Rollen und Rechte

Was jemand in WorkOffice darf, hängt an seiner Rolle. Jede Rolle bündelt Rechte; ein Recht erlaubt eine bestimmte Handlung und heißt bereich:aktion, etwa document:finalize für das Festschreiben von Belegen. Vergeben wird die Rolle, nicht das einzelne Recht – unter Einstellungen → Benutzer, siehe Benutzer.

Die vier Rollen

Der Inhaber hat die Wildcard *: Er darf alles, ohne dass jedes Recht einzeln zugewiesen sein müsste – auch Rechte, die mit einem späteren Update dazukommen.

Das Büro hat jedes Recht außer user:manage (Benutzer verwalten) und abo:manage (Abo abschließen, ändern, kündigen). Beides bleibt beim Inhaber.

Die Rechte des Steuerberaters folgen einer Regel: alle Leserechte (…:read) und ausdrücklich dazu datev:export, pendelakte:write, archiv:pruefen und archiv:export. Kommt ein neuer Bereich mit Leserecht dazu, sieht er ihn von selbst; Schreibrechte bekommt er nie von selbst. Mehr unter Steuerberater-Zugang.

Wer was darf

Der Inhaber darf alles; die Tabelle zeigt die drei anderen Rollen.

Ein paar Begründungen aus dem Programm: Mitarbeiter nehmen auf der Baustelle Bargeld ein – erfassen ja, den Tagesabschluss nicht (cash:close). Sie nehmen Material aus dem Lager und zählen bei der Inventur mit, schließen sie aber nicht ab (stock:manage). Und die Elektrofachkraft im Team trägt ihren Prüfnachweis selbst ein (device:write). Belege schreiben Mitarbeiter als Entwurf; festschreiben, versenden und stornieren bleibt dem Büro.

Rechte und Pakete

Rolle und Paket sind zwei getrennte Fragen. Das Recht sagt, wer etwas darf; das Paket, ob der Betrieb es hat. Ein Büro im Paket Start hat zwar bank:read, aber keine Bankanbindung – der Menüpunkt steht mit Schloss da. Siehe Abo und Pakete.

Wie geprüft wird

• Am Recht, nie an der Rolle. Jeder Endpunkt nennt die Rechte, die er braucht; fehlt eines, lehnt der Server ab. Wer einer Rolle später mehr erlaubt, muss dafür keine Prüfung im Code ändern.
• Bei jeder Anfrage neu. Die Rechte werden aus der aktuellen Rolle gelesen. Wer gesperrt oder herabgestuft wird, verliert seine Rechte sofort, nicht erst, wenn die Sitzung abläuft.
• Das Menü folgt den Rechten. Ein Menüpunkt erscheint nur mit dem Recht, das seine Seite braucht. Ausblenden unter Menü ist dagegen keine Sperre.

Fehlt ein Recht, nennt der Server es – etwa wenn ein Mitarbeiter festschreiben will:

Dafür fehlt die Berechtigung: document:finalize

Rechte an einem API-Schlüssel

Ein API-Schlüssel trägt eigene Rechte aus demselben Katalog. Beim Ausstellen prüft WorkOffice, dass es jedes Recht gibt und dass der Ausstellende es selbst hat – ein Schlüssel darf nicht mehr als sein Aussteller:

Diese Rechte haben Sie selbst nicht: user:manage

Was es nicht gibt

Einzelne Rechte je Konto abweichend von der Rolle lassen sich nicht vergeben, und eigene Rollen lassen sich nicht anlegen – es gelten die vier Rollen oben. Wer weniger dürfen soll als das Büro, bekommt die Rolle Mitarbeiter.