Rollen- und Berechtigungsmodell
Das RBAC-Modell
Abschnitt betitelt „Das RBAC-Modell“Grundsätze.
- Jeder Benutzer hat eine oder mehrere Rollen.
- Jede Rolle schaltet eine Reihe von Zugriffsprofilen („ACL-Token“) frei, die bestimmen, welche Kacheln auf der Startseite und in den Hubs erscheinen.
- Der Zugriff auf einzelne Seiten wird zusätzlich durch die Page-Gates gefiltert, einzelne Aktionen (Übergänge, Feldänderungen, Genehmigungen, sensible Funktionen) durch die Capabilities.
- Das Modell ist fail-safe: Ist eine Anpassung der Berechtigungen nicht verfügbar, gelten die Standardberechtigungen; eine nicht erteilte Berechtigung ist verweigert.
- Overrides werden als Delta gegenüber dem Standard angewendet: Gespeichert werden nur die abweichenden Rollen, und Änderungen am Code werden beim Deployment wirksam.
Datenbereich. Über das funktionale RBAC hinaus ist der Zugriff auf Daten pro Tenant eingeschränkt und bei einigen Rollen (Operatoren mit Scope, Customer Service) pro Vertrag/Gruppe: Der Zugriff des Customer Service ist linear (Profil ∪ Gruppen des Kunden); vertrauliche HR-Fälle und Vergütungsdaten haben eigene Berechtigungen.
Die Zugriffsprofile (Token → Bereich)
Abschnitt betitelt „Die Zugriffsprofile (Token → Bereich)“Die Zugriffsprofile sind die „Bausteine“, aus denen sich die Sichtbarkeit einer Rolle zusammensetzt. Die folgende Tabelle zeigt ihre Zuordnung zu den Bereichen des Handbuchs:
| Token | Freigeschalteter Bereich / Hub |
|---|---|
ITHUB |
IT-/ITSM-Hub (IT-/ITSM-Hub) |
OPS |
Service-Desk-Betrieb / Warteschlangen |
NOC |
NOC-/Observability-Hub (NOC, Observability und ITOM) |
SOC |
SOC — operative Sicherheit (Sicherheits-Hub) |
XDR |
XDR — Detection & Response (XDR Ops) |
ICC |
Integration & Communication Center (Projekt-/Kundenstammdaten) |
GRC |
GRC / Risk / Compliance (GRC, Risiko, Compliance und Recht) |
HR |
HR-Hub — Betrieb (HR-Hub) |
HRHUB |
HR-Hub — Landingpage |
HRMGR |
HR — Verwaltung (Genehmigungen, Fälle) |
HRREC |
HR — Recruiting (Prozessaktionen) |
HRADM |
HR — Administration/Konfiguration (Urlaubssalden) |
SECHUB |
Sicherheits-Hub — Landingpage (Sicherheits-Hub) |
DIR |
Ansichten der Serviceleitung (Operations Cockpit) |
MGR |
Ansichten der Teamführung |
EXEC |
Executive Cockpit (Zweck und Übersicht des Bereichs) |
OPSDASH |
Operations Dashboard / Cockpit (Global Director) |
SMD |
Service Manager Director (Operations Cockpit) |
CFG |
Launcher Konfigurationen (Administration) |
GADM |
Globale Administration (Benutzer, Rollen, System) |
LOGINSP |
Prüfung von Zugriffen / Logs |
Matrix Rollen → Hubs
Abschnitt betitelt „Matrix Rollen → Hubs“Die Tabelle zeigt die Zugriffsprofile, die den kanonischen Rollen und den wichtigsten erweiterten Rollen gewährt werden (Plattformstandard; ein Tenant kann sie per Override ändern).
