Befugnisgruppen und Befugnistemplates

Hallo Mimi,

Pyramide passt glaube ich auch nicht ganz, vielleicht eine auf dem Kopf stehende Pyramide. Ich glaube das mit dem Matrix-System ist am einfachsten zu erklären damit, dass, egal in wie vielen Gruppen Du Mitglied bist, die gewählte Hauptgruppe, die auch Deine Namensfarbe bestimmt, die Gruppe ist, die allein für all Deine Befugnisse verantwortlich ist. Sowohl im Forum als auch in Plugins.

Es gibt ja Systeme (da kommen wir prä-CF System ja auch her), wo Gruppenrechte automatisch kombiniert werden bzw. es sogar zusätzlich noch Userrechte gibt und irgendwann viele die Übersicht verloren haben, wo sie nun Befugnisse einstellen oder warum etwas für jemanden doch nicht ging (oder immer noch ging), was eigentlich schon weg sein sollte. Da über 90% der Foren die Berechtigungen einfach "geschichtet" aufbauen, sprich: User kann am wenigsten, Mod etwas mehr, Admin am meisten - wurde das Gruppenkonzept so gemacht, dass Du auf der Befugnisseite für eine Gruppe wirklich immer 100 % das siehst, was ein User kann oder nicht. Das macht es dann für die häufigsten Anwendungsfälle deutlich leichter. Wenn Du jetzt super komplexe, sich überschreibende Gruppenstrukturen brauchst, ist es aber u.U. zunächst etwas mehr Arbeit. Ich finde den Ansatz allerdings ganz gut und bewährt, weil ich betreue auch Foren mit anderen Systemen und kleine Umstellungen in Berechtigungen sorgen da immer gerne für Probleme, während man mit einem einmal laufenden CF Gruppenkonstrukt normal fix klar kommt, weil man alles nur auf einer Ebene hat.


Wenn Du eine neue Gruppe machst, die etwas mehr können soll, als eine andere, ist es also wichtig, dass Du der neuen Gruppe die Rechte der "niedrigeren" Gruppe explizit auch gibst. Also angenommen Du hast eine Gruppe "User" und "Premium". Die Premium Gruppe soll ein Forum mehr sehen. Dann gibst Du der "Premium" Gruppe das Recht für das neue Forum, aber ZUSÄTZLICH nochmal den Zugang für alle anderen Foren wie in der User-Gruppe.

Befugnistemplates können dabei helfen, überschreiben aber, wie Du korrekt sagst, die Forenbefugnisse. Du kannst die Befugnis-Templates aber editieren, wenn eine neue Gruppe dazu kommt, wodurch die bisher gesetzte Struktur nicht verloren geht und es dann praktisch als "Ergänzung" nutzbar ist, weil das Alte ja nicht verloren geht (wird ja dann nochmal auf die Foren gesetzt). Das geht dann eigentlich ganz fix, wenn man sich mal Dinge wie "normales Forum", "Teamforum", usw. als Template angelegt hat und eine neue Gruppe theoretisch nur noch ergänzen muss. Templates können auch geklont werden, sofern eine andere Gruppe etwas z.B. nicht sehen soll und du dann in einer weiteren Variante Dinge nochmal ausschalten möchtest.


Dort hast Du aber auch mit dem "Global setzen" die Möglichkeit, per Häkchen alles nochmal einzeln nachzubearbeiten auf der ganzen Seiten - Tipp: Wenn hier zu viele Foren und damit Kontrollkästchen sind, die maximal erlaubten POST Felder in der php.ini erweitern, sofern der Hoster diese einschränkt.


Versteckte Gruppen sind dann nur für keinen außer dem Admin sichtbar, damit kannst Du z.B. eine Gruppe machen, die Berechtigungen speziell nur für EINEN User enthalten könnte (oder für mehrere, die dort drin sind). Wenn Du dieser Gruppe die selbe Farbe gibst, kann niemand sehen, dass jemand in einer anderen Gruppe ist und ggf. mehr Rechte hat. Das machen die Versteckten Gruppen: Nur Admins und User, die drin sind, sehen ihre Existenz, aber sie tauchen nicht in der Legende auf. Mit dieser Variante hast Du also theoretisch die Möglichkeit viele einzelne Gruppen anzulegen mit speziellen Userrechten ohne Deine Legende vollzuspammen; und damit hast Du im Grunde die Möglichkeit wie bei kombinierten Gruppen: Du kannst so viel einzeln machen wie Du willst, aber hast trotzdem alles im Blick, wer welches Recht hat.


Hier haben wir das auch mal näher durchgekaut: berechtigungsvergabe-ueber-template--p163640.html#real163640


Also für Deinen Fall:
Ja, Du müsstest eine Gruppe machen, die alle Rechte in den Foren bekommt wie die weniger potente Gruppe und diese dann dem User als Hauptgruppe zuweisen.


Alternativ: Du kannst auch Passwortgeschützte Foren erzeugen. Wäre das ggf. eine Variante?
Passwort für ein Forum bekommt dann nur, wer dort rein darf?

