Verwaltungsrechte und Gruppenadmins

Organisations-Admins können im Bereich Organisation der Einstellungen alles tun. Mit Verwaltungsrechten können auch andere Personen einen Teil dieser Arbeit übernehmen, entweder für die ganze Organisation oder für eine Gruppe. So kann zum Beispiel eine Abteilung die Nutzung und das Audit-Log ihrer eigenen Gruppe sehen und Personen hinzufügen, ohne dass jemand in ihr Organisations-Admin wird.

Organisations-Admins und Verwaltungsrechte#

• Verwaltungsrechte für die ganze Organisation gelten auch für jede Gruppe.
• Eine Person kann Verwaltungsrechte für die ganze Organisation und für mehrere Gruppen haben. Für eine Gruppe zählen die Bereiche aus beiden zusammen.
• Ein Gruppenadmin muss nicht selbst Mitglied der Gruppe sein.
• Anders als Rollen gehören Verwaltungsrechte zu einer Organisation. Gehört die Person auch zu einer anderen Organisation, hat sie dort keine Verwaltungsrechte, sofern sie dort nicht ebenfalls welche erhält.
• Organisations-Admins haben immer alle Rechte. Sie werden nicht als Gruppenadmins aufgeführt und können keine Verwaltungsrechte erhalten.

Bereiche#

Verwaltungsrechte bestehen aus einem oder mehreren dieser Bereiche:

Mit Verwaltungsrechten für eine Gruppe umfasst jeder Bereich nur diese Gruppe: die Nutzung und das Audit-Log ihrer Mitglieder, ihre Mitglieder auf der Seite Personen, die Relays ihrer Mitglieder und die Gruppe selbst auf der Seite Gruppen.

Was bei den Organisations-Admins bleibt#

Folgendes gehört nie zu den Verwaltungsrechten. Es bleibt Personen mit der Rolle Organisations-Admin vorbehalten:

• die Seiten Modelle, Dokumentstil und API-Schlüssel,
• Personen einladen,
• Rollen vergeben und die Gruppen einer Person in ihren Details ändern,
• die Kontoaktionen, etwa Deaktivieren und Aus der Organisation entfernen,
• Gruppen erstellen, umbenennen und löschen sowie festlegen, ob eine Gruppe beim Teilen angezeigt wird.

Braucht jemand all das, vergeben Sie stattdessen die Rolle Organisations-Admin (siehe Rollen).

Seiten, die Sie mit Verwaltungsrechten sehen#

Verwaltungsrechte für eine Gruppe vergeben#

Um die Bereiche eines Gruppenadmins zu ändern, wählen Sie in seiner Zeile Ändern, passen die Bereiche an und wählen Speichern. Um die Verwaltungsrechte zu entziehen, wählen Sie Entfernen und bestätigen. Ist die Person Mitglied der Gruppe, bleibt sie es. Wenn Sie unter Ändern alle Bereiche abhaken und speichern, werden die Verwaltungsrechte ebenfalls entzogen.

Der Tab Admins zeigt nur die Bereiche, die für diese Gruppe vergeben sind. Organisations-Admins und Personen mit Verwaltungsrechten nur für die ganze Organisation werden nicht aufgeführt, obwohl ihre Rechte auch für die Gruppe gelten.

Verwaltungsrechte für die ganze Organisation vergeben#

Ändern erscheint nur, wenn Sie Organisations-Admin sind oder selbst Verwaltungsrechte für die ganze Organisation haben, und nur bei Personen, die keine Organisations-Admins sind.

Verwaltungsrechte in den Details einer Person zeigt ihre aktuellen Rechte: Organisations-Admin bei Personen mit dieser Rolle, Keine Verwaltungsrechte oder eine Zeile für Ganze Organisation und eine für jede Gruppe, jeweils mit den Bereichen. Rechte für eine Gruppe ändern Sie im Tab Admins der Gruppe.

