Beim Aufbau einer SharePoint-Site im Unternehmen spielt die Vergabe von Zugriffsberechtigungen eine zentrale Rolle. Diese Aufgabe ist nicht unkritisch: Einerseits soll jeder Mitarbeiter exakt die ihm zustehenden Zugriffsrechte auf Seiten erhalten, oder eben keinen Zugang. Andererseits kann bei falscher Planung oder Umsetzung ein Zugriffschaos entstehen, das viel Konfigurationsarbeit nach sich zieht. Im Folgenden wird das Prinzip der Vererbung von Zugriffsrechten sowie die mögliche Stolperfallen erläutert.
Betrachten wir dazu beispielhaft eine übliche Abteilungssite mit Listen, Bibliotheken, den darin befindlichen Dateien sowie einer Subsite. (Direkt zum Video: Sprungmarke 0:25)
Grundsätzlich ist die Berechtigungsvergabe hier zunächst einfach. Man geht zur obersten Seite in der Hierarchie, in diesem Fall die Abteilungsseite, und stellt die Berechtigungen ein. Aufgrund des Vererbungsprinzips in SharePoint sind dann alle Nutzer, die an der obersten Stelle berechtigt werden, automatisch in der gesamten Site berechtigt. Nutzer A, B und C haben also nicht nur auf die Abteilungsseite, sondern auch auf die Bibliothek und auf die Teamsite Zugriff. (Sprungmarke 0:42)
Vererbung unterbrechen – das sind die Konsequenzen
Problematisch wird es jedoch dann, wenn man zum Beispiel für die Teamsite abweichende Berechtigungen einstellen möchte. Dazu muss man zuerst einmal die Vererbung unterbrechen.
Dabei passiert folgendes: SharePoint trennt die Struktur und kopiert die aktuell eingestellten Berechtigungen von oben nach unten. Auf den ersten Blick ist dabei noch nichts passiert, Benutzer A, B und C haben weiterhin die selben Rechte. Ab jetzt können aber in diesem Ast separate Anpassungen vorgenommen werden, zum Beispiel hier das Hinzufügen des Nutzers D. Diese und alle weiteren neuen Berechtigungen gelten nur mehr für die lila markierten Elemente, es wird nichts nach oben weitergereicht. (Sprungmarke 1:49)
Getrennte Rechtevergabe bedeutet Mehrarbeit
Auch alles, was ab jetzt oben an der Abteilungsseite passiert, hat keinerlei Auswirkungen mehr auf die untere Teamseite. Nimmt man etwa oben auf der Abteilungssite einen neuen Nutzer E hinzu, wird dieser konsequenterweise nicht mehr unten in der Teamsite erscheinen. In der Praxis bedeutet das: Kommt zukünftig ein neuer Mitarbeiter in ein Projekt oder in die Abteilung, muss er nicht nur oben, sondern auch in unterbrochenen Zweigen eingepflegt werden.
Wenn also die Struktur ungeschickt aufgebaut wurde, ergeben sich im Lauf der Zeit mehrere Unterbrechungen in der Abteilungssite. Man muss sich dann um jede dieser Unterbrechungen individuell kümmern und die entsprechenden Berechtigungen separat nachpflegen. (Sprungmarke 2:43)
Der nächste Blog-Beitrag wird sich mit Lösungsansätzen zu dieser Problematik befassen.