...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
| Hinweis |
|---|
Hinweis zum PilotbetriebZur Zeit befindet sich die Single-Sign-On-Funktion im Pilot-Betrieb bei ausgewählten Kunden, d.h. Single-Sign-On ist standardmäßig nicht in der PICTURE-Prozessplattform konfigurierbar. Falls Sie Single-Sign-On bereits jetzt nutzen möchten, bewerben Sie sich gerne für die Teilnahme am Pilot-Programm. Wenden Sie sich dazu über den /wiki/spaces/pppdoc300/pages/121045275 per E-Mail an support@picture-gmbh.de. |
...
| Info |
|---|
Auf dieser Seite erfahren Sie, wie bei der Erstellung und Aktualisierung der Schattennutzer (Nutzer, die sich per Single-Sign-On in die Prozessplattform eingeloggt haben) vorgegangen wird. Außerdem wird auf dieser Seite erläutert, wie Sie sowohl Nutzerinfomationen, als auch individuelle Prozessplattform-Berechtigungen für jeden erstellten Schattennutzer festlegen können. |
Inhaltsverzeichnis
| Inhalt | ||
|---|---|---|
|
...
| Anker | ||||
|---|---|---|---|---|
|
Erstellung eines Prozessplattform-Nutzers bei einem Login über Single-Sign-On
Sobald sich ein Nutzer das erste Mal per Single-Sign-On über SAML in die PICTURE-Prozessplattform einloggt, wird ein neues Benutzerkonto für diesen in der Plattform angelegt. Dabei werden die vom Identity-Provider übertragenen Gruppen / Rollen bzw. Nutzerinformationen in der Prozessplattform 838828259 Berechtigungen und die 838828259 Nutzerinformationen übernommen. Als Nutzername wird immer die vom Identity-Provider übertragene Name-ID verwendet. Die auf diese Art und Weise erstellten Prozessplattform Nutzer heißen "Schattennutzer". Sie werden in der Datenbank der Prozessplattform gespeichert, um dort alle Informationen vorzuhalten, welche die Prozessplattform "über einen Nutzer wissen muss" und um Benutzerkonten mit Elementen des Datenmodells der Prozessplattform verknüpfen zu können (z.B. Zugriffsberechtigungen für Ordner, Status-Informationen wie "letzter Bearbeiter eines Prozessmodells" etc.).
| Tipp | |
|---|---|
| title | Wie verhindere ich, dass für bereits bestehende Nutzer ein neues Benutzerkonto bei einem Login per Single-Sign-On angelegt wird?Falls Sie bereits bestehende Nutzerkonten in der PICTURE-Prozessplattform verwalten und nicht möchten nicht, dass für diese Nutzer bei einem Login per Single-Sign-On über SAML ein neues (zweites) Benutzerkonto angelegt wird, stellen Sie sicher, dass der Nutzername (Login-Name) der betroffenen Nutzerkonten mit der jeweiligen Name-ID desselben des entsprechenden Nutzers in Ihrem Identity-Provider übereinstimmt. Hierzu können Sie z.B. in der Nutzerwaltung der Prozessplattform den Nutzernamen nachträglich ändern und an die Name-ID angleichen. Sobald Sie dies für alle betroffenen Nutzerkonten sichergestellt bzw. angepasst haben, werden die bestehende Benutzerkonto bei dem Login eines Nutzers per Single-Sign-On über SAML lediglich nach den unten beschriebenen Regeln aktualisiert, es wird aber kein zusätzliches Benutzerkonto angelegt. |
...
Über die oben zu sehenden Eingabefelder haben Sie die Möglichkeit die folgenden Nutzerinformationen eines Schattennutzers automatisch vom Identity-Provider zu übernehmen:
E-Mail-Adresse
Anrede
Akademischer Titel
Vorname
Nachname
Abteilung
| Hinweis | |
|---|---|
| icon | false |
PflichteingabeBitte berücksichtigen Sie, dass die E-Mail-Adresse eine Pflichtangabe in der Prozessplattform ist und daher zwangsweise einem Identity-Provider-Attribut zugeordnet werden muss, welches eine E-Mail-Adresse enthält. Falls einem Schattennutzerkonto bei seiner Erstellung keine E-Mail-Adresse zugeordnet werden kann, kann dieses Konto nicht angelegt werden und der Anwender sich somit nicht in die Prozessplattform einloggen. |
...
| Anker | ||||
|---|---|---|---|---|
|
Automatische Zuweisung von Berechtigungen für SAML-authentifizierte Nutzer
...
