Behörigheter: guide för administratörer

Den här guiden förklarar hur du som administratör styr vad användarna får se och göra i Orbiq: vilka menyer, vilka byggnader och vilka system (resurser). Behörigheterna styrs av grupper. Grupperna ger roller (vilka funktioner) samt behörighet till områden, objekt och resurser (vilka byggnader och system).

Du behöver tillgång till Administration → Användare, Administration → Objekt och översikt och Administration → Resurser.

Är du användare och undrar varför du ser, eller inte ser, något? Läs Vad ser jag i Orbiq, och varför?

• En användare får alla behörigheter via grupper. Den som inte är med i någon grupp kan inte använda Orbiq.
• Roller på gruppen styr vilka funktioner användaren får använda och vad hen får göra, till exempel menyerna Översikt och Larmhantering, eller att kvittera larm. Utan rätt roller ser användaren inga byggnader eller resurser alls.
• Områden och objekt på gruppen styr vilka byggnader användaren ser. Behörighet till ett område gäller alla byggnader i området och i dess underområden.
• Resurser (styrsystem, webbsidor och andra system) syns för den som har behörighet till byggnaden eller området som resursen är kopplad till. En resurs kan dessutom låsas till vissa grupper. Då krävs både behörighet till byggnaden och medlemskap i en av de grupperna.
• Tillhör användaren flera grupper läggs behörigheterna ihop. En grupp kan aldrig ta bort något som en annan grupp ger.

Användarna kan inte själva se vilka grupper de är med i. Sidan Vad ser jag i Orbiq, och varför? förklarar för dem vad som styr det de ser och vad de ska be dig om. Länka gärna dit när användare frågar.

En roll är en samling rättigheter. Rollerna avgör vilka funktioner och menyer användaren får använda, till exempel om menyn Översikt eller Larmhantering syns. De avgör också vad användaren får göra: om hen bara får titta eller också får ändra, till exempel kvittera och blockera larm, spara paneler eller redigera objekt. Rollerna avgör därmed också om användaren ser några byggnader och resurser alls. Vilka byggnader och resurser användaren ser styrs sedan av gruppens områden, objekt och resurser.

Rollerna och grupperna samverkar alltså. Användaren behöver både roller som ger tillgång till funktionen (till exempel Översikt) och grupper som ger behörighet till byggnaderna.

Roller ges alltid till en grupp. Det går inte att ge en roll direkt till en användare. Alla medlemmar i gruppen får gruppens roller.

Rollerna administreras under Administration → Användare → Roller. En roll kan ärva rättigheter från andra roller (kolumnen Ärver rättigheter från). I bilden nedan ärver iqalarm_user alla rättigheter från basic_user.

Öppna en roll för att se dess Rättigheter och vilka roller den ärver från:

I en standardinstallation av Orbiq finns de här rollerna. Er installation kan ha fler eller anpassade roller.

• iqbuilding_admin gör att användaren ser alla byggnader i Orbiq, oavsett gruppernas områden och objekt. Resurserna i byggnadsportalerna styrs ändå av grupperna.
• iqalarm_admin gör att användaren ser alla resurser i byggnadsportalerna, även låsta.
• Det gäller inte när resurser öppnas via Orbiqs proxy eller via fjärranslutning (RDP/VNC). Där styr enbart grupperna, inte rollerna. En administratör behöver därför också vara med i en grupp som ger behörighet till byggnaderna och resurserna, se exempel 4.

Gruppen basic_user_group har från start Alla under både Områden tillåtna att se och Objekt tillåtna att se. Den som läggs i den gruppen ser alltså alla byggnader. Använd den inte för användare som ska ha begränsad åtkomst.

Områden delar in fastighetsbeståndet. Ett område kan ha ett överordnat område, så att det bildas en hierarki. I exemplet nedan är Söder och Norr underområden till Region Stockholm. Under Administration → Objekt och översikt → Områden kan du växla mellan Lista och Hierarki.

1. Gå till Administration → Användare → Grupper och öppna gruppen.
2. Under Områden tillåtna att se, välj området i listan Välj ett område och klicka på Lägg till.
3. Klicka på Uppdatera.

Välj Alla i listan för att ge gruppen åtkomst till samtliga områden, även sådana som skapas senare.

Du kan i stället göra kopplingen från områdets sida: öppna området under Administration → Objekt och översikt → Områden och lägg till gruppen under Grupper. Det räcker att göra kopplingen på ett av ställena. Båda ändrar samma inställning, och kopplingen syns sedan på båda ställena.

• Användaren ser alla objekt (byggnader) som hör till området.
• Behörigheten ärvs nedåt i hierarkin. Behörighet till Region Stockholm ger alltså alla byggnader i Söder och Norr.
• Behörigheten ärvs inte uppåt. Behörighet till Söder ger inga byggnader i Norr.
• Nya byggnader som läggs till i området blir automatiskt synliga för gruppen. Det gör områden till det enklaste sättet att administrera större bestånd.