| Rolle | Zugriffsprofile (Kacheln) |
|---|---|
| Administrator | Alle operativen Hubs + GADM, HRADM, Leitung (Super-Admin) |
| System Admin (sadmin) | Alle Profile (ACL_ALL) |
| Senior Director | Alle Profile (ACL_ALL) |
| Service Director | Alle Profile (ACL_ALL) |
| Director | NOC, SOC, XDR, ICC, GRC, OPS, HR, DIR, MGR, HRMGR, HRREC, HRHUB, EXEC, OPSDASH |
| IT Manager / IT Admin | Alle Profile (ACL_ALL) |
| ITSM Manager | DIR, MGR, HRMGR, HRREC, HRHUB (+ IT-Serviceverwaltung) |
| NOC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, NOC |
| SOC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, SOC |
| XDR Manager | DIR, MGR, HRMGR, HRREC, HRHUB, XDR |
| ICC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, ICC |
| GRC Manager | DIR, MGR, HRMGR, HRREC, HRHUB, GRC |
| OPS Manager / L1 Manager | DIR, MGR, HRMGR, HRREC, HRHUB, OPS |
| Manager / Line Manager | DIR, MGR, HRMGR, HRREC, HRHUB (People Management) |
| L1 Operator | ITHUB, OPS, LOGINSP (L1-Triage) |
| L2 Operator | ITHUB, OPS, LOGINSP (L2-Eskalation) |
| L3 Operator | ITHUB, OPS, LOGINSP (L3-Experte) |
| NOC Operator | ITHUB, OPS, LOGINSP, NOC |
| SOC Operator | ITHUB, OPS, LOGINSP, SOC |
| XDR Operator | ITHUB, OPS, LOGINSP, XDR |
| ICC Operator | ITHUB, OPS, LOGINSP, ICC |
| GRC Operator | ITHUB, OPS, LOGINSP, GRC |
| HR Director | HR, HRMGR, HRREC, HRHUB, HRADM, DIR |
| HR Manager / HR Admin | HR, HRMGR, HRREC, HRHUB, HRADM |
| HR Specialist / HR Operator / Recruiter | HR, HRREC, HRHUB, HRADM |
| PMO Manager | SMD, MGR, DIR |
| Sales Account Manager | DIR, MGR, OPSDASH |
| Sales Director | EXEC, DIR, OPSDASH |
| Finance Manager / Controller / Treasurer | DIR, OPSDASH |
Funktionsprofile nach Rolle
Abschnitt betitelt „Funktionsprofile nach Rolle“Im Folgenden sehen Sie für die wichtigsten Rollen, was sie konkret sehen und tun können.
L1-Operator (L1 Operator)
Abschnitt betitelt „L1-Operator (L1 Operator)“- Sieht: IT-Hub, Service-Desk-Warteschlange, KB, die eigenen zugewiesenen Tickets.
- Tut: Triage eingehender Tickets, Übernahme, Erstdiagnose mithilfe der KB und des AI Copilot, Ticketeröffnung über den Composer, Aktualisierungen und Kommentare, Eskalation an L2. Nutzt intensiv den Ticket-Editor (Ticket-Editor).
- Tut nicht: Konfigurationen, Genehmigungen von Changes/HR, Zugriff auf vertrauliche Fälle.
L2-/L3-Operator
Abschnitt betitelt „L2-/L3-Operator“- Sieht: wie L1, zusätzlich die Werkzeuge für die vertiefte Analyse (Issue Inspector, interne Notizen, PAM-Konsole für CIs).
- Tut: Bearbeitung von Eskalationen, technische Analyse, Lösung; L3 arbeitet als Fachexperte des Bereichs und trägt zu Problem/Known Error und KB bei.
Bereichsoperatoren (NOC / SOC / XDR / ICC / GRC)
Abschnitt betitelt „Bereichsoperatoren (NOC / SOC / XDR / ICC / GRC)“- Sieht: die Basis-Hubs (IT/OPS) plus den eigenen Bereich.
- Tut: bearbeitet die bereichsspezifischen Warteschlangen (NOC-Alerts, SOC-Alerts/-Incidents, XDR-Korrelationen, ICC-Anfragen, GRC-Kontrollen) mit den eigenen Werkzeugen und Tickettypen.
HR-Operator / Recruiter / HR Specialist
Abschnitt betitelt „HR-Operator / Recruiter / HR Specialist“- Sieht: HR-Hub, HR Workspace, Recruiting, HR-Administration.
