Rollen und Berechtigungen
OpSee verwendet Keycloak für Identitäts- und Zugriffsverwaltung. Was Sie sehen und tun können, wird durch drei Dinge bestimmt, die Ihr Administrator Ihrem Konto zuweist. Diese Seite erklärt, wie sie zusammenwirken.
Drei Dinge bestimmen Ihren Zugriff
| Ebene | Steuert | Beispiel |
|---|---|---|
| Geschäftsrollen | Ein Bündel von Fähigkeiten für eine Aufgabenfunktion | Operator, Supervisor, Technician |
| Berechtigungen | Die einzelnen Aktionen/Seiten, die eine Fähigkeit freischaltet | „OEE anzeigen“, „Produktionsaufträge bearbeiten“ |
| Geräteumfang | Die Gerätedaten, die Sie sehen können | Nur Linie 2 oder alle Geräte |
Ihre Berechtigungen erhalten Sie fast immer, indem Sie eine oder mehrere Geschäftsrollen halten – jede Rolle ist einfach ein vordefiniertes Set von Berechtigungen. Ein Administrator kann auch eine einzelne zusätzliche Berechtigung direkt für einen einmaligen Bedarf gewähren.
Die Menüsichtbarkeit folgt automatisch Ihren Berechtigungen: Sie sehen eine Seite in der Seitenleiste, wenn Sie die Berechtigung besitzen, die diese Seite erfordert. Es gibt keine separate „Menürolle“, die zugewiesen werden muss.
Geschäftsrollen
Eine Geschäftsrolle bündelt die Berechtigungen, die eine Aufgabenfunktion benötigt. Die integrierten Rollen:
| Geschäftsrolle | Typischer Benutzer | Gewährt (Zusammenfassung) |
|---|---|---|
| Admin | Werksadministrator / Integrator | Alles – jede Berechtigung und alle Geräte. |
| Operator | Bediener in der Fertigung | Dashboards & Daten anzeigen, OEE-Gründe zuordnen, Produktionsaufträge anzeigen, Kaizen bearbeiten. |
| Supervisor | Linien- / Schichtleiter | Operator + OEE-Datensätze & -Konfiguration bearbeiten, Produktionsaufträge verwalten, Disposition, Zeitpläne, Personal, Daten exportieren. |
| Technician | Instandhaltung / Steuerungstechnik | Daten anzeigen + Geräte, Tags, Datenquellen und Berechnungen konfigurieren, Import/Export. |
| Quality | Qualitätsmanager | Daten anzeigen + OEE-Datensätze & -Konfiguration bearbeiten, Analysen durchführen, Daten exportieren. |
| Planner | Produktionsplaner | Daten anzeigen + Produktionsaufträge verwalten, Disposition, Zeitpläne, Rezepturen und Materialien. |
| Viewer | Nur-Lese-Konto | Dashboards, Anlagen, Tags, Trends, OEE, Cockpits, Rezepturen, Materialien und Kaizen-Boards anzeigen sowie den KI-Assistenten nutzen — alles rein lesend. Kann nirgendwo etwas ändern. |
Viewer ist die einzige integrierte Rolle, die keinerlei Schreibrecht gewährt. Jede andere Rolle — auch Operator, die nächstengste — kann etwas ändern: Operator ordnet OEE-Gründe zu, startet und schließt seine Aufträge ab und bearbeitet Kaizen-Karten. Verwenden Sie Viewer für jemanden, der das Werk sehen, aber niemals verändern soll: eine Werksleitung, einen externen Auditor, einen Kunden-Demozugang oder ein Wanddisplay.
Der Anlagenumfang ist unabhängig von der Rolle. Ein Viewer sieht nur die Anlagen, für die ihm zusätzlich ein Umfang zugewiesen wurde — genau wie bei jeder anderen Rolle.
Der KI-Assistent ist enthalten und bleibt rein lesend: Jedes seiner Werkzeuge prüft dieselben Berechtigungen wie der Rest der Anwendung. Ein Viewer kann ihm also Fragen stellen, er kann aber nichts in dessen Namen ändern.
Ein Administrator kann diese Rollen auch anpassen oder in der Zugriffskontroll-Oberfläche neue erstellen.