Wer Verwaltungsrechte vergeben kann#

Organisations-Admins können alle Verwaltungsrechte vergeben, ändern und entziehen. Personen mit Verwaltungsrechten können selbst weitere Admins ernennen, aber mit Grenzen:

• Nur im eigenen Rahmen. Mit Verwaltungsrechten für eine Gruppe vergeben Sie Verwaltungsrechte nur für diese Gruppe. Mit Verwaltungsrechten für die ganze Organisation vergeben Sie Verwaltungsrechte für die ganze Organisation und für jede Gruppe.
• Höchstens mit den eigenen Bereichen. Bereiche, die Sie selbst nicht haben, lassen sich im Dialog nicht anhaken, und AITEZA weist darauf hin: „Sie können nur Bereiche vergeben, die Sie selbst haben.“
• Niemand ändert Rechte, die über die eigenen hinausgehen. Hat eine Person einen Bereich, den Sie in diesem Rahmen nicht haben, werden bei ihr Ändern und Entfernen nicht angezeigt.

Jede Änderung wird im Audit-Log unter Verwaltung festgehalten, als Verwaltungsrechte vergeben (auch wenn Bereiche geändert werden) oder Verwaltungsrechte entzogen. Die Details des Ereignisses nennen den Rahmen (organization oder group), die Gruppe, die neuen Bereiche (areas) und die bisherigen (previousAreas) als Bereichscodes (siehe Für Plattformbetreiber).

Was Gruppenadmins sehen#

Die Gruppenauswahl#

Auf den Seiten Nutzung, Audit-Log und Personen legt die Auswahl Gruppe oben auf der Seite fest, was die Seite zeigt:

• Ganze Organisation, wenn Sie den Bereich der Seite für die ganze Organisation haben,
• jede Gruppe, für die Sie den Bereich der Seite haben.

Haben Sie den Bereich für die ganze Organisation, können Sie jede Gruppe wählen. Organisations-Admins können die Auswahl daher als Gruppenfilter nutzen. Gibt es nur eine Möglichkeit, etwa eine einzige Gruppe, wird die Auswahl nicht angezeigt; stattdessen nennt die Beschreibung der Seite die Gruppe, zum Beispiel „Was die Anfragen der aktuellen Mitglieder von Vertrieb an KI-Modelle kosten, pro Monat.“

Die gewählte Gruppe ist Teil der Seitenadresse. Ein Lesezeichen oder ein geteilter Link öffnet die Seite daher mit derselben Gruppe.

Nur aktuelle Mitglieder#

Ist eine Gruppe gewählt, zeigen die Seiten nur die Personen, die gerade Mitglied der Gruppe sind:

• Nutzung: die Nutzung der aktuellen Mitglieder im ganzen gewählten Monat, auch wenn sie der Gruppe erst im Laufe des Monats beigetreten sind. Personen, die die Gruppe verlassen haben, sind nicht enthalten, auch nicht für vergangene Monate. Relays und Systemaufgaben sind ebenfalls nicht enthalten; die Zahlen aller Gruppen ergeben zusammen also nicht die Summe der Organisation. Gesamtkosten, Prognose, Kosten pro Tag und der Tab Nach Modell werden nur aus der Nutzung der Mitglieder berechnet. CSV exportieren exportiert die Zeilen der Mitglieder. Siehe Nutzung der Organisation.
• Audit-Log: die Ereignisse der aktuellen Mitglieder, auch aus der Zeit, bevor sie der Gruppe beigetreten sind. Ereignisse früherer Mitglieder werden nicht angezeigt. Der Filter Person bietet nur die Mitglieder der Gruppe an. Siehe Audit-Log.
• Personen: nur die Mitglieder der Gruppe, mit Suche und Statusfilter wie gewohnt.

Personendetails nur lesend#

Wer kein Organisations-Admin ist, sieht die Seite Personen und die Details einer Person nur lesend:

• Es gibt keine Schaltfläche Personen einladen und kein Menü am Ende der Zeilen.
• Gruppen und Rollen werden als Text angezeigt und lassen sich nicht ändern.
• Der Abschnitt Konto mit den Kontoaktionen fehlt.
• Der Tab Aktivität erscheint nur, wenn Sie auch Audit-Log für das haben, was die Seite zeigt: die ganze Organisation oder die gewählte Gruppe.
• Verwaltungsrechte zeigt die Rechte der Person für die ganze Organisation. Haben Sie Personen & Zugriffe nur für einige Gruppen, sehen Sie die Gruppenrechte der Person nur für diese Gruppen.

