So konfigurieren Sie verkettete Berechtigungen

Mit verketteten Berechtigungen können Sie die Zugriffsverwaltung automatisieren, indem Sie Berechtigungen miteinander verknüpfen. Wenn einem Benutzer Zugriff auf eine bestimmte Anwendung gewährt wird, kann dies automatisch eine zweite, damit verbundene Berechtigung auslösen, beispielsweise den Zugriff auf eine Sicherheitszone oder ein Lizenz-Upgrade.

Dieser Ansatz folgt dem Prinzip „Safety by Design“, indem er sicherstellt, dass der Zugang bedarfsorientiert erfolgt. Anstatt beispielsweise einem Mitarbeiter den Zugang zu einem gesicherten Bereich zu gewähren, nur weil er im Gesundheitswesen tätig ist, wird ihm der Zugang gewährt, weil er Zugriff auf das Patientenakten-System erhalten hat.

Wenn der Benutzer keinen Zugriff mehr auf Anwendungen hat, für die die Sonderberechtigung erforderlich ist, wird diese automatisch widerrufen. Dadurch wird sichergestellt, dass Benutzer nur genau den Zugriff haben, den sie benötigen – und zwar nur so lange, wie sie ihn benötigen.

Häufige Anwendungsfälle

• Zugriff auf sichere Zonen: Durch die Gewährung des Zugriffs auf eine Anwendung, die sich in einer sicheren Netzwerkzone befindet, erhält der Benutzer automatisch Zugriff auf diese Zone. Der Zugriff wird widerrufen, sobald der Benutzer keine Anwendungen mehr in dieser Zone hat.

• Lizenzverwaltung: Die Gewährung des Zugriffs auf eine bestimmte Anwendung (z. B. ACOS Websak) für einen Benutzer kann automatisch ein Upgrade seiner Microsoft 365-Lizenz von F3 auf E3 auslösen.

Beispiel: Regel für die Erteilung einer Berechtigung

Das folgende Beispiel zeigt, wie eine abgeleitete Wertregel die Berechtigung „Gesundheit und Pflege“ erteilen kann. Die Regel ist mit einer OR Bedingung, d. h., der Benutzer muss nur eines der Kriterien erfüllen, um die Berechtigung zu erhalten.

Diese Regel gewährt die Berechtigung „Gesundheit und Pflege“ (ID 5211) wenn eine der folgenden Bedingungen erfüllt ist:

• Bedingung 1: Der Benutzer weist eine bestimmte Kombination aus Position und Abteilung auf.

  • Der Titel lautet einer der folgenden: Rechtsanwalt, Direktor, Berater, Konsulent, Leiter, Leiter, Bürgermeister, Stadtrat, Chef, Chef.

  • UND

  • Abteilungsnummer ist 1310.

• Bedingung 2: Dem Benutzer wird Zugriff auf eine bestimmte Anwendung gewährt.

  • Der Benutzer verfügt über die Anwendungsberechtigung mit SYSTEMROLE.NameId = 5711 (z. B. CosDoc).

Ablauf zur Gewährung des Zonenzugangs

Die folgende Logik kommt zur Anwendung, wenn einem Benutzer Zugriff auf eine neue Anwendung gewährt wird.

1. Standort der Anwendung prüfen: eADM prüft zunächst, ob sich die Anwendung in der sicheren Zone befindet.

   • Falls ja: Dem Benutzer wird Zugriff auf die sichere Zone gewährt. eADM prüft anschließend, ob der Zugriff auf die sichere Zone auch Zugriff auf die interne Zone gewähren soll.

     • Falls ja, erhält der Benutzer auch Zugriff auf die interne Zone.

     • Falls nein, erhält der Benutzer keinen Zugriff auf die interne Zone.

   • Falls nein: eADM prüft anschließend, ob sich die Anwendung in der internen Zone befindet.

2. Interne Zone prüfen: Befindet sich die Anwendung nicht in der sicheren Zone, prüft eADM, ob sie sich in der internen Zone befindet.

   • Falls ja: Dem Benutzer wird Zugriff auf die interne Zone gewährt.

   • Falls „Nein“: Dem Benutzer wird auf Grundlage dieses Antrags weder Zugriff auf die interne noch auf die gesicherte Zone gewährt.

Ablauf zur Entziehung des Zonenzugangs

Die folgende Logik kommt zur Anwendung, wenn ein Benutzer den Zugriff auf eine Anwendung verliert.

1. Anwendungsort prüfen: eADM prüft zunächst, ob sich die vom Benutzer verlorene Anwendung in der sicheren Zone befindet.

   • Falls ja: eADM prüft, ob der Benutzer weiterhin Zugriff auf andere Anwendungen in der sicheren Zone hat.

     • Falls ja, behält der Benutzer den Zugriff auf die Sicherheitszone.

     • Falls nein, wird der Zugriff des Benutzers auf die sichere Zone widerrufen. eADM prüft anschließend, ob der Benutzer noch Anwendungen in der internen Zone hat. Falls nicht, wird auch der Zugriff auf die interne Zone widerrufen.

   • Falls nein: eADM prüft anschließend, ob sich die Anwendung in der internen Zone befand.

2. Interne Zone prüfen: eADM prüft, ob sich die vom Benutzer verlorene Anwendung in der internen Zone befindet.

   • Falls ja: eADM prüft, ob der Benutzer weiterhin Zugriff auf andere Anwendungen in der internen Zone hat.

     • Falls ja, behält der Benutzer den Zugriff auf die interne Zone.

     • Falls nicht, führt eADM eine abschließende Überprüfung durch, um festzustellen, ob der Benutzer Zugriff auf Anwendungen in der sicheren Zone hat, die ihm Zugriff auf die interne Zone gewähren sollten. Ist dies nicht der Fall, wird dem Benutzer der Zugriff auf die interne Zone entzogen.

Zuletzt aktualisiert: 27. August 2025