Benutzerverwaltung

Es empfiehlt sich, dass Sie für jede Person, die mit kOOL arbeiten wird, ein eigenes Login erstellen. D.h. die Logins sollten persönlich sein und nicht z.B. „Sekretärin“ oder „Musikleiter“ heissen. Oft haben Personen Doppelfunktionen oder die Funktionen ändern. Dann ist es einfach, die Berechtigungen des persönlichen Logins anzupassen, und sonst ändert sich nichts für den Benutzer. Weiter hilft es, die Aktionen innerhalb von kOOL nach Benutzer rückvzuverfolgen, denn im Log werden die Aktionen immer nach Login gespeichert.

Ein Login ist prinzipiell durch einen Benutzernamen, ein Passwort und die Berechtigungen definiert. Als erstes müssen Sie auswählen, welche Module für ein Login zur Verfügung stehen. Nach dem Speichern des Login erscheinen die Detaileinstellungen pro Modul. Bei einzelnen Modulen gibt es keine weiteren Rechte, so z.B. für SMS und Gruppen E-Mail. Hat man dieses Modul, darf man SMS resp. Gruppen E-Mails verschicken. Hat man dieses Modul nicht, darf man es nicht.

Für jedes Modul gibt es verschiedene Berechtigungsstufen, meist 1-4. Dabei beinhaltet ein höher Stufe alle Berechtigungen der unteren Stufen.
Als Beispiel betrachten wir hier das Spenden-Modul, die Grundkonzepte sind aber für alle Module gleich. Was hier für ein Spendenkonto gilt, entspricht bei den Terminen z.B. den Termingruppen oder im Reservatione-Modul den Reservations-Objekten usw. Modul-spezifische Aspekte werden weiter unten erklärt.
Für jedes Modul gibt es ein Grundrecht, meist mit „ALLE“ gekennzeichnet. Das ist das Grundrecht für alle Spendenkonti und kann somit pro Konto nur noch erhöht, aber nicht mehr verkleinert werden. Im Beispiel des Spenden-Moduls heisst dies z.B., dass ein ALLE-Recht von 1 dem Benutzer Einsicht in alle erfassten Spenden erlaubt, es ihm aber nicht erlaubt ist, neue Spenden zu erfassen oder bestehende zu bearbeiten oder löschen. Soll dieser Benutzer nun für ein einzelnes Spendenkonto neue Spenden erfassen dürfen, können Sie das ALLE-Recht auf 1 belassen und die Stufe für dieses eine Konto auf 2 oder 3 erhöhen. Soll ein Benutzer nur die Spenden eines einzelnen Konto sehen dürfen, müssen Sie das ALLE-Recht auf 0 setzen und die Stufe bei diesem Konto auf 1 erhöhen.
Eine weitere Konsequenz der ALLE-Stufe pro Modul wird beim Erfassen eines neuen Spendenkontos ersichtlich. Wenn Sie als Administrator ein neues Konto erstellen, haben Sie für dieses Konto noch keine spezifischen Rechte verteilt. Da Sie das ALLE-Recht auf 4 haben, wird dieses auch auf das neue Konto angewandt. Das gleich passiert beim oben erwähnten zweiten Beispiel, in dem der Benutzer ein ALLE-Recht von 0 hat. Diese Stufe wird auf das neue Konto angewandt, d.h. er sieht die Spenden dieses Kontos nicht.

Berechtigungen für das Leute-Modul

Mit dem ALLE-Recht definieren Sie, welche Berechtigung dieses Login für alle Adresse hat. Wenn Sie aber z.B. nur Zugriff auf einen Teil der Adressen geben möchten, müssen Sie das ALLE-Recht zuerst mal auf 0 setzen, denn auch hier gilt, dass Sie das ALLE-Recht nicht reduzieren sondern nur erhöhen können.

In den drei Auswahllisten „Stufe 1-3“ können Sie je eine bestimmte Liste von Adressen auswählen, auf die dieses Login die Berechtigungsstufe 1 (Lesen), resp. 2 für Bearbeiten oder 3 für Löschen haben soll. Zur Auswahl stehen Ihnen dabei Ihre eigenen Filtervorlagen, die Kleingruppen und die Gruppen. D.h. den einfachen Fall, dass dieses Login auf alle Personen aus einer bestimmten Gruppe Zugriff haben soll, wählen Sie hier einfach diese Gruppe aus. Diese Berechtigung gilt dann rekursiv für alle Untergruppen. Für komplexere Listen müssen Sie vorgängig im Leute-Modul eine Filtervorlage erstellen und diese hier zuweisen. Diese Filtervorlage können Sie anschliessend wieder löschen, auf dem Login wird eine Kopie davon gespeichert. Das bedeutet auch, dass Sie bei einer späteren Änderung der Filtervorlage diese dem Login neu zuweisen müssen.