Über das oben zu sehende Eingabefeld und die zugehörige Tabelle haben Sie die Möglichkeit, neben den oben beschriebenen einfachen Nutzerinformationen auch PICTURE-Prozessplattform-Berechtigungen zu den Schattennutzern zuzuordnen. Die Berechtigungen werden in Form eines Nutzertyps und beliebig vielen Gruppenmitgliedschaften abgebildet.
...
Default-Berechtigungen festlegen
...
| Hinweis | ||
|---|---|---|
| false | title | In welchem Fall werden die Default-Berechtigungen angewandt?Die Default-Berechtigungen werden bei dem Anlegen oder der Aktualisierung eines Prozessplattform-Nutzers immer dann angewandt, wenn der PICTURE-Prozessplattform bei dem Login des Nutzers vom Identity Provider keine Identity-Provider-Gruppe / -Rolle übergeben wird oder zu der Identity-Provider-Gruppe / -Rolle des Nutzers keine 838828259 explizit konfiguriert wurde. |
| Tipp |
|---|
Wie kann ich sinnvolle Default-Berechtigungen festlegen?Nutzen Sie folgende Fragen, um sinnvolle Default-Berechtigungen für Ihre Prozessplattform festlegen zu können:
|
Falls Sie keine expliziten Zuordnungen von Prozessplattform-Berechtigungen konfigurieren möchten, müssen Sie für eine erfolgreiche Inbetriebnahme der Single-Sign-On-Konfiguration Zugriffsberechtigungen auf (mindestens) einen Arbeitsbereich über die Default-Berechtigungen festlegen, ansonsten ist ein Login per Single-Sign-On für keinen Anwender möglich. Zugriff auf mindestens einen Arbeitsbereich können Sie entweder über den Nutzertyp Administrator oder einen anderen Nutzertyp (Betrachter oder Modellierer) in Verbindung mit einer entsprechend konfigurierten Gruppe festlegen. Wie Sie die Default-Berechtigungen bearbeiten können erfahren Sie weiter unten im Abschnitt "838828259Automatische (Schatten-) Nutzererstellung konfigurieren#bearbeiten".
| Anker | ||||
|---|---|---|---|---|
|
(Optional) Explizite Zuordnungen von Prozessplattform-Berechtigungen konfigurieren
Zusätzlich zu den Default-Berechtigungen haben Sie die Möglichkeit, Prozessplattform-Berechtigungen explizit für eine bestimmte Nutzergruppe/ -Rolle Ihres Identity-Providers festzulegen. Dazu müssen Sie das Feld "Identity-Provider-Gruppen / -Rollen" in der Benutzeroberfläche ausfüllen. Hinterlegen Sie an diesem Feld die Bezeichnung des Attributes aus dem Identity-Provider, welches die Rollen, Gruppen o.ä. eines Nutzers enthält. Die Zuordnung der Nutzer zu den Berechtigungen wird später über die Rollen bzw. Gruppenmitgliedschaften, der jeweiligen Nutzer im Identity-Provider besitzt, vorgenommen.
...
Um einer Nutzergruppe / Rolle Ihres Identity-Providers explizit bestimmte Berechtigungen zuzuordnen, müssen Sie zunächst eine neue Zeile in der zu sehenden Tabelle anlegen. Dazu klicken Sie auf den Knopf "Neue Berechtigungszuordnung hinzufügen" unterhalb der Tabelle.
...
| Tipp |
|---|
Wie kann ich sinnvolle Berechtigungszuordnungen festlegen?Nutzen Sie folgende Fragen, um sinnvolle Berechtigungszuordnungen für Ihre Prozessplattform festlegen zu können:
|
In der neuen Zeile der Tabelle müssen Sie nun in der ersten Spalte die Gruppen- / Rollenbezeichnungen Ihres Identity-Providers eintragen, der Sie Prozessplattform-Berechtigungen zuordnen möchten. Die gewünschten Berechtigungen, d.h. einen Nutzertypen und beliebig viele Gruppen können Sie in den übrigen Tabellenspalten eintragen. Hinweise zur Bearbeitung der Berechtigungen finden Sie im Abschnitt "838828259Automatische (Schatten-) Nutzererstellung konfigurieren#bearbeiten".
Falls Sie eine hinzugefügte Berechtigungszuordnung wieder entfernen möchten, fahren Sie mit der Maus über die entsprechende Tabellenzeile und klicken Sie dann auf das Radiergummi-Symbol.
