinpassen, meldet das Raster „Mehr Werte, als hier hineinpassen – geben Sie einen Suchbegriff ein.“, und das Filterfeld durchsucht die gesamte Spalte, wobei jeder Wert erhalten bleibt, den eine Gruppe bereits besitzt.
Leere Werte. Ein einzelnes Kontrollkästchen Leere Werte – sichtbar für jede Gruppe mit einer Gewährung legt fest, wie Zeilen ohne Wert in der Spalte behandelt werden. Aktivieren Sie es, und jede Gruppe mit einer beliebigen Gewährung für die Spalte sieht diese Zeilen.
Eine Tabelle, die noch nicht erstellt ist, zeigt Erstellen Sie diese Tabelle zuerst (führen Sie den Workflow aus, der sie erstellt) statt einer leeren Liste.
Speichern wartet auf die angezeigten Werte. Während Werte geladen werden – nachdem Sie die Wertequelle, die Dimension oder die Tabelle gewechselt oder eine Vorlage angewendet haben –, ist Speichern mit dem Tooltip „Speichern ist verfügbar, sobald die Werte dieser Quelle geladen sind.“ deaktiviert. Schlägt ein Ladevorgang fehl, meldet das Raster dies und fordert Sie auf, die Quelle erneut auszuwählen; es wird nichts gespeichert, bis ein Ladevorgang erfolgreich ist.

Ein Spaltenname, jede Tabelle

Eine Einschränkung gehört zu einem Namen einer Spalte im Projekt, nicht zu einer einzelnen Tabelle. Sobald region Zeilen einschränkt, wird jede Tabelle im Projekt mit einer Spalte namens region danach gefiltert – in den eigenen Abfragen von PlaidCloud ebenso wie in Dashboards. Die Liste Applies to im Raster zeigt diese Tabellen. Sie ist schreibgeschützt, da der Spaltenname sie bestimmt, und eine Tabelle, die Sie später mit derselben Spalte hinzufügen, wird erfasst, sobald sie veröffentlicht ist.

Hat keine Tabelle im Projekt eine Spalte mit diesem Namen, warnt das Fenster zusätzlich zur Anzeige von Applies to 0 tables, dass die Einschränkung kein Dashboard filtert, bis eine Tabelle diese Spalte hat. Fügen Sie die Spalte einer Tabelle hinzu oder korrigieren Sie den Spaltennamen, dann verschwindet die Warnung.

Das Veröffentlichen einer Tabelle, die Zeilen einschränkt, richtet im selben Schritt ihren Dashboard-Filter ein. Dashboards lesen eine Tabelle über ihre veröffentlichte Berichtsansicht. Wenn Sie also eine Tabelle mit einer eingeschränkten Spalte veröffentlichen oder erneut veröffentlichen, registriert PlaidCloud den Dashboard-Filter dieser Tabelle, bevor die Veröffentlichung abgeschlossen ist. Gelingt das nicht, wird die Veröffentlichung abgelehnt und alles, was dieser Versuch angelegt hat, wird zurückgerollt, sodass eine eingeschränkte Tabelle nie ungefiltert in Dashboards landet. Eine Ansicht kann in einem Projekt, das Zeilen einschränkt, nicht veröffentlicht werden, da die Abfrage einer Ansicht die eingeschränkte Spalte umbenennen oder ableiten kann. Siehe Tabellen veröffentlichen.

Eine Einschränkung aufheben

Einschränkung aufheben im Raster entfernt die Einschränkung nach einer Bestätigung direkt im Raster – „Einschränkung der Zeilen nach ‚region‘ aufheben? Jede Gewährung der Gruppen dafür wird entfernt, und alle sehen ihre Zeilen.“ Der Zeilenzugriff bestätigt anschließend: „Zeilen in ‚region‘ sind nicht mehr eingeschränkt.“ Das Superset-Dataset der Spalte wird mit entfernt, es sei denn, Diagramme verwenden es noch; in diesem Fall meldet der Zeilenzugriff, dass das Dataset bestehen bleibt, und wie viele Diagramme es verwenden.