Für die Adressen, auf die dieses Login Zugriff hat, können Sie nun noch die sicht- resp. bearbeitbaren Spalten einschränken. Dazu stehen Ihnen die Auswahllisten „Betrachten/Bearbeiten-Rechte auf diese Spaltenvorlage begrenzen“. Dazu erstellen Sie vorgängig im Leute-Modul eine Spaltenvorlage, die alle Spalten enthält, die dieses Login sehen resp. bearbeiten können soll. Auf dem Login können Sie nun diese Spaltenvorlagen bei der Stufe 1 oder 2 zuweisen. Es ist auch möglich, auf gewisse Spalte Lesezugriff zu gewähren, aber nur auf einen Teil davon Schreibrechte. Dazu weisen Sie zwei unterschiedliche Spaltenvorlagen für die Stufen 1 und 2 zu.

Wenn ein Login nur auf die Adressen aus einer Gruppe Zugriff hat, kann es passieren, dass dieses Login eine neue Adresse anlegt und diese anschliessend gar nicht mehr sieht. Denn wenn sie vergisst, diese Person der eigenen Gruppe zuzuweisen, hat dieses Login anschliessen keinen Zugriff auf diese Adresse. Mit der Option „Personen, die dieser User bearbeitet oder hinzufügt, sollen dieser Gruppe zugewiesen werden“ kann dies verhindert werden. Dazu wählen Sie hier eine Gruppe aus, auf die dieses Login Zugriff hat. Nun wird beim Speichern einer Adresse sichergestellt, dass die Adresse mindestens zu dieser Gruppe gehört.
Wenn ein Login nur auf gewisse Adressen Zugriff hat, kann ein weiteres Problem sein, dass dieses Login eine Adresse neu anlegt, die es in kOOL eigentlich schon gibt, auf die er aber keinen Zugriff hat. Mit der Option „Suche in allen Adressen erlauben zur Übertragung in eigene Gruppe“ und einer in oben erwähnter Option gewählten Gruppe kann dies behoben werden. Denn diese Option blendet lässt diesen Benutzer über ein separates Suchfeld in allen Adressen in kOOL suchen. Findet er die gesuchte Person kann er diese seiner eigene Gruppe zuweisen, wodurch er Zugriff auf diese Adresse erhält. Wichtiger Hinweis: Damit kann faktisch der Schutz umgangen werden, denn damit ist es möglich, eine beliebige Adresse zu sich zu holen und zu verändern - deshalb mit vorsicht einsetzen.

Gruppen-Anmeldungen von der Website können normalerweise nur von Logins bearbeitet werden, die im Leute-Modul die Stufe 4 (Moderieren) haben. Soll ein Kursverantwortlicher diese Aufgabe selber übernehmen, kann die Option „Dieser Benutzer darf Gruppen-Anmeldungen für seine Gruppen moderieren“ aktiviert werden. Damit sieht dieses Login unter „Leute Offene Anmeldungen“ alle zu moderierenden Anmeldungen, die für Gruppen sind, zu denen er Einteilen-Rechte hat.

Berechtigungen für das Gruppen-Modul

Die Berechtigungen für das Gruppen-Modul sind unabhängig von den Rechten für das Leute-Modul zu vergeben. Allerdings wird in den meisten Fällen auch ein Bearbeiten-Recht auf einer Adresse benötigt, um z.B. Gruppen-Zuweisungen bearbeiten zu können. Somit wird im Leute-Modul definiert, welche Adressen bearbeitet werden können, und über die Berechtigungen im Gruppen-Modul wird definiert, welche Gruppenzuweisungen für diese Adressen möglich sind.

