Ansicht abhängig von Userrole

[tomtom62]

Hallo,

ich habe eine einfache Datenbank erstellt, in der alle Nutzer Dokumente anlegen, bearbeiten und löschen können. Diese Dokumente enthalten Daten, u.a. ein Richtextfeld mit eingebetteten Dateien, die von einer anderen Datenbank ausgewertet werden.
In jedem Dokument befindet sich ein Autorenfeld, in das der Autor eingetragen ist, der das Dokument erstellt hat.

Derzeit sehen aber alle Nutzer alle Dokumente, ich möchte aber, dass nur die Dokumente zu sehen sind, die für eine bestimmte Userrole vorgesehen sind.

Beispiel: Wenn der User xy mit der Role "ABT_3" die Datenbank öffnet, dann sollen für ihn nur die Dokumente sichtbar sein, die Nutzer angelegt haben, die ebenfalls die Rolle "ABT_3" haben. das können durchaus mehr als einer sein.


Frage 1: Wie kann ich eine Ansicht so modifizieren, dass nur die Dokumente der entsprechenden Rolle angezeigt werden ?. Es gibt derzeit eine Ansicht, in der alle Dokumente aufgeführt sind. Diese müsste ja wohl modifiziert werden.

Bin ich mit meinem Autorenfeld auf dem richtigen Weg oder hätte ich was anderes machen sollen ?. Wäre es besser, die Rolle dort einzutragen ?

Vielen Dank im Voraus

Thomas
 

[koehlerbv]

Mit dem Autorenfeld regelst Du Erstellen-/Bearbeiten-Rechte. Was Du brauchst, ist ein LESER-Feld.
Siehe DesignerHelp: Leserfeld oder readers field.

Das ganze passiert übrigens auf Dokument- und nicht auf Ansichtsebene.

HTH,
Bernhard

[tomtom62]

Sorry, da kann ich nicht ganz folgen:

Du sagst, ein Leserfeld würde das Problem lösen. Das bedeutet aber doch nicht, dass automatisch dann die Dokumente nicht sichtbar sind oder

Nach meiner, zugegeben laienhafter Vorstellung nach, müsste in der Ansicht irgendwo eine Auswahl stattfinden etwa wie:

Zeige alle Dokumente, die ein Nutzer, der die Rolle "ABT_3" hat erstellt hat..

Oder hat diese Denkweise einen Fehler ?

Gruss

Thomas

[koehlerbv]

Man kann das eine tun, ohne das andere zu lassen.
Was Dein Problem aber angeht, nur folgende kurze Antwort: Wenn in einem Dokument ein leserfeld enthalten ist und eine Person dort nicht über Name, Gruppe oder Rolle aufgeführt ist, sieht diese Person das Dokument nicht.
Wie gesagt: In der DesignerHelp istz das sauber erklärt.

Bernhard

[Semeaphoros]

Und dazu gibt es in den Best Practices von Matthias eine gute Uebersicht über Zugriffsrechte und was für Dokumente man da sehen oder bearbeiten kann:


Zugriffssteuerung

[tomtom62]

Danke für die Hinweise bisher: Soweit ich Eure Ausführungen verstanden habe, insbesondere das Thema Zugriffsteuerung, sollte ich ein Autoren und ein Leserfeld haben. Alle User sollten Autoren sein.

Dann sehen diese nur die Dokumente der entsprechenden Userrole und bearbeiten können sie diese dann auch.

Das ich diese Felder "Berechnet zur Anzeige" mittels der Funktion @Author vorbelege, ist auch richtig oder ?

Danke für Eure Geduld..

Thomas

[TMC]

Das ich diese Felder "Berechnet zur Anzeige" mittels der Funktion @Author vorbelege, ist auch richtig oder ?

Entweder so oder eben ein hardcodiertes Reinsetzen der Rolle.

"Berechnet zur Anzeige" weiß ich jetzt gar nicht ob das geht, ein "Berechnet" sollte auf jeden Fall funktionieren und ist imho hier besser.

Matthias

[tomtom62]

Danke für alle Hinweise, ich werde es ausprobieren..

[koehlerbv]

Berechnet zur Anzeige geht definitiv nicht, um ein Autorfeld zu belegen. Genau dann wird der berechnete Wert ha nicht gespeichert, kann also auch nicht für die Zugriffssteuerung dienen.

Und bevor Du Auoren- und/oder Leserfelder implementierst, lies Dich unbedingt in das Thema sorgfältig ein. Wenn Du beispielsweise Deine Server nicht in das bzw. ein Leserfeld aufnimmst, sehen die auch nix. Die Folgen kannst Du Dir sicherlich ausmalen ;-)

Bernhard

[MartinG]

Kann Bernhard nur zustimmen - bin selber auch nur "Hobbyprogrammierer" und die Leserfelder haben es schon ein wenig in sich wenn man noch nie damit gearbeitet hat.

Mein Vorschlag: lese Dich mal in einem guten Buch ein in die Materie ein und mach Dir eine kleine Testdatenbank wo Du das ganze ausprobierst und ein wenig rumspielst.