Eine Spalte kann nicht umbenannt oder gelöscht werden, solange sie Zeilen einschränkt. Ein Architect wird aufgefordert, die Einschränkung zuerst im Zeilenzugriff aufzuheben; alle anderen werden aufgefordert, einen Projekt-Architect zu fragen.

Wer ein Projekt mit Zeileneinschränkung ändern darf

Die Workflows, Schritte und benutzerdefinierten Funktionen eines Projekts laufen unter der eigenen Dienstidentität des Projekts, die jede Zeile liest. Wer sie ändern kann, könnte einen Schritt so gestalten, dass er Zeilen, für die er nicht berechtigt ist, in eine Tabelle kopiert, die er lesen kann. Deshalb schränkt die Zeileneinschränkung eines Projekts auch ein, wer ändern darf, was das Projekt tut. Sobald ein Projekt mindestens eine Spalte einschränkt:

Automatisierung ist nur für Architects. Nur Projekt-Architects und Mandantenadministratoren können Workflows, Schritte, benutzerdefinierte Funktionen, Zeitpläne, Workflow- und Projektvariablen sowie Benachrichtigungs-E-Mail-Vorlagen ändern – und aus demselben Grund ein Workflow-Bundle importieren, einen Alteryx-Workflow konvertieren oder in das Projekt importieren, kopieren oder wiederherstellen bzw. dessen Verbindungsumgebung, Standard-Dokumentenkonto oder ERP-Buchungsmodus ändern. Alle anderen können die Workflows des Projekts weiterhin ausführen: Start, Beenden, Fortsetzen und Ausgewählte(n) Schritt(e) ausführen bleiben verfügbar. Der Schritt-Editor, die Authoring-Steuerelemente des Workflows, der UDF-Editor und das Zeitplanformular öffnen sich für sie schreibgeschützt, mit einem Banner, das die Architects nennt, die Sie fragen können: „Dieses Projekt schränkt Zeilen ein, daher können nur seine Architects Workflows, Schritte, UDFs, Zeitpläne, Variablen und Benachrichtigungsvorlagen ändern. Sie können sie weiterhin ausführen.“
Dimensionen, die eine eingeschränkte Spalte liest, sind nur für Architects. Eine Dimension, die bestimmt, wer welche Zeilen sieht – die Wertequelle einer eingeschränkten Spalte –, kann nur von einem Projekt-Architect oder einem Mandantenadministrator und von den eigenen Workflows des Projekts geändert werden. Das umfasst das Hinzufügen, Verschieben, Umbenennen, Kopieren, Leeren, Laden und Wiederherstellen ihrer Knoten sowie die Dimension selbst. Alle anderen erhalten die Meldung „Diese Dimension bestimmt, wer welche Zeilen von ‚region‘ sieht, daher kann nur ein Projekt-Architect sie ändern.“ Dimensionen, die keine Einschränkung liest, sind nicht betroffen.
Eine Quelltabelle für Gewährungen ist nur für Architects. Die Zeilen einer Tabelle, die als Quelle der Gewährungen einer Spalte gebunden ist, können nur von einem Projekt-Architect, einem Mandantenadministrator oder den Workflows des Projekts geändert oder die Tabelle gelöscht werden – über den Dateneditor, einen Import, einen Connector-Ladevorgang oder die API gleichermaßen.
Das Kopieren des Projekts ist nur für Architects, und die Kopie meldet „Diese Kopie ist nicht zeileneingeschränkt.“ – das neue Projekt trägt keine Einschränkung, bis Sie eine einrichten.
Das Wiederherstellen einer früheren Version ist eine Änderung wie jede andere. Das Wiederherstellen der eigenen Einstellungen des Projekts oder einer oben genannten Dimension erfordert einen Projekt-Architect. Eine Wiederherstellung gilt immer für das Element, zu dem die Version gehört, und lässt sich daher nicht auf ein anderes Projekt richten, um dies zu umgehen – siehe Versionsverlauf.
Das Bearbeiten von Daten in einer eingeschränkten Tabelle erfordert einen Architect, wie unter Zeilenzugriff und Dateneditor beschrieben.

