Rollen und Rechte: Unterschied zwischen den Versionen

Aktuelle Version vom 30. September 2024, 13:22 Uhr

> Zurück zur Hauptseite DiPlan Cockpit Basis für Mandanten-Administratoren (M-A)

Einleitung[Bearbeiten | Quelltext bearbeiten]

Diese Dokumentation richtet sich an Nutzer der Rolle Mandanten-Administration für das DiPlanCockpit Basis (Kürzel: M-A-Basis). Damit Admins ihre Aufgaben zielgerichtet ausführen können, haben sie eine eigene Ansicht "Fachliche Leitstelle Administration", die sich grundlegend von der Sachbearbeitungsebene unterscheidet.

Die Aufgaben des Admins sind darauf ausgerichtet, das Verfahren für die Sachbearbeitung vorzubereiten/einzurichten.

1. Systemkontext[Bearbeiten | Quelltext bearbeiten]

Bei DiPlanCockpit Basis und DiPlanCockpit Pro handelt sich um ein Gesamtsystem und nicht um unterschiedliche Entwicklungen. Für Basis und Pro gibt es unterschiedliche Verfahrenskonfigurationen. Pro Verfahrenssteuerungstyp (auch Verfahrenssteuerung genannt) können so unterschiedliche Vorgaben und Abläufe definiert werden.

Das hinterlegte Rollen- und Rechte-Konzept differenziert, was die einzelnen Nutzer (je nach Rolle und Zuständigkeit) sehen und an Funktionen ausführen können (Lese- und Schreibrechte), sodass sie ihre spezifischen Aufgaben ausführen können. Dies wirkt sich auch auf die Rolle der Mandantenadministration im DiPlanCockpit Basis aus. Im Folgenden wird dargestellt, welche Funktionen für die Rolle M-A in Basis und Pro zur Verfügung stehen.

Bereich	Beschreibung	Basis	Pro
Fachliche Leitstelle	Reiter Systemparameter	vorhanden	vorhanden
Fachliche Leitstelle	Reiter Konfiguration	vorhanden in geringem Umfang	vorhanden
Fachliche Leitstelle	Reiter Codelisten	vorhanden	vorhanden
Fachliche Leitstelle	Reiter Verfahrensverwaltung	vorhanden	vorhanden
Fachliche Leitstelle	Reiter Planwerksverwaltung	vorhanden	vorhanden
Fachliche Leitstelle	Reiter Transfermessages	vorhanden	vorhanden
Fachliche Leitstelle	Reiter Mustervorlagen	nicht vorhanden	vorhanden
Fachliche Leitstelle	Reiter Rechtszitate	nicht vorhanden	vorhanden
Fachliche Leitstelle	Reiter Protokolle	vorhanden	vorhanden

Der Reiter Konfiguration wird für den M-A-Basis zwar dargestellt, hat jedoch einen geringeren Funktionsumfang.
Der Reiter Mustervorlagen erlaubt dem M-A-Pro das Erstellen, Ändern, Ersetzen und Löschen von Mustervorlagen. Diese basieren auf .dotx-Vorlagen und ermöglichen es, verfahrensübergreifend Musterdokumente auf Grundlage der Vorlage zu erstellen.
Der Reiter Rechtszitate erlaubt dem M-A-Pro das Erstellen, Bearbeiten und Löschen von Rechtszitaten. Diese werden als Platzhalter in Mustervorlagen eingefügt, um die Rechtssicherheit von Mustervorlagen zu gewährleisten.

Der Reiter Zugriffsverwaltung im Bereich Fachliche Leitstelle wurde aus Basis und Pro entfernt. Die Verwaltung der Rollen und Rechte erfolgt in KeyCloak (siehe unten).

Die einzelnen Reiter werden an dieser Stelle detailliert beschrieben: https://wiki.diplanung.de/index.php/Admin-Bereich

2. Administrationsebene[Bearbeiten | Quelltext bearbeiten]

DiPlanung ist in mehrere Administrationsebenen strukturiert. Die erste Ebene umfasst den Betrieb der Anwendungen und dient als fachliche Leitstelle, wobei die Freie- und Hansestadt Hamburg die maßnahmenverantwortliche Stelle ist. Die zweite Ebene beinhaltet die Administration der dezentralen fachlichen Leitstellen und Mandanten-Administrationen in den nachnutzenden Bundesländern. Optional kann eine dritte Ebene eingezogen werden, wenn das nachnutzende Land weitere nachgelagerte Behörden in die Administration der Fachanwendung einbinden möchte. Die vierte Ebene umfasst die nutzenden Stellen der Anwendung, darunter Sachbearbeitungen in den Behörden und Kommunen, Träger öffentlicher Belange (TöB), Planungsbüros und Bürger:innen.

