Kuali Open Library Environment (OLE) Überblick: Rollen & Rechte

Transkript

1 Kuali Open Library Environment (OLE) Überblick: Rollen & Rechte KIM Konzept (Kuali Identity Management)... 2 Berechtigungen (Permissions)... 2 Zuständigkeiten (Responsibilities)... 2 Rollen... 3 Mitarbeiter (Persons)... 3 Gruppen... 4 Mitarbeiter in OLE manuell erfassen... 5 Step By Step... 5 Merke... 5 Mitarbeiter automatisiert in die Datenbank laden... 6 Verzeichnis ole-demo (Demo-Datenbank)... 6 Verzeichnis ole-inst (Local Institutional data)... 7 Verzeichnis ole-bootstrap (?????)... 7 Rollen in OLE erstellen... 8 Step By Step... 8 Seite 1

2 KIM Konzept (Kuali Identity Management) Die Erstellung und Bearbeitung von Mitarbeiter-/User- Datensätzen, sowie deren assoziierte Rollen erfolgt im Kuali Identity Management (KIM) System. Über dieses System erfolgen die Verwaltung von Identitäten, Berechtigungen und Zuständigkeiten für verschiedene kuali Anwendungen, wie unter anderem auch kuali OLE. Prinzipiell besteht die Möglichkeit KIM auch unabhängig von kuali- Anwendungen zu nutzen. OLE tauscht sich beständig mit KIM aus, um Berechtigungen und Workflow-Zuständigkeiten von Mitarbeitern/Usern zu ermitteln. Diese Berechtigungen und Zuständigkeiten werden über Rollen definiert. Berechtigungen (Permissions) Berechtigungen (Permissions) werden üblicherweise direkt in KIM erstellt. Zu Berechtigungen gehören beispielsweise: o editieren des Dokuments Benutzerdaten erlaubt (ja/nein) o Gebühren erlassen erlaubt (ja/nein) Über das Permission Documents besteht zusätzlich die Möglichkeit auch in OLE neue Berechtigungen zu erfassen, oder aber bestehende Berechtigungen zu bearbeiten Reiter: Admin / Identity Admin / Permissions Das OLE Permission-Document umfasst detaillierte Informationen zu den einzelnen Werten einer Berechtigung. Zusätzlich werden in diesem Dokument die Rollen verknüpft, die in Besitz der Berechtigung sind Ausschließlich Mitglieder der Rolle OLE-SYS Technical Administrator oder OLE-SYS Manager können Permission-Documents erstellen und/oder bearbeiten. Es erfolgt keine Verknüpfung mit einem Workflow, d.h. Neuerungen müssen nicht bestätigt werden. Die Bearbeitung bzw. Erstellung von Permission-Documents sollte mit Vorsicht erfolgen. Auch kleinere Änderungen können systemweite Änderungen zur Folge haben. Änderungen sollten daher nur nach vorherigem Test unter Einbindung der lokalen Konfiguration erfolgen. Zuständigkeiten (Responsibilities) Zuständigkeiten (Responsibilities) werden üblicherweise direkt in KIM erstellt. Zuständigkeiten können Workflow Actions generieren, d.h. ein Mitarbeiter bearbeitet Anfragen, die aufgrund einer Zuständigkeit generiert wurde und Bestandteil seiner Rolle sind, z.b. o ein Fiscal Officer bestätigt eine Rechnung o ein Haushaltsmanager bestätigt eine neue und/oder bearbeitete Kostenstelle Es besteht zusätzlich die Möglichkeit über OLE neue Zuständigkeiten (Responsibility document) zu erfassen, oder aber bestehende Zuständigkeiten zu bearbeiten (Reiter: Admin / Untermenü: Identity Admin / Responsibilities) Das OLE Responsibility Document umfasst detaillierte Informationen zu den einzelnen Werten einer Zuständigkeit. Zusätzlich werden in diesem Dokument die Rollen verknüpft, die mit der entsprechenden Zuständigkeit verknüpft sind Seite 2

