Pflichtenheft. CDIX-Roles. Erweiterung des CDIX Berechtigungssystems. Autor : CD Software GmbH. Copyright CD Software GmbH Version:

Transkript

1 Pflichtenheft CDIX-Roles Erweiterung des CDIX Berechtigungssystems Autor : CD Software GmbH Copyright CD Software GmbH Version:

2 Motivation... 3 Organisation... 3 Kompatibilität und Aktivieren von CDIX-Roles... 3 Ungeschützte Programme... 3 Syntaxbeschreibung der Rollen Datei... 4 Verwaltungs- und Info-Programme... 5 CdRoles Rollenverwaltung... 5 CdRoles Info... 6

3 Motivation In CDIX gibt es zwei Programmberechtigungssysteme. Mit diesen können zwar die meisten Bedürfnisse abgedeckt werden, das führt aber durch den hohen Pflegeaufwand dazu, dass mangels Zeit dann doch Sicherheitslücken entstehen können. Dadurch, dass zurzeit keine Rollen-bezogene Lösung möglich ist, und dass Betriebs-abhängige Unterschiede nur mit der aufwändigen Positive-Liste möglich sind, wurde beschlossen ein neues, drittes, auf Betriebsabhängige Rollen basiertes Verfahren zu implementieren. Das neue Rollen-basierte Berechtigungssystem soll um drei konfigurierbare Eigenschaften erweitert werden, die im bisherigen, 25 Jahre alten Verfahren fehlen. Die Rollen-bezogene und User-bezogene Zuweisung von Berechtigungen, betriebsabhängige Rollen, sowie die Möglichkeit in den Anwendungen auf Berechtigungen zuzugreifen. Organisation Kompatibilität und Aktivieren von CDIX-Roles Die CDIX Laufzeit wird beim Start prüfen, ob im $DD_cdglobal/codex Ordner eine Datei namens.useroles vorhanden ist. Wenn Ja wird dann nur noch und ausschließlich das neue rollenbasierte System verwendet. Dies soll die Gefahr von Sicherheitslücken durch Überlappung mit den älteren Verfahren vermeiden. Für jeden berechtigten Anwender muss dann im Ordner $DD_cdglobal/codex eine Datei namens <Benutzer>_roles.xml vorhanden sein. Ist diese Datei nicht vorhanden, wird dem User der Zugang ins CDIX System verweigert. Eine <Benutzer>_roles.xml Datei kann entweder die Berechtigungen eines Anwenders oder die einer Rolle beschreiben. Die Syntax ist in beiden Fällen identisch. Unterschieden werden diese rein organisatorisch durch die Namensvergabe. So würde sich beispielsweise eine buchalter_roles.xml nicht auf einen Anwender namens buchhalter beziehen, sondern auf die Rolle eines Buchhalters. Dann wird in der rainer_roles.xml des Buchalters Rainer auf die Rolle buchhalter verwiesen. Ungeschützte Programme Das bisherige System erlaubt es, Programme als ungeschützt -> für jeden zugänglich zu deklarieren. Dies wird mit dem Rollensystem weiterhin möglich sein.

4 Syntaxbeschreibung der Rollen Datei Eine Rollen-Datei ist eine XML-Datei, welche mit dem Verwaltungsprogramm CdRoles erstellt und gepflegt werden kann. Nach dem Haupt-Entity, welches den Namen des Anwenders / der Rolle trägt (zb rainer ), folgt jeweils ein Entity pro Betrieb. Diese tragen den Namen c<betriebs-nr>, also z.b. c0001. Darin enthalten sind jeweils die Entities roles und rights : Das roles Entity hat als Wert die Sub-Rollen welche dem Anwender / der Rolle zugeteilt werden, in einer durch Komma, getrennten Liste. In rights sind die Berechtigungsklassen (ähnlich der alten codex Beschreibung) als Attribute enthalten, welche als Werte die jeweiligen Zuweisungen tragen, also z.b. A,B,C,D,g,h,i,j,0,5,7; - jeweils als String, abgeschlossen mit einem Semikolon ;. WICHTIG: Berechtigungen sind kumulativ. Die Summe der Sub-Rollen und die zusätzlichen Berechtigungen des Anwenders sind additiv und ergänzen sich pro Betrieb und Betriebs-abhängig zu einer großen Positivliste. Beispiel: in der Datei rainer_roles.xml <?xml version="1.0" encoding="utf-8"?> <rainer> <c0000> <roles>buchhaltung,faktura</roles> <rights cdix="a,b,c,d,e,f,g,h,i,j,k,l,a,b,c,g,h,j,0,1,2,5,6,7,8;" ifax="a,b,c,d,e;"/> </c0000> <c0001> <roles>buchhaltung,controlling</roles> <rights ifax="a,c,0,9;"/> </c0001> </rainer> in der Datei buchhaltung_roles.xml <?xml version="1.0" encoding="utf-8"?> <buchhaltung> <c0000> <roles>anlagenbuchhaltung</roles> <rights fx90="a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z;"/> </c0000> <c0001> <roles>anlagenbuchhaltung</roles> <rights fx90="a,b,c,d,e,f,g,l,m,n,o,p,q,r,s,t,u,v,w;"/> </c0001> </buchhaltung>

5 Verwaltungs- und Info-Programme Hinweis: Alle CdRoles - Programme können nur von einem User gestartet werden, welcher auf der Cdix-internen Admin-User Liste steht. Diese Liste kann z.b. mit dem Tool cdamvw editiert werden. (Siehe Dokument: Cdix_AdminList_Verwaltung.doc ) CdRoles Rollenverwaltung Mit Hilfe des Rollenverwaltungsprogramms CdRoles können neue Rollen-Dateien angelegt und bestehende Rollen editiert werden. Bei einer neuen Rolle muss zunächst mindestens ein Betrieb hinzugefügt werden, welchem dann Programm-Berechtigungen pro Projekt und Sub-Rollen zugeteilt werden. Das Löschen eines Betriebes führt dann demnach auch zum Entfernen aller diesem zugeteilten Attribute. Beim hinzufügen von Sub-Rollen kann direkt eine der bestehenden Rollen Dateien ausgewählt werden. Dabei ist zu beachten dass eine Rekursion zu vermeiden ist. (z.b. Rolle Buchhalter mit sich selbst als Sub-Rolle, oder mit einer Sub-Rolle die dann wiederum die Buchhalter -Rolle enthält, etc.) Neben den eigentlichen Rollen-Attributen kann außerdem über eine Checkbox jeder Rolle ein ist Admin -Status zugewiesen werden. Alte Codex Dateien lassen sich mit einem simplen Konvertierungs-Tool in das neue XML- Format umwandeln. Hinweis: Das Rollensystem in Cdix lässt sich über die beiden Funktionen im Datei Dropdown-Menü aktivieren und deaktivieren. CdRoles Rollenverwaltung

6 codex2role Konvertierung CdRoles Info Das zusätzliche Infoprogramm besteht aus zwei Komponenten: Im ersten Register kann man zu jeder Rolle eine kumulierte, betriebsabhängige Zusammenfassung aller Programmberechtigungen einsehen. Wählt man nun ein oder mehrere Projekte in der linken Tabelle aus lassen sich in der rechten Tabelle alle Programme inkl. weiterer Infos anzeigen, für welche dieser User / diese Rolle die nötigen Berechtigungen besitzt. Außerdem werden der Grund für die Berechtigung ( Ber.Klasse, ungeschützt, oder privat ), sowie das Programm-Profil angezeigt, welches die Berechtigung enthält. Durch einen Doppelklick auf eines dieser Programme öffnet man dieses direkt im zweiten Register des Infoprogramms. CdRoles Zusammenfassende Rollen-Info

7 Im zweiten Register, der Programm Info, kann ein Programm-Name bzw. ein Suchbegriff mit Wildcards (z.b. FXFI* ) eingegeben werden. Sobald der korrekte und vollständige Programmname eingegeben oder ermittelt wurde, werden nun im linken Grid alle Programm-Profile (pprofile-dateien) angezeigt, welche dieses Programm enthalten. Ein Doppelklick öffnet ein gewähltes Profil direkt in qppvw. Im rechten Grid lassen sich zu gewählten Profilen alle User / Rollen anzeigen, welche berechtigt sind das Programm zu starten. Klickt man doppelt auf eine der angezeigten Rollen, wird diese im Verwaltungsprogramm CdRoles geöffnet. CdRoles Programm Info