Bevor die erste Spalte eines Projekts eingeschränkt wird, informiert der Zeilenzugriff Sie, wen dies betrifft: „Wenn Sie hier Zeilen einschränken, können nur Architects die Workflows, Schritte, UDFs, Zeitpläne und Benachrichtigungsvorlagen dieses Projekts ändern. N Mitglieder können sie heute ändern; sie können sie weiterhin ausführen.“

Ausführungen funktionieren genau wie zuvor weiter, auch geplante, da sie unter der Dienstidentität des Projekts laufen. Was eine Ausführung erzeugt, folgt dem Design, das ihre Architects ihr gegeben haben: Eine Zieltabelle ohne die eingeschränkte Spalte, eine Exportdatei, eine Benachrichtigungs-E-Mail oder eine Protokollzeile wird für diejenigen, die sie lesen, nicht gefiltert.

Werte, die beim Start einer Ausführung angegeben werden. Wer einen Workflow ausführen kann, kann ihn mit eigenen Werten für seine Variablen starten – der App Runner tut dies mit den Antworten seines Formulars, und die API und KI-Tools können es ebenfalls. Diese Werte gelten nur für diese Ausführung: Sie werden nie im Workflow gespeichert, und keine andere Ausführung, kein Export und kein Leser sieht sie. Da die Ausführung unter der Dienstidentität läuft, können die Werte ändern, was diese Ausführung liest und schreibt. Erteilen Sie die Berechtigung zum Ausführen von Workflows daher nur Personen, denen Sie vertrauen.

Projekte ohne Zeileneinschränkung. Diese Regeln greifen erst, wenn ein Projekt eine Spalte einschränkt. In einem Projekt, das keine einschränkt, kann jeder, der die Automatisierung des Projekts ändern kann, einen Schritt oder eine benutzerdefinierte Funktion schreiben, die – unter der Dienstidentität des Projekts laufend – den Zugriff des Projekts ändert und ihn selbst zu einem seiner Architects macht. Das ist beabsichtigt: Ein solches Projekt verspricht keine Zeilenisolation. Beschränken Sie dort die Authoring-Rechte auf Personen, denen Sie als Architects vertrauen würden, oder schränken Sie eine Spalte ein.

Dashboards synchron halten

Der Zeilenzugriff zeigt im Raster und in der Spalte Synchronisieren auf der Registerkarte „Security“ des Projekts, wo eine Änderung auf dem Weg zu Ihren Dashboards steht:

Status	Bedeutung
Wartend	Eine Änderung ist gespeichert und auf dem Weg zu den Dashboards. Sie erledigt sich normalerweise innerhalb von etwa einer Minute.
Wird wiederholt	Eine Übermittlung ist fehlgeschlagen und wird erneut versucht. Der Grund des Fehlers wird neben dem Status angezeigt, mit Wiederholen, um sofort erneut zu senden.
Noch nicht angewendet	Die Einschränkungen des Projekts wurden noch nicht an die Dashboards gesendet.
Angewendet	Der letzte Versuch, die Einschränkungen an die Dashboards zu senden, war erfolgreich.
Mit Dashboards synchron	Der Zeilenzugriff hat verglichen, was Dashboards durchsetzen, mit dem, was er schreiben würde, und beides stimmt überein.
Dashboards weichen ab	Dashboards setzen nicht durch, was der Zeilenzugriff schreiben würde – eine Regel wurde in Superset geändert oder gelöscht, oder die veröffentlichte Ansicht einer Tabelle kann nicht geprüft werden.
Fehler	Das Senden der Einschränkungen ist fehlgeschlagen. Der Grund wird neben dem Status angezeigt.

