Zugriff auf Daten steuern

ca. 20 Minuten · eine Sicherheitsgruppe, zugewiesene Mitglieder, eingegrenzter Zugriff

Sie wurden soeben zum Administrator eines PlaidCloud-Workspace ernannt, und die ersten Personen warten auf Zugang – aber nicht jeder soll alles sehen. Dieses Tutorial führt Sie einmal den gesamten Weg entlang: Sie holen die richtigen Personen in den Workspace, bündeln eine Reihe von Berechtigungen in einer Sicherheitsgruppe, weisen ihr Mitglieder zu und grenzen anschließend ein, worauf diese Gruppe auf Projekt- und – sofern eingerichtet – auf Zeilenebene zugreifen kann.

Die Bausteine, mit denen Sie arbeiten – Organisation, Workspace, Mitglied, Sicherheitsgruppe – greifen in fester Weise ineinander. Wenn Ihnen das Modell neu ist, lesen Sie zuerst Identity and Access Management (IAM); dort finden Sie das Diagramm. Die Kurzfassung: Eine Organisation enthält Workspaces, ein Workspace enthält Mitglieder, und eine Sicherheitsgruppe ist ein Bündel von Berechtigungen innerhalb eines Workspace, dem Sie Mitglieder zuweisen. Zwischen Workspaces gibt es keine Überschneidungen – jeder verwaltet seinen Zugriff selbst.

Das meiste von dem, was folgt, geschieht auf der Registerkarte Identität auf der linken Seite des Workspace. Sie benötigen dafür ausreichende Administratorrechte zur Verwaltung der Sicherheit.

Sie können nur vergeben, was Sie selbst besitzen. Wenn Sie die Berechtigungen einer Gruppe speichern, lässt PlaidCloud stillschweigend alle Berechtigungen unverändert – und zeigt sie Ihnen gar nicht erst an –, die Sie nicht selbst haben. Wenn eine Funktion, die Sie vergeben möchten, nicht in der Matrix erscheint, bitten Sie jemanden, der sie besitzt. Die Matrix bearbeitet immer nur das, was Sie selbst kontrollieren.

Schritt 1: Die richtigen Personen in den Workspace holen

Eine Sicherheitsgruppe lässt sich nur einem Mitglied zuweisen, das bereits im Workspace ist – beginnen Sie also hier. Ein Mitglied muss Teil der Organisation sein und im Formular zur Mitgliederverwaltung erscheinen, bevor Sie es einem Workspace hinzufügen können.

So fügen Sie dem Workspace ein neues Mitglied hinzu:

1. Öffnen Sie Identität und wählen Sie die Registerkarte Mitglied.
2. Klicken Sie im Dropdown-Menü auf Alle, um die aktuellen Mitglieder aufzulisten.
3. Klicken Sie auf Mitglied zum Arbeitsbereich hinzufügen, füllen Sie die Pflichtfelder aus und klicken Sie auf Erstellen.

Das neue Mitglied erhält automatisch eine Willkommens-E-Mail mit den Anmeldedaten. Um jemanden, der bereits in Ihrer Organisation ist, diesem Workspace hinzuzufügen, öffnen Sie Organization Settings (Menü oben rechts) → Workspaces → das Mitglieder-Symbol, ziehen die Person dann in den Workspace und klicken auf Einreichen. Wenn die Person noch gar nicht in der Organisation ist, laden Sie sie über das Einladungssymbol auf demselben Bildschirm per E-Mail ein.

Die Mitgliedschaft ist das äußere Tor, nicht die Feinsteuerung. Als Mitglied des Workspace kann man ihn überhaupt erst erreichen. Was man darin tun darf, bestimmen die Sicherheitsgruppen, denen man zugewiesen ist – darum geht es in den nächsten drei Schritten.

Die vollständigen Abläufe zum Hinzufügen, Einladen und Entfernen finden Sie unter Managing Workspace Members und Member Management.

Schritt 2: Eine Sicherheitsgruppe erstellen

Eine Sicherheitsgruppe ist ein benanntes Bündel von Berechtigungen. Statt Funktionen einzeln an Personen zu vergeben, definieren Sie das Bündel einmal und weisen ihm Personen zu.

