Die ioki Platform steuert Zugriffe über die rollenbasierte Zugriffskontrolle: Berechtigungen werden niemals direkt an eine Person vergeben, sondern an eine Rolle – und diese Rolle wird einem Administrator-Account für eine bestimmte Ressource zugewiesen. Was eine Person in der Schaltzentrale und in ioki Operator sehen und tun kann, ergibt sich also immer aus der Summe ihrer Rollen.
Voraussetzungen
| Angabe | Wert |
|---|---|
| Benötigte Rolle, um die Rollen eines Produkts einzusehen | Product Admin oder eine eigene produktbezogene Rolle mit der Berechtigung „RBAC verwalten“ |
| Benötigte Rolle, um Rollen auf Anbieter-Ebene zu verwalten | Provider Admin |
| Benötigte Rolle, um Rollenzuweisungen zu prüfen | Product Admin oder eine eigene produktbezogene Rolle mit der Berechtigung „RBAC Rollen anzeigen“ |
| Feature | Rollenbasierte Zugriffskontrolle – muss für das Produkt bzw. den Anbieter aktiv sein |
| Vorbedingung | Der Administrator-Account hat Zugriff auf mindestens ein Produkt oder einen Anbieter und mindestens eine zugewiesene Rolle |
Wozu dient die rollenbasierte Zugriffskontrolle?
Nahezu jede Aktion in der Schaltzentrale benötigt eine passende Berechtigung. Ohne ein Rollenmodell müsste jede einzelne Berechtigung pro Person gepflegt werden. Rollen bündeln Berechtigungen stattdessen zu Aufgabenprofilen: Eine Person in der Leitstelle erhält die Rollen für den Tagesbetrieb, eine Person in der Serviceplanung die Rollen für die Konfiguration. So erhält jede Person genau die Rechte, die ihre Aufgabe erfordert – und keine darüber hinaus.
Wie funktioniert das Rollenmodell?
| Begriff | Bedeutung |
|---|---|
| Administrator | Account, der Zugriff auf ein oder mehrere Produkte, Anbieter oder Betreiber erhalten kann. Ein Administrator entsteht durch Selbstregistrierung oder durch Einladung eines Provider Admin. |
| Berechtigung | Einzelnes Recht für eine konkrete Aktion, zum Beispiel „Fahrer lesen“ oder „Fahrten stornieren“. Berechtigungen werden nie direkt an einen Administrator vergeben. |
| Rolle | Sammlung von Berechtigungen. Eine Rolle wird einem Administrator zugewiesen; ein Administrator kann mehrere Rollen besitzen. |
| Anbieter | Unternehmen, das einen oder mehrere Services anbietet. Jeder Service ist ein Produkt; jedes Produkt gehört zu genau einem Anbieter. In der Schaltzentrale als „Provider“ bezeichnet. |
| Betreiber | Organisation, die einem Anbieter zugeordnet ist und eine Fahrzeugflotte für einen Service besitzt und betreibt. Fahrzeuge, Fahrer und Fahrzeugplanungen werden jeweils einem Betreiber zugewiesen. In der Schaltzentrale als „Operator“ bezeichnet – nicht zu verwechseln mit der Web-App ioki Operator. |
| Ressource | Objekt, auf das eine Rolle wirkt: ein Produkt, ein Anbieter oder ein Betreiber. Manche vordefinierten Rollen sind global und an keine Ressource gebunden. |
| Super Admin | Kennzeichnung (Flag) auf einem Administrator-Account, keine zuweisbare Rolle. Ein Super Admin umgeht jede Berechtigungsprüfung. |
Entscheidend ist die Reihenfolge: Berechtigung → Rolle → Administrator → Ressource. Ein Administrator-Account allein verschafft noch keinen Zugriff. Wer sich selbst registriert oder eingeladen wird, erhält Zugriff auf ein Produkt oder einen Anbieter erst, wenn ein Provider Admin eine Rolle zugewiesen hat.
