Berechtigungen

Der vollständige Katalog der Berechtigungen genau so, wie die Schalter einer Rolle sie schreiben, die Regeln, die einander bedingen, und was jede Berechtigung in der Anwendung freigibt, Seite für Seite.

Eine Berechtigung ist ein Schalter auf der Karte einer Rolle auf der Seite Benutzer (siehe Rollen). Es gibt 22 davon, nach Bereich gruppiert, und jede Ansicht der Anwendung entscheidet über das, was sie zeichnet und was sie erlaubt, indem sie die Berechtigungen der Identität prüft, die auf dieser Verbindung angemeldet ist. Diese Seite führt den Katalog genau so auf, wie die Schalter ihn schreiben, dazu die Regeln, die Schalter aneinander binden, und das, was jeder freigibt.

Zwei Ablehnungen sehen überall in der Anwendung verschieden aus, und es hilft zu wissen, welche welche ist: ein Befehl, den die Rolle nie erlauben wird, wird gar nicht gezeichnet (ein Viewer liest eine Leiste in der Größe dessen, was ein Viewer kann), während ein Befehl, den die Situation ablehnt (nichts gewählt, ein Lauf, der die Station hält, die gestoppte Runtime), gezeichnet bleibt, ausgegraut, mit dem Grund als Tooltip. Wo eine Berechtigung auch beim Absetzen eines Befehls geprüft wird, landet die Ablehnung mit einer der unten zitierten Meldungen im Aktionsprotokoll.

Der Katalog

Jeder Bereich unten ist eine Gruppe der Karte einer Rolle, in der Reihenfolge der Karte, mit dem Zähler, den sie zeigt, und den Beschriftungen und Beschreibungen der Schalter im Wortlaut.

Dashboard (3)

Connector (3)

Process (4)

Historien (3)

Logic (3)

Validierung (1)

System (5)

Regeln, die einander bedingen

Die Regeln unten sind die einzige Festlegung dessen, wie Schalter voneinander abhängen. Die Karte einer Rolle wendet sie beim Umlegen sofort an, und die Station wendet sie erneut an, wenn sie eine Rolle ablegt, eine abgelegte Rolle ist also immer in sich stimmig, und die Prüfung hinter jeder Ansicht ist ein schlichter Test eines Bits.

Was was voraussetzt

Die vier Schalter von Process sind eine Kette: Modelle ansehen, dann Abläufe ausführen, dann Rezepte und Bewertungen ändern, dann Process verwalten. Jede Stufe hält die vorigen. Alles andere im Katalog ist unabhängig: Ereignisse anzeigen, Einstellungen ändern, Agent verwalten (MCP), Validierung anzeigen und Fernzugriff (LAN) setzen nichts voraus und werden von nichts vorausgesetzt.

Die festen Bits

Die Masken ab Werk

Keine Rolle ab Werk außer Admin hält Einstellungen ändern, Agent verwalten (MCP) oder Lokale Benutzer verwalten. Nicht angemeldet hält ab Werk die ersten beiden.

Der Reichweitenstreifen

Jede Rolle auf der Seite Benutzer wird auch als sechs Segmente gezeichnet. Jedes Segment zeigt den tiefsten Schalter, den die Rolle in diesem Bereich hält, auf einer Skala mit vier Stufen: Kein Zugriff, Anzeigen, Bedienen, Verwalten. Der Streifen ist eine Silhouette, nicht der Katalog: die genaue Wahrheit sind immer die Schalter.

Zwei Schalter hinterlassen auf dem Streifen keine Spur: Ereignisse anzeigen leuchtet nirgends, und Validierung anzeigen zählt nur auf die Stufe Anzeigen des Segments Historien. Die Zusammenfassung neben einem Streifen, "Darf von 6 Bereichen ändern", zählt die Segmente auf Bedienen oder Verwalten; "Nur ansehen" heißt mindestens ein Segment auf Anzeigen und keines höher; "Kein Zugriff" heißt jedes Segment leer.

Was jede Berechtigung freigibt

Die Navigationsleiste zeichnet einen Eintrag nur für eine Identität, die die Berechtigung hält, die der Eintrag nennt (irgendeine davon, wo mehrere genannt sind), und die Seite dahinter lehnt die Route mit derselben Prüfung ab: ein Browser, der die Adresse trotzdem tippt, bekommt die Anmeldefläche statt der Seite. Innerhalb einer Seite werden die Befehle und Felder unten nur für eine Rolle gezeichnet, die den Schalter hält, und beim Drücken erneut geprüft.

Dashboard

Connector

Process

Historien

Logic

Validierung

System

Was Berechtigungen nicht regeln

• Die Runtime. Erfassung, Aufzeichnung, der Zyklus der Logik, Alarme, der eingebettete OPC UA-Server und der Endpunkt für MCP laufen, was die Rollen auch sagen; nur die Grenze des kostenlosen Modus hält sie an (siehe Abonnement).
• Das Anmelden und Abmelden. Der Benutzerchip und die Wurzel Jetzt angemeldet stehen jeder Identität offen.
• Die eigenen Vorgänge der Station hinter den Ansichten: ein über MCP verbundener Agent hat seine eigenen freigegebenen Bereiche auf der Seite Agent und meldet sich nicht als lokaler Benutzer an.
• Das Formular für Rückmeldungen auf der Seite Konto, das am Ganter-Konto hängt und nicht an einer lokalen Rolle.