LG,
Chris

Hallöchen,

wie immer sehr gerne geschehen! Und Du hast das Prinzip jetzt absolut korrekt verstanden, genau so ist es nämlich, wie Du sagst!

Bei den meisten Anwendungsfällen, die bei Foren so genutzt werden, ist das im CF4 eingerichtete System deutlich einfacher zu handhaben, insbesondere, wenn es darum geht zu wissen, welche Rechte ein Nutzer genau hat und entsprechend auch bei Plugins sicher zu sein, dass auch dort die Gruppe das einzige ausschlaggebende Element für die Befugnisse darstellt.

Zugegeben: Bei den wenigen Boards, die ganz viele Spezialgruppen bzw. Sonder-Befugnisse benötigen, ist das Einrichten und das initiale Verständnis dadurch etwas komplizierter. Wie Du also so schön sagst, braucht es dann zunächst ein bisschen mehr "Hirnschmalz", da man entscheiden muss, welche zusätzlichen Gruppen man braucht, ob man die sichtbar oder versteckt macht, ob eine Unterteilung überhaupt Sinnvoll ist und man muss auch immer an die "Summe" der Berechtigung bei jeder Gruppe denken, da mehrere Gruppenmitgliedschaften nicht automatisch kombiniert werden, sondern immer nur die gewählte Hauptgruppe ausschlaggebend ist.

Sofern man diesen initialen Denk- und Einrichtungsprozess aber gemacht hat, sollte die weitere Administration später deutlich einfacher sein. Auch hier in der CBACK Community beispielsweise gibt es mehrere solcher Ebenen: Die "normalen" User, die einfach auch mal was testen können, die Lizenzinhaber und davon wieder diejenigen mit Basic oder Premium. Dank der versteckten Gruppen dafür und gleichen Farben für den Nutzernamen kann ein Außenstehender aber nie feststellen, ob ein Account nun ein "normaler" User oder ein Kunde ist (bzw. auch nicht welches Lizenzmodell derjenige hat). Also man kann im Endeffekt dann auch mit dieser Variante viel herausholen.


Bei meiner Arbeit auch in anderen Forensystemen habe ich sehr oft gesehen, dass kombinierende Systeme die Administration oft erschweren. Manche Forensysteme gehen sogar so weit, dass sie mehrere Stufen an "Rollen" haben, also dort gibt es kombinierende Gruppen, Einzelberechtigungen (Userebene) und sogar eine Systemebene. Sehr oft sieht man da, dass das Setzen von Berechtigungen versteckt in vielen Untermenüs schon direkt Schwierigkeiten mit sich bringt oder - noch schlimmer - dass durch Kombination mehrerer Ebenen, Gruppen und Rollen mitunter ein Nutzer, dem man (vermeintlich) ein Recht genommen hat, dann doch noch in gewissen Foren lesen / schreiben könnte ohne, dass der Admin etwas davon mitbekommt. Das ein bisschen linear arbeitende System vom CF4, welches die Hauptgruppe als eindeutigen "Entscheider" setzt, erlaubt es, dass Du im ACP die Rechte dann wirklich auf einen Blick kontrollieren kannst. Inzwischen gehen manche (teilweise spezialisierteren Community Systeme), die in früheren Versionen kombiniert haben, sogar eher wieder auf eine Variante wie das CF4 zurück, weil die Langzeit-Arbeit damit doch ein bisschen überschaubarer wird (gerade in großen Communities mit vielen Usern, wo man sich ansonsten irgendwann in den User-Sonderrollen verliert, da man diese erst sieht, wenn man einen Account gezielt aufruft).

Also genau:

Du musst im Grunde nur schauen, welche Hauptgruppe ein Nutzer aktiv hat (bzw. in welchen Gruppen derjenige sonst noch Mitglied ist, falls er wechselt) und kannst nur basierend auf der Gruppe im ACP auf der Forenübersicht mit den bunten Kästchen genau sehen, was der Nutzer nun wirklich kann und was nicht. Und bei der Gruppensteuerung siehst Du auch ganz eindeutig, welche Quoten (PMs, Anhanggröße, usw.) derjenige hat. Es gibt dann nichts, was Dir dort unbemerkt "reingrätscht", nicht mal ein Plugin, weil die Plugins ihre Berechtigungen auch nur basierend auf den Gruppen verwalten.

Ein weiterer kleiner Vorteil damit ist auch, dass das Befugnissystem performanter ist, weil es nicht so viel in der DB rumspringen und kombinieren muss. In den meisten Anwendungsfällen schleppt das nämlich auch immer unnötigen Ballast mit, wird aber eigentlich nie benötigt. Ich glaub der Großteil der Foren läuft sogar noch auf dem Default (Gast - User - Mod - Admin) und hat nicht mal den SMod aktiviert.

Viele Grüße und viel Erfolg bei der Planung Deiner Ebenen,
Chris