Berechtigungsbeschränkungen für Kooperationen

Wenn Sie eine Anlage oder ein Portfolio mit einer Partnerorganisation teilen, wird die Stufe, auf der Sie teilen, zu einer Obergrenze: Der Partner kann seinen eigenen Mitgliedern niemals mehr Zugriff gewähren, als Sie ihm eingeräumt haben. Das macht organisationsübergreifendes Teilen sicher und vorhersehbar — Sie behalten die Kontrolle darüber, wie weit Ihre Ressourcen reichen.

Konzept

Eine Kooperation ermöglicht es zwei Organisationen, Parks und Portfolios über die Organisationsgrenze hinweg zu teilen. Jede geteilte Ressource wird mit einer bestimmten Funktion geteilt, und diese Funktion deckelt alles, was die empfangende Seite damit tun kann.

Drei Regeln machen das möglich:

Sichtbarkeit reicht weiter als Zugriff. Ein Admin oder Moderator auf der empfangenden Seite kann sehen, was eine Kooperation teilt — welche Anlagen und Portfolios, mit welcher Funktion, von wem und wie lange. Eine Partnerbeziehung zu führen ist Sache der Organisationsleitung, daher sehen die Manager-Ebene, Mitglied und Extern davon nichts.
Der Zugriff bleibt beim Admin. Die Liste zu sehen ist nicht dasselbe, wie die Daten zu öffnen. Nur ein Organisations-Admin auf der empfangenden Seite erhält automatisch Zugriff auf die geteilten Ressourcen selbst; alle anderen benötigen eine ausdrückliche Zuweisung durch diesen Admin.
Gedeckelte Delegation. Der empfangende Admin kann eine geteilte Ressource an die eigenen Mitglieder nur mit einer Funktion weitergeben, die nicht höher ist als die, mit der sie geteilt wurde, und nur innerhalb eines zulässigen Sets (siehe unten).

Information

Sichtbarkeit ohne Zugriff ist bewusst so gestaltet. Wer eine Partnerbeziehung betreut, muss wissen, welche Ressourcen sie umfasst — die Entscheidung, einer Person tatsächlich Anlagendaten zu öffnen, bleibt aber bei einem einzigen verantwortlichen Admin auf jeder Seite.

Wer sieht was

Auf der empfangenden Seite sind „sehen, dass etwas geteilt wurde“ und „es öffnen können“ zwei verschiedene Dinge:

Rolle auf der empfangenden Seite	Sieht die Teilung	Automatischer Zugriff auf die Daten
Admin	Ja	Ja
Moderator	Ja	Nein
Asset Manager (Technisch)	Nein	Nein
Asset Manager (Kaufmännisch)	Nein	Nein
Mitglied	Nein	Nein
Extern	Nein	Nein

Das ist keine Sackgasse. Der Admin entscheidet, wer an den geteilten Anlagen arbeiten soll, und weist die Ressource diesen Personen zu — typischerweise dem Asset Manager (Technisch). Ab diesem Moment verwalten sie genau die Anlagen, die sie erhalten haben. Was die Delegation nie weitergibt, ist die Kooperationsübersicht selbst; sie bleibt bei Admin und Moderator.

Berechtigungshierarchie

Funktionen auf einer Ressource reichen von der höchsten zur niedrigsten Berechtigung. Technische Betriebsführung und Asset Manager stehen auf derselben Stufe: Sie sind zwei parallele Wege für unterschiedliche Zwecke, keine Stufen einer Leiter. Beim Teilen über eine Kooperation wird eine davon — oder der separate Weg Sicherheitsbeauftragter weiter unten — als geteilte Stufe ausgewählt:

Die Technische Betriebsführung deckt den technischen Betrieb der Anlage ab. Der Asset Manager deckt denselben Anlagenumfang ab und zusätzlich die kaufmännische Seite (Buchhaltungsdaten). Wählen Sie die Funktion, die dazu passt, warum der Partner die Ressource benötigt — keine steht über der anderen.

Die Rolle Betreiber ist Ressourcen vorbehalten, die einer Organisation direkt gehören. Sie können eine Ressource niemals auf der Betreiber-Stufe über eine Kooperation teilen oder weitergeben — diese Befugnis überschreitet die Organisationsgrenze nicht.

Der Sicherheitsbeauftragte steht gar nicht auf dieser Leiter — er ist ein eigener Weg. Er erreicht per Fernzugriff die Netzsegmente der Anlage, für die er freigegeben wurde (Netzwerk-Infrastruktur, Kameras, Sicherheitstechnik), sowie das Zugriffsprotokoll dieser Anlage, und er erreicht keine Produktions-, Leistungs- oder kaufmännischen Daten. Genau das macht ihn zur richtigen Stufe für einen Dienstleister für Alarm-, Video- oder Perimetertechnik: Er kommt an die Technik, die er betreut, und an nichts anderes auf der Anlage. Welche Netze ein Sicherheitsbeauftragter tatsächlich erreicht, entscheiden die Segment-Kennzeichnungen — siehe Netzsegmentierung.

