Zugriffskontrolle
OpSee verwendet Keycloak als Identity Provider. Die Zugriffskontrolle regelt, wer was sehen und tun darf — vom Bedienerzugriff auf Anlagen bis hin zur Systemkonfiguration auf Administratorebene.
Schlüsselkonzepte
Benutzer
Benutzer werden in Keycloak verwaltet und mit OpSee synchronisiert. Jeder Benutzer hat:
- Einen Benutzernamen und eine E-Mail zur Identifikation
- Einen Vor- und Nachnamen zur Anzeige
- Einen Status aktiviert/deaktiviert
- Gruppen, die steuern, worauf er zugreifen darf
- Rollen, die steuern, was er tun darf
Gruppen
Gruppen steuern, welche Daten Benutzer sehen können:
| Gruppentyp | Steuerung | Beispiel |
|---|---|---|
| Equipment-Gruppen | Welche Anlagen ein Benutzer sehen darf | „Bediener Linie 1" sehen nur Linie 1 |
| Menü-Gruppen | Auf welche Menüpunkte zugegriffen werden darf | „Bediener" sehen nur Production, nicht Admin |
Rollen
Rollen steuern, welche Aktionen Benutzer ausführen können:
| Rolle | Berechtigung |
|---|---|
admin | Vollzugriff auf alle Funktionen |
modify_equipment | Anlagen anlegen, bearbeiten, löschen |
modify_recipes | Rezepte anlegen, bearbeiten, löschen |
modify_materials | Materialien anlegen, bearbeiten, löschen |
view_audit | Audit-Trail einsehen |
Benutzer verwalten
Navigieren Sie zu Admin → Zugriffskontrolle → Benutzer.
Benutzer anlegen
Klicken Sie auf + Erstellen und füllen Sie aus:
| Feld | Pflicht | Beschreibung |
|---|---|---|
| Benutzername | Ja | Anmelde-Identifikator |
| Ja | E-Mail-Adresse des Benutzers | |
| Vorname | Nein | Anzeigename |
| Nachname | Nein | Anzeigename |
| Passwort | Ja | Initiales Passwort (kann temporär gesetzt werden) |
| Aktiviert | Ja | Ob sich der Benutzer anmelden darf |
Gruppen und Rollen zuweisen
Nach der Benutzererstellung weisen Sie Gruppen und Rollen zu:
- Öffnen Sie die Detailansicht des Benutzers
- Wählen Sie im Tab Gruppen die Equipment- und Menü-Gruppen aus
- Wählen Sie im Tab Rollen die Rollen aus, die seine Berechtigungen definieren
:::tip Prinzip der minimalen Rechte Beginnen Sie mit minimalem Zugriff und fügen Sie Berechtigungen nach Bedarf hinzu. Bediener benötigen typischerweise nur ihre Equipment-Gruppe und die Menü-Gruppe „Production". :::
Passwortverwaltung
Administratoren können:
- Passwörter zurücksetzen und ein neues Passwort für einen Benutzer setzen
- Temporäre Passwörter vergeben, die den Benutzer zur Änderung bei der nächsten Anmeldung zwingen
Keycloak-Synchronisierung
OpSee pflegt eine bidirektionale Synchronisierung mit Keycloak:
- Equipment-Gruppen werden aus Keycloak synchronisiert, um die Sichtbarkeit von Anlagen zu bestimmen
- Menü-Gruppen werden aus Keycloak synchronisiert, um den Menüzugriff zu bestimmen
- Rollen werden aus Keycloak synchronisiert, um Funktionsberechtigungen zu bestimmen
Navigieren Sie zu Admin → Zugriffskontrolle, um manuelle Synchronisationen anzustoßen oder den Status zu prüfen.
:::info Automatische Synchronisierung Gruppen und Rollen werden bei der Anmeldung automatisch synchronisiert. Eine manuelle Synchronisierung ist nur erforderlich, wenn Sie Änderungen in Keycloak sofort übernehmen möchten, ohne auf die nächste Anmeldung zu warten. :::
Benutzerprofil
Jeder Benutzer kann sein eigenes Profil verwalten, indem er auf seinen Avatar in der oberen rechten Ecke klickt.
Verfügbare Einstellungen
| Einstellung | Beschreibung |
|---|---|
| Persönliche Daten | Vorname, Nachname, E-Mail, Telefon, Abteilung |
| Avatar | Profilbild hochladen (PNG, JPEG oder WebP, max. 500 KB) |
| Sprache | Bevorzugte UI-Sprache wählen |
| Zeitzone | Zeitzone für Datums- und Uhrzeitanzeige festlegen |
| Passwort | Passwort ändern (mindestens 8 Zeichen) |
| Theme | Zwischen hellem und dunklem Modus wechseln |
Eigene Berechtigungen einsehen
Die Profilseite zeigt zudem:
- Ihre Rollen und damit Ihre erlaubten Aktionen
- Ihre Gruppen und damit zugängliche Anlagen und Menüs
- Ihre Anmeldehistorie mit der letzten Anmeldung
Wenn Sie zusätzliche Berechtigungen benötigen, wenden Sie sich an Ihren Administrator. Benutzer können ihre eigenen Rollen oder Gruppen nicht ändern.
Grafana-Benutzersynchronisierung
Navigieren Sie zu Admin → Zugriffskontrolle → Grafana-Benutzer, um die Grafana-Integration zu verwalten:
- Alle Grafana-Benutzer einsehen
- Benutzer in die Rollen Admin, Editor oder Viewer befördern
- Den Grafana-Zugriff mit den OpSee-Berechtigungen synchron halten
Nächste Schritte
- Audit-Trail — Verfolgen, wer was getan hat
- Lokalisierung — Sprachen für Ihre Benutzer konfigurieren
- Übersicht — Zurück zur Administrationsübersicht
Voraussetzungen
- Admin-Übersicht
- Einführung — Gesamtüberblick über OpSee
Verwandte Themen
- Architekturübersicht
- Cockpit — ergänzendes Modul