3 Ausschließlich Mitglieder der Rolle OLE-SYS Technical Administrator oder OLE-SYS Manager role können Responsibility-Documents erstellen und/oder bearbeiten, z.b. Benutzer: admin. Diese Dokumente sind nicht mit einem Workflow verknüpft, d.h. sie müssen nicht bestätigt werden. Die Bearbeitung bzw. Erstellung von Responsibility-Documents sollte mit Vorsicht erfolgen. Auch kleinere Änderungen können Störungen im Workflow zur Folge haben. Änderungen sollten daher nur nach vorherigem und hinreichendem Test im Rahmen der der lokalen Konfiguration erfolgen. Rollen In KIM werden Berechtigungen und Zuständigkeiten nicht direkt einem individuellen User/Mitarbeiter zugewiesen. Stattdessen werden Mitarbeiter mit einer oder mehreren Rolle(n) verknüpft Jeder Rolle wird ein bestimmtes Set an Berechtigungen und ggf. Zuständigkeiten zugewiesen, z.b. o o Die Rolle Fiscal Officer hat die Berechtigung einzelne Rechnungsposten einer Rechnung zu bearbeiten. Aufgrund zugewiesener Zuständigkeiten, muss er auch Anfragen bearbeiten, wie z.b. das Bestätigen einer Rechnungen Die Rolle Limited Circulation Attendant hat die Berechtigung Benutzerdatensätze zu lesen, aber nicht zu bearbeiten Über das Role document können auch in OLE neue KIM Rollen erstellt und bearbeitet werden Jeder Rolle wird ein bestimmtes Set an Berechtigungen und ggf. Zuständigkeiten zugewiesen. Zusätzlich werden in diesem Dokument die Mitarbeiter verknüpft, die mit der Rolle verknüpft sind OLE stellt bereits eine ganze Reihe von Rollen zur Verfügung, die in Ihrer aktuellen Konstellation nachgenutzt, oder aber auch ergänzt werden können. Es können auch neue Rollen erstellt werden Rollen werden über bestimmte Rollen-Typen definiert, die i.d.r darauf hinweisen, mit welchen Berechtigungen und Zuständigkeiten eine Rolle versehen werden kann, z.b. Defaul, OLE-VND, OLE-COA, etc. Um einen neuen Rollen-Typ zu erstellen bedarf es technischer Hilfe. Es ist grundsätzlich nicht vorgesehen, über die KIM-Benutzeroberfläche neue Rollen-Typen zu erstellen Mitarbeiter (Persons) Mitarbeiter werden in KIM über das sog. KIM Person document identifiziert. Das Dokument identifiziert eine Person über eine Principal ID und weist ihr eine Anzahl von Rollen zu Rollen können wahlweise über das KIM Person document oder das OLE Role document zugewiesen werden Einige Rollen-Typen, auch genannte abgeleitete Rollen (derived roles), bestimmen ihre Mitglieder ausgehend von anderen OLE Komponenten automatisch, z.b. o Because Fiscal Officer is a definition of the Account in OLE, the Fiscal Officer role derives its assignees based on the data in the Account table. You do not need to assign users to derived roles such as this one. Das Person document identifiziert jeden Mitarbeiter/User in KIM und damit im weiteren Sinn auch in OLE. Es enthält Daten über das Anstellungsverhältnis eines Mitarbeiters in der eigenen Institution, ebenso wie Rollen- und ggf. Gruppenzugehörigkeiten Seite 3

4 In KIM wird eine Person, bzw. ein Mitarbeiter, anhand einer ein-eindeutigen Kombination von entity ID und principal ID identifiziert. Die Entity ID repräsentiert einen Mitarbeiter durch eine eineindeutige alphanumerische Nummer. Das Person Document verknüpft Entity ID mit Principal ID und Principal Name (oftmals auch als User ID und User Name bezeichnet). Sucht man in KIM nach einem bestimmten Mitarbeiter, erfolgt dies i.d.r. über die Principal ID oder den Principal Name. Üblicherweise steht einer Entity ID jeweils eine Principal ID gegenüber. Grundsätzlich jedoch wäre es möglich eine Entity ID mit mehreren Principals zu verknüpfen. OLE: Reiter: Admin / Identity Admin / Person (SQL: krim_prncpl_t) Hier erfolgt die Zuordnung Entity ID zu Principal ID und Principal Name PRNCPL_NM PRNCPL_ID ENTITY_ID ole-quickstart olequickstart olequickstart edna edna 1114 kr 1 1 ole-khuntley OLE OLE3776 ole-daweaver OLE OLE ole-fwillhit OLE OLE3120 ole-wacuna OLE OLE1030 Gruppen Das Initiieren neuer Person documents ist ausschließlich Mitgliedern der Rolle KR-SYS Technical Administrator der OLE-SYS Manager möglich, z.b. Benutzer: admin. Gruppen werden in KIM und OLE über das sog. Group document identifiziert. Gruppen sind eine optionale Möglichkeit Mitarbeiter, Rollen oder andere Gruppen zum Zwecke der Rollen-Zuordnung miteinander zu verknüpfen. Möchte man beispielsweise dieselbe Rolle für drei Mitarbeiter vergeben, ist dies möglich entweder o indem man eine neue Gruppe erstellt und dieser Gruppe die entsprechende Rolle, sowie die drei Mitarbeiter zuweist, oder o indem man der Rolle, die drei Mitarbeiter zuweist Über das Group Document ist es möglich dieselbe Rolle für alle Gruppenmitglieder zuzuweisen Gruppen haben selbst keine eigenen Berechtigungen oder Zuständigkeiten. Ausschließlich über die Zuweisung einer Rolle zu einer Gruppe, erhalten die Gruppenmitglieder die der Rolle zugewiesenen Berechtigungen und Zuständigkeiten. Seite 4