Om en användare bara ska se enstaka byggnader ger du gruppen behörighet till just de objekten i stället för till ett område:

1. Öppna gruppen under Administration → Användare → Grupper.
2. Under Objekt tillåtna att se, välj objektet i listan Välj ett objekt och klicka på Lägg till. Upprepa för varje objekt.
3. Klicka på Uppdatera.

Välj Alla i listan för att ge gruppen åtkomst till samtliga objekt.

Du kan i stället göra kopplingen från objektets sida. Det räcker att göra den på ett av ställena: båda ändrar samma inställning, och kopplingen syns sedan på båda ställena. Öppna objektet under Administration → Objekt och översikt → Objekt och lägg till gruppen under Grupper:

Användaren ser en byggnad om någon av användarens grupper har behörighet till

• objektet direkt (under Objekt tillåtna att se), eller
• ett område som objektet hör till, eller ett överordnat område (under Områden tillåtna att se).

Vilket område ett objekt hör till anger du i objektets formulär under Överordnade områden.

Objekt kan också ligga i en hierarki, till exempel en fastighet med flera byggnader. Det anger du i objektets formulär under Överordnat objekt. Listan visar bara objekt av en objekttyp som ligger en nivå högre i objekttypernas hierarki (Administration → Objekt och översikt → Objekttyper).

Behörighet till ett objekt ärvs nedåt till dess underordnade objekt. Den som har behörighet till fastigheten ser alltså också dess byggnader.

Resurser som sitter på ett underordnat objekt visas dock bara i byggnadsportalen för grupper som har behörighet till just det objektet eller dess område. Ska gruppen se resurserna, lägg till det underordnade objektet (eller området) i gruppen.

Orbiq använder resurser som samlingsnamn för allt som kan öppnas från en byggnad: DUC/PLC, styr- och övervakningssystem, passersystem, webbsidor med mera. Resurser kan öppnas via länk, via Orbiqs proxy eller via fjärranslutning (RDP/VNC). Resurser administreras under Administration → Resurser.

I resursens formulär, under fliken Bindings, anger du var resursen hör hemma:

• Områden: resursen hör till ett helt område. Områden kan bara läggas till på en resurs som redan är sparad. Skapa först resursen, öppna den sedan igen och lägg till området.
• Bundna objekt: resursen hör till en eller flera byggnader.

Användare som har behörighet till byggnaden eller området ser resursen i byggnadsportalen.

En resurs som är kopplad till ett område visas i byggnadsportalerna för grupper som har behörighet till just det området eller ett överordnat område. Den visas inte via alternativet Alla under Områden tillåtna att se. Ska en sådan grupp se resursen, lägg till området (eller ett överordnat område) i gruppen.

Ibland ska bara en del av dem som ser byggnaden få öppna ett visst system. Då låser du resursen till en eller flera grupper. Det kan du göra på två ställen. Det räcker att göra det på ett av dem, eftersom båda ändrar samma inställning:

• i resursens formulär, fliken Basic settings, under Rättigheter → Grupper, eller
• i gruppens formulär, under Resurser tillåtna att se.

En användare kommer åt en resurs när båda villkoren nedan är uppfyllda:

1. Byggnad eller område: användaren har behörighet till ett objekt eller område som resursen är kopplad till. Om resursen inte är kopplad till något objekt eller område gäller inte detta villkor.
2. Resurslås: om resursen är låst till grupper måste användaren tillhöra någon av dem, eller en grupp med Alla resurser. Om resursen inte är låst gäller inte detta villkor.

Samma regel gäller när resursen öppnas via Orbiqs proxy och via fjärranslutning (RDP/VNC). En resurs som inte är kopplad till någon byggnad eller något område syns inte i någon byggnadsportal, men kan nås via proxy och fjärranslutning enligt tabellen.

Viktigt:

• När du lägger till en resurs under Resurser tillåtna att se i en grupp blir resursen låst till den gruppen, om den inte redan var låst. Då når bara grupper i låset resursen, och alla andra som tidigare såg den förlorar åtkomsten. Lägg till alla grupper som ska ha resursen.
• Alla resurser öppnar alla låsta resurser, men ger inte behörighet till några byggnader. En grupp som bara har Alla resurser ser inga byggnader. Kombinera med områden eller objekt.
• Att låsa en resurs till en grupp räcker inte för att gruppen ska se den. Gruppen behöver också behörighet till byggnaden eller området som resursen är kopplad till.
• En resurs som inte är låst syns för alla som har behörighet till byggnaden. Om vissa användare inte ska se ett system, lås det till de grupper som ska ha det.

1. Gå till Administration → Användare och välj fliken Grupper.
2. Klicka på nere i högra hörnet.
3. Fyll i Namn och gärna en Beskrivning som förklarar vad gruppen ger åtkomst till.
4. Under Roller, lägg till de roller som gruppen ska ha. Minst en roll krävs. För en vanlig användare som ska se byggnader och öppna resurser behövs i en standardinstallation basic_user, iqbuilding_user och iqalarm_user. Se Roller.
5. Under Användare, lägg till de användare som ska ingå i gruppen.
6. Lägg till behörigheter under Områden tillåtna att se, Objekt tillåtna att se och Resurser tillåtna att se.
7. Klicka på Skapa.