Sobald eine Änderung Angewendet erreicht, gleicht das Raster sie mit den Dashboards ab und wechselt zu Mit Dashboards synchron oder Dashboards weichen ab. Dashboards weichen ab und Fehler bieten beide Wiederholen, wodurch die Einschränkungen des Projekts erneut gesendet werden. Kann der Status überhaupt nicht gelesen werden, meldet das Raster „Synchronisierungsstatus nicht prüfbar.“

Ein Fehler, der durch eine einzelne Tabelle verursacht wird, nennt die Tabelle und sagt, was zu tun ist – zum Beispiel eine Tabelle, die ohne ihre eingeschränkte Spalte veröffentlicht wurde („Erneut veröffentlichen oder Veröffentlichung aufheben.“), oder eine Tabelle mit einer eingeschränkten Spalte, die nicht veröffentlicht ist und die Dashboards erst filtern können, wenn sie veröffentlicht ist. Der Status bleibt auf Fehler und nennt die nicht veröffentlichte Tabelle, bis Sie sie veröffentlichen oder stattdessen die Spalte einer veröffentlichten Tabelle einschränken. Eine solche Tabelle hält den Rest des Projekts nicht auf: Alle anderen Tabellen werden auf dem aktuellen Stand gehalten.

Dashboards folgen denselben Gewährungen wie die eigenen Abfragen von PlaidCloud:

Jede veröffentlichte Tabelle mit der Spalte wird gefiltert, nicht nur die Tabelle, die Sie beim Einrichten der Einschränkung angesehen haben.
Eine Gruppe, der nur einige Werte gewährt wurden, wird auch dann gefiltert, wenn alle anderen alle Zeilen sehen, und zwar bei jeder Tabelle, deren Dashboard-Dataset existiert.
Änderungen an der Mitgliedschaft in Sicherheitsgruppen erreichen die Dashboards von selbst. Wenn Sie in PlaidCloud jemanden zu einer Gruppe hinzufügen oder daraus entfernen, ein Mitglied deaktivieren oder löschen, eine Gruppe löschen oder ein neues Mitglied hinzufügen, das Ihren Standard-Sicherheitsgruppen beitritt, wird innerhalb von etwa einer Minute aktualisiert, was die Person in Dashboards sieht – in jedem Projekt, das dieser Gruppe Werte gewährt –, ohne dass jemand den Zeilenzugriff erneut öffnen muss. Eine Änderung der Mitgliedschaft, die außerhalb von PlaidCloud erfolgt – direkt in Keycloak oder indem Single Sign-On jemanden bei der Anmeldung in eine Gruppe einordnet –, erreicht die Dashboards innerhalb von etwa 15 Minuten, ohne dass etwas gespeichert oder wiederholt werden muss.

Gewährungen für Dimensionen

Mit Dimension als Wertequelle aktivieren Sie einen Knoten, um alles darunter zu gewähren. Die Gewährung folgt der Dimension: Ein Mitglied, das unter einem aktivierten Knoten hinzugefügt wird, wird bei der nächsten Synchronisierung nach dem Speichern der Dimension dieser Gruppe gewährt, und ein Mitglied, das unter diesem Knoten herausverschoben oder entfernt wird, wird nicht mehr gewährt – niemand muss das Raster erneut öffnen. Wenn Sie es erneut öffnen, werden die Knoten, die Sie aktiviert haben, wieder als aktiviert angezeigt.

Wenn Sie etwas unterhalb eines aktivierten Knotens deaktivieren, wird der Knoten deaktiviert, und die Gruppe behält nur die weiterhin aktivierten Mitglieder. Wenn Sie dieses Mitglied erneut aktivieren, wird der Knoten nicht erneut aktiviert – klicken Sie dazu auf das Kontrollkästchen des Knotens selbst. Einfügen, Alle auswählen und Umkehren aktivieren Mitglieder, nie Knoten.

Ein Dimensionsmitglied, dessen Name nicht als Zeilenzugriffswert verwendet werden kann, wird beim Speichern abgelehnt, wobei es benannt wird. Tritt ein solches Mitglied später auf, werden seine Zeilen niemandem gewährt, und der Synchronisierungsstatus nennt es: „Das Mitglied ‚…‘ der Dimension ‚…‘ kann nicht als Zeilenzugriffswert verwendet werden, daher werden seine Zeilen nicht gewährt. Benennen Sie es in der Dimension um.“