5 Mitarbeiter in OLE manuell erfassen Login als admin Step By Step 1. Im Reiter: Admin / Menü: Identity Management / Person 2. Schaltfläche: Neu (Create new) 3. Pflichtfelder, sowie zusätzliche Informationen, in den Reitern: Überblick und Kontaktdaten Description Principal Name (= LoginName) Affiliation = Staff Infos zum Angestelltenverhältnis Vorname, Nachname, Checkbox: Default 4. Im Reiter: Mitgliedschaften (Membership) werden die Gruppe(n) und/oder Rolle(n) für den Mitarbeiter eingetragen 5. Schaltfläche: Übermitteln (Submit) oder Speichern (Save) bestätigen Merke Eine Person/ein Mitarbeiter muss mit mindestens einer Affiliation verknüpft werden Jede Affiliation vom Typ faculty oder staff muss mit Informationen zum Angestelltenverhältnis und der Checkbox Primary versehen werden Jede Affiliation muss mit einem Campus verknüpft werden Im Reiter Kontaktinformationen müssen Vorname und Nachname des Mitarbeiters erfasst und als default markiert werden. Ggf. Routing Ausschließlich Mitglieder der Rolle OLE-SYS Technical Administrator oder OLE-SYS Manager role können Person Documents erstellen und/oder bearbeiten, z.b. Benutzer: admin. In der OLE Basiskonfiguration werden KIM Person Documents nicht ins Routing geschickt. Seite 5

6 Mitarbeiter automatisiert in die Datenbank laden Mitarbeiter-Datensätze können beim Aufsetzen der Datenbank automatisiert als csv-dateien in die OLE-DB geladen werden 1. Die csv-dateien können in unterschiedlichen Verzeichnissen abgelegt werden 2 ole-bootstrap???? ole-demo Daten werden beim Aufsetzen der Demo-Datenbank geladen ole-inst Daten werden beim Aufsetzen einer bibliothekseigenen Datenbank geladen Verzeichnis ole-demo (Demo-Datenbank) Im Verzeichnis ~/workspace/kuali/ole/ole-r19244/ole-app/ole-db/ole-liquibase/ole-liquibasechangeset/src/main/resources/ole-demo /persons liegen einige leere csv-dateien (Spaltenüberschriften + aktuelle Datensätze in unseren Demo-/Test- Datenbanken), die beim Aufsetzen der Datenbank automatisch geladen werden krim_afltn_typ_t.csv krim_entity_emp_info_t.csv krim_entity_nm_t.csv krim_prncpl_t.csv ole_krim_entity_afltn_t.csv ole_krim_entity_ent_typ_t.csv ole_krim_entity_t.csv krim_entity_afltn_t.csv krim_entity_ent_typ_t.csv krim_entity_priv_pref_t.csv ole_krim_addr_typ_t.csv ole_krim_entity_ _t.csv ole_krim_entity_nm_t.csv ole_krim_phone_typ_t.csv krim_entity_ _t.csv krim_entity_ext_id_t.csv krim_entity_t.csv ole_krim_ _typ_t.csv ole_krim_entity_emp_info_t.csv ole_krim_entity_priv_pref_t.csv ole_krim_prncpl_t.csv Daten im ole-demo-verzeichnis können und dürfen angepasst werden 1 Data is either expressed in.xml files or.csv. Its then converted into.sql by impex and liquibase tools. The generated sql is then run against the db. (Quelle: 2 Ausführliche Informationen zu Bootstrap, Demo und Local-Data finden sich im Wiki, unter: URL: : Seite 6