De tre sista avsnitten i gruppformuläret styr vad gruppens medlemmar ser:

Ta bort en koppling med papperskorgen och klicka på Uppdatera.

Det finns två sätt att lägga en användare i en grupp:

• I gruppens formulär, under Användare: välj användaren och klicka på Lägg till.
• I användarens formulär (Administration → Användare → Användare), under Grupper: välj gruppen i listan Välj en grupp. Här finns ingen Lägg till-knapp: gruppen läggs till i listan direkt när du väljer den. Klicka på Uppdatera för att spara.

Om er organisation använder Microsoft Entra ID kan Orbiq hämta gruppmedlemskap därifrån. Synkroniseringen måste först aktiveras för er installation, så kontakta iQuest om ni vill använda den. När den är aktiverad kopplar du en Orbiq-grupp till en Entra-grupp så här:

1. Markera Katalogmappning i gruppformuläret.
2. Ange Entra-gruppens ID i Katalog ID.
3. Markera Katalogen styr borttagning av grupper i Orbiq om användare också ska tas bort ur Orbiq-gruppen när de inte längre är med i Entra-gruppen. Annars läggs användare bara till.

Gruppens roller, områden, objekt och resurser ställer du fortfarande in i Orbiq.

Behörigheterna från alla grupper läggs ihop:

• Användaren ser alla byggnader som någon av grupperna ger.
• Användaren når en låst resurs om någon av grupperna är kopplad till resursen, och någon av grupperna ger behörighet till byggnaden. Det behöver inte vara samma grupp.
• Användaren får alla roller från alla grupper.

Därför kan man bygga behörigheter av små, tydliga grupper, till exempel en grupp per område och en grupp per leverantör, och kombinera dem per användare.

Exemplen bygger på det här fastighetsbeståndet. Alla grupper i exemplen har rollerna basic_user, iqbuilding_user och iqalarm_user.

Anna förvaltar Kontorshuset Ljusgården och ska inte se något annat.

Gruppen Ljusgården förvaltning:

• Objekt tillåtna att se: Kontorshuset Ljusgården
• Gruppen är tillagd på resursen DUC Ljusgården (under Rättigheter → Grupper i resursen)

Resultat: Anna ser bara Kontorshuset Ljusgården och resursen DUC Ljusgården. Larmia styrsystem syns inte, eftersom den är låst till en annan grupp.

David är drifttekniker för alla byggnader i området Söder.

Gruppen Drifttekniker Söder:

• Områden tillåtna att se: Söder
• Gruppen är tillagd på resursen DUC Ljusgården

Resultat: David ser Kontorshuset Ljusgården och Lagerhuset Granen, men inte Skolan Björken som ligger i Norr. Han når DUC Ljusgården (låst till hans grupp) och Ventilation Granen (inte låst). Byggnader som läggs till i Söder blir automatiskt synliga för honom.

Lena arbetar hos leverantören av Larmia och ska bara kunna öppna Larmia styrsystem i de byggnader där det finns.

Gruppen Leverantör Larmia:

• Objekt tillåtna att se: Kontorshuset Ljusgården och Skolan Björken, alltså de byggnader där Larmia finns
• Resurser tillåtna att se: Larmia styrsystem

Resultat: Lena ser de två byggnaderna, men bara resursen Larmia styrsystem. DUC Ljusgården syns inte för henne, eftersom den är låst till andra grupper.

Tänk på:

• Utan objekt eller områden i gruppen ser leverantören ingenting, inte ens Larmia. Resurslåset ensamt räcker inte när resursen är kopplad till byggnader.
• Leverantören ser alla olåsta resurser i de byggnader gruppen har behörighet till. Ska leverantören bara nå sitt eget system måste byggnadens övriga resurser vara låsta till sina respektive grupper, som DUC Ljusgården i exemplet.

Adam ska kunna se och öppna allt.

Gruppen Alla behörigheter:

• Områden tillåtna att se: Alla
• Objekt tillåtna att se: Alla
• Resurser tillåtna att se: Alla resurser

Resultat: Adam ser alla byggnader och alla resurser som är kopplade till byggnader, även låsta, och även byggnader och resurser som läggs till senare. Resurser som bara är kopplade till ett område ser han i byggnadsportalen först när områdena läggs till i gruppen, se Koppla resursen till objekt och områden.

Tänk på: Gruppen ovan ger inga administratörsrättigheter. Ska Adam också administrera Orbiq lägger du till administratörsroller. Behåll ändå gruppens områden, objekt och resurser. Administratörsrollerna ger nämligen ingen åtkomst via proxy eller fjärranslutning, se Viktigt om administratörsroller.

• Grupper
• Roller
• Användare
• Översikt (områden och objekt)