- Tut: bearbeitet HR-Vorgänge in der Verwaltungs-Inbox (HR Workspace, die Verwaltungs-Inbox), treibt Prozesse voran, verwaltet Dokumentenkampagnen und Recruiting; der Recruiter betreut die Kandidaten-Pipeline und die Lebenslaufdatenbank.
- Tut nicht (außer mit Berechtigung): vertrauliche Fälle (Disziplinarverfahren/Belästigung/Ethik), sensible Vergütungsdaten — diese sind den Rollen HR Manager/Director vorbehalten.
Bereichsmanager (ITSM / NOC / SOC / XDR / ICC / GRC / OPS)
Abschnitt betitelt „Bereichsmanager (ITSM / NOC / SOC / XDR / ICC / GRC / OPS)“- Sieht: die Verwaltungs- und Serviceleitungsansichten (DIR/MGR) und den eigenen Bereich.
- Tut: Steuerung von Warteschlangen und Teams, Genehmigungen (z. B. CAB für den ITSM Manager), Überwachung von SLA und Produktivität, Verwaltung von Eskalationen und Major Incidents.
HR Manager / HR Director
Abschnitt betitelt „HR Manager / HR Director“- Sieht: den gesamten HR-Hub, die Verwaltung (HRMGR), die Administration (HRADM); der HR Director auch die Leitungsansichten (DIR).
- Tut: HR-Genehmigungen, Verwaltung vertraulicher Fälle und Vergütungsdaten, HR-Konfiguration (Prozesse, Vorlagen, Kataloge, Kampagnen), Organisation und Workforce Planning.
Service Director / Senior Director / Director
Abschnitt betitelt „Service Director / Senior Director / Director“- Sieht: die Leitungsansichten aller (oder fast aller) Bereiche, die Cockpits, das Operations Dashboard; Service Director und Senior Director haben vollständige Sichtbarkeit (
ACL_ALL). - Tut: bereichsübergreifende Aufsicht, Auswertung aggregierter KPIs, Drill-down, Steuerung von Eskalationen auf Leitungsebene; befasst sich nicht mit der Plattformkonfiguration (die bei den Administratoren bleibt), außer bei kombinierter Rolle.
Executive / CISO (Executive Cockpit)
Abschnitt betitelt „Executive / CISO (Executive Cockpit)“- Sieht: das Executive Cockpit (EXEC) und das Operations Dashboard: Top-KPIs zu Service, Sicherheit, Risiko und Finanzen.
- Tut: strategische Auswertung und Drill-down; keine operative Detailarbeit.
Vertriebs- und Finanzrollen
Abschnitt betitelt „Vertriebs- und Finanzrollen“- Sales Account Manager / Sales Director: Leitungsansichten und operative Dashboards (DIR/MGR/OPSDASH; der Account Manager für die eigenen Kunden); der Sales Director hat Zugriff auf das Executive Cockpit.
- Finance Manager / Controller / Treasurer / Accounts Receivable: Leitungs- und operative Dashboards (DIR/OPSDASH) für die wirtschaftlichen Daten (Margen, PSA-Fakturierung).
PMO Manager
Abschnitt betitelt „PMO Manager“- Sieht: Service Manager Director (SMD), Verwaltungs- und Leitungsansichten (MGR/DIR).
- Tut: Steuerung von Projekten/Aufträgen und Portfolio (PSA/SPM), Koordination der Ressourcen.
System Admin (sadmin) / IT Admin / Administrator
Abschnitt betitelt „System Admin (sadmin) / IT Admin / Administrator“- Sieht: alles, einschließlich des Launchers Konfigurationen (CFG) und der globalen Administration (GADM/HRADM).
- Tut: vollständige Konfiguration der Plattform (Flow Engine, Automatisierungen, Routing, Benachrichtigungen, Workflows, Kataloge), Verwaltung von Benutzern/Teams/Rollen, System, Integrationen und Import. Dies ist die Rolle mit den weitreichendsten Rechten: Die sensibelsten Aktionen (Massenänderungen, Purge, Ausführung von SecOps-Skripten) bleiben durch Sperren und Bestätigungen geschützt.