UNKOMPLIZIERTER, RECHTE-GESTEUERTER ZUGRIFF FÜR ALLE ANWENDER*INNEN

SON hat den Anspruch, dass alle Anwender*innen ohne Hürden und möglichst unkompliziert auf die Anwendung zugreifen können. Die laufenden Aufwände für die Pflege von Benutzerdaten und Rechten werden durch die Anbindung bestehender Verzeichnisdienste sowie durch ein regelbasiertes Rechtekonzept minimiert.

Flexible Schnittstelle zu Benutzerverzeichnissen ("Personen Importer")

Benutzerdaten müssen nicht direkt in SON gepflegt werden, sondern können automatisiert aus einer oder mehreren externen Quellen bezogen werden. Der SON Personen Importer kann dabei Benutzerdaten aus verschiedenen Quellen wie Active Directory Server, LDAP, SQL-Datenbanken oder per REST-Schnittstelle abgreifen.

Benutzerverwaltung

Die Benutzerverwaltung unterstützt die anwendenden Behörden zudem mit folgenden Features:

• Bei Bedarf können zusätzliche Benutzerkonten direkt im OfficeNet-Portal angelegt werden

• Es ist möglich, dass neben den importierten Benutzerdaten bestimmte Attribute zusätzlich durch die Benutzer selbst oder von zentraler Stelle direkt im Portal gepflegt werden

Selbstregistrierung und Passwort Self-Service

Insbesondere für Extranet-Anwendungen kann zusätzlich oder auch ausschließlich eine DSGVO-konforme Selbstregistrierungsfunktion genutzt werden. Dank der Nutzung der Selbstregistrierungsfunktion können beispielsweise ganz neue, noch nicht registrierte Nutzer*innen zu bestehenden Gruppenräumen eingeladen werden. Dies bietet zudem folgende Vorteile:

• Die Selbstregistrierungsfunktion ist durch einen Double-Opt-in Mechanismus abgesichert

• Sie kann auf Benutzer mit bestimmten, zugelassenen E-Mail-Domains beschränkt werden

• Selbstregistrierte Benutzer oder direkt im Portal angelegte Benutzer können über eine abgesicherte Funktion ihr Passwort selbst zurücksetzen. Für Benutzer aus einem angebundenen Verzeichnisdienst werden in SON keine Passwortdaten gespeichert

Bei Bedarf stellt SON auch eine sichere und DSGVO-konforme Selbstregistrierungsfunktion für externe Benutzer bereit

Authentifizierung/Login/Single Sign-On

Die Authentifizierung/Anmeldung der Benutzer*innen erfolgt sicher über einen ans Portal angebundenen Keycloak-Identity Provider. Keycloak wird zusammen mit dem Portal ausgeliefert und aktuell gehalten. Die Benutzer*innen können sich dabei entweder mit ihrer E-Mail-Adresse oder einer Benutzerkennung anmelden.

Die Anwender*innen von mit SON aufgebauten Intranet-Portalen werden in der Regel automatisch per Single Sign-On (über Kerberos) eingeloggt. Die Anmeldung am Portal erfolgt über das Standardprotokoll OpenId Connect. Über OpenID Connect und den integrierten Keycloak IdP kann darüber hinaus auch ein Web Single Sign-On mit weiteren Anwendungen umgesetzt werden, die OpenId Connect oder SAML unterstützen.

Automatischer Gastzugang

Normalerweise erfolgt der Zugriff auf das Portal mit individueller Anmeldung, damit alle Funktionen personalisiert und rechtegesteuert in vollem Umfang genutzt werden können.

Für bestimmte Anwendungsfälle ist es aber erforderlich, dass auch anonymer Zugriff möglich ist. Für solche speziellen Anwendungsfälle kann in SON optional ein automatischer Gastzugang aktiviert werden. Über diesen Gastzugang stehen den Nutzern und Nutzerinnen auch ohne persönliche Anmeldung die wichtigsten Funktionen sowie die nicht lesegeschützten Informationen zur Verfügung

Rechte, Gruppen, Rollen

Die Benutzer- und Rechteverwaltung von SON ist durch den Einsatz in den Behörden des Fachverbundes auf unterschiedlichste Anforderungen ausgelegt und kann sehr flexibel und granular eingerichtet werden. Sie bietet dazu unter anderem folgende Funktionen:

• Benutzer*innen von SON können in verschiedenen Bereichen des Portals unterschiedliche Rollen wie z.B. Bereichsredakteur einer Abteilung, Koordinator eines Gruppenraums oder Ersthelfer an einem Standort einnehmen. Auch globale Gruppen, wie z.B. Portal-Verantwortliche oder Administrator lassen sich einrichten.

• Je nachdem mit welchen Rollen Benutzer*innen einem Bereich zugeordnet sind, erhalten sie dort durch das regelbasierte Konzept ein Set an bestimmten Rechten, die mit der jeweiligen Rolle verknüpft sind.

• Daher beschränkt sich die laufende Pflege von Benutzerrechten im Wesentlichen darauf, dass Benutzer*innen verschiedenen Bereichen mit den definierten Rollen zugeordnet werden. Dies kann durch den Personen Importer auch automatisiert werden, wenn die Zugehörigkeiten in einer externen Quelle bereits gepflegt wurden.

• Berechtigte Benutzer*innen können bei der Erstellung von Seiten festlegen, ob diese mit einem Leseschutz versehen werden sollen. Leseeinschränkungen vererben sich über die Seiten-Hierarchie des Portals

• Rollen lassen sich nicht nur für die Rechtesteuerung nutzen, sondern auch für die automatisierte Anzeige von Ansprechpartner*innen. So können z.B. Leiter*innen von Organisationsbereichen anhand der aus einem Verzeichnisdienst importierten Felder automatisiert mit Kontaktdaten im Portal angezeigt werden.