2.1 2FA[Bearbeiten | Quelltext bearbeiten]

Die obligatorische Verwendung von 2FA (Zwei-Faktor-Authentifizierung) ist für alle drei Administrationsebenen anzustreben.

3. Rollen- und Rechte-Konzept[Bearbeiten | Quelltext bearbeiten]

Das Rollen- und Rechte-Konzept bildet die Grundlage für rechtssichere Zuständigkeiten und Aufgabenverteilungen innerhalb des Fachverfahrens.

3.1 KeyCloak[Bearbeiten | Quelltext bearbeiten]

Die Rollen und Rechte werden zentral in KeyCloak verwaltet. Keycloak ist ein Open-Source-Softwareprodukt, das Single Sign-On mit Identitäts- und Zugriffsverwaltung für moderne Anwendungen und Dienste ermöglicht. Pro Mandant wird ein DiplanCockpit Basis Client in Keycloak zur Verfügung gestellt. Hierüber können die einzelnen Rollen und Rechte gesteuert werden. Dadurch wird gesteuert, welcher User auf welche Funktionen Zugriff hat. Eine featuregenaue Steuerung pro User ist nicht möglich, aber auch konzeptionell nicht gewollt.

Für jeden Mandanten werden Berechtigungen (Rollen/Rechte) und Verfahrensverantwortung über zwei getrennte Gruppen in Keycloak gesteuert.

3.1.1 Gruppe Cockpit Berechtigung[Bearbeiten | Quelltext bearbeiten]

In dieser Gruppe sind die fachlich definierten Rollen aufgeführt. Differenzierung zwischen Cockpit Basis und Cockpit Pro Nutzer über die K1 Nutzerrechte:

VERFAHRENSSTEUERUNG_WRITE

VERFAHRENSSTEUERUNG_READ

3.1.2 Gruppe Cockpit-Verfahrensverantwortung[Bearbeiten | Quelltext bearbeiten]

In dieser Gruppe ist die Verfahrensverantwortung pro Mandant hierarchisch aufgeschlüsselt.

Die Rollen und Rechte werden über die Cockpit-Berechtigung und die Cockpit-Verfahrensverantwortung definiert. Ein Anwender hat immer mindestens eine Cockpit-Berechtigungsrolle. Ein Anwender kann für den Mandanten Hamburg keine oder genau eine Verfahrensverantwortungen zugewiesen bekommen z.B. Senat oder Altona oder Bergedorf.

Beispiel für mehrfache Gruppenzugehörigkeit:

Die Anwender*in EfA kann den Gruppen Verfahrensmanagement (Cockpit-Berechtigung) oder Sachbearbeitung (Cockpit-Berechtigung) und Altona (Cockpit-Verfahrensverantwortung) zugeordnet sein.

3.2 Erklärung der Rollen[Bearbeiten | Quelltext bearbeiten]

Im Folgenden werden jede Rolle und die dazugehörigen Rechte in Tabellenform dargestellt.

Die Tabelle zeigt, dass die Rolle M-A-Basis klar von den weiteren Rollen abgegrenzt werden kann, da ihr Fokus nicht auf fachlichen Aufgaben beruht. Stattdessen steht die Verwaltung der Rollen und Rechte der Nutzer im Vordergrund.

Erläuterung der Abkürzungen der Rollen:

M-A = Mandanten-Administration - Mandanten spezifische Administration
FP-A = Fachplanung Administration - Verfahrensmanager/in über alle Verfahren innerhalb des Mandanten
FP-VM = Fachplanung-Verfahrensmanagement - Verfahrensmanager/in über Verfahren in eigener Verfahrensverantwortung (insb. auch Anlegen) und lesende Rechte in allen Verfahren des Mandanten
FP-SB = Fachplanung-Sachbearbeitung - Verfahrensmanager/in über Verfahren in eigener Verfahrensverantwortung (insb. auch Anlegen)
C-VM = Controlling-Verfahrensmanagement - Alle Verfahren innerhalb des Mandanten lesen, alle Reports erzeugen, nur eigene Verträge, Dokumente, Stellungnahmen lesen
C-SB = Controlling-Sachbearbeitung - Verfahren, Verträge, Dokumente in eigener Verfahrensverantwortung lesen, eigene Reports erzeugen