Gewährungen an eine Quelltabelle binden

Statt Werte von Hand zu aktivieren, können Sie eine eingeschränkte Spalte auf eine Quelltabelle verweisen lassen, die die Antwort bereits enthält – eine Zeile pro Gruppe und dem Wert, den sie sehen darf. Schränken Sie die Spalte zuerst im Raster ein und fügen Sie dann einen Zeilenzugriff festlegen-Schritt zum Workflow hinzu, der die Spalte, die Quelltabelle sowie die Gruppen- und Wertspalten der Quelltabelle angibt. Bei der ersten Ausführung des Schritts wird die Spalte an diese Tabelle gebunden: Die von Hand gesetzten Gewährungen der Spalte werden gelöscht, und ihre Gewährungen werden aus den Zeilen der Tabelle gesetzt.

Nach der Bindung gehört die Spalte der Quelle (source-owned): Das Zeilenzugriff-Raster zeigt sie gesperrt an, mit einem Badge, das die Quelltabelle nennt, und das manuelle Bearbeiten ihrer Gewährungen wird abgelehnt, bis Sie auf Bindung entfernen klicken.

Jede weitere Ausführung des Schritts liest die Quelltabelle erneut ein und wendet die Gewährungen erneut an – planen Sie ihn nach dem Workflow, der diese Tabelle lädt oder aktualisiert, dann erreicht eine in den Quelldaten hinzugefügte, entfernte oder neu zugeordnete Gruppe den Zeilenzugriff bei der nächsten Ausführung, ohne dass jemand das Raster von Hand bearbeitet.

Da die Quelltabelle bestimmt, wer was sieht, können nur ein Projekt-Architect, ein Mandantenadministrator oder die eigenen Workflows des Projekts ihre Zeilen ändern oder sie löschen. Alle anderen erhalten die Meldung „Diese Tabelle liefert die Gewährungen für den Zeilenzugriff auf ‚region‘, daher kann nur ein Projekt-Architect ihre Zeilen ändern oder sie löschen.“

Einschränkungsvorlagen

Wenn Sie eine Einschränkungsform aufgebaut haben, die Sie wiederverwenden möchten – dieselbe Wertequelle, derselbe Werttyp und dieselbe Einstellung für leere Werte –, speichern Sie sie einmal und wenden Sie sie überall an, wo sie gebraucht wird, anstatt sie Spalte für Spalte neu aufzubauen.

Als Vorlage speichern… auf einem geöffneten Zeilenzugriff-Bildschirm speichert die Form der aktuellen Spalte als benannte Vorlage auf Mandantenebene. Es wird nur die Form gespeichert – keine Gewährungen werden mitgenommen.
Vorlage anwenden bei der Spalte eines anderen Projekts beginnt diese Spalte mit der Form der Vorlage, wobei die Gewährungen jeder Gruppe leer sind und von Ihnen ausgefüllt werden.

Jeder Projekt-Architect kann Vorlagen speichern und anwenden. Das Umbenennen (Umbenennen…) und Löschen (Löschen) einer Vorlage erfordert einen Mandantenadministrator, da eine Vorlage mandantenweit geteilt wird. Das Löschen einer Vorlage lässt die Spalten, auf die sie angewendet wurde, so eingeschränkt, wie sie sind.

Gewährungen aus SSO-Gruppenattributen

Eine Spalte kann ihre Gewährungen auch von Ihrem Identitätsanbieter statt von PlaidCloud beziehen. Ein Projekt-Architect nimmt eine Spalte im Zeilenzugriff durch Aktivieren von Accept row-access grants from SSO group attributes dafür auf.

Sobald aktiviert, legt das Keycloak-Attribut row_access.<column> einer Sicherheitsgruppe die Werte fest, die diese Gruppe über die Spalte sehen kann – setzen Sie das Attribut in Keycloak an der Gruppe, und PlaidCloud übernimmt es automatisch für jede Gruppe, die bereits Zugriff auf das Projekt hat. Im Zeilenzugriff selbst ist nichts weiter zu konfigurieren, und die Gewährungen bleiben sowohl in den eigenen Abfragen von PlaidCloud als auch in Superset-Dashboards synchron.

