Der Password Depot Enterprise Server (Version 19) steuert Zugriffe auf drei Ebenen: global über die Serverrichtlinien, je Datenbank über die Registerkarte Allgemein und feingranular über die Registerkarte Einträge und Ordner. Sieht ein Benutzer eine Datenbank oder deren Einträge nicht, ist fast immer eine der beiden unten beschriebenen Fallen die Ursache – kein Defekt.
Das Rechtemodell in Kürze
Serverrichtlinien (Verwalten → Serverrichtlinien) gelten für den gesamten Server. Jedes Recht kennt drei Zustände: Aktiviert, Nicht definiert, Deaktiviert. Ein hier deaktiviertes Recht gilt für alle Benutzer, Gruppen und Datenbanken und lässt sich auf den unteren Ebenen nicht wieder aktivieren. Belassen Sie die Serverrichtlinien deshalb im Standardzustand und deaktivieren Sie Rechte hier nur, wenn es unternehmensweit zwingend ist (z. B. Drucken von Einträgen).
Datenbank-Ebene: Klicken Sie im Bereich Datenbanken mit der rechten Maustaste auf die Datenbank und wählen Sie Berechtigungen. Über Neu fügen Sie Benutzer oder Gruppen hinzu; per Doppelklick (oder Eigenschaften) öffnen Sie die Rechteverwaltung mit den Registerkarten Allgemein, Einträge und Ordner und Versiegelter Zugriff. Rechte in Allgemein gelten für die gesamte Datenbank: Wer hier z. B. Lesen von Einträgen erhält, sieht standardmäßig alle Einträge – auch später neu angelegte.
Einträge und Ordner: Hier vergeben Sie Rechte gezielt für einzelne Ordner und Einträge; auf einen Ordner gesetzte Rechte wirken auch auf dessen Inhalt und Unterordner. Grün = erlaubt, Rot = verweigert; über Effektive Berechtigungen anzeigen kontrollieren Sie das Ergebnis.
Best Practice: auf Datenbank-Ebene nur Zugriff, konkrete Rechte im Objektbaum
Erlauben Sie auf Datenbank-Ebene nur Zugriff auf die Datenbank.
Entfernen Sie bei Lesen/Ändern/Hinzufügen/Löschen von Einträgen die Häkchen – setzen Sie dort kein „Verweigern“.
Geben Sie im Reiter Einträge und Ordner genau die Ordner frei, die der Benutzer bzw. die Gruppe sehen soll (z. B. je ein privater Ordner plus ein gemeinsamer Ordner in derselben Datenbank).
Später angelegte Ordner und Einträge im Stammverzeichnis sind damit zunächst für niemanden sichtbar und werden bei Bedarf einzeln freigegeben.
Die vier Rechte Lesen/Ändern/Hinzufügen/Löschen hängen voneinander ab und sollten je Objekt möglichst gemeinsam erlaubt oder gemeinsam nicht gesetzt werden.
Falle 1: „Verweigern“ hat immer Vorrang
Ein gesetztes Verweigern schlägt jedes „Erlauben“ und lässt sich nicht übersteuern. Wer auf Datenbank-Ebene Vollzugriff erteilt und anschließend per Verweigern einzelne Bereiche ausblenden will, sperrt Benutzer schnell komplett aus (Datenbank sichtbar, aber leer). Verwenden Sie Verweigern daher nicht für die routinemäßige Rechtevergabe – Häkchen entfernen ist der richtige Weg –, sondern nur für gezielte Ausnahmen, etwa einen einzelnen Eintrag in einem ansonsten freigegebenen Ordner.
Falle 2 (Version 19): Berechtigungen mit dem Superadmin vergeben
Vergeben Sie Berechtigungen in Version 19 im Server-Manager mit dem vordefinierten Superadmin-Konto admin. Werden Rechte mit einem anderen Administratorkonto gesetzt, greifen sie unter Umständen nicht; betroffene Benutzer erhalten dann z. B. die Meldung „Datenbank abgelaufen“.
Hinweis: Arbeiten Sie wo möglich mit Gruppen statt mit Einzelbenutzern – die Systematik ist identisch, die Pflege deutlich einfacher.
Verwandte Themen: