Dokumente verstecken mit Autoren-/Leserfeld

[DrNotes]

Hallo Leute,

ich möchte in meiner Datenbank die Möglichkeit haben, dass User, Dokumente vor anderen Usern verstecken können - aber ich als Admin, soll trotzdem immer alle Dokumente sehen.
Zu diesem Zwecke verwende ich in jedem Dokument Autoren-, Leserfelder.

Zur Realisierung wären 2 Varianten möglich:
Variante A:
--------------
AllAuthors: =Autorenfeld (Dropdown zur Auswahl)
AllReaders: =Leserfeld    (Dropdown zur Auswahl)  /  falls hier ein Stern eingtragen ist, kann's jeder lesen.

Problem:
Ich bin Admin und wenn mich der Dokument-Ersteller aus AllAuthors/AllReaders rausnimmt, kann ich das Dokument nicht mehr sehen/editieren.

Lösung:
Ich erstelle ein 2. verstecktes Autorenfeld "Manager" und da trage ich als Defaultwert die "Admin"-Gruppe ein, der ich angehöre.
Damit bin ich jetzt immer in jedem Dokument eingetragen und sehe alles

Variante B:
--------------
Ich erstelle 2 Namensfelder, mit jeweiliger Dropdown-Auswahlmöglichkeit und verstecke im Dokument-Header ein Autoren und ein Leserfeld.

Namensfelder:
Bearbeiter: =Namensfeld (Dropdown zur Auswahl)
Leser:         =Namensfeld (Dropdown zur Auswahl)

im Dokumenten-Header erstelle ich 2 versteckte Felder:
AllAuthors:  =Autoren
AllReaders: =Leser

Bevor das Dokument gespeichert wird, kopiere ich die gewählten User vom Bearbeiter nach AllAuthors und die Bearbeiter/Leser nach AllReaders.
Zusätzlich kopiere ich über z.B. LS vorm Speichern des Dokuments immer die Admin-Gruppe dazu.
Auch hier bin ich jetzt in jedem Dokument eingetragen und sehe alles


Meine Frage:
Nachdem die Variante A mit dem zweiten, versteckten Autorenfeld viel einfacher ist, hätte ich gerne gewusst, ob diese Idee auch so passt bzw. was bewirken eigentlich "mehrere Autorenfelder"?

Danke im voraus für eure Antworten.

[dirk_2909]

Hallo,

ich verwende auch immer Variante A!

Ich trage nur eine Rolle ein.

Mehrer Autorenfelder addieren/ergänzen  sich.

Dirk

[Axel]

Die Idee passt so schon.  Ich mache das in der Regel genauso.

Mehrere Leser- und Autorenfelder werden jeweils kombiniert und wirken so, als wenn alle Einträge in einem Feld enthalten wären.


Axel

[TMC]

Ich mach das auch so, allerdings mach ich da immer lieber ein Leserfeld anstatt Autorenfeld.

Warum:
Es gibt dann eine Rolle [ReadAll]. Diese kommt dann in mein verstecktes Leserfeld bereits beim Anlegen.
Jeder der diese Rolle hat, darf lesen. D.h. aber noch lange nicht dass der dann auch schreiben darf. Einem Admin gebe ich dann z.B. auch diese Rolle, aber in der ACL Manager-Rechte. Somit darf ein Admin auch ändern.

[DrNotes]

Ich mach das auch so, allerdings mach ich da immer lieber ein Leserfeld anstatt Autorenfeld.

Warum:
Es gibt dann eine Rolle [ReadAll]. Diese kommt dann in mein verstecktes Leserfeld bereits beim Anlegen.

Zwei grundsätzliche Fragen hätte ich noch:

Frage 1:
======
Um 100% vermeiden zu können, das Dokumente aufgrund fehlender Zugriffsrechte im ewigen Nirvana (unsichtbar) verschwinden, gibt's ja prinzipiell 2 Varianten, damit ich als Admin immer im (versteckten) Autorenfeld aufscheine.

Variante 1
-------------
- mittels  V o r g a b e w e r t  für verstecktes Autorenfeld bei Dokumentenerstellung

verstecktes Autorenfeld
Typ=Bearbeitbar
"Vorgabewert" = Admin oder @Name([CN];@DBManager)

Diese Variante scheint mir unsicher zu ein, und zwar:
Annahme:
Meine Administrator-Gruppe heisst irgendwann aus irgendeinem Grund nicht mehr "Admin" sondern "Superadmin" (oder weil ich die DB eben auf einem anderen Server installiere). Damit hat "Superadmin" keinen Zugriff mehr auf die Dokumente, da ja Admin im Autorenfeld steht.

Variante 2
-------------
 - mittels  b e r e c h n e t e m  versteckten Autorenfeld bei Dokument-Anzeige
verstecktes Autorenfeld
Typ=Berechnet zur Anzeige
"Wert" = Admin" oder @Name([CN];@DBManager)

Diese Variante hat den Vorteil, dass sie die Administratoren der Datenbank zur Laufzeit - also immer aktuell - berechnet. Da es immer einen Manager/DB geben muss, hat DER/DIE Admingruppe immer Zugriff auf alle Dokumente.
Hätte auch den Vorteil, dass man die DB leicht auf andere Server übertragen kann, und ich muss mich nicht darum kümmern, wie die Administrator-Gruppe des jeweiligen Servers heisst.

Stimmt meine Theorie?

Frage 2:
======

Irgendein Schlaumi könnte ja die glorreiche Idee haben, die Server-Datenbank lokal auf den Rechner zu replizieren um damit Zugriff auf ALLE Dokumente zu haben.
Verhindert das jetzt die "Konsistente ACL über alle Repliken erzingen"?
Ich weiss, man kann das irgendwie knacken, aber für OttoNormalVerbraucher reichts.

Danke für Eure Antworten

[Glombi]

Du solltest anstelle eines Gruppennamens eine Rolle nehmen, so wie TMC gesagt hat. Dann bist Du für Umbenennungen von Gruppen gewappnet.

Du solltest NICHT den CN Namen nehmen, da dann Autoren-/Leserfelder nicht funktionieren (oder zumindest nicht immer).

Du darfst das Feld NICHT "Berechnet zur Anzeige" machen!

Bei einer lokalen Replikerstellung bekommt der User nur das, was er auch auf dem Server lesen darf. Also kein Grund zur Panik.

Soweit meine Anmerkungen.

Andreas

[diali]

oder Du schaust hier.

Lese dazu auch mal dies besonders Punkt 2.3.

Gruß
Dirk

[DrNotes]

oder Du schaust hier.

Lese dazu auch mal dies besonders Punkt 2.3.

Gruß
Dirk

zu Pkt. 2.3.

Ok, man möge mir verzeihen, aber ich sitze eben grad bei diesem Problem und versuche gerade soviel Infos wie möglich zu bekommen.

[diali]

es sei Dir verziehen.

Ist halt unfär denen gegenüber, die nur ein Forum lesen, weil die nicht wissen wie der Stand im anderen Forum ist.

[DrNotes]

es sei Dir verziehen.

Ist halt unfär denen gegenüber, die nur ein Forum lesen, weil die nicht wissen wie der Stand im anderen Forum ist.

Über die Idee mit dem Crosslink habe ich ehrlich gesagt noch nicht nachgedacht - aber danke für'n Hinweis - werd's in Zukunft machen.