Vorschau vor dem Speichern

Der Zeilenzugriff zeigt Ihnen, was eine Änderung bedeutet, bevor Sie sie festschreiben:

Eine Fußzeile Vorschau als… zeigt, wie viele der Zeilen der Tabelle eine Gruppe von der Gesamtzahl sehen würde, mit einer Stichprobe der Zeilen selbst – wählen Sie im Raster eine beliebige Gruppe für die Vorschau aus. Die Vorschau wird nach dem Speichern aktualisiert.
Vor dem Speichern warnt der Zeilenzugriff Sie vor allem, was einen zweiten Blick wert ist: eine Gruppe, bei der nichts aktiviert ist, und ob sie nach Ihrer Einstellung Everyone else alle Zeilen oder keine sieht; Mitglieder mit Projektzugriff, die von keiner Gewährung einer Gruppe erfasst werden; oder Zeilen, deren Wert in dieser Spalte leer (NULL) ist und die keiner Gruppe gewährt werden.

Was ein eingeschränktes Mitglied sieht

Überall dort, wo ein eingeschränktes Mitglied eine Tabelle über ihren Namen liest, erhält es nur seine Zeilen – im Raster, in den Spaltenfacetten und Downloads des Tabellen-Explorers, im Download-Dialog für Tabellen, in Apps und Tools, die als Betrachter lesen, und in Dashboards. Der Tabellen-Explorer zeigt in seiner Symbolleiste Zeilen durch Ihren Zugriff eingeschränkt an, wenn das Raster, das Sie ansehen, durch Ihre Gewährungen gefiltert wurde, und beim Starten eines Downloads, der gefiltert wird, erscheint „Zeilen durch Ihren Zugriff eingeschränkt.“ Ein Architect, der jede Zeile liest, sieht keinen der beiden Hinweise.

Zeilenzugriff und selbst geschriebene Abfragen

Der Zeilenzugriff begrenzt, welche Zeilen eine Gruppe sehen darf, indem er die Tabelle filtert, für die er definiert ist. Eine selbst geschriebene Abfrage hat keine einzelne Tabelle, an die sich dieser Filter anhängen ließe – eine Abfrage kann beliebig viele Tabellen verbinden, kombinieren oder verschachteln. Daher führt PlaidCloud in einem Projekt, das Zeilen einschränkt, keine vom Aufrufer gelieferte Abfrage aus, anstatt Zeilen zurückzugeben, die nichts geprüft hat.

Das gilt für das Lesen über eigenes SQL, für das Exportieren der Ergebnisse eigenen SQLs in eine Datei oder in eine andere Datenbank und für die Eingabe einer Zeilenbedingung in die Vorschau „Test row 1“ eines Fan-out-Schritts. Es gilt nicht für das Lesen einer Tabelle über ihren Namen, den üblichen Weg, auf dem Apps und Tools Daten lesen – diese wenden die Gewährungen an und liefern die Zeilen, auf die der Betrachter Anspruch hat. Auch eine Spaltenfacette, die als einfache Abfrage einer einzelnen Tabelle geschrieben ist, wird über den Namen gelesen und liefert daher die eigenen Werte des Mitglieds, statt abgelehnt zu werden.

Wer abgelehnt wird, erfährt, um welches Projekt es sich handelte, und wird auf die Leser über den Namen hingewiesen. Ein Projekt-Architect kann die Abfrage wie geschrieben ausführen und ihre Ergebnisse in jedem Format exportieren, da ein Architect sich ohnehin jeden Wert jeder eingeschränkten Spalte gewähren kann.

Der Import einer Tabellenkalkulation ist für sich genommen keine selbst geschriebene Abfrage – ein gewöhnlicher Dateiimport liest überhaupt keine eingeschränkten Daten, er erstellt nur die neue Tabelle des Projekts aus der hochgeladenen Datei und ist daher vom Zeilenzugriff nicht betroffen. Die Ausnahme ist ein Import, dessen Datenprojektion vom Aufrufer geliefert wird: ein Ausdruck pro Spalte oder eine dynamische Excel-Zuordnung. Auf dem interaktiven Importbildschirm werden diese genauso abgelehnt wie die oben genannten Oberflächen mit freiem SQL und erfordern einen Projekt-Architect, weil eine vom Aufrufer gelieferte Projektion eine andere Tabelle lesen könnte. Ein Import, der aus einem Workflow ausgeführt wird, ist in beiden Fällen nicht betroffen, da er unter der eigenen Dienstidentität des Projekts läuft.

