Rollen & Berechtigungen

Organization Security

Was ist RBAC?

Role-Based Access Control (RBAC) ermöglicht dir, zu steuern, wer innerhalb deiner Organisation auf was zugreifen kann. Statt Berechtigungen pro Benutzer zu verwalten, definierst du Rollen mit bestimmten Berechtigungssets und weist diese Rollen den Mitgliedern zu. Das vereinfacht die Zugriffsverwaltung und sorgt für einheitliche Sicherheitsrichtlinien.

Eingebaute Rollen

nara bietet zwei eingebaute Rollen, die nicht gelöscht oder umbenannt werden können:

Rolle	Beschreibung
Admin	Vollzugriff auf alle Organisationsfunktionen, Einstellungen, Mitglieder, Agents, Tools und Billing. Admins können Rollen verwalten, Mitglieder einladen und Integrationen konfigurieren.
Member	Eingeschränkter Zugriff auf alltägliche Funktionen. Members können Agents verwenden und Tickets einsehen, aber keine Organisationseinstellungen ändern, Mitglieder verwalten oder auf Billing zugreifen.

Hinweis

Die eingebauten Rollen dienen als Grundlage. Erstelle Custom Roles, wenn du granularere Kontrolle darüber brauchst, was bestimmte Benutzergruppen tun können.

Custom Roles erstellen

1. Navigiere zu Settings > Roles & Permissions.

2. Klicke auf Create Role.

3. Gib einen Namen für die Rolle ein (z. B. “Support Lead”, “Tool Manager”, “Viewer”).

4. Gib optional eine Beschreibung ein, damit andere Admins den Zweck der Rolle verstehen.

5. Wähle die Berechtigungen, die diese Rolle gewähren soll. Berechtigungen sind nach Funktionsbereichen gruppiert (siehe unten).

6. Klicke auf Save. Die Rolle steht jetzt zur Zuweisung an Mitglieder bereit.

Berechtigungen definieren

Berechtigungen bieten granulare Zugriffskontrolle über verschiedene Funktionsbereiche. Beim Erstellen oder Bearbeiten einer Rolle wählst du die Berechtigungen aus, die Mitglieder mit dieser Rolle haben sollen:

Berechtigungsbereich	Beispiele
Agents	Agents erstellen, Agent-Konfiguration bearbeiten, Agents löschen, Agent-Liste anzeigen
Tools	Tools verwalten, Tools Agents zuweisen, Tool Registry einsehen
Deployments	Deployments erstellen, Connectors verwalten, Deployment-Status anzeigen
Tickets	Tickets erstellen, Ticket-Status aktualisieren, Tickets löschen, alle Tickets anzeigen
Members	Mitglieder einladen, Rollen aktualisieren, Mitglieder entfernen
Organization	Organisationseinstellungen bearbeiten, Integrationen verwalten, Billing einsehen
Memory	Knowledge Graph anzeigen, Schemas verwalten, Objekte erstellen

Jede Berechtigung kann innerhalb einer Rolle einzeln aktiviert oder deaktiviert werden, was dir feingranulare Kontrolle über den Zugriff gibt.

Rollen an Benutzer zuweisen

1. Navigiere zu Settings > Members.

2. Finde das Mitglied, dem du eine Rolle zuweisen möchtest.

3. Klicke auf das Role-Dropdown neben dem Namen.

4. Wähle die Rolle aus der Liste (eingebaut oder custom).

5. Die Zuweisung gilt sofort. Die verfügbaren Funktionen des Mitglieds werden beim nächsten Seitenaufruf aktualisiert.

Rollen entziehen

Um eine Rolle von einem Mitglied zu entfernen:

1. Navigiere zu Settings > Members.

2. Finde das Mitglied, dessen Rolle du ändern möchtest.

3. Wähle eine andere Rolle aus dem Dropdown oder weise die Standard-Rolle Member zu.

4. Die bisherige Rolle wird entfernt und die neue Rolle gilt sofort.

Achtung

Jedes Mitglied muss mindestens eine Rolle haben. Du kannst eine Rolle nicht entfernen, ohne eine Ersatzrolle zuzuweisen. Stelle sicher, dass mindestens ein Mitglied die Admin-Rolle behält, um nicht den Zugang zu den Organisationseinstellungen zu verlieren.

Zuweisungen einsehen

Du kannst Rollenzuweisungen aus zwei Perspektiven betrachten:

Nach Rolle

Navigiere zu Settings > Roles & Permissions und klicke auf eine Rolle, um alle Mitglieder (Principals) zu sehen, die ihr aktuell zugewiesen sind. Diese Ansicht ist nützlich, um zu prüfen, wer bestimmte Berechtigungen hat.

Nach Benutzer

Navigiere zu Settings > Members, um die zugewiesene Rolle jedes Mitglieds in der Listenansicht zu sehen. Klicke auf ein Mitglied, um die vollständigen Rollendetails und Berechtigungen einzusehen.

Rollenverwaltungs-API

Rollen und Zuweisungen können auch programmatisch verwaltet werden:

Method	Path	Description
GET	/api/roles	List all roles in the organization
POST	/api/roles	Create a new custom role
GET	/api/roles/{id}	Retrieve a specific role and its permissions
PUT	/api/roles/{id}	Update a role’s name, description, or permissions
DELETE	/api/roles/{id}	Delete a custom role (built-in roles cannot be deleted)
POST	/api/roles/{id}/assign	Assign a role to a user
POST	/api/roles/{id}/unassign	Remove a role assignment from a user
GET	/api/roles/{id}/principals	List all users assigned to a specific role

Best Practices

Prinzip der minimalen Berechtigung

Weise jeder Rolle nur die minimal nötigen Berechtigungen zu. Starte mit restriktiven Berechtigungen und erweitere sie nur bei Bedarf. Das reduziert das Risiko versehentlicher oder unbefugter Änderungen.

Benennungskonventionen für Rollen

Verwende aussagekräftige Namen, die den Zweck der Rolle widerspiegeln (z. B. “Support Agent Manager” statt “Rolle 1”). Füge eine klare Beschreibung hinzu, damit andere Admins den Zweck verstehen, ohne einzelne Berechtigungen prüfen zu müssen.

Regelmäßige Audits

Überprüfe Rollenzuweisungen regelmäßig, um sicherzustellen, dass Mitglieder die passenden Zugriffsrechte haben. Entziehe Rollen von Mitgliedern, die sie nicht mehr brauchen, und archiviere ungenutzte Custom Roles.

Berechtigungs-Wildwuchs vermeiden

Halte die Anzahl der Custom Roles überschaubar. Wenn zwei Rollen fast identische Berechtigungen haben, ziehe in Betracht, sie zu einer Rolle mit einem klaren Namen zusammenzufassen.

Nächste Schritte

Organisation Zurück zu Organisationseinstellungen und Mitgliederverwaltung.

Lizenz Lizenzstatus und Seat-Kontingent einsehen.

Authentifizierung & Tokens API Tokens und Authentifizierungsmethoden verwalten.