...
| Anker | ||||
|---|---|---|---|---|
|
...
Den gewünschten Nutzertyp können Sie einfach in der angezeigten Drop-Down-Box auswählen. Berücksichtigen Sie dabei, dass der Nutzertyp "keine Lizenz" dafür sorgt, dass sich ein Nutzer, dem dieser Nutzertyp zugeordnet wurde, nicht in die Prozessplattform einloggen kann. In diesem Fall wird für diesen Nutzer kein Benutzerkonto in der Prozessplattform angelegt. Sie können den Nutzertyp "keine Lizenz" also nutzen, wenn Personen, die zwar einen Zugang in Ihrem Identity-Provider haben, aber keinen Zugriff zu der Prozessplattform erhalten sollen. Berücksichtigen Sie außerdem, dass der Nutzertyp "Administrator" uneingeschränkten Zugriff auf alle Funktionen der Prozessplattform (inkl. Verwaltungfunktionen!) freigibt. Diese Zugriffsberechtigungen können auch durch zugeordnete Gruppenmitgliedschaften nicht eingeschränkt werden. 
...
Gruppen können Sie hinzufügen, indem Sie die gewünschte Gruppe in der angezeigten Drop-Down-Box auswählen. Bestätigen Sie Ihre Eingabe über das "+"-Symbol. Falls Sie eine Gruppe wieder entfernen möchten, fahren Sie mit der Maus über die entsprechende Gruppe und klicken Sie auf das Radiergummi-Symbol.
...
Sobald Sie die gewünschten Einstellungen vorgenommen haben, können Sie den Bearbeitungsmodus per Klick auf das Stift-Symbol wieder verlassen.
...
| Anker | ||||
|---|---|---|---|---|
|
Aktualisierung eines Prozessplattform-Nutzers bei einem Login über Single-Sign-On
...
Bei der Aktualisierung von Prozessplattform-Berechtigungen eines Schattennutzers werden niemals bestehende Rechte entzogen, es werden nur zusätzliche Berechtigungen hinzugefügt. Dies kann geschehen, falls sich die Gruppe/Rolle des Nutzers beim Identity-Provider oder die Berechtigungszuordnungen in der Prozessplattform geändert haben.
Wenn also ein Schattennutzer in der Prozessplattform bisher den Nutzertypen "Betrachter" hat und der Identity-Provider bei einem Login des Nutzers in die Prozessplattform eine Gruppenmitgliedschaft für den Schattennutzer überträgt, welcher der Nutzertyp "Modellierer" zugeordnet ist, wird der Nutzertyp zu "Modellierer" geändert. Wäre dies genau umgekehrt, d.h. der Nutzer hat bereits den Nutzertypen "Modellierer" und über die Berechtigungszuordnung wird "Betrachter" festgelegt, behält der Schattennutzer trotzdem weiterhin den Nutzertypen "Modellierer".
...
| Auszug |
|---|
Kann ich Single-Sign-On aktivieren, wenn es bereits bestehende "normale" Nutzerkonten gibt?Ja, in der Prozessplattform können "normale" Prozessplattform-Nutzer neben Schattennutzern existieren und ganz normal weiter genutzt werden. Wenn Sie Anwendern, die bereits ein normales Nutzerkonto haben einen Login per Single-Sign-On ermöglichen möchten, ohne dass jeweils ein neuer Schattennutzer für den Anwender angelegt wird, stellen Sie sicher, dass der Nutzername des Andwenders in der Prozessplattform identisch mit der Name-ID desselben Anwenders beim Identity-Provider ist. Ist dem der Fall, dann werden die bestehenden Nutzer bei einem Login per Single-Sign-On entsprechend aktualisiert. Ein "normaler" Login über die Prozessplattform ist für diese Nutzer weiterhin möglich. Bei der Aktualisierung werden die auf folgender Seite beschriebenen Regeln angewandt: 838828259Automatische (Schatten-) Nutzererstellung konfigurieren#Aktualisierung. Haben Schattennutzer weiterhin Zugriff auf die Prozessplattform, wenn Single-Sign-On abgeschaltet ist?Schattennutzer können sich, nachdem Single-Sign-On abgeschaltet wurde, ohne weiteres erstmal nicht mehr in die Prozessplattform einloggen. Um einen Login für diese Nutzerkonten zu ermöglichen, müssen Sie den Nutzern zuerst ein Passwort zuweisen und zukommen lassen. Weitere Informationen dazu finden Sie im Kapitel Nutzer verwalten. |
...