Zeilenzugriff und Dateneditor

Der Dateneditor liest und schreibt eine Tabelle direkt, daher gilt der Zeilenzugriff für ihn auf beiden Seiten.

Wenn Sie eine eingeschränkte Tabelle im Dateneditor öffnen, sehen Sie nur die Zeilen, die Ihrer Sicherheitsgruppe gewährt sind – dieselbe Filterung, die Sie in ein Dashboard begleitet, und sie gilt auch dann, wenn die eingeschränkte Spalte nicht zu den im Raster angezeigten Spalten gehört.

Zum Speichern Ihrer Änderungen ist Architect im Projekt erforderlich. Ein Speichervorgang ersetzt die Zeilen der Tabelle als Ganzes, statt sie zu lesen, und wird nicht Zeile für Zeile gefiltert. Das Bearbeiten von Daten in einer eingeschränkten Tabelle gilt daher als Authoring-Aktion und nicht als Lesezugriff: Wer kein Architect ist, wird darauf hingewiesen, dass er die Rolle benötigt. Eine Tabelle ohne eingeschränkte Spalte wird wie bisher bearbeitet, ebenso jedes Projekt, das keine Zeilen einschränkt.

Zeilenanzahlen und Tabellengrößen

Die Zeilenanzahl und die Speichergröße einer Tabelle beschreiben die gesamte Tabelle, nicht die Zeilen, die Sie sehen dürfen, und würden einem eingeschränkten Leser daher verraten, wie viele Zeilen über seine Gewährung hinaus existieren. In einem Projekt, das Zeilen einschränkt, sieht jeder, dessen Lesezugriffe gefiltert werden, für keine der Tabellen des Projekts eine Zeilenanzahl oder Größe – in Tabellenlisten, in der Suche, in Tabellendetails und Snapshots sowie über den KI-Assistenten und KI-Tools, die über MCP verbunden sind. Das gilt für jede Tabelle im Projekt, einschließlich der Tabellen ohne eingeschränkte Spalte. Auch die Gesamtwerte des Projekts sind für sie ausgeblendet – die Gesamtzeilenanzahl und -größe auf der Startseite, in Projektlisten und in der Suche sowie in den Projektdetails.

Dasselbe gilt für den Ausführungsverlauf von Workflows. Die gelesenen und geschriebenen Zeilen, die jede Ausführung und jeder Schritt aufgezeichnet hat, beschreiben ebenfalls die gesamte Tabelle; für dieselben Leser bleiben diese Angaben daher leer – im Ausführungsverlauf eines Workflows und eines Schritts sowie über den KI-Assistenten und KI-Tools, die über MCP verbunden sind. Für sie prüft Weave Schritte nicht auf Zeilen oder leere Werte, die sich von früheren Ausführungen unterscheiden, da ein Befund selbst verraten würde, dass sich die Gesamtzahl der Tabelle verändert hat.

Projekt-Architects sehen die Angaben wie bisher, ebenso alle in einem Projekt, das keine Zeilen einschränkt.

Sehen, was ein Mitglied sehen kann

Um zu prüfen, was eine bestimmte Person sehen kann, statt was einer Gruppe gewährt ist: Öffnen Sie Identity → Member, wählen Sie das Mitglied aus und öffnen Sie dessen Registerkarte Zeilenzugriff. Die Spalte Effektiver Zugriff listet für jedes eingeschränkte Projekt und jede eingeschränkte Spalte die Werte auf, die dieses Mitglied über alle seine Gruppen zusammen sieht – einschließlich Gewährungen aus SSO-Gruppenattributen und leerer (NULL) Zeilen, wenn die Gewährung einer Gruppe sie einschließt. Ein Projekt-Architect wird als Sieht jede Zeile (Architect) angezeigt, da ein Architect jede Zeile liest. Es ist dieselbe Antwort, die die eigenen Abfragen von PlaidCloud anwenden, und damit nützlich für den Support und um zu bestätigen, dass eine Änderung das Gewünschte bewirkt hat, bevor jemand ein Problem meldet.