7 Verzeichnis ole-inst (Local Institutional data) Im Verzeichnis ~/workspace/kuali/ole/ole-r19244/ole-app/ole-db/ole-liquibase/ole-liquibasechangeset/src/main/resources/ole-inst/persons liegen einige leere csv-dateien (nur Spaltenüberschriften), die bei einer lokalen Installation befüllt und geladen werden müssen krim_afltn_typ_t.csv krim_entity_ _t.csv krim_entity_ent_typ_t.csv krim_entity_nm_t.csv krim_entity_t.csv ole_krim_addr_typ_t.csv ole_krim_phone_typ_t.csv krim_entity_afltn_t.csv krim_entity_emp_info_t.csv krim_entity_ext_id_t.csv krim_entity_priv_pref_t.csv krim_prncpl_t.csv ole_krim_ _typ_t.csv Verzeichnis ole-bootstrap (?????) Im Verzeichnis Daten im ole-inst Verzeichnis müssen erfasst werden, sobald eine Datenbank mit lokalspezifische Informationen einer Bibliothek aufgebaut werden soll. Die Kontroll-Datei mit der Auflistung der benötigten und erforderlichen Tabellen können in der Datei inst_data.xml erfasst werden. Diese liegt im Verzeichnis: ~/workspace/kuali/ole/ole-r19244/ole-app/ole-db/ole-liquibase/ole-liquibasechangeset/src/main/resources/ ~/workspace/kuali/ole/ole-r19244/ole-app/ole-db/ole-liquibase/ole-liquibasechangeset/src/main/resources/ole-bootstrap/persons liegen einige leere csv-dateien (Spaltenüberschriften + je ein Datensatz ole-quickstart). krim_entity_ent_typ_t.csv krim_entity_nm_t.csv krim_entity_t.csv krim_prncpl_t.csv Diese werden auch in der XML-Datei definiert bootstrap_krim_entity_data.xml im Verzeichnis ~/workspace/kuali/ole/ole-r19244/ole-app/ole-db/ole-liquibase/ole-liquibasechangeset/src/main/resources Seite 7

8 Rollen in OLE erstellen Login als admin Step By Step 1. Im Reiter: Admin / Menü: Identity Management / Role 2. Schaltfläche: Neu (Create new) 3. In der Suchmaske Für Mitarbeiter im Bereich Erwerbung eine Blindsearch durchführen und den gewünschten Rollentyp auswählen und übernehmen (return value) Für alle anderen Mitarbeiter NAME SPACE CODE = KUALI (Kuali Systems) auswählen und übernehmen (return value) 4. Es öffnet sich die Maske zur Erfassung einer neuen Rolle 5. Pflichtfelder Description Namespace (z.b. Ausleihen, Benutzerdaten, Erwerbung) Rollen Name Im Reiter: Permissions, alle notwendigen Berechtigungen für die Rolle hinterlegen 6. Im Reiter: Assignees, können die Mitarbeiter (Persons) verknüpft werden, die dieser Rolle zugeordnet werden sollen. Alternativ kann man aber auch von einem Person Document dem Mitarbeiter die gewünschte(n) Rolle(n) zuweisen. 7. Reiter: Delegations 3 Hier können Rechte eines Mitarbeiters der entsprechenden Rolle, an andere Mitarbeiter übertragen werden (ggf. auch zeitlich beschränkt). Feld: Role Member. Hier wird der Mitarbeiter eingetragen, der (vorrübergehend) seine Rolle mit einem anderen Mitarbeiter teilt Feld: Member Identifier. Hier wird der Mitarbeiter eingetragen, dem die Rolle (vorrübergehend) erteilt wird Felder: active from/active to. Sofern die Rollen-Übertragung zeitweise begrenzt sein soll. 8. Schaltfläche: Übermitteln (Submit) bestätigen Anmerkung Birgit: Achtung, es scheint nur die Schaltfläche Submit korrekt zu funktionieren. Bei Bestätigung der Schaltfläche Save werden die Eintragungen (zumindest aktuell) nicht übernommen 3 Delegates are users that a member of this role has authorized to have the same permissions and take the same actions as the member is authorized to take. Seite 8