  • Stufe 1: Hiermit kann bei Adressen, auf denen Sie Leserechte haben, gesehen werden, ob diese Adresse bei dieser Gruppe dabei ist oder nicht.
  • Stufe 2: Bei den Adressen, für die Sie Bearbeiten-Rechte haben, können Sie die Zuweisung zu dieser Gruppe ändern: Neu zuweisen oder aus der Gruppe entfernen.
  • Stufe 3: Damit können Sie diese Gruppe selber bearbeiten, also z.B. den Namen oder das Stoppdatum ändern. Falls Sie keine Bearbeitungsrechte auf Adressen haben, können Sie trotzdem keine Gruppenzuweisungen ändern. Mit dieser Stufe dürfen Sie neue Rollen anlegen und bestehende bearbeiten.
  • Stufe 4: Hiermit können Sie Gruppen auch löschen. Und alle Rechte der unteren Stufen gelten hier natürlich auch. Mit dieser Stufe dürfen Sie auch Rollen löschen.

Die Rechte, die Sie einer Obergruppe zuweisen gelten auch für alle Untergruppen, werden also nach unten vererbt.

Berechtigungen für das Termine-Modul

Die Berechtigungen im Termine-Modul können entweder pro Kalender oder pro Termingruppe vergeben werden. Dabei stehen folgende Berechtigungsstufen zur Verfügung, wobei eine höhere Stufe immer alle Rechte der unteren Stufen beinhaltet:

  • 0: Keine Rechte, also auch nicht Termine der gewählten Termingruppe sehen
  • 1: Termine sehen, aber nichts daran ändern oder neu erfassen
  • 2: Bearbeiten (moderiert). Falls eine Termingruppe moderiert ist, sind Änderungen und Neuerfassungen mit dieser Stufe nur moderiert möglich. Bei nicht moderierten Termingruppen ist eine direkte Bearbeitung möglich.
  • 3: Diese Stufe ist bereits Admin, d.h. es dürfen auch für moderierte Termingruppen neue Termine erfasst und bearbeitet werden ohne Moderation. Weiter ist die Verwaltung der Termingruppen möglich.
  • 4: Der einzige Unterschied zwischen Stufe 3 und 4 ist die Moderation der offenen Anfragen. Erst mit Stufe 4 ist man Moderator.

Normalerweise können Sie die obigen Stufen nur pro Kalender vergeben - und für die Termingruppen separat, die keinem Kalender zugewiesen sind. Falls Sie die Berechtigungen feiner vergeben möchten, also pro Termingruppe auch wenn diese in einem Kalender ist, müssen Sie eine globale Einstellung im Termine-Modul ändern: „Benutzerrechte Termine-Modul definieren über“. Dort wählen Sie „ausschliesslich Termingruppen“ aus.

Globaler Zeitfilter

In der Liste der Termine können Sie einen zeitlichen Filter setzen und diesen als global definieren. Damit sehen Benutzer mit Stufe 2 oder tiefer nur die Termine innerhalb des gewählten Zeitraumes. Mit der Einstellung „Globalen Zeitfilter“ auf dem Login können Sie dieses Verhalten beeinflussen. Die Standardoption beachtet die Benutzerrechte, d.h. ab Stufe 3 aufwärts wird der globale Zeitfilter ignoriert, darunter angewandt. Mit den zwei anderen Optionen können Sie den Zeitfilter unabhängig von den Berechtigungsstufen für ein Login erzwingen oder ignorieren lassen.

Erinnerungen

Damit ein Login Erinnerungen für Termine verwalten darf, muss diese Option auf dem Login aktiviert sein. Das gilt auch für Admin-Logins.

Spaltenzugriff

Die Option „Zugriff auf diese Spalten einschränken“ lässt Sie den Zugriff auf einzelne Angaben pro Termin für dieses Login einschränken. Ist hier kein Feld ausgewählt, sieht das Login alle Angaben pro Termin, andernfalls nur die hier aktivierten.

Berechtigungen für das Reservations-Modul

Die Berechtigungen im Reservations-Modul können entweder pro Reservations-Gruppe oder pro Reservations-Objekt vergeben werden. Dabei stehen folgende Berechtigungsstufen zur Verfügung, wobei eine höhere Stufe immer alle Rechte der unteren Stufen beinhaltet:

  • 0: Keine Rechte, also auch nicht Reservationen sehen
  • 1: Reservationen sehen, aber nichts daran ändern oder neu erfassen
  • 2: Neu erfassen (moderiert). Mit der Stufe 2 können neue Reservationen erfasst werden. Falls bei einem Objekt die Moderation aktiv ist, wird die Reservation erst definitiv nach der Bestätigung durch einen Moderator.
  • 3: Diese Zwischenstufe erlaubt es dem Benutzer, die selber erfassten Reservationen wieder zu bearbeiten und löschen. Dies gilt für moderierte und nicht-moderierte Objekte.
  • 4: Das ist die Admin-Stufe, d.h. hier dürfen alle Reservationen bearbeitet und gelöscht werden. Weiter ist die Verwaltung der Reservations-Objekte erlaubt.
  • 5: Der einzige Unterschied zwischen den Stufe 4 und 5 ist die Moderation von offenen Anfragen, die mit Stufe 5 möglich ist.