Zugeordnete Rechte pro Rolle		Rollen EfA Cockpit Basis
Zugeordnete Rechte pro Rolle	Erläuterung des Rechts	M-A-Basis	FP-A-Basis	FP-VM-Basis	FP-SB-Basis	C-VM-Basis	C-SB-Basis
ADMIN	Zugriff auf den Admin-Bereich (fachliche Leitstelle Administration)	X
VERFAHREN_READ	Alle Verfahren (eines Mandanten) können über die Suche gefunden und gelesen werden. Ist ein Verfahren nicht abonniert, kann nur die Stammdatenseite gelesen werden.	X	X = Recht gilt bei dieser Rolle	X		X
VERFAHREN_WRITE	Alle Verfahren (eines Mandanten) können schreibend bearbeitet werden. Verfahren muss abonniert sein.	X	X
VERFAHREN_ABONNIEREN	Verfahren können abonniert und deabonniert werden.	X	X	X	X	X	X
EIGENE_VERFAHREN_READ	Verfahren in der eigenen Zuständigkeit können über die Suche gefunden und gelesen werden. Ist ein Verfahren nicht abonniert, kann nur die Stammdatenseite gelesen werden.	X	X	X	X	X	X
EIGENE_VERFAHREN_WRITE	Verfahren in der eigenen Zuständigkeit können schreibend bearbeitet werden. Verfahren muss abonniert sein.	X	X	X	X
VERTRAG_READ	Verträge von allen Verfahren können gelesen werden.	X	X
VERTRAG_WRITE	Verträge von allen Verfahren können hochgeladen, bearbeitet und gelöscht werden.	X	X
EIGENE_VERTRAG_READ	Verträge von Verfahren in eigener Zuständigkeit können gelesen werden.	X	X	X	X	X	X
EIGENE_VERTRAG_WRITE	Verträge von Verfahren in eigener Zuständigkeit können hochgeladen, bearbeitet und gelöscht werden.	X	X	X	X
DOKUMENT_READ	(Verfahrens-) Dokumente von allen Verfahren können gelesen werden.	X	X	X
DOKUMENT_WRITE	(Verfahrens-) Dokumente von allen Verfahren können hochgeladen, bearbeitet und gelöscht werden	X	X
EIGENE_DOKUMENT_READ	(Verfahrens-) Dokumente von Verfahren in eigener Zuständigkeit können gelesen werden	X	X	X	X	X	X
EIGENE_DOKUMENT_WRITE	(Verfahrens-) Dokumente von Verfahren in eigener Zuständigkeit können hochgeladen, bearbeitet und gelöscht werden	X	X	X	X
VERFAHREN_DELETE	Gestartete Verfahren können endgültig gelöscht werden	X
EIGENE_VERFAHREN_DELETE_SIMULIERTES_VERFAHREN	Simulierte Verfahren in eigener Zuständigkeit können endgültig gelöscht werden.	X	X	X	X
EIGENE_VERFAHREN_CREATE	Verfahren in eigener Zuständigkeit können angelegt werden. Verfahren_write oder eigene_verfahren_write erforderlich	X	X	X	X
EIGENE_PLANWERKE_READ	Planwerke von Verfahren in eigener Zuständigkeit können gelesen und heruntergeladen werden.	X	X	X	X	X	X
EIGENE_PLANWERKE_WRITE	Planwerke von Verfahren in eigener Zuständigkeit können hochgeladen, bearbeitet und gelöscht werden.	X	X	X	X
PLANWERKE_READ	Planwerke von allen Verfahren können gelesen und heruntergeladen werden.	X	X
PLANWERKE_WRITE	Planwerke von allen Verfahren können hochgeladen, bearbeitet und gelöscht werden.	X	X