1. Öffnen Sie Identität und wählen Sie die Registerkarte Sicherheit.
2. Klicken Sie im Dropdown-Menü auf Sicherheitsgruppen. Vorhandene Gruppen erscheinen in einem Formular.
3. Klicken Sie auf Sicherheitsgruppe erstellen und geben Sie ihr einen eindeutigen, rollenbasierten Namen – Analysts, Report Viewers, Workspace Admins.
4. Um die Berechtigungen der Gruppe festzulegen, klicken Sie auf das Symbol ganz links neben der Gruppe, um ihre Berechtigungsmatrix zu öffnen, wählen Sie die Funktionen aus, die diese Gruppe haben soll, und speichern Sie.

Die in der Matrix verfügbaren Berechtigungen stammen von den Anwendungen in Ihrem Workspace – jede Anwendung stellt ihren eigenen Satz bereit. Um vor dem Anlegen einer Gruppe die vollständige Liste dessen einzusehen, was eine Anwendung bietet, klicken Sie im Dropdown-Menü Sicherheit auf Security Bins und öffnen eine Anwendung über das Tag-Symbol links. Diese Ansicht dient nur der Information; die Berechtigungen vergeben Sie tatsächlich in der oben beschriebenen Gruppenmatrix.

Lieber weniger Gruppen als mehr. Ein Workspace erlaubt beliebig viele Sicherheitsgruppen, aber jede zusätzliche Gruppe ist eine weitere Sache, die Sie bei einem Audit nachvollziehen müssen. Bilden Sie Gruppen entlang echter Rollen, die sich mehrere Personen teilen, und halten Sie die Anzahl so niedrig, wie es die Arbeit zulässt.

Schritt 3: Der Gruppe Mitglieder zuweisen

Sobald die Gruppe definiert ist, nehmen Sie Personen in sie auf.

1. Klicken Sie unter Identität → Sicherheit → Sicherheitsgruppen auf das Symbol Mitglied neben der Gruppe.
2. Ziehen Sie die Personen, die die Berechtigungen dieser Gruppe erhalten sollen, aus der Spalte Nicht zugewiesene Mitglieder in die Spalte Zugewiesene Mitglieder. Um jemandem die Gruppe wieder zu entziehen, ziehen Sie die Person in die andere Richtung zurück.
3. Speichern Sie.

Das ist die gesamte Vergabe: Ein Mitglied in der Spalte Zugewiesene Mitglieder besitzt alle Berechtigungen, die die Gruppe bündelt; ein Mitglied außerhalb davon besitzt sie nicht.

Eine leere Zuweisung bewirkt absichtlich nichts. Wenn Sie die Gruppe mit leerer Spalte Zugewiesene Mitglieder speichern, ändert sich nichts, und Sie werden darauf hingewiesen. Um allen die Rechte einer Gruppe zu entziehen, entfernen Sie ihre Berechtigungen oder löschen Sie die Gruppe – versuchen Sie nicht, sie durch Leeren der Mitgliederliste zu widerrufen.

Optional: Eine Gruppe zum Standard für neue Mitglieder machen

Wenn jedes neue Mitglied mit einer Grundausstattung starten soll – etwa Lesezugriff auf gemeinsame Berichte –, markieren Sie eine Gruppe als Standard. Neue Mitglieder werden ihr dann automatisch zugewiesen, sodass Sie nicht daran denken müssen, es von Hand zu tun. Aktivieren Sie beim Erstellen oder Bearbeiten einer Gruppe unten im Fenster „Sicherheitsgruppe“ das Kontrollkästchen Neuen Benutzern standardmäßig zuweisen.

Schritt 4: Den Zugriff der Gruppe eingrenzen

Sie haben jetzt Mitglieder mit einem definierten Satz von Berechtigungen. PlaidCloud grenzt den Zugriff in aufeinander aufbauenden Ebenen ein – Organisation → Workspace → Projekt –, sodass Sie von außen nach innen einschränken können:

Ebene	Was sie steuert	Wo Sie sie festlegen
Workspace	Ob ein Mitglied den Workspace überhaupt erreicht	Workspace-Mitgliedschaft (Schritt 1)
Sicherheitsgruppe	Welche Funktionen es im Workspace besitzt	Gruppenberechtigungen (Schritt 2)
Projekt	Architect- und andere Rechte auf Projektebene	Berechtigungen der Sicherheitsgruppe, pro Projekt
Zeile (optional)	Welche Zeilen einer geregelten Tabelle eine Gruppe sieht	Zeilenzugriff (siehe unten)

Für die meisten Teams genügen die ersten drei Ebenen: Nehmen Sie Personen in den Workspace auf, geben Sie jeder Gruppe nur die Berechtigungen, die ihre Rolle benötigt, und steuern Sie Rechte auf Projektebene – etwa Architect für ein Projekt – über die Berechtigungen der Gruppe. Eine Gruppe ohne Rechte für ein Projekt kann darin schlicht nichts tun.