Normalerweise können Sie die obigen Stufen nur pro Reservations-Objekt vergeben. Falls Sie die Berechtigungen feiner vergeben möchten, also pro Objekt, müssen Sie eine globale Einstellung im Reservations-Modul ändern: „Berechtigungen definieren über“. Dort wählen Sie „Reservations-Objekte“ aus.

Globaler Zeitfilter

In der Liste der Reservationen können Sie einen zeitlichen Filter setzen und diesen als global definieren. Damit sehen Benutzer mit Stufe 3 oder tiefer nur die Reservationen innerhalb des gewählten Zeitraumes. Mit der Einstellung „Globalen Zeitfilter“ auf dem Login können Sie dieses Verhalten beeinflussen. Die Standardoption beachtet die Benutzerrechte, d.h. ab Stufe 4 aufwärts wird der globale Zeitfilter ignoriert, darunter angewandt. Mit den zwei anderen Optionen können Sie den Zeitfilter unabhängig von den Berechtigungsstufen für ein Login erzwingen oder ignorieren lassen.

Wenn ein Benutzer kOOL öffnet, ist er vorerst nicht eingeloggt. Bis man sich einloggt ist man rein technisch gesehen mit dem Gast-Login „ko_guest“ eingeloggt. D.h. diesem Login können Sie Berechtigungen vergeben wie sonst auch, wodurch Sie bestimmen können, was Benutzer sehen machen dürfen, solange sie nicht eingeloggt sind.

In der Praxis gibt es meist drei Kreise mit typischen Benutzerrechten:

  • Der innerste Kreis der Mitarbeiter, die Schreibrechte in ihren Bereichen haben.
  • Der zweite Kreis umfasst meist freiwillige Mitarbeiter, die Leserechte auf fast alles haben, und vereinzelt ev. Schreibrechte
  • Der grösste Kreis umfasst in einer Kirchgemeinde meist alle Besucher, die z.B. mal für eine Sitzung einen Raum reservieren möchten oder Termine weiter in der Zukunft sehen möchten, als diese auf der Website publiziert sind.

Dieser dritte Kreis von Benutzern kann in den meisten Fällen über das Gast-Login abgedeckt werden, was den Vorteil hat, dass all diesen Personen keine eigenen Logindaten erstellt und verwaltet werden müssen.

Falls Sie viele Benutzer mit sehr ähnlichen Benutzerrechten haben, ist es einfacher, die Berechtigungen über Benutzergruppen zu steuern. Dazu können Sie beliebig viele Benutzergruppen anlegen und diesen Berechtigungen vergeben, wie dies für die Logins auch möglich ist. Ein einzelnes Login können Sie dann einer oder mehreren Benutzergruppen zuweisen, wodurch dieses die Berechtigungen gemäss den Benutzergruppen erhält. Dadurch ist es oft einfacher, den Überblick zu behalten, und vor allem können spätere Änderungen an den Berechtigungen einfacher auf alle Benutzer angewandt werden, indem nur eine Benutzergruppe angepasst werden muss.

Ist ein Login mehreren Benutergruppen zugewiesen, erhält es die Summe der Berechtigungen, und zwar gewinnt immer die höchste Berechtigungsstufe. Wenn in einer Benutzergruppe z.B. für die Termine ein ALLE-Recht von 0 definiert ist und auf zwei Termingruppen eine Berechtigung von 1, auf der zweiten Benutzergruppe aber ein ALLE-Recht für die Termine von 2 definiert ist, dann hat das Login am Schluss die Stufe 2 für alle Termingruppen. Es ist also nicht möglich, die Rechte über eine Benutzergruppe zu senken - wohl aber zu erhöhen.

