Nutzerrollen per Entra ID
Seit Version 5.2.0 verfügt der OPC Router 5 über Autorisierung von Benutzern über Nutzerrollen (siehe Benutzerrollen). Wie Nutzer aus Microsoft Entra ID beim Login angelegt werden, wie ihre lokalen Rollen aus den Rollen-Claims übernommen werden und wie sich die automatische Neuanlage mit AZURE_AD_DISABLE_AUTO_PROVISION abschalten lässt, beschreibt Microsoft Entra ID/Azure AD anbinden.
Diese Seite zeigt, wie Sie die dafür nötigen App-Rollen in Entra ID anlegen und den Benutzern zuweisen.
Anlegen der Benutzerrollen des OPC Router 5 in Entra ID
Für die folgenden Schritte wird eine Microsoft Entra ID (ehemals Azure AD) Anbindung vorausgesetzt (siehe Microsoft Entra ID anbinden).
Öffnen sie ihren Microsoft Entra ID Tenant über das Microsoft Entra Admin Center.
Das Anlegen der Nutzerrollen ist auch über das Microsoft Azure Portal möglich, das Zuweisen der Rollen ist jedoch nur im Microsoft Entra Admin Center möglich.
Navigieren Sie nun unter der Registerkarte App-Registrierungen (1) im Reiter Alle Anwendungen (2) zu ihrer Anwendungsregistrierung (3).
Um eine App-Rolle hinzuzufügen, navigieren Sie zum Reiter App-Rollen (1) und wählen Sie App-Rolle erstellen aus (2). Wählen Sie einen Anzeigenamen (3) und Benutzer/Gruppen (4) als zulässige Mitgliedstypen aus. Unter Wert (5) tragen Sie die Rolle ein, die der Rolle im OPC Router 5 entspricht.
Als Wert (5) für Rollen sind derzeit nur Admin, Editor und Observer zulässig (siehe Benutzerrollen), jegliche andere Werte lösen zwar keine Fehler aus, verfügen aber auch über keine Berechtigungen. Diese drei Werte sind fest vorgegeben und lassen sich weder umbenennen noch erweitern; auch der Claim, aus dem der OPC Router sie liest, ist der Standard-Rollen-Claim und nicht konfigurierbar. Der Anzeigename (3) der App-Rolle ist davon unberührt und frei wählbar – entscheidend ist allein der Wert.
Dann muss noch eine Beschreibung (6) eingetragen werden und sichergestellt werden, dass die App-Rolle aktiviert wird (7), danach kann die Rolle durch schließlich durch einen Klick auf Anwenden (8) erstellt werden.
Legen Sie auf diese Weise drei Rollen mit den Werten Admin, Editor und Observer an.
Benutzern App-Rollen zuweisen
Für die folgenden Schritte wird von angelegten Nutzerrollen für Admin, Editor und Observer ausgegangen.
Navigieren Sie im Microsoft Entra Admin Center unter der Registerkarte Unternehmensanwendungen (1) unter dem Reiter Alle Anwendungen (2) zu ihrer Anwendung (3).
Unter dem Reiter Benutzer und Gruppe (1) können sie dann Benutzern Rollen zuweisen (2).
Nutzer ohne zugewiesene Rollen fungieren weiterhin als Admin. Das Anlegen der Rollen allein genügt also nicht – erst die Zuweisung begrenzt die Rechte.
Weisen Sie deshalb jedem Nutzer, der sich anmelden können soll, hier ausdrücklich eine Rolle zu. Wo das nicht lückenlos sichergestellt werden kann, setzen Sie zusätzlich AZURE_AD_DISABLE_AUTO_PROVISION=true: Dann können sich nur Nutzer anmelden, die bereits als externe Nutzer im OPC Router angelegt sind, und ein übersehener Nutzer erhält keinen Zugang statt Administratorrechten.
Veränderungen an der Rollen von Nutzern sind nicht unmittelbar. Bestehende gespeicherte Login-Tokens (gespeichert in Browsercookies) sind weiterhin mit der vorher zugewiesenen Rollen gültig, bis diese entweder gelöscht oder revalidiert werden. Durch einen Logout und darauf folgenden Login geschieht dies.
Das Zuweisen von mehreren Rollen zu einen Nutzer ist hier potentiell möglich. Dies führt nicht zu Fehlern hat zurzeit aber keinen Nutzen. Da Berechtigungen additiv sind und die jetzigen Rollen strikt hierarchisch aufgebaut sind, ist das zuweisen von mehreren Rollen äquivalent zum alleinigen zuweisen der höchsten dieser zugewiesenen Rollen.