Ich mache es immer folgendermassen (wobei ich als Laienprogrammier nicht weiss ob das so optimal ist - habe ich mir mal irgendwo abgeschaut):

Ich erstelle in meiner Maske immer drei versteckte Leserfelder diese haben den Inhalt:  "[Server]"  "[Admin]"  "[User]"  - also Rollen und über die Rollenzuordnung in der ACL regle ich dann den Zugriff auf die Dokumente. Ich habe allerdings auch erst zwei Datenbank erstellt mit Leserfeldern - bei meiner ersten habe ich das halt alles fest reingeschrieben und habe dann als der MarketingChef gewechselt ein kleines Problem bekommen...

Gruss
Martin

[TMC]

Meine "Strategie" bei Dokumentzugriff etc., wenn es eine DB ist, in der viele lesen, manche schreiben etc. sollen.

- Alle bekommen in der ACL Editorrechte
- Alle bekommen Löschrechte (dies sperre ich aber wieder übers DB-Script)
- Mein Admin, der die DB auf den Server stellt, bekommt von mir schriftlich eine Vorlage, wie die ACL einzustellen ist. Dies nehme ich auch in der DB mit auf ("Benutzen dieser DB", Abschnitt Admins)
- Leser- und Autoren - Zugriff regle ich über Rollen. Diese Rollen werden hardcodiert in der Maske verankert.

Damit umgehe ich zwar manche Notes (ACL) Standards, aber halte es persönlich für flexibler und einfacher, das ganze zu administrieren. Gerade, wenn User Dokument mit Maske "A" sehen aber nicht bearbeiten darf, Dok mit Maske "B" gar nicht sehen darf, etc. ist das simpel über die ACL anhand der Rollen zu konfigurieren ([A Edit], [A Read] [B Edit], [B Read]etc).

Das Löschen regle ich ausschließlich über Buttons. Die Dokumente verschwinden dann nicht wirklich, sondern landen in einer View, die wiederum nur der [Admin] sieht.

Matthias

[tomtom62]

Für mich als Laien klingt die Variante von Bernhard gut und vorallem "einfach"  

Es geht wie gesagt darum, viele können Dokumente erstellen, aber es sollen für die Leute nur die Dokumente sichtbar sein, die von ihnen und von Leuten mit der gleichen Rolle erstellt wurden.

Die Variante mit dem Löschen von TMC klingt gut, das werde ich mal probieren.

Alle haben natürlich Recht, ich muss mich da dringend einlesen. Problem ist nur, diese Datenbank gibt es im Prinzip schon, es werden auch schon Dokumente eingestellt, aber bisher ist halt alles offen wie ein Scheunentor. Jeder mit Zugriff sieht alles, kann demzufolge auch alles löschen  

@koehlerbv: Die Server haben Managerrechte, sollten also derzeit nicht das Problem sein. aber Du hast Recht, es könnte demnächst ein "lesender" Server hinzukommen.

Gruss

Thomas

[animate]

@koehlerbv: Die Server haben Managerrechte, sollten also derzeit nicht das Problem sein. aber Du hast Recht, es könnte demnächst ein "lesender" Server hinzukommen.

Das hat nix mit dem Zugriffslevel in der ACL zu tun (Manager, Auto, Leser, etc.).
Wenn dein Server nicht in einem Leserfeld eines Dokuments aufgeführt ist, dann ist das Dokument für ihn nicht sichtbar, auch wenn er Manager ist und sich auf den Kopf stellt. Eine Möglichkeit, ziemlich sicher zu stellen, dass dein Server immer leseberechtigt ist, wurde schon von Martin genannt:

Ich erstelle in meiner Maske immer drei versteckte Leserfelder diese haben den Inhalt:  "[Server]"  "[Admin]"  "[User]"  - also Rollen und über die Rollenzuordnung in der ACL regle ich dann den Zugriff auf die Dokumente.

[tomtom62]

Bin leider erst heute dazu gekommen, Eure Ratschläge in die Datenbank einzuarbeiten.

Ich habe mich für eine Kombination aus den Ratschlägen entscheiden: Es sind drei Leserfelder geworden, eines mit [Server] eines mit [Admin] und eines mit @Userroles.

Jede Gruppe bzw. jeder User in der ACL gehört mindestens einer Gruppe an  und ist  Editor. Alle Server haben die Rolle [Server] und alle Manager die Rolle [Admin].

Auf den ersten Blick scheint alles wie erwartet zu funktionieren.

Viele Dank an Alle..

[Dr. D]

Wenn ich mit Lesefeldern arbeite, baue ich immer als erstes ein Hintertürchen ein.

Ein unsichtbares Leserfeld das die Rolle [readall] beinhaltet.
Diese Rolle vergebe ich aber nicht in der ACL.
Erst wenn alle Stricke reissen, wir die Rolle in die ACL eingetragen.

Happy Day
Michael

[tomtom62]

Das ist kein schlechter Gedanke, das werde ich noch einbauen..

Danke

Thomas