Weisen Sie mehrere kleine Rollen statt einer möglichst großen zu. Da sich die Berechtigungen mehrerer Rollen addieren, lässt sich beim Aufgabenwechsel einer Person eine Rolle entfernen, ohne alle übrigen Rechte neu aufzubauen.
Auf welche Ebene wirkt eine Rolle?
Eine Rolle gilt immer nur für die Ressource, für die sie zugewiesen wurde. Deshalb kann dieselbe Person in einem Produkt umfangreiche Rechte haben und in einem anderen Produkt gar keine.
| Ebene | Geltungsbereich | Beispiele für Aufgaben auf dieser Ebene |
|---|---|---|
| Anbieter | Der Anbieter als oberste Mandantenebene, inklusive aller darunterliegenden Produkte und Betreiber | Zugriffsverwaltung, Produkte und Betreiber verwalten, Rabatte und Promo Codes, Finanzdaten, Reporting |
| Produkt | Ein einzelnes Produkt | Bediengebiete, Haltestellen, Fahrer, Fahrzeuge, Fahrzeugplanungen, Fahrten, Fahrgastkommunikation |
| Betreiber | Ein zugeordneter Betreiber, zum Beispiel ein beauftragtes Subunternehmen | Tagesbetrieb innerhalb eines Produkts mit den eigenen Fahrzeugen und Fahrern |
Die Berechtigungen für persönliche Rabatte, Rabattarten und Promo Codes existieren ausschließlich auf Anbieter-Ebene. Produktbezogene Rollen können diese Berechtigungen nicht enthalten – auch nicht als eigene Rolle.
Welche vordefinierten Rollen gibt es für ein Produkt?
Für jedes Produkt existieren fünf vordefinierte produktbezogene Rollen. Sie lassen sich weder bearbeiten noch löschen; nur die Einstellung Benötigt Zwei-Faktor-Authentifizierung ist auch bei diesen Rollen umschaltbar.
| Rolle | Zweck |
|---|---|
| Produkt Admin | Größter vordefinierter Berechtigungsumfang für ein Produkt: Einrichtung und Verwaltung der zugewiesenen Produkte. |
| Produkt Operator | Vollständiger Tagesbetrieb: laufender Verkehr und Fahrzeugplanungen, jedoch keine grundlegenden Produkteinstellungen. |
| Product Operator (Subunternehmer) | Variante von Produkt Operator mit weniger Berechtigungen, gedacht für Administratoren beauftragter Betreiber. |
| Buchungsbearbeiter | Fahrten für Fahrgäste über ioki Booking buchen. |
| Produkt Observer | Nur lesender Zugriff auf die meisten Produktdaten. |
Produkt Admin
Enthalten sind unter anderem: Nutzerverwaltung (anlegen, lesen, ändern, sperren, löschen) und Mitgliedschaften in Berechtigungsgruppen; Produkt aktualisieren; Rollen verwalten und auditieren; Haltestellen, Orte, Gebiete, Zonen, Linien, Venues und gesperrte Reisekombinationen vollständig verwalten; Fahrer inklusive Sperren und Einmalcodes, Fahrer-Notfälle und Fahrerberichte; Fahrzeuge inklusive Positionen und Fahrzeug-Integrationen; Fahrer-Fahrzeug-Verbindungen, Pausen, Aufgabenlisten und Tasks; Fahrten anlegen, ändern, löschen und stornieren sowie Buchungen anlegen; SMS und Push-Nachrichten an Fahrer, Ankündigungen und In-App-Banner; Serviceguthaben, Tickets lesen und stornieren, Rückerstattungen und fehlgeschlagene Zahlungen; lesender Zugriff auf Zahlungsmittel, No-Shows, Telefonate, Fahrgasttypen, Fahrgast- und Fahrtoptionen sowie Vermittlungskonfigurationen.
Die Rolle Product Admin enthält bereits alle Berechtigungen zur Nutzung von ioki Booking. Ein Produkt Admin benötigt die Rolle Buchungsbearbeiter daher nicht zusätzlich.