:::info Von Ihrem Administrator verwaltet Benutzer können sich keine Rollen selbst zuweisen. Alle Zuweisungen werden von einem Administrator in Verwaltung → Zugriffskontrolle → Benutzer vorgenommen. :::
Berechtigungen
Im Hintergrund ist jede Fähigkeit eine Berechtigung mit dem Namen
perm:<area>:<action> – zum Beispiel perm:oee:read (OEE anzeigen) oder
perm:production-orders:write (Produktionsaufträge bearbeiten). Es gibt etwa 50 davon
in Bereichen wie Geräte, OEE, Produktion, Tags, Trend, Personal, System und
Zugriffskontrolle.
Normalerweise arbeiten Sie nie einzeln mit diesen – Ihre Geschäftsrolle bündelt die richtigen. Administratoren können die vollständige Liste durchsuchen und sehen, welche API jede Berechtigung genau freischaltet, auf der Seite Verwaltung → Zugriffskontrolle → Berechtigungen.
Geräteumfang
Der Geräteumfang beschränkt alle Produktionsdaten (OEE, Ausfallzeiten, Sensorwerte,
Aufträge) auf bestimmte Geräte. Er wird als equipment:*-Rollen zugewiesen:
| Zuweisung | Sie können sehen |
|---|---|
| Alle Geräte | Jeden Geräteknoten, einschließlich später hinzugefügter |
equipment:company-a:antwerp | Nur den Standort Antwerpen (und alles darunter) |
equipment:company-a:antwerp:line-2 | Nur Linie 2 in Antwerpen |
| (keine) | Keine Gerätedaten |
Eine Zuweisung für einen Standort oder eine Linie deckt automatisch alles darunter ab. Ein Benutzer, dessen Umfang auf Linie 2 beschränkt ist, sieht dieselben Seiten wie alle anderen, aber nur die Daten von Linie 2 – andere Linien erscheinen nie.
Ihre eigenen Berechtigungen sehen
So sehen Sie, was Sie aktuell besitzen:
- Klicken Sie auf Ihren Profil-Avatar in der oberen rechten Ecke
- Wählen Sie Profil
- Scrollen Sie zur Karte Rollen & Berechtigungen
Die Karte zeigt Ihre Geschäftsrollen, Ihre effektiven Berechtigungen (nach Bereich gruppiert) und Ihren Geräteumfang.
Häufige Konfigurationen
| Benutzertyp | Typische Einrichtung |
|---|---|
| Werksadministrator | Admin-Geschäftsrolle (alles) |
| Vorgesetzter | Supervisor-Rolle + equipment:company-a:site-x |
| Bediener | Operator-Rolle + equipment:company-a:site-x:line-y |
| Instandhaltung | Technician-Rolle + relevanter Geräteumfang |
| Planer | Planner-Rolle + breiter Geräteumfang |
| Werksleitung, Auditor, Wanddisplay | Viewer-Rolle + der Anlagenumfang, den sie sehen sollen |
Fehlerbehebung
Ich kann ein Modul in der Seitenleiste nicht sehen – Ihre Rollen enthalten nicht die Berechtigung, die diese Seite erfordert. Bitten Sie Ihren Administrator, eine Rolle (oder die spezifische Berechtigung) hinzuzufügen, die sie gewährt.
Ich sehe das Modul, aber keine Daten – Sie haben keinen Geräteumfang, oder Ihr Umfang deckt nicht die von Ihnen erwarteten Geräte ab. Prüfen Sie die Karte „Rollen & Berechtigungen“ in Ihrem Profil oder fragen Sie Ihren Administrator.
Ich kann eine Seite sehen, aber nicht bearbeiten – Anzeigen und Bearbeiten sind separate
Berechtigungen (z. B. perm:oee:read vs. perm:oee:write). Ihre Rolle gewährt das Lesen,
aber nicht das Schreiben; fragen Sie nach der Rolle/Berechtigung, die das Bearbeiten einschließt.
Voraussetzungen
- Oberflächenübersicht – die Navigations-Seitenleiste verstehen
Nächste Schritte
- Sitzung und Anmeldung – anmelden und Sitzung verwalten
- Verwaltung → Zugriffskontrolle – Benutzer und Rollen verwalten (nur Admin)
Verwandt
- Glossar – Definitionen jedes wichtigen Begriffs in OpSee