Rollen und Berechtigungen
Diese Referenz beschreibt genau, was jede Rolle tun darf, wie sich Geltungsbereiche verschachteln und welche Regeln EntityFlow rund um den Zugriff durchsetzt. Inhaber und Administratoren weisen Rollen auf der Seite Mitglieder von EntityFlow Hub zu.
Rollen
Vom höchsten zum niedrigsten Rang:
- Owner — vollständige Kontrolle über das Konto.
- Admin — verwaltet alles innerhalb des Geltungsbereichs außer der Kontoinhaberschaft.
- Editor — erstellt, liest und bearbeitet Diagramme.
- Viewer — schreibgeschützt.
Geltungsbereiche
Berechtigungen gelten innerhalb eines Geltungsbereichs. Vom weitesten zum engsten:
Account → Organization → Workspace → Team → (diagrams)
Eine in einem höheren Geltungsbereich erteilte Rolle wird kaskadierend auf alles darunter angewendet. Erteilen Sie Editor im Geltungsbereich der Organisation, und das Mitglied kann Diagramme in jedem Arbeitsbereich und Team innerhalb dieser Organisation bearbeiten.
Berechtigungsmatrix
| Fähigkeit | Owner | Admin | Editor | Viewer |
|---|---|---|---|---|
| Konto lesen | ✓ | ✓ | ✓ | ✓ |
| Konto / SSO / Mitglieder verwalten | ✓ | ✓ | — | — |
| Organisation erstellen / verwalten | ✓ | ✓ | — | — |
| Arbeitsbereich erstellen / verwalten | ✓ | ✓ | — | — |
| Team erstellen / verwalten | ✓ | ✓ | — | — |
| Diagramm — erstellen | ✓ | ✓ | ✓ | — |
| Diagramm — lesen | ✓ | ✓ | ✓ | ✓ |
| Diagramm — schreiben | ✓ | ✓ | ✓ | — |
| Diagramm — löschen | ✓ | ✓ | ✓ | — |
Kurz gesagt: Owner und Admin verwalten alles innerhalb ihres Geltungsbereichs; Editor arbeitet mit Diagrammen, kann aber weder die Struktur noch Mitglieder verwalten; Viewer ist schreibgeschützt.
Wichtige Regeln
- Mandantenisolierung — es gibt keinen Zugriff über Konten hinweg. Jede kontenübergreifende Anfrage wird abgelehnt, ohne Ausnahme.
- Zuweisung nach Rollenrang — Sie können keine Rolle auf oder über Ihrem eigenen Rang erteilen (ein Admin kann weder einen Owner noch einen weiteren Admin erstellen).
- Funktionsberechtigungen — Enterprise-Fähigkeiten sind durch Berechtigungen geschützt:
sso,scim,audit-logunddb-per-tenant. Eine Rolle allein schaltet keine Funktion frei, die Ihr Tarif nicht enthält.
:::warning Serverseitig durchgesetzt All diese Prüfungen laufen auf dem Server und auf dem Echtzeit-WebSocket — sie sind niemals nur in der Benutzeroberfläche ausgeblendet. Eine geschützte Funktion ist eine Berechtigungsprüfung, kein unsichtbarer Button, sodass die Grenze selbst bei direkten API-Aufrufen bestehen bleibt. Siehe die REST-API. :::