@@ Zeile 1: / Zeile 1: @@
-'''Achtung! Diese Seite ist aktuell noch ein Entwurf!'''
+'''> Zurück zur Hauptseite [[DiPlan Cockpit Basis für Mandanten-Administratoren (M-A)]]'''
 == Einleitung ==
@@ Zeile 69: / Zeile 69: @@
 Die einzelnen Reiter werden an dieser Stelle detailliert beschrieben: [[Admin-Bereich|https://wiki.diplanung.de/index.php/Admin-Bereich]]
-== 2. Administrationsebene ==
+=== 2. Administrationsebene ===
 DiPlanung ist in mehrere Administrationsebenen strukturiert. Die erste Ebene umfasst den Betrieb der Anwendungen und dient als fachliche Leitstelle, wobei die Freie- und Hansestadt Hamburg die maßnahmenverantwortliche Stelle ist. Die zweite Ebene beinhaltet die Administration der dezentralen fachlichen Leitstellen und Mandanten-Administrationen in den nachnutzenden Bundesländern. Optional kann eine dritte Ebene eingezogen werden, wenn das nachnutzende Land weitere nachgelagerte Behörden in die Administration der Fachanwendung einbinden möchte. Die vierte Ebene umfasst die nutzenden Stellen der Anwendung, darunter Sachbearbeitungen in den Behörden und Kommunen, Träger öffentlicher Belange (TöB), Planungsbüros und Bürger:innen.
+==== 2.1 2FA ====
+Die obligatorische Verwendung von 2FA (Zwei-Faktor-Authentifizierung) ist für alle drei Administrationsebenen anzustreben.
 == 3. Rollen- und Rechte-Konzept ==
@@ Zeile 100: / Zeile 103: @@
 Die Tabelle zeigt, dass die Rolle M-A-Basis klar von den weiteren Rollen abgegrenzt werden kann, da ihr Fokus nicht auf fachlichen Aufgaben beruht. Stattdessen steht die Verwaltung der Rollen und Rechte der Nutzer im Vordergrund.
+Erläuterung der Abkürzungen der Rollen:
+* M-A = Mandanten-Administration - Mandanten spezifische Administration
+* FP-A = Fachplanung Administration - Verfahrensmanager/in über alle Verfahren innerhalb des Mandanten
+* FP-VM = Fachplanung-Verfahrensmanagement - Verfahrensmanager/in über Verfahren in eigener Verfahrensverantwortung (insb. auch Anlegen) und lesende Rechte in allen Verfahren des Mandanten
+* FP-SB = Fachplanung-Sachbearbeitung - Verfahrensmanager/in über Verfahren in eigener Verfahrensverantwortung (insb. auch Anlegen)
+* C-VM = Controlling-Verfahrensmanagement - Alle Verfahren innerhalb des Mandanten lesen, alle Reports erzeugen, nur eigene Verträge, Dokumente, Stellungnahmen lesen
+* C-SB = Controlling-Sachbearbeitung - Verfahren, Verträge, Dokumente in eigener Verfahrensverantwortung lesen, eigene Reports erzeugen
 {| class="wikitable"
 ! rowspan="2" |Zugeordnete Rechte pro Rolle
+!
 ! colspan="6" |Rollen  EfA Cockpit Basis
 |-
-!M-A-Basis = Mandanten-Administration
+!Erläuterung des Rechts
-Mandanten spezifische Administration
+!M-A-Basis
-!FP-A-Basis  = Fachplanung Administration
+!FP-A-Basis
-Verfahrensmanager/in über alle Verfahren innerhalb des Mandanten
+!FP-VM-Basis
-!FP-VM-Basis  = Fachplanung-Verfahrensmanagement
+!FP-SB-Basis
-Verfahrensmanager/in über Verfahren in eigener Verfahrensverantwortung  (insb. auch Anlegen) und lesende Rechte in allen Verfahren des Mandanten
+!C-VM-Basis
-!FP-SB-Basis  = Fachplanung-Sachbearbeitung
+!C-SB-Basis
-Verfahrensmanager/in über Verfahren in eigener Verfahrensverantwortung  (insb. auch Anlegen)
-!C-VM-Basis  = Controlling-Verfahrensmanagement
-Alle Verfahren innerhalb des Mandanten lesen, alle Reports erzeugen, nur  eigene Verträge, Dokumente, Stellungnahmen lesen
-!C-SB-Basis  = Controlling-Sachbearbeitung
-Verfahren, Verträge, Dokumente in eigener Verfahrensverantwortung lesen, eigene Reports erzeugen
