Zugriffsbeispiele
Nutze diese Beispiele als Ausgangspunkt für bereichsgebundene Rechte und prüfe anschließend die tatsächliche Aufgabe. Sie beschreiben vorhandene Berechtigungsschlüssel, keine neuen Rollen oder automatischen Vergaben. Ältere Arbeitsbereiche verwenden bis zur Migration ihr vorhandenes Zugriffsmodell. Siehe Rollen und Berechtigungen.
Eine Aufgabe in einem Bereich erlauben
- Öffne Admin → Benutzer & Geräte mit der Befugnis, die betreffenden Rechte zu delegieren.
- Wähle Person oder Zugriffsgruppe sowie den genauen Standort und die Umgebung. Begrenze zeitweilige Rechte mit einem Ablaufdatum.
- Ergänze nur die benötigten Berechtigungen. Behalte Objektgrenzen wie Materialverantwortung und zugewiesene Arbeitsplätze bei.
- Prüfe wirksame Rechte einschließlich Gruppenvererbung. Das Entfernen eines direkten Rechts entfernt keine weiterhin geerbte Berechtigung.
- Lasse die vorgesehene Person den Bereich auswählen und eine kontrollierte Aufgabe durchführen. Prüfe außerdem eine Aufgabe, die verweigert bleiben muss.
Lesen, Entwurf bearbeiten, veröffentlichen, zuweisen und operativ ausführen sind eigenständige Rechte. Ein Schlüssel setzt fachliche Zustandsregeln nicht außer Kraft.
Ein Beispiel wählen
| Aufgabe | Zu prüfende Berechtigungsschlüssel | Grenze |
|---|---|---|
| Zugewiesene operative App nutzen | app.read, app.interact; veröffentlichte App-Fähigkeiten und Fachaktionen | Zielgruppe, Zuweisung und Arbeitsplatzgrenzen gelten weiterhin. Shopfloor-Konten benötigen ein genehmigtes zugewiesenes Gerät. |
| Fertigung lesen und Fortschritt melden | production_order.read, production_order.progress.report, work_center.read; bei Störungen production_issue.read, production_issue.report | Keine Planungs-, Stammdaten- oder kommerziellen Kundenauftragsrechte allein für die Stationsbedienung. |
| Produktion planen | planning.read, planning.manage, production_order.read, work_center.read | Kalender- und Auftragsänderungen können weitere Rechte benötigen; Planung veröffentlicht keine Fertigungsdefinitionen. |
| App mit Tabelle erstellen | app.read, app.design, custom_table.read, custom_table.design; custom_table.manage nur zur Datensatzverwaltung | Ohne app.publish nur Entwürfe speichern. Quellenaktionen und Beschränkung auf eigene Datensätze bleiben ausdrücklich konfiguriert. |
| Apps veröffentlichen und zuweisen | app.read, app.publish; app.assign für Kontozuweisungen | app.design nur ergänzen, wenn die Person auch bearbeitet. Veröffentlichung erlaubt keine beliebigen Bestands- oder Fertigungsaktionen. |
| Integration erstellen | integration.read, integration.design, integration.publish; integration.credential.manage nur zur Zugangsdatenverwaltung | integration.execute und die Fachberechtigung bleiben getrennt. Externe Testaktionen benötigen außerdem genehmigte Umgebungsbindungen. |
| Instandhaltung prüfen | maintenance.read, maintenance.approve; maintenance.release nur zur Wiederfreigabe | Ausführende und prüfende Person bleiben getrennt, wenn der Ablauf unabhängige Prüfung verlangt. |
| Zugriffsnachweise lesen | authorization_audit.read; authorization_audit.export für Export | Nachweise verleihen weder Zugriffsverwaltung noch operative Schreibrechte. |
Die Zeilen sind kombinierbare Beispiele. Nicht jeder einzelne Schlüssel öffnet automatisch jede Ansicht. Abhängigkeiten, aktuelle Vergaben und konfigurierte Ressourcen bestimmen das Ergebnis. Native App-Aktionen können die veröffentlichte App-Befugnis verwenden und prüfen dabei weiterhin Konto, Bereich und Ressourcen.
Beispiel: vorübergehende Planung
Vergib Planungsrechte sowie die benötigten Auftrags- und Arbeitsplatzleserechte in Test bis zum vereinbarten Enddatum. Prüfe, dass die Person den vorgesehenen Rückstand öffnet und einen Planungsentwurf speichert. App-Veröffentlichung und fremde Standorte müssen gesperrt bleiben. Vergib Produktionsplanung gesondert, wenn sie zur Verantwortung gehört.
Entziehen und prüfen
Entferne oder beende die relevanten direkten und Gruppenvergaben. Prüfe wirksamen Zugriff erneut und aktualisiere die Sitzung, wenn verlangt. Die geschützte Aktion muss verweigert werden; ein verborgenes Menü reicht nicht. Prüfe Hintergrundaufträge und Integrationsidentitäten gesondert, da sie eigene gespeicherte Befugnisse besitzen. Geräte verwaltest du über die Shopfloor-Verwaltung.