Wenn Sie Kontrolle pro Zeile benötigen

Wenn zwei Personen dieselbe Tabelle sehen sollen, aber unterschiedliche Zeilen davon – jeder Regionalleiter nur seine eigene Region –, verwenden Sie den Zeilenzugriff. Damit legen Sie eine Spalte eines Projekts (zum Beispiel region) fest, die bestimmt, welche Zeilen eine Sicherheitsgruppe sehen darf, und gewähren dann bestimmten Gruppen bestimmte Werte (East, Central). Das ist die feinste Ebene, und sie ist optional: Lassen Sie sie weg, sieht eine Gruppe alle Zeilen, die ihre übrigen Berechtigungen erlauben.

Ein Projekt-Architect öffnet den Zeilenzugriff über eine Tabelle im Tabellen-Explorer, über das Facettenmenü einer Spalte oder über die Registerkarte „Sicherheit“ des Projekts; die Speicherung wirkt sofort – in Dashboards innerhalb von etwa einer Minute, ohne dass weitere Schritte nötig sind. Die Details – eine Spalte einschränken, Werte gewähren und die Änderung bis in die Dashboards verfolgen – sind ausführlich unter Managing Row Access beschrieben; dieses Tutorial verweist bewusst nur darauf.

Der Zeilenzugriff folgt der Person, überall dort, wo sie Daten liest. Nach dem Speichern filtern die Zeilenfreigaben einer Gruppe, was ihre Mitglieder in Dashboards und in Apps sehen, die als der jeweilige Betrachter lesen – nach demselben Modell pro Betrachter, das eine Panel-App verwendet, wenn sie sich als angemeldeter Benutzer authentifiziert. Diesen Pfad beschreibt Reading Data and the Signed-In User.

Das Einschränken von Zeilen begrenzt auch, wer das Projekt ändern darf. Sobald ein Projekt eine Spalte einschränkt, können nur seine Architects und die Tenant-Administratoren seine Workflows, Schritte, benutzerdefinierten Funktionen, Zeitpläne und Variablen ändern; alle anderen können sie weiterhin ausführen. Siehe Who Can Change a Project That Restricts Rows.

Schritt 5: Ihre Arbeit überprüfen

Bevor Sie die Aufgabe als erledigt betrachten, vergewissern Sie sich, dass die Zuweisungen so aussehen, wie Sie es erwarten.

1. Öffnen Sie Identität → Sicherheit und klicken Sie im Dropdown-Menü auf Sicherheitsgruppen-Audit.
2. Prüfen Sie die Gruppenzugehörigkeit aller Mitglieder und Gruppen an einer Stelle.
3. Um einen Nachweis aufzubewahren, klicken Sie in der Tabelle auf das Symbol ganz rechts von Benutzername und wählen Sie CSV exportieren oder XLSX exportieren.

Führen Sie dieses Audit erneut durch, sobald sich Rollen ändern – es ist der eine Bildschirm, der das Gesamtbild zeigt, wer in welcher Gruppe ist.

Geschafft. Sie haben jetzt eine Sicherheitsgruppe, ihr zugewiesene Mitglieder und einen Zugriff, der vom Workspace bis zum Projekt – und, wo nötig, bis zur einzelnen Zeile – eingegrenzt ist.

Wie es weitergeht

• Managing Security Groups and Assignments – die vollständige Referenz zu Gruppen, Zeilenzugriff, Standardgruppen und dem Sicherheits-Audit
• Identity and Access Management (IAM) – das Zugriffsmodell, das Diagramm und die Fundstellen aller Zugriffsanleitungen
• Organizations and Workspaces Explained – die Grenzen zwischen den Ebenen, die Sie in Schritt 4 eingegrenzt haben
• Managing Workspace Members – Mitglieder einladen, hinzufügen und entfernen
• Reading Data and the Signed-In User – wie dasselbe Zugriffsmodell pro Betrachter in Apps gilt, die Daten als die Person lesen, die sie gerade ansieht