 |-
 |ADMIN
 |Zugriff auf den Admin-Bereich (fachliche Leitstelle Administration)
+|X
 |
 |
@@ Zeile 127: / Zeile 137: @@
 |VERFAHREN_READ
 |Alle Verfahren (eines Mandanten) können über die Suche gefunden und gelesen  werden. Ist ein Verfahren nicht abonniert, kann nur die Stammdatenseite  gelesen werden.
-|X  = das Recht gilt auch bei dieser Rolle
+|X
+|X  = Recht gilt bei dieser Rolle
 |X
 |
@@ Zeile 135: / Zeile 146: @@
 |VERFAHREN_WRITE
 |Alle Verfahren (eines Mandanten) können schreibend bearbeitet werden. Verfahren  muss abonniert sein.
+|X
 |X
 |
@@ Zeile 142: / Zeile 154: @@
 |-
 |VERFAHREN_ABONNIEREN
-|Verfahren können abonniert und de-abonniert werden.
+|Verfahren können abonniert und deabonniert werden.
+|X
 |X
 |X
@@ Zeile 151: / Zeile 164: @@
 |EIGENE_VERFAHREN_READ
 |Verfahren in der eigenen Zuständigkeit können über die Suche gefunden und gelesen werden. Ist ein Verfahren nicht abonniert, kann nur die Stammdatenseite  gelesen werden.
+|X
 |X
 |X
@@ Zeile 159: / Zeile 173: @@
 |EIGENE_VERFAHREN_WRITE
 |Verfahren in der eigenen Zuständigkeit können schreibend bearbeitet werden. 	Verfahren muss abonniert sein.
+|X
 |X
 |X
@@ Zeile 167: / Zeile 182: @@
 |VERTRAG_READ
 |Verträge von allen Verfahren können gelesen werden.
+|X
 |X
 |
@@ Zeile 175: / Zeile 191: @@
 |VERTRAG_WRITE
 |Verträge von allen Verfahren können hochgeladen, bearbeitet und gelöscht werden.
+|X
 |X
 |
@@ Zeile 183: / Zeile 200: @@
 |EIGENE_VERTRAG_READ
 |Verträge von Verfahren in eigener Zuständigkeit können gelesen werden.
+|X
 |X
 |X
@@ Zeile 191: / Zeile 209: @@
 |EIGENE_VERTRAG_WRITE
 |Verträge von Verfahren in eigener Zuständigkeit können hochgeladen, bearbeitet und  gelöscht werden.
+|X
 |X
 |X
@@ Zeile 199: / Zeile 218: @@
 |DOKUMENT_READ
 |(Verfahrens-)  Dokumente von allen Verfahren können gelesen werden.
+|X
 |X
 |X
@@ Zeile 207: / Zeile 227: @@
 |DOKUMENT_WRITE
 |(Verfahrens-)  Dokumente von allen Verfahren können hochgeladen, bearbeitet und gelöscht werden
+|X
 |X
 |
@@ Zeile 215: / Zeile 236: @@
 |EIGENE_DOKUMENT_READ
 |(Verfahrens-)  Dokumente von Verfahren in eigener Zuständigkeit können gelesen werden
+|X
 |X
 |X
@@ Zeile 223: / Zeile 245: @@
 |EIGENE_DOKUMENT_WRITE
 |(Verfahrens-)  Dokumente von Verfahren in eigener Zuständigkeit können hochgeladen,  bearbeitet und gelöscht werden
+|X
 |X
 |X
@@ Zeile 231: / Zeile 254: @@
 |VERFAHREN_DELETE
 |Gestartete Verfahren können endgültig gelöscht werden
+|X
 |
 |
@@ Zeile 239: / Zeile 263: @@
 |EIGENE_VERFAHREN_DELETE_SIMULIERTES_VERFAHREN
 |Simulierte Verfahren in  eigener Zuständigkeit können endgültig gelöscht werden.
+|X
 |X
 |X
@@ Zeile 247: / Zeile 272: @@
 |EIGENE_VERFAHREN_CREATE
 |Verfahren in eigener Zuständigkeit können angelegt werden. Verfahren_write oder  eigene_verfahren_write erforderlich
+|X
 |X
 |X
@@ Zeile 255: / Zeile 281: @@
 |EIGENE_PLANWERKE_READ
 |Planwerke von Verfahren in eigener Zuständigkeit können gelesen und heruntergeladen  werden.
+|X
 |X
 |X
@@ Zeile 263: / Zeile 290: @@
 |EIGENE_PLANWERKE_WRITE
 |Planwerke von Verfahren in eigener Zuständigkeit können hochgeladen, bearbeitet und  gelöscht werden.
+|X
 |X
 |X
@@ Zeile 271: / Zeile 299: @@
 |PLANWERKE_READ
 |Planwerke von allen Verfahren können gelesen und heruntergeladen werden.
+|X
 |X
 |
@@ Zeile 279: / Zeile 308: @@
 |PLANWERKE_WRITE
 |Planwerke von allen Verfahren können hochgeladen, bearbeitet und gelöscht werden.
+|X
 |X
 |