Verständlichere Fehlermeldungen

Wo der Zeilenzugriff eine Aktion blockiert – eine selbst geschriebene Abfrage in einem eingeschränkten Projekt, eine Bearbeitung ohne Architect, eine Änderung an der Automatisierung, einer Dimension oder einer Quelltabelle für Gewährungen und die anderen oben beschriebenen Fälle –, nennt die Meldung, was eingeschränkt ist und was als Nächstes zu tun ist, etwa die Architects, die Sie fragen können, statt eines allgemeinen Fehlers.

Der Zeilenzugriff wird protokolliert

Das Einschränken oder Aufheben der Einschränkung einer Spalte sowie das Bearbeiten der Gewährungen einer Gruppe schreiben jeweils einen Eintrag in das Projektprotokoll dieses Projekts – wer die Änderung wann vorgenommen hat. Öffnen Sie Analyze → Projects → Log im Projekt, um es zu sehen. Für diese Nachverfolgung muss nichts am Zeilenzugriff aktiviert werden; sie wird auf dieselbe Weise aufgezeichnet wie jede andere nachverfolgte Änderung an einem Projekt.

Standard-Sicherheitsgruppen festlegen

Um den Aufwand beim Hinzufügen neuer Mitglieder zu verringern, legen Sie eine Reihe von Standard-Sicherheitsgruppen fest. Das liefert neuen Mitgliedern eine Basis an Sicherheitsgruppen, ohne dass jede Person manuell zugewiesen werden muss. Die Einstellung steht beim Hinzufügen einer neuen Sicherheitsgruppe zur Verfügung, wenn Sie unten im Fenster der Sicherheitsgruppe das Kontrollkästchen „Assign to New Users by Default“ aktivieren.

Sicherheitsaudit durchführen

Das Sicherheitsaudit ermöglicht es, die Gruppenmitgliedschaft über alle Mitglieder und Gruppen hinweg einzusehen.

So führen Sie ein Sicherheitsaudit durch:

Öffnen Sie Identity
Wählen Sie die Registerkarte „Security“ aus
Klicken Sie im Dropdown-Menü auf „Security Group Audit“

Da alle Tabellen in PlaidCloud als CSV-Datei exportiert werden können, lassen sich die Zuordnungen von Gruppen und Mitgliedern außerhalb von PlaidCloud prüfen – für historische Zwecke oder einfach zum Vergnügen beim Offline-Betrachten.

So exportieren Sie aus dem Formular „Security Group Audit“:

Öffnen Sie Identity
Wählen Sie die Registerkarte „Security“ aus
Klicken Sie im Dropdown-Menü auf „Security Group Audit“
Klicken Sie in der Tabelle auf das kleine Symbol ganz rechts neben „Username“
Klicken Sie je nach Wunsch auf „Export CSV“ oder „Export XLXS“

Verfügbare Berechtigungseinstellungen anzeigen

Jede im Workspace verwendete Anwendung hat bestimmte verfügbare Berechtigungen. Die Berechtigungen der Sicherheitsgruppen beruhen auf diesen Anwendungsberechtigungen.

Die vollständige Liste der verfügbaren Berechtigungen für jede Anwendung ist im Security Bin einsehbar.

So greifen Sie auf den Security Bin zu:

Öffnen Sie Identity
Wählen Sie „Security“ aus
Klicken Sie im Dropdown-Menü auf „Security Bins“

Um die detaillierten Sicherheitseinstellungen für jede Anwendung anzuzeigen, wählen Sie das Tag-Symbol ganz links aus.

Diese Informationen zu den verfügbaren Sicherheitseinstellungen dienen nur zur Information. Details zur Verwaltung von Berechtigungen finden Sie im obigen Abschnitt „Sicherheitsgruppen verwalten“.