Rollen und Berechtigungen
SecureCodingHub verwendet rollenbasierte Zugriffskontrolle innerhalb jeder Organisation mit zwei Rollen. Jede Rolle hat eine definierte Reihe von Berechtigungen über die Administrator-Oberflächen und die Lernerfahrung.
Rollenübersicht
Jeder Benutzer in Ihrer Organisation erhält eine von zwei Rollen zugewiesen. Die internen Enum-Werte sind org_admin und learner; die Administrator-UI zeigt sie als die lesbaren Namen unten.
| Rolle | Beschreibung |
|---|---|
| Organisationsadministrator | Administrator auf Organisationsebene. Verwaltet Benutzer, Teams, Zuweisungen, benutzerdefinierte Kurse, SSO, SCIM, SCORM, API-Schlüssel, Webhooks, Audit-Protokoll, Compliance-Berichte und Organisationseinstellungen. Hat Zugang zum Administrator-Dashboard. |
| Lernender | Standard-Benutzerrolle für alle Entwickler. Absolviert Übungs-Challenges und Lernszenarien, verfolgt den persönlichen Fortschritt, verdient XP und verwaltet die eigenen Stack-Einstellungen. |
Berechtigungsmatrix
Die folgende Tabelle zeigt, welche Berechtigungen jeder Rolle zur Verfügung stehen:
| Berechtigung | Organisationsadministrator | Lernender |
|---|---|---|
| Administrator-Dashboard anzeigen | ✓ | ✗ |
| Benutzer verwalten (hinzufügen, bearbeiten, entfernen) | ✓ | ✗ |
| Teams verwalten | ✓ | ✗ |
| Zuweisungen erstellen und verwalten | ✓ | ✗ |
| Benutzerdefinierte Kurse erstellen und verwalten | ✓ | ✗ |
| SSO konfigurieren | ✓ | ✗ |
| SCIM-Bereitstellung konfigurieren | ✓ | ✗ |
| SCORM-Pakete erstellen | ✓ | ✗ |
| API-Schlüssel verwalten | ✓ | ✗ |
| Webhook-Endpunkte verwalten | ✓ | ✗ |
| Audit-Protokoll anzeigen | ✓ | ✗ |
| Compliance-Dashboards anzeigen | ✓ | ✗ |
| Compliance- / Schulungsberichte erstellen | ✓ | ✗ |
| Organisationseinstellungen bearbeiten (Bestenliste, Schwellenwert) | ✓ | ✗ |
| Übungs-Challenges absolvieren | ✓ | ✓ |
| Lernszenarien absolvieren | ✓ | ✓ |
| Eigenen Fortschritt und Zuweisungen anzeigen | ✓ | ✓ |
| Bestenliste anzeigen (wenn die Organisation dies erlaubt) | ✓ | ✓ |
Rollen ändern
Organisationsadministratoren können einen Lernenden zu einem Organisationsadministrator befördern oder einen Organisationsadministrator wieder zu einem Lernender herabstufen innerhalb ihrer Organisation. Rollenänderungen werden sofort bei der nächsten Anfrage des Benutzers wirksam. Jede Rollenänderung wird in das Audit-Protokoll mit Akteur, Ziel und Zeitstempel geschrieben.
Best Practices
Organisationsadministratoren minimieren
Halten Sie die Anzahl der Organisationsadministratoren auf 2-3 pro Organisation. Dies begrenzt die Angriffsfläche für versehentliche Fehlkonfigurationen und hält Audit-Trails sauber.
Lernender für Entwickler
Verwenden Sie die Lernender-Rolle für alle Entwickler. Sie erhalten vollen Zugang zu Schulungsinhalten, Fortschrittsverfolgung und Stack-Einstellungen ohne Administratorfähigkeiten.
Rollen für Ihre Organisation wählen
Das Rollen-Design innerhalb einer Schulungsplattform fühlt sich als geringeres Risiko an als das Rollen-Design innerhalb von Produktionssystemen, und genau deshalb wird es oft sorglos durchgeführt. Die Schulungsplattform enthält Daten darüber, wer was weiß, welche Teams am schwächsten in welchen Themen sind und welche Engineers obligatorische Compliance-Schulungen abgeschlossen haben. Diese Daten sind an sich sensibel — sowohl als Wettbewerbsinformation als auch als Nachweis in Audit-Gesprächen — und das Rollenmodell sollte dies widerspiegeln.
Organisationsadministrator versus Delegation an Teamleiter
Die Versuchung in wachsenden Organisationen ist es, jeden Engineering Manager zu einem Organisationsadministrator zu machen, damit sie ihre eigenen Teams ohne Tickets verwalten können. Die Kosten dieses Musters zeigen sich später. Organisationsadministratoren können die Daten jedes Teams sehen, nicht nur ihres eigenen, was bedeutet, dass ein Manager sehen kann, wie das Team eines Kollegen abschneidet, ohne dass dieser Kollege es weiß. Sie können auch Benutzer zwischen Teams neu zuweisen, Fristen für Zuweisungen ändern, die sie nicht erstellt haben, und die SSO-Konfiguration ändern. Für die meisten Organisationen sind zwei oder drei Organisationsadministratoren die richtige Obergrenze — typischerweise der Head of Engineering oder AppSec plus ein oder zwei designierte Administratoren.
Für die täglichen Operationen auf Team-Ebene ist das bessere Muster, Teamleiter als Lernende zu behalten und ihnen den Dashboard-Filter für ihr Team zu geben. Sie erhalten die benötigte Sichtbarkeit, ohne die Konfigurationsmacht, die sie nicht benötigen. Wenn ein Teamleiter eine Zuweisung für sein Team erstellen muss, kann der Organisationsadministrator es in wenigen Minuten tun — viel billiger als die langfristigen Kosten der Gewährung von ständigem administrativem Zugang an eine größere Gruppe als notwendig.
Least Privilege und Audit-Logging
Das Prinzip der geringsten Privilegien gilt innerhalb der Schulungsplattform genauso wie überall sonst. Jeder zusätzliche Organisationsadministrator ist eine weitere Anmeldedaten, deren Kompromittierung einem Angreifer erlaubt, Ihre Schulungsdaten zu lesen, Ihre SCIM-Konfiguration zu ändern oder still seinem eigenen externen Konto Administratorzugriff zu gewähren. Praktische Anwendung der geringsten Privilegien bedeutet hier, neue Mitarbeiter standardmäßig als Lernende festzulegen, nur zu befördern, wenn der operationelle Bedarf klar ist, und umgehend herabzustufen, wenn jemand die Rolle wechselt.
Rollenänderungen und signifikante administrative Aktionen werden mit Zeitstempeln und Akteur-Identität aufgezeichnet, aus dem gleichen Grund, aus dem Produktionssysteme privilegierte Aktionen protokollieren. Wenn etwas schief geht — ein Benutzer wird entfernt, der nicht hätte entfernt werden sollen, eine Zuweisung wird Tage vor einem Audit geändert, ein Team wird versehentlich gelöscht — ist das Audit-Protokoll das Artefakt, das es Ihnen ermöglicht, das Geschehene zu rekonstruieren. Behalten Sie das im Hinterkopf, wenn Sie Administratorrechte gewähren, da der Audit-Trail irgendwann von jemandem gelesen wird, und eine kleine Administratorliste macht das Protokoll lesbar. Für Details zur Verwaltung der Personen in diesen Rollen siehe Benutzerverwaltung.