Gruppen für Gruppenadmins#

Personen, die keine Organisations-Admins sind, sehen auf der Seite Gruppen:

• alle Gruppen, wenn sie Personen & Zugriffe oder Mitglieder verwalten für die ganze Organisation haben, sonst nur die Gruppen, für die sie Verwaltungsrechte haben,
• keine Schaltfläche Neue Gruppe und keine Spalte Modelle.

Der Seitenbereich einer Gruppe zeigt nur die Tabs, die Ihre Bereiche erlauben:

Mitglieder verwalten#

Mit Mitglieder verwalten fügen Sie Personen zu einer Gruppe hinzu und nehmen sie wieder heraus.

Entfernen neben einem Mitglied nimmt es aus der Gruppe. Die Person bleibt in der Organisation und behält ihr Konto; sie verliert nur die Zugriffe, die sie über die Gruppe hatte.

Gruppenadmins können keine neuen Personen einladen. Gehört jemand noch nicht zur Organisation, bitten Sie einen Organisations-Admin, die Person zuerst einzuladen (siehe Personen und Gruppen).

Für Plattformbetreiber#

AITEZA speichert Verwaltungsrechte nur in Keycloak, nicht in der eigenen Datenbank, und zwar im mehrwertigen Gruppenattribut admins:

• an der Gruppe der Organisation (Tenant-Gruppe) /tenants/<tenant> für Verwaltungsrechte für die ganze Organisation,
• an der Gruppe (einer direkten Untergruppe der Tenant-Gruppe) für Verwaltungsrechte für diese Gruppe.

Jeder Wert enthält die Rechte einer Person: <keycloakUserId>:<area>[,<area>…], zum Beispiel 0b6c5a2e-4f1d-4c8a-9e2b-7d3f1a6c8e90:audit,usage. AITEZA schreibt die Bereichscodes klein und sortiert:

• Der übliche Weg, Verwaltungsrechte zu ändern, sind die Einstellungsseiten: Sie wenden die oben beschriebenen Regeln an und halten jede Änderung im Audit-Log fest. Sie können das Attribut auch von Hand in der Keycloak-Admin-Konsole bei den Attributen der Gruppe bearbeiten; solche Änderungen erscheinen nicht im Audit-Log von AITEZA.
• Unbekannte Bereichscodes werden ignoriert, ebenso Werte ohne gültige Benutzer-ID oder ohne bekannten Bereich. Mehrere Werte zur selben Benutzer-ID werden zusammengefasst.
• Personen mit der Rolle tenant_admin oder super_admin haben alle Rechte und brauchen keinen Wert.
• Gruppenattribute können nur Keycloak-Administratoren bearbeiten, die Kontokonsole kann es nicht. Niemand kann sich selbst Verwaltungsrechte geben.
• Änderungen können bis zu 30 Sekunden brauchen, bis sie auf anderen Backend-Instanzen gelten, denn jede Instanz hält die Rechte so lange im Speicher. Die Instanz, die eine Änderung vorgenommen hat, wendet sie sofort an.
• Wird eine Person über AITEZA aus der Organisation entfernt, werden ihre Werte an der Tenant-Gruppe und an allen ihren Gruppen gelöscht. Werte von Personen, die von Hand in Keycloak entfernt wurden, bleiben stehen, werden aber ignoriert. Sie gelten erst wieder, wenn die Person von Hand in Keycloak wieder hinzugefügt wird; wird sie über AITEZA wieder hinzugefügt, werden die Werte vorher gelöscht.
• Wird eine Gruppe gelöscht, wird ihr Attribut mitgelöscht; ihre Gruppenadmins verlieren damit ihre Rechte für die Gruppe.
• Beim Schreiben ändert AITEZA nur admins; andere Attribute wie name und addons bleiben unverändert. Der Keycloak-Client des Backends braucht keine Berechtigungen über die hinaus, die er für die Gruppenverwaltung ohnehin braucht.