Teamrollen (RBAC)
Cliqer steuert über Teamrollen, was jedes Mitglied Ihres Teams verwalten darf.
Rollen sind Teil des Enterprise-Plans oder des Enterprise-Add-ons für Presenter, Studio HD, Studio 4K und Studio 8K und werden unter
Dashboard → Team → Sicherheit (/dash/team/security) verwaltet.
Rollen regeln Aktionen der Teamverwaltung: Mitglieder einladen, Branding bearbeiten, Sicherheit, API-Schlüssel und eigene Domains verwalten. Sie werden serverseitig durchgesetzt: Jeder Verwaltungsendpunkt prüft die Berechtigungen des handelnden Mitglieds, bevor er etwas ausführt. Eine nicht erteilte Berechtigung kann daher nicht genutzt werden, auch nicht über die API.
Berechtigungen
Jede Rolle gewährt eine beliebige Kombination dieser Berechtigungen:
| Berechtigung | Erlaubt |
|---|---|
| Mitglieder verwalten | Teammitglieder einladen, entfernen und ihnen andere Rollen zuweisen |
| Branding verwalten | Das Whitelabel-Branding des Teams bearbeiten |
| Sicherheit verwalten | SSO-Anbieter, SCIM-Tokens, SSO-Erzwingung, benutzerdefinierte Rollen |
| API-Schlüssel verwalten | Self-Service-API-Schlüssel erstellen und widerrufen |
| Eigene Domains verwalten | Eigene Domains hinzufügen, verifizieren und entfernen |
Integrierte Rollen
Jedes Team hat drei integrierte Rollen:
| Rolle | Berechtigungen |
|---|---|
| Inhaber | Immer alle Berechtigungen. Der Inhaber ist zugleich das Break-Glass-Notfallkonto für SSO. |
| Admin | Mitglieder, Branding und Sicherheit verwalten |
| Mitglied | Keine Verwaltungsberechtigungen (kann das Produkt nutzen, aber nicht das Team verwalten) |
API-Schlüssel und eigene Domains sind standardmäßig dem Inhaber oder einer benutzerdefinierten Rolle vorbehalten: Admins verwalten sie nur, wenn Sie dies über eine benutzerdefinierte Rolle gewähren.
Benutzerdefinierte Rollen
Wenn die integrierten Rollen nicht ausreichen, erstellen Sie eine benutzerdefinierte Rolle mit genau den gewünschten Berechtigungen und weisen Sie sie einem Mitglied zu. Eine benutzerdefinierte Rolle kann nie mehr gewähren, als der Inhaber bereits hat.
- Erstellen, bearbeiten und löschen Sie benutzerdefinierte Rollen unter Team → Sicherheit → Teamrollen.
- Weisen Sie einem Mitglied eine benutzerdefinierte Rolle zu; sie überschreibt seine integrierte Rolle.
- Wenn Sie eine benutzerdefinierte Rolle löschen, fallen alle Mitglieder, die sie nutzen, automatisch auf ihre integrierte Rolle zurück.
So funktioniert die Durchsetzung
Endpunkte der Teamverwaltung ermitteln die effektiven Berechtigungen des handelnden Mitglieds
(Inhaber: alle; benutzerdefinierte Rolle: deren explizite Liste; sonst die Standardwerte der integrierten Rolle) und
lehnen die Anfrage ab, wenn die erforderliche Berechtigung fehlt. Es ist dieselbe Prüfung
(security.manage, members.manage, …), die im gesamten Dashboard verwendet wird. Was Sie
in der Oberfläche sehen, entspricht also genau dem, was der Server erlaubt.