Rollenzuordnungen durch Gruppen ersetzen

[Alexis]

Hallo LN-Gemeinde,

ist es möglich User, die in der ACL mit bestimmten Rollen versehen sind, zu ersetzen durch eine Gruppe mit eben diesen Usern allein mit dem Eintrag der Gruppe in der ACL mit entsprechender Rollenzuordnung?

Hintergrund meiner Frage ist die leichtere Pflege der User (Adminrechte ja/nein).

Mein Wunsch ist es (natürlich auch), nicht in den Scripten, in denen die Rollen abgefragt werden herrumzuprogrammieren.

Alexis

[Glombi]

Klar kannst Du Gruppen im Domino Directory anlegen und die User dort eintragen.

Andreas

[Alexis]

Hallo Glombi,

so ganz einfach geht es wohl doch nicht. Vermute das liegt doch am Aufbau des Scriptes für die Überprüfung der Rollenzugehörigkeit:

Set entry = acl.GetEntry( session.UserName )
If ( entry.IsRoleEnabled( "ROLLE_1")) Then ...

Bitte um Hilfe für einen Script-fast-Laien.

Alexis

[koehlerbv]

Jo, hier fragt das (ungeschickte) Script ab, ob der aktuelle User in der ACL vorhanden ist (als Personeneintrag) und ob die Rolle verfügbar ist.
Hier muss der Code umgeschrieben werden. Es muss also ein LS-Kundiger 'ran.

Bernhard

[Glombi]

Hier ein Scriptschnipsel...

dim roleenabled as integer
dim rollen as Variant
rollen = Evaluate( |@Userroles| )

roleenabled = false
forall rolle in rollen
 if rolle = "[ROLLE_1]" then
   roleenabled = true
   exit forall
 end if
end forall

if roleenabled then

.... hier dann dein Code ....

end if


Andreas

[Alexis]

Hallo Glombi,

dacht ich's mir doch.

Danke für Deine Hilfe. Damit komme ich wohl weiter.
Geht also doch nur mit Umscripten in den Anwendungen.

Alexis

[Glombi]

Das Script, welches Personen namentlich in der ACL sucht, ist schon abenteuerlich. Das macht man eigentlich nur in Ausnahmefällen. Es ist schon besser, wenn Du diese Stellen alle änderst.

Andreas

[Alexis]

Hallo Andreas,

so ist das mit geerbten Altlasten mit einem halbem Dutzend Designern, die darin herumprogrammiert haben.

Spricht eigentlich etwas dagegen, eine Rollenzuordnung nicht über die ACL zu steuern, sondern über eine "Userview", deren Pflege dann nicht vom Admin gemacht werden müsste, sondern zum Beispiel vom Owner der Datenbank?

Alexis

[Glombi]

Das sieht man ab und zu auch - insbesondere in Unternehmen, wo alles etwas bürokratischer zugeht  

Es erfordert allerdings einen etwas höheren Pflegeaufwand: Es müssen auch Namens- und Certifierwechsel berücksichtigt werden. Dazu könntest Du Autorenfelder benutzen und das den AdminP überlassen...

Andreas