Jede Person bekommt nur den nötigen Zugriff

An Ihrem ersten Tag bekommt eine neue Kollegin im Praktikum Zugang zum gemeinsamen Laufwerk. Dort liegt auch die Lohnliste.

Niemand hat etwas Böses vor. Doch ein falscher Klick, und eine Datei ist gelöscht oder verschickt.

Wer weniger darf, kann weniger kaputt machen. Diese Lektion zeigt, wie man das plant.

Geben Sie jeder Person genau so viel Zugriff, wie die Arbeit verlangt. Nicht mehr.

Die Person im Support liest Tickets. Sie braucht keine Lohnliste. Die Buchhaltung bucht Rechnungen. Sie braucht keine Serverkonfiguration.

Wird ein Konto gestohlen oder ein Fehler gemacht, bleibt der Schaden klein.

Es wäre mühsam, jeder Person einzeln Rechte zu geben. Deshalb fasst man Rechte zu Rollen zusammen.

Eine neue Person bekommt die Rolle „Support“ und damit alles, was Support braucht. Wechselt sie die Abteilung, tauscht man die Rolle.

Ein weiterer Vorteil: Man kann prüfen, wer welche Rolle hat.

rechte = {
    "support": ["tickets_lesen", "tickets_antworten"],
    "buchhaltung": ["rechnungen_lesen", "rechnungen_buchen"],
    "admin": ["tickets_lesen", "rechnungen_lesen", "konten_anlegen"],
}

personen = {"Mara": "support", "Jonas": "buchhaltung", "Selin": "admin"}


def darf(person, aktion):
    rolle = personen[person]
    return aktion in rechte[rolle]


print("Mara liest Rechnungen:", darf("Mara", "rechnungen_lesen"))
print("Jonas bucht Rechnungen:", darf("Jonas", "rechnungen_buchen"))
print("Selin legt Konten an:", darf("Selin", "konten_anlegen"))

# Wechselt Mara in die Buchhaltung, ändert sich nur eine Zeile: personen["Mara"].

Auch auf einem Linux-Server gibt es Rechte. Jede Datei hat einen Eigentümer, eine Gruppe und „alle anderen“.

Für jede dieser drei Gruppen gibt es drei Rechte: lesen (r), schreiben (w) und ausführen (x).

Der Befehl ls -l zeigt sie. Der Befehl chmod ändert sie.

Als Zahl zählt r als 4, w als 2 und x als 1. So steht 6 für lesen und schreiben, 4 für nur lesen und 0 für nichts. Drei Ziffern gelten der Reihe nach für Eigentümer, Gruppe und alle anderen: 640 ist -rw-r-----.

# Eine Lohnliste anlegen und ansehen
echo "Name;Gehalt" > lohnliste.txt
chmod 644 lohnliste.txt
ls -l lohnliste.txt

# Jetzt darf nur noch die Person lesen und schreiben, der die Datei gehört
chmod 600 lohnliste.txt
ls -l lohnliste.txt

# Setzen Sie die Rechte auf 640 und sehen Sie, was sich ändert.