Produkt Operator
Enthalten sind unter anderem: Nutzerverwaltung; Haltestellen lesen und bearbeiten; Orte anlegen und lesen; Linien verwalten; Bewertungen verwalten; Fahrer inklusive Sperren und Einmalcodes, Fahrer-Notfälle, Fahrerberichte; Fahrzeuge und Fahrzeugpositionen; Fahrer-Fahrzeug-Verbindungen, Pausen, Aufgabenlisten und Tasks; Fahrten anlegen, ändern und stornieren sowie Buchungen anlegen; SMS und Push-Nachrichten an Fahrer, Ankündigungen; Tickets lesen und stornieren; lesender Zugriff auf Serviceguthaben, Zahlungsmittel, No-Shows, Telefonate, Fahrgasttypen, Fahrgast- und Fahrtoptionen sowie Vermittlungskonfigurationen. Nicht enthalten sind die grundlegenden Produkteinstellungen – etwa das Produkt aktualisieren, Bediengebiete und Zonen verwalten oder Rollen zuweisen.
Produkt Operator (Subunternehmer)
Diese Rolle deckt den Tagesbetrieb ab, aber mit engerem Umfang als Produkt Operator: Fahrer, Fahrzeuge, Fahrzeugpositionen, Pausen, Fahrer-Fahrzeug-Verbindungen, Aufgabenlisten und Tasks; Fahrten anlegen, ändern, stornieren und Buchungen anlegen; SMS und Push-Nachrichten an Fahrer; No-Shows lesen und bestätigen; lesender Zugriff auf Nutzer, Haltestellen, Orte, Telefonate, Tickets, Venues und Vermittlungskonfigurationen.
Buchungsbearbeiter
Enthalten sind: Fahrten anlegen und stornieren, Buchungen anlegen sowie lesender Zugriff auf Gebiete, Haltestellen, Fahrten, No-Shows, Fahrgasttypen, Fahrgast- und Fahrtoptionen.
Sollen Personen mit der Rolle Buchungsbearbeiter auch Fahrgastkonten in ioki Booking anlegen können, benötigen sie zusätzlich die anbieterbezogene Rolle Benutzerverwaltung. Ohne diese Rolle scheitert das Anlegen neuer Fahrgäste, obwohl das Buchen funktioniert.
Produkt Observer
Enthalten sind ausschließlich lesende Berechtigungen: Nutzer, Haltestellen, Orte, Fahrer, Fahrer-Notfälle, Fahrzeuge, Fahrer-Fahrzeug-Verbindungen, Aufgabenlisten, Fahrten, Serviceguthaben, Zahlungsmittel, No-Shows, Telefonate, Fahrgasttypen, Fahrgast- und Fahrtoptionen, Tickets und Venues. Ein Produkt Observer kann diese Daten einsehen, aber nicht verwalten.
Welche vordefinierten Rollen gibt es auf Anbieter-Ebene?
| Rolle | Zweck |
|---|---|
| Provider Admin | Verwaltung des Anbieters als oberste Mandantenebene: Zugriffsverwaltung, Nutzer, Betreiber, Produkte, Reporting, Buchungsvorgänge und Zugang zu ioki Workflow. |
| Provider KAM | Zugriff auf und Bearbeitung der meisten Einstellungen eines Anbieters. In der Regel für ioki-Mitarbeitende gedacht, nicht für Administratoren des Anbieters. |
| Benutzerverwaltung | Verwaltung der Fahrgastkonten eines Anbieters inklusive ihrer Buchungsvorgänge. Erforderlich, wenn Fahrgastkonten aus ioki Booking heraus angelegt werden sollen. |
| Einfacher Reporter | Zugriff auf die meisten Standardberichte. |
| Erweiterter Reporter | Zugriff auf Standardberichte und zusätzlich auf Berichte, die auf Anbieter-Ebene arbeiten. |
| Reporter von personenbezogenen Daten | Export aller Fahrgastkonten des Anbieters. |
| Finanzmanager | Zugriff auf Finanzdaten sowie Verwaltung der Zugangsdaten des Zahlungsdienstleisters und der Buchungsvorgänge. |
| Finanzbeobachter | Zugriff auf Finanzdaten und Verwaltung von Buchungsvorgängen, jedoch ohne Zugangsdaten des Zahlungsdienstleisters. |
| Rabatt Manager | Vollzugriff auf Rabattarten, persönliche Rabatte und Promo Codes. |
| Rabatt Betrachter | Nur lesender Zugriff auf Rabattarten, persönliche Rabatte und Promo Codes. |
| BusinessIntelligence-Visualisierungsadministrator | Zugriff auf die BI-Visualisierung des Anbieters inklusive Administration. |
| BusinessIntelligence Visualisierungs Bearbeiter | Zugriff auf die BI-Visualisierung des Anbieters mit Bearbeitungsrecht. |
| BusinessIntelligence-Visualisierungsbetrachter | Nur lesender Zugriff auf die BI-Visualisierung des Anbieters. |
| ioki Navigator Verwaltung | Zugriff auf ioki Navigator des Anbieters inklusive Administration. |
| ioki Navigator Vertriebsadministrator | Zugriff auf ioki Navigator des Anbieters mit Einsicht in die meisten Daten. |
| ioki Navigator Benutzer | Zugriff auf ioki Navigator des Anbieters mit Einsicht in die meisten Daten. |
| Workflow-Administrator | Ausschließlich Berechtigungen zur Administration von ioki Workflow. |
| SMS-Verifizierung durch Drittanbieter | Versand und Prüfung von Verifizierungs-SMS über Drittanbieter. |
Was bedeutet das für Sie im Alltag?
- Fehlt einer Kollegin oder einem Kollegen eine Funktion, liegt es fast immer an einer fehlenden Rolle für dieses Produkt oder an einem inaktiven Produkt-Feature – nicht am Account selbst.
- Neue Personen brauchen nach der Registrierung oder Einladung immer noch eine Rollenzuweisung, sonst sehen sie kein Produkt.
- Vor einer Rollenänderung lohnt der Blick in die Detailansicht der Rolle in der Schaltzentrale: Dort ist die vollständige Liste der enthaltenen Berechtigungen sichtbar.
Prüfen Sie vor der Vergabe von Product Admin, ob Produkt Operator ausreicht. Product Admin darf zusätzlich Rollen zuweisen und Produkteinstellungen ändern – Rechte, die im Tagesbetrieb selten benötigt werden.
Häufige Fragen dazu
Kann eine Person mehrere Rollen gleichzeitig haben?
Ja. Ein Administrator kann mehr als eine Rolle besitzen; die Berechtigungen der Rollen ergänzen sich. Eine produktbezogene und eine anbieterbezogene Rolle lassen sich also kombinieren.
Kann ich eine vordefinierte Rolle anpassen, wenn sie fast passt?
Nein, vordefinierte Rollen lassen sich nicht bearbeiten oder löschen. Legen Sie stattdessen eine eigene Rolle an (Wie lege ich eine eigene Rolle mit individuellen Berechtigungen an?). Die einzige Anpassung, die Sie vornehmen können ist Erfordert 2-Faktor-Authentifizierung.
Wo sehe ich, welche Person aktuell welche Rechte hat?
In der Schaltzentrale klicken Sie in der Übersicht auf ⚙ > RBAC Rollen anzeigen um die Übersicht der Rollen und der entsprechend zugeordneten Administratoren zu öffnen. Erforderlich ist dafür die Rolle Product Admin oder eine eigene Rolle mit der Berechtigung „RBAC Audit“.
Wie hängen Rollen und Zwei-Faktor-Authentifizierung zusammen?
Die Zwei-Faktor-Authentifizierung (2FA) wird für einen Administrator-Account erst dann verpflichtend, wenn er eine Rolle mit der Einstellung Erfordert 2-Faktor-Authentifizierung besitzt. (Wie richte ich die Zwei-Faktor-Authentifizierung ein?)
Kommentare
0 Kommentare
Bitte melden Sie sich an, um einen Kommentar zu hinterlassen.