| Info |
|---|
Auf dieser Seite erfahren Sie, wie bei der Erstellung und Aktualisierung der Schattennutzer (Nutzer, die sich per Single-Sign-On in die Prozessplattform eingeloggt haben) vorgegangen wird. Außerdem wird auf dieser Seite erläutert, wie Sie sowohl Nutzerinfomationen als auch individuelle Prozessplattform-Berechtigungen für jeden erstellten Schattennutzer festlegen können. |
...
| Inhalt | ||
|---|---|---|
|
Screenshot zweiter Reiter
Anker Erstellung Erstellung
...
Sobald sich ein Nutzer das erste Mal per Single-Sign-On über SAML in die PICTURE-Prozessplattform einloggt, wird ein neues Benutzerkonto für diesen in der Plattform angelegt. Dabei werden jeweils die vom Identity-Provider übertragenen und in der Prozessplattform konfigurierten Nutzerinformationen, sowie die, den vom Identity-Provider übertragenen Gruppen/ Rollen, zugeordneten Berechtigungen übernommen. Als Nutzername wird immer die vom Identity-Provider übertragene Name-ID verwendet. Auf diese Art und Weise erstellten Prozessplattform Nutzer heißen "Schattennutzer". Sie werden in der Datenbank der Prozessplattform gespeichert, um dort alle Informationen vorzuhalten, welche die Prozessplattform "über einen Nutzer wissen muss" und um Benutzerkonten mit Elementen des Datenmodells der Prozessplattform verknüpfen zu können (z.B. Zugriffsberechtigungen für Ordner, Status-Informationen wie "letzter Bearbeiter eines Prozessmodells" etc.).
| Tipp | ||
|---|---|---|
| ||
Falls Sie bereits bestehende Nutzerkonten in der PICTURE-Prozessplattform verwalten und nicht möchten, dass für diese Nutzer bei einem Login per Single-Sign-On über SAML ein neues (zweites) Benutzerkonto angelegt wird, stellen Sie einfach sicher, dass der Nutzername der betroffenen Nutzerkonten mit der Name-ID desselben Nutzers in Ihrem Identity-Provider übereinstimmt. Sobald Sie dies für alle betroffenen Nutzerkonten sichergestellt haben, werden die bestehende Benutzerkonto bei dem Login eines Nutzers per Single-Sign-On über SAML lediglich nach den unten beschriebenen Regeln aktualisiert, es wird aber kein neues (zweites) Benutzerkonto angelegt. |
...
Nutzerinformationen vom Identity-Provider übernehmen
Screenshot Nutzerinformationen
Über die oben markierten zu sehenden Eingabefelder haben Sie die Möglichkeit die folgenden Nutzerinformationen eines Schattennutzers automatisch vom Identity-Provider zu übernehmen:
...
Automatische Zuweisung von Berechtigungen für SAML authentifizierte Nutzer
Screenshot Abschnitt "Zuordnung von PPP-Berechtigungen"
Über das oben markierte zu sehende Eingabefeld und die zugehörige Tabelle haben Sie die Möglichkeit neben den oben beschriebenen einfachen Nutzerinformationen auch PICTURE-Prozessplattform-Berechtigungen zu den Schattennutzern zuzuordnen. Die Berechtigungen werden in Form eines Nutzertyps und beliebig vielen Gruppenmitgliedschaften abgebildet.
| Anker | ||||
|---|---|---|---|---|
|
Pflichteinstellungen
Screenshot Default-Berechtigungen
Um die erstellte SAML-Konfiguration erfolgreich in Betrieb nehmen zu können, müssen Sie mindestens die Default-Berechtigungen in der zu sehenden Tabelle ausfüllen. Die Default-Berechtigungen werden in Form eines Nutzertyps und beliebig vielen Gruppenmitgliedschaften abgebildet. Wie Sie die Default-Berechtigungen bearbeiten können erfahren Sie im Abschnitt "Zuordnungen von Berechtigungen bearbeiten".
