Rechte und Freigaben

Vor den Konnektoren steht eine Rechteprüfung. Sie entscheidet, ob die anfragende Person einen Konnektor benutzen darf, und hält die Entscheidung fest. Diese Seite erklärt, warum es diese Schicht braucht, wonach sie entscheidet und wo Sie die Freigaben pflegen.

Warum es diese Schicht braucht

Bindet man Konnektoren ohne eine eigene Rechteschicht an, lässt sich meist nur festlegen, ob jemand Konnektoren überhaupt benutzen darf, nicht welche. Wer MCP nutzen darf, sieht dann alle angebundenen Systeme, oder keines.

Für ein Werkzeug wie eine Wetterabfrage ist das egal. Für ein ERP ist es das nicht: „Rechnungen darf die Buchhaltung sehen, Löhne nicht“ ist auf dieser Ebene nicht abbildbar. Genau diese Lücke schliesst die Rechteprüfung.

Was die Rechteprüfung leistet

• Prüfung vor dem Aufruf. Ein Werkzeug-Aufruf erreicht den Konnektor nur, wenn die anfragende Person dafür freigegeben ist. Andernfalls bekommt sie eine Klartext-Meldung im Chat, die auf den Admin verweist. Der Chat läuft normal weiter, es gibt keinen Absturz.
• Personenbezogene Werkzeugliste. Wer für einen Konnektor keine Freigabe hat, bekommt dessen Werkzeuge gar nicht erst angeboten.
• Protokoll jedes Aufrufs. Jede Entscheidung wird unveränderlich mitgeschrieben, Verweigerungen eingeschlossen. Wie lange diese Einträge aufbewahrt werden, legen Sie in Ihrem Löschkonzept fest, siehe Datenschutz und Aufbewahrung.
• Im Zweifel verweigern. Bleibt eine Entscheidung unklar, wird verweigert statt erlaubt.
• Der Konnektor erfährt nicht, wer fragt. Die Identität wird für die Entscheidung gebraucht und nicht an den Konnektor weitergereicht.

Der Weg einer Anfrage

Die Ebenen einer Freigabe

Freigaben lassen sich für einzelne Personen, für Rollen und für Gruppen setzen, dazu kommt eine Standardregel je Konnektor. Widersprechen sich Angaben, ist die Auflösung bewusst restriktiv. Das ist Absicht: Eine Sicherheitsgrenze darf sich nicht dadurch aufheben lassen, dass jemand zusätzlich in einer harmlosen Gruppe ist.

Pflichtschritt: Standardregel vor der Freigabe setzen

Der erste Handgriff nach dem Anlegen eines Konnektors gehört der Standardregel: Setzen Sie die Standardregel des Konnektors auf „verweigert“ und geben Sie danach gezielt die Rollen, Gruppen und Personen frei, die den Konnektor brauchen.

So ist von der ersten Sekunde an definiert, wer hinter den Konnektor sieht, und die Freigabe ist eine bewusste Entscheidung statt eines Nebeneffekts. Nehmen Sie diesen Schritt in Ihre Abnahmeliste auf.

Neben der Konnektor-Ebene lässt sich eine Freigabe auch auf einzelne Werkzeuge beziehen.

Schneiden Sie Konnektoren so, dass die Konnektor-Ebene genügt

Im Alltag trägt die Steuerung auf Konnektor-Ebene den grössten Teil der Fälle; sie ist ausserdem die robustere Grenze. Planen Sie Ihre Konnektoren deshalb entsprechend: lieber zwei schmale Konnektoren mit je eigenem Dienstkonto als einer mit vielen Werkzeugen, von denen die Hälfte gesperrt sein müsste. Wie das aussieht, steht unter Muster für Konnektoren.

Wo Sie die Freigaben pflegen

Standardregeln, Freigaben für Rollen und Gruppen sowie Ausnahmen für einzelne Personen pflegen Sie im Admin-Panel. Ebenfalls dort liegt das Protokoll der Werkzeug-Aufrufe, das sich für die Ablage exportieren lässt. Umgekehrt lässt sich auch von einer einzelnen Person ausgehen und nachvollziehen, welche Konnektoren ihr offenstehen.

Welche Ansicht wo liegt und wie sie bedient wird, beschreibt die Anleitung, die Ihrer Auslieferung beiliegt.

Was die Rechteprüfung nicht leistet

• Sie ersetzt die Rechte im Quellsystem nicht. Ein Dienstkonto mit zu breiten Rechten bleibt ein Risiko, auch wenn eine Prüfung davor steht. Ziehen Sie die Datengrenze im Quellsystem, nicht im Prompt.
• Sie filtert keine Argumente und keine Inhalte. Ein Werkzeug, das eine freie Abfragesprache entgegennimmt, lässt sich nicht sinnvoll auf „nur Rechnungen“ einschränken. Bevorzugen Sie Konnektoren mit getrennten Werkzeugen oder mit einem Nur-Lese-Modus.
• Sie ist nicht die einzige Grenze. Bei Konnektoren, die mit den Rechten der einzelnen Person arbeiten, zieht das Zielsystem selbst die massgebliche Grenze, siehe Muster für Konnektoren.