Normalerweise reicht es, ein Login den gewünschten Benutzergruppen zuzuweisen. Auf dem Login selber müssen keine Module zugewiesen oder Berechtigungen verteilt werden. Dies ist nur dann nötig, wenn die Berechtigungen aus den Benutzergruppen für dieses Login an einer Stelle erhöht werden sollen. Ein Beispiel: Aus den Benutzergruppen hat das Login das Rechte, alle Termine zu betrachten (ALLE-Recht 1). Nun soll dieses Login aber für eine einzelne Termingruppe das Rechte haben, neue Termin zu erfassen. Dazu kann diesem Login das Termine-Modul zugewiesen werden und lediglich die Stufe für diese eine Termingruppe auf 2 erhöht werden. Die anderen Rechte sollten alle auf 0 belassen werden, damit allfällige spätere Änderungen an der Benutzergruppe nicht unabsichtlich von diesen Berechtigungen überschrieben werden.

Organisation der Benutzergruppen

Sie haben verschiedene Möglichkeiten, die Benutzergruppen zu organisieren. Es hilft sicherlicht, alle Berechtigungen zu notieren und Gemeinsamkeiten zu suchen. In der Praxis haben sich zwei Grundsysteme bewährt:

  • Berechtigungen nach Funktion: Pro Funktion der Mitarbeiter erstellen Sie eine Benutzergruppe, das können z.B. solche sein wie „Pfarrer“, „Katechese“, „Sekretariat“, „Teamleiter“, usw. Login für Personen mit Mehrfachfunktionen werden einfach mehreren Benutzergruppen zugewiesen.
  • Berechtigungen pro Modul: Falls die Berechtigungen nicht klar nach Funktion eingeschränkt werden können, kann es sinnvoll sein, diese nach Modul zu organisieren. Z.B. eine Benutzergruppe „Adressen lesen“, „Adressen schreiben“, „Termine lesen“, „Termine erfassen“, usw.

Natürlich lassen sich auch beide Systeme mischen.

Als Administrator haben Sie die Möglichkeit, sich mit einem anderen Login anzumelden ohne das Passwort zu kennen. Dazu können Sie in der Liste der Login das entsprechende Login markieren und unterhalb der Liste den Button „Identität anmelden“ klicken.
Danach müssen Sie sich wieder abmelden und neu mit Ihrem eigenen Login anmelden.

Einerseits können Sie so sehr einfach die Berechtigungseinstellungen für ein neu erstelltes Login testen. Andererseits kann dies auch hilfreich sein, um bei einem Login gewisse Einstellungen vorzunehmen. Z.B. können Sie so eingeloggt die Benutzer-Einstellungen dieses Logins anpassen oder Filter- und Spaltenvorlagen erstellen, die dieser Benutzer ab dann zur Verfügung hat.

Person aus Datenbank zuweisen

Wählen Sie hier eine Person aus der Adressdatenbank, die diesem Login zugewiesen werden soll. Erst damit wird dieses Login für kOOL persönlich, d.h. kOOL kennt die Person hinter diesem Loginnamen. Dies kann z.B. verwendet werden, um bei einer neuen Reservation Name, E-Mail und Telefon vorauszufüllen, oder die Adresse dieser Person kann bei Briefen als Absender verwendet werden. Weiter können die Natelnummer und E-Mail Adresse dieser Person als Absender für SMS resp. E-Mails verwendet werden.

Admin E-Mail und alternative Mobilnummer

Wie oben beschrieben können E-Mail Adresse und Natelnummer von der diesem Login zugewiesenen Person als Absender verwendet werden. In diesen beiden Feldern können Sie je eine zusätzliche Adresse/Nummer eintragen, die ebenfalls als Absender möglich ist. Falls Sie so z.B. zwei Natelnummern definiert haben, können Sie beim Versenden von SMS den Absender jedesmal wählen.

Status

In der Liste der Logins erscheint bei jedem Login ein blaues Status-Icon. Durch einen Klick darauf kann ein Login deaktiviert werden. Damit kann sich dieses Login per sofort nicht mehr einloggen. Dies kann verwendet werden, wenn ein Login noch nicht gelöscht werden soll, aber trotzdem weiteres Einloggen verhindert sein soll. Durch einen weiteren Klick kann das Login jederzeit wieder aktiviert werden.

  • admin/benutzerverwaltung.txt
  • Zuletzt geändert: 10.11.2017 16:20
  • von Renzo Lauper