Das Teilen auf dieser Stufe läuft wie bei jeder anderen: Anlage oder Portfolio auswählen und als geteilte Funktion Sicherheitsbeauftragter setzen. Wird ein Portfolio geteilt, gilt die Funktion für jede Anlage darin. Der Partner sieht danach die Anlage mit Namen, ihre Netzwerkgeräte in den freigegebenen Segmenten, den Fernzugriff (VPN und Browser-Proxy) auf diese Geräte, Tickets sowie das Zugriffsprotokoll der Anlage — und weder Dashboard noch Produktionsdiagramme, Komponenten, Berichte oder kaufmännische Kennzahlen.

Ein Betrachter ist kein kleiner Sicherheitsbeauftragter

Die beiden sind unterschiedliche Wege, nicht zwei Sprossen einer Leiter. Ein Betrachter sieht Produktion, Leistung und Ereignisse der Anlage, erreicht aber kein Netzwerkgerät und erhält keinen Fernzugriff. Der Sicherheitsbeauftragte ist das Spiegelbild: Fernzugriff auf seine freigegebenen Segmente und überhaupt keine Produktionsdaten. Keiner von beiden enthält den anderen — deshalb wird eine Freigabe als Sicherheitsbeauftragter nur zu ihren eigenen Bedingungen delegiert.

So funktioniert die gedeckelte Delegation

Wenn Organisation A eine Ressource auf einer bestimmten Stufe mit Organisation B teilt, können die Admins von Organisation B:

Auf die Ressource zugreifen — automatisch auf der geteilten Stufe (nur Admins).
An die eigenen Mitglieder delegieren — aber nur innerhalb des für diese geteilte Stufe zulässigen Sets.

Das zulässige Set für eine über eine Kooperation geteilte Ressource ist Betrachter plus die geteilte Funktion selbst. Ein empfangender Admin entscheidet zwischen Nur-Lese-Zugriff für ein Mitglied (Betrachter) oder der vollen geteilten Stufe — nichts dazwischen und niemals höher.

Die einzige Ausnahme ist der Sicherheitsbeauftragte, denn der Betrachter steht nicht unter ihm. Würde man ihn dort anbieten, könnte der empfangende Admin aus einer reinen Segment-Freigabe eine Produktionsfreigabe machen, die Sie nie erteilt haben. Eine Freigabe als Sicherheitsbeauftragter lässt sich deshalb nur als Sicherheitsbeauftragter delegieren.

Geteilt mit	Empfangender Admin darf Mitgliedern gewähren	Niemals erlaubt
Technische Betriebsführung	Betrachter, Technische Betriebsführung	Betreiber, alles Höhere
Asset Manager (kaufmännische Befugnis)	Betrachter, Asset Manager	Betreiber, alles Höhere
Sicherheitsbeauftragter (Netzsegmente)	Sicherheitsbeauftragter	Betrachter, Betreiber, alles andere
Betrachter (nur Lesen)	Betrachter	jede höhere Rolle

Beispielszenario

Warnung

Ein Mitglied, das eine über eine Kooperation geteilte Ressource erhält, sieht genau das, was seine zugewiesene Stufe erlaubt — nicht mehr, als die Organisation, der die Anlage gehört, geteilt hat. Wenn die teilende Organisation die geteilte Stufe später herabsetzt oder die Kooperation entfernt, wird der Zugriff der empfangenden Mitglieder entsprechend reduziert oder entzogen.

Kooperationsberechtigungen verwalten

Was Ihre Organisation teilt und was sie weitergibt, verwalten Sie in den Bereichen für Kooperationen und Mitgliederberechtigungen der Plattform:

Was Sie nach außen teilen — nur die Organisation, der die Ressource gehört, kann die Stufe festlegen, auf der ein Park oder Portfolio über eine Kooperation geteilt wird, und kann ein optionales Ablaufdatum für diese Freigabe setzen.
Was Sie nach innen delegieren — ein empfangender Admin gewährt seinen eigenen Mitgliedern die geteilte Ressource innerhalb des oben genannten zulässigen Sets, optional mit einem Ablaufdatum.

Diese Funktionen sind auch über die öffentliche REST API verfügbar (siehe die Live-/docs). Dieselben Obergrenzen werden durchgesetzt, unabhängig davon, wie eine Zuweisung erfolgt, sodass die API niemals genutzt werden kann, um die geteilte Stufe zu überschreiten.