Gib Menschen den Zugriff, den ihre Arbeit wirklich braucht
Lege zuerst den Workspace-Zuschnitt fest, bevor du Kolleginnen, Kollegen oder Kunden Zugriff gibst.
Zwei Zugriffsgrenzen
Capability-basierte Kontrolle
Prüfbare Übergabe
Organisationsmitgliedschaft und Workspace-Zugriff sind zwei Grenzen
Die Organisation bildet den Kontorahmen für Mitglieder, Billing, Workspaces und Organisationseinstellungen. Im Workspace liegen Projekte und Produktdaten. Eine Organisationsmitgliedschaft verspricht deshalb nicht automatisch Zugriff auf jeden Workspace oder jedes Projekt darin.
Prüfe vor einer Rollenänderung oder der Diagnose fehlender Daten immer die aktive Organisation und den aktiven Workspace. Eine Person kann eine gültige Organisationsrolle besitzen und trotzdem nur zugewiesene Workspaces oder Projekte sehen.
Mitglieder ansehen und Mitglieder verwalten sind getrennte Rechte
Die Mitgliederseite erfordert die Berechtigung, Organisationsmitglieder zu sehen. Einladungen, ausstehende Einladungen, Rollenänderungen und das Entfernen von Mitgliedern erfordern die Verwaltungsberechtigung. Lesender Zugriff gibt also nicht automatisch Teamverwaltung frei.
Die Rollenbeschreibungen zeigen die übliche Aufgabe. Der wirksame Zugriff folgt trotzdem der aktuellen Capability-Konfiguration und zulässigen Overrides. Ein Rollenname ist daher kein vollständiger Berechtigungsbericht.
| Rolle | Übliche Verantwortung |
|---|---|
| Owner | Vollständige Kontrolle einschließlich Billing, Löschung und Eigentumsübertragung. |
| Admin | Mitglieder, Einstellungen, Workspaces und Billing verwalten. |
| Manager | Menschen koordinieren und Zugriff auf Workspaces und Projekte zuweisen. |
| Editor | In zugewiesenen Workspaces Inhalte und Arbeit erstellen oder bearbeiten. |
| Viewer | Zugewiesene Workspace-Daten ohne Bearbeitungsrecht lesen. |
| Client | Eine bewusst begrenzte Sicht auf zugewiesene Projekte nutzen. |
Eine Einladung gehört zu einer E-Mail-Adresse und läuft nach sieben Tagen ab
Offene Einladungen bleiben verwaltbar
Teamverantwortliche sehen eingeladene Adresse, vorgesehene Rolle, Erstellungsdatum und Status. Ein vorhandener Link lässt sich erneut kopieren. Eine nicht mehr gewünschte Einladung kann widerrufen werden.
Offen bedeutet noch nicht Mitglied. Prüfe nach der Annahme, ob die Person in der Mitgliedertabelle erscheint, bevor du Aufgaben zuweist oder dich auf ihren Zugriff verlässt.
Nach der Organisationsrolle folgt die Zuweisung des Arbeitsbereichs
- Bestätige, in welchem Workspace die Daten des Kunden oder Teams liegen.
- Nutze Workspace- und Projektzuweisungen, wenn Zugriffsmodus oder Rolle sie verlangen.
- Behandle Client als isolierte, begrenzte Rolle und nicht als unterste Stufe mit automatisch geerbtem internem Zugriff.
- Teste die entstehende Sicht mit der vorgesehenen Organisation, dem Workspace und dem Projekt.
Wenn die Mitgliedschaft stimmt, aber die Sichtbarkeit abweicht, prüfe auch die Zugriffseinstellungen des Workspaces.
Rollenänderungen und Entfernungen werden serverseitig wirksam
Eine geänderte Rolle oder ein entferntes Mitglied ist eine echte Zugriffsänderung, keine Anzeigepräferenz. Prüfe vorher aktive Zuweisungen und Eigentumsverantwortung. Der letzte Owner kann nicht entfernt werden. Vor seinem Austritt muss das Eigentum übertragen werden.
Mitglieder ohne Owner-Rolle können die Organisation auf der Mitgliederseite verlassen. Ein Owner muss zuerst einen anderen gültigen Owner hinterlassen, damit die Organisation nicht ohne Eigentümer bleibt.
Für den Produktzugriff zählt der Crawl Foundry-Mitgliedsdatensatz
Crawl Foundry speichert die Organisationsmitgliedschaft, die für die Autorisierung im Produkt verwendet wird. Die Synchronisierung zum externen Identitätsanbieter erfolgt nach bestem Bemühen und kann getrennt repariert werden. Wenn beide Systeme abweichen, prüfe zuerst den aktuellen Crawl Foundry-Datensatz und das Capability-Ergebnis.
Prüfe Zugriffe, sobald sich Verantwortung ändert
Beispiel: Einem Kunden Lesezugriff geben
Eine Agentur lädt eine Ansprechperson des Kunden mit der Rolle Client ein und weist nur den Workspace für die Marke dieses Kunden zu. Die Person kann Berichte ansehen, ohne andere Kunden zu sehen.
Am Projektende entfernt die Agentur die Mitgliedschaft und widerruft eine offene Einladung für eine zweite Person, die sich nie angemeldet hat.
Häufige Fragen
Wie lange ist eine Einladung gültig?
Sieben Tage. Sie gehört zu einer E-Mail-Adresse und lässt sich, solange sie offen ist, erneut kopieren oder widerrufen.
Gibt der Beitritt zu einer Organisation Zugriff auf alle Workspaces?
Nein. Die Rolle in der Organisation und die Zuweisung zu Workspaces oder Projekten wirken zusammen. Weise den Workspace zu, in dem die Daten der Person liegen.
Kann ich den letzten Inhaber entfernen?
Nein. Übertrage zuerst die Inhaberschaft. Inhaber ist außerdem keine Rolle, die sich per Einladung vergeben lässt.