| Hinweis | ||||
|---|---|---|---|---|
| ||||
Die Default-Berechtigungen werden bei dem Anlegen oder der Aktualisierung eines Prozessplattform-Nutzers immer dann angewandt, wenn der PICTURE-Prozessplattform bei dem Login des Nutzers keine Identity-Provider-Gruppe / -Rolle bekannt gemacht wird oder zu der Identity-Provider-Gruppe / -Rolle des Nutzers keine explizite Zuordnung von Prozessplattform-Berechtigungen konfiguriert wurde. |
| Anker | ||||
|---|---|---|---|---|
|
(Optional) Explizite Zuordnungen von Prozessplattform-Berechtigungen konfigurieren
Zusätzlich zu den Default-Berechtigungen haben Sie die Möglichkeit Prozessplattform-Berechtigungen explizit für eine bestimmte Nutzergruppe/ -Rolle Ihres Identity-Providers festzulegen. Dazu müssen Sie das Feld "Identity-Provider-Gruppen / -Rollen" in der Benutzeroberfläche ausfüllen. An diesem Feld müssen Sie die Bezeichnung des Attributes, welches die Gruppen/ Rollen o.Ä. eines Nutzers in einer Nachricht Ihres Identity-Providers enthält, hinterlegen. Die Zuordnung der Nutzer zu den Berechtigungen wird später über die Gruppe/ Rolle o.Ä., welche die jeweiligen Nutzer in dem von Ihnen genutzten Identity-Provider haben, vorgenommen.Screenshot Feld "Identity-Provider-Gruppen / -Rollen"
Um einer Nutzergruppe / Rolle Ihres Identity-Providers explizit bestimmte Berechtigungen zuzuordnen müssen Sie zunächst eine neue Berechtigungszuordnung (Zeile) in der zu sehenden Tabelle hinzufügen. Dazu klicken Sie auf den Knopf "Neue Berechtigungszuordnung hinzufügen" unterhalb der Tabelle.Screenshot Knopf "Neue Berechtigungszuordnung hinzufügen"
In der neuen Zeile der Tabelle müssen Sie nun in der ersten Spalte die Gruppen- / Rollenbezeichnungen Ihres Identity-Providers eintragen, der Sie Prozessplattform-Berechtigungen zuordnen möchten. Die gewünschten Berechtigungen, d.h. einen Nutzertyp und beliebig viele Gruppen können Sie in den übrigen Tabellenspalten eintragen. Hinweise zur Bearbeitung der Berechtigungen und Bestätigung Ihrer Eingabe finden Sie im Abschnitt "Zuordnungen von Berechtigungen bearbeiten".
Falls Sie eine Berechtigungszuordnung entfernen möchten, fahren Sie mit der Maus über die entsprechende Tabellenzeile und klicken Sie dann auf das erschienene Radiergummi-Symbol.
Screenshot Tabelle mit Markierung des Radiergummi-Symbols
| Anker | ||||
|---|---|---|---|---|
|
...
Um eine bestehende Zuordnung von Berechtigungen zu bearbeiten, fahren Sie mit der Maus über die entsprechende Tabellenzeile und klicken Sie auf das Stift-Symbol. Falls Sie die Default-Berechtigungen ausgewählt haben können Sie nun den gewünschten Nutzertyp sowie die gewünschten Gruppen zuordnen. Falls Sie eine explizite Zuordnung von Berechtigungen ausgewählt haben können Sie zusätzlich noch die Gruppe / Rolle des Identity-Providers angeben, für die die angegebenen Berechtigungen gelten sollen.Screenshot Tabelle mit markiertem Stift-Symbol
Den gewünschten Nutzertyp können Sie einfach in der angezeigten Drop-Down-Box auswählen. Berücksichtigen Sie dabei, dass der Nutzertyp "keine Lizenz" dafür sorgen wird, dass sich ein Nutzer, dem dieser Nutzertyp zugeordnet wurde nicht in die Prozessplattform einloggen kann. In diesem Fall wird auch kein Benutzerkonto in der Prozessplattform für diesen Nutzer angelegt. Sie können den Nutzertyp "keine Lizenz" also nutzen, wenn Sie Personen, die einen Zugang in Ihrem Identity-Provider haben aus der Prozessplattform "aussperren" möchten. Außerdem sollten Sie berücksichtigen, dass der Nutzertyp "Administrator" uneingeschränkten Zugriff auf alle Funktionen der Prozessplattform (inkl. Verwaltungfunktionen!) freigibt. Diese Zugriffsberechtigungen können auch durch Gruppen nicht mehr eingeschränkt werden. Screenshot ausgeklappte Drop-Down-Box Nutzertypen
Die gewünschten Gruppen können Sie hinzufügen, indem Sie die gewünschte Gruppe in der angezeigten Drop-Down-Box auswählen. Bestätigen Sie Ihre Eingabe über das "+"-Symbol. Falls Sie eine Gruppe wieder entfernen möchten, fahren Sie mit der Maus über die entsprechende Gruppe und klicken Sie auf das Radiergummi-Symbol.Screenshot Markierung "+"- und Radiergummi-Symbol
Sobald Sie die gewünschten Einstellungen vorgenommen haben, können Sie den Bearbeitungsmodus per Klick auf das Stift-Symbol wieder verlassen.Screenshot Tabelle mit markiertem Stift-Symbol
Anker Aktualisierung Aktualisierung
Aktualisierung eines Prozessplattform-Nutzers bei einem Login über Single-Sign-On
...