Prozessgruppen und Berechtigungen

Ca. 9 Min. Lesezeit

In einer großen Anlage soll jede Bedienperson nur die Werte und Alarme des Bereichs sehen, für den sie zuständig ist. 2WinScada erreicht das mit Prozessgruppen: Einträge werden in Prozessgruppen zusammengefasst, Prozessgruppen werden Rollen zugeordnet, und die Rollen erhalten die Benutzer über Benutzergruppen.

Die Schritte zur Definition finden Sie auf den Seiten Prozessgruppen, Aufgabenzentren und Benutzer- und Gruppenverwaltung.

Prozessgruppe

Prozessgruppen gibt es in zwei Typen. Der Typ wird in der Definition der Prozessgruppe im Feld Typ ausgewählt:

Typ	In der Auswahlliste	Inhalt	Im Dashboard
Prozessgruppe	ProcessGroup	Aufgabenzentren und deren Geräte; alle Tags dieser Geräte	Prozessgruppe → Aufgabenzentren → Geräte → Tags
Tag-Gruppe	TagGroup	Einzeln ausgewählte Tags aus verschiedenen Geräten	Prozessgruppe → Tag-Liste

• Ein Gerät befindet sich in höchstens einem Aufgabenzentrum und damit in höchstens einer Gruppe vom Typ Prozessgruppe.
• Ein Tag kann mehreren Gruppen vom Typ Tag-Gruppe hinzugefügt werden. Dasselbe Tag kann über sein Gerät zu einer Prozessgruppe und zusätzlich zu einer Tag-Gruppe gehören.

Änderungen an Prozessgruppen, Aufgabenzentren oder Tag-Gruppen werden mit der Schaltfläche Prozessgruppen neu initialisieren sofort in die Live-Überwachung übernommen. Wird die Schaltfläche nicht verwendet, werden die Änderungen etwa eine Minute nach der letzten Änderung automatisch geladen. Die Schaltfläche können Benutzer mit der Rolle Editor oder UserAdministrator verwenden.

Benutzer, Gruppen und Rollen

Die Berechtigungsvergabe beruht auf vier Begriffen:

1. Jeder Benutzer ist Mitglied einer Benutzergruppe. Die Gruppe ist in der Benutzerdefinition ein Pflichtfeld.
2. Der Benutzergruppe werden eine oder mehrere Rollen (Feld Rolle) zugewiesen. Die Rollen des Benutzers sind die Rollen seiner Gruppe.
3. Integrierte Rollen erlauben Funktionen, etwa Definitionen anlegen, in Tags schreiben oder Alarme quittieren.
4. Prozessgruppen und Seiten werden Rollen zugeordnet; dadurch wird ihre Sichtbarkeit eingeschränkt.

Integrierte Rollen

Die integrierten Rollen werden mit der Installation angelegt und erscheinen in der Oberfläche mit ihren englischen Namen:

Rolle	Umfasste Aufgaben
Editor	Engineering-Definitionen (Tags, Logs, Alarme, Prozessgruppen, Seiten). Werte in Tags schreiben und Alarmvorgänge. Sieht alle Prozessgruppen. Kann ab 2.11 Ereigniscode in Seiten nicht hinzufügen oder ändern; sieht den Code und kann ihn löschen (siehe Wer Ereigniscode hinzufügen darf).
Operate	Betrieb: Werte in Tags schreiben, Alarme quittieren, sperren und zurücksetzen, Gerätekommunikation neu initialisieren.
Monitor	Überwachung.
UserAdministrator	Verwaltung von Benutzern, Benutzergruppen, Rollen und API-Schlüsseln. Alarmvorgänge.
AlarmManagement	Alarmdefinitionen und Benachrichtigungen. Alarmvorgänge.
ReportManagement	Berichte und Berichtsgruppen.
LogManagement	Log-Definitionen (Archiv).
RecipeManagement	Rezeptdefinitionen.
RecipeApplier	Rezepte anwenden.

Alarmvorgänge (Quittieren, Sperren, Zurücksetzen) erfordern die Rolle UserAdministrator, Operate, Editor oder AlarmManagement. Werte in Tags zu schreiben erfordert die Rolle Operate oder Editor.

Benutzerdefinierte Rollen

Neu angelegte Rollen sind vom Typ Benutzerdefiniert. Eine benutzerdefinierte Rolle erlaubt allein keine Funktionen; sie dient dazu, die Sichtbarkeit von Prozessgruppen und Seiten einzuschränken. Damit eine benutzerdefinierte Rolle wirkt, muss sie außerdem einer Benutzergruppe zugewiesen werden.

Einer benutzerdefinierten Rolle kann nicht der Name einer integrierten Rolle gegeben werden (ohne Beachtung der Groß-/Kleinschreibung).

Integrierte Benutzergruppen

Gruppe	Beschreibung
SystemAdmin	Die Gruppe des Systemintegrators; sie wird vom Integrator verwaltet (siehe SystemAdmin-Konto).
Administrators	Die Administratorgruppe des Kunden. In einer Neuinstallation sind dieser Gruppe alle integrierten Rollen zugewiesen.
Operators	Die Bedienergruppe einer Neuinstallation; sie hat nicht die Rolle Editor. Sie kann Rezepte anwenden, aber keine Rezepte definieren oder ändern.
Rezeptverantwortliche	Wird ab Version 2.10 mit einer Neuinstallation angelegt. Definiert, ändert und wendet Rezepte an (Operate, Monitor, RecipeManagement, RecipeApplier).
Monitors	Die Überwachungsgruppe einer Neuinstallation; sie hat nur die Rolle Monitor.

SystemAdmin und Administrators können nicht geändert werden. Operators, Monitors und Rezeptverantwortliche können bearbeitet werden; ihre Rollen wurden nach der Installation möglicherweise geändert. In Installationen, die von früheren Versionen aktualisiert wurden, gibt es die Gruppe Rezeptverantwortliche nicht, und Operators kann Rezepte verwalten; siehe Versionsaktualisierung.

Wie der Datenzugriff eingeschränkt wird

Hinsichtlich des Prozessgruppenumfangs gibt es zwei Arten von Benutzern:

• Uneingeschränkte Benutzer: Benutzer mit der Rolle Editor und die Konten der Gruppe SystemAdmin. Sie sehen alle Prozessgruppen und die Einträge, die zu keiner Prozessgruppe gehören. In einer Neuinstallation hat die Gruppe Administrators die Rolle Editor und ist deshalb uneingeschränkt.
• Eingeschränkte Benutzer: Alle anderen Benutzer. Sie sehen nur die Prozessgruppen, die für sie freigegeben sind.

Ob ein eingeschränkter Benutzer eine Prozessgruppe sieht, hängt davon ab, ob der Prozessgruppe Rollen zugewiesen sind:

Berechtigung der Prozessgruppe	Eingeschränkter Benutzer	Uneingeschränkter Benutzer
Keine Rolle zugewiesen	Sieht sie	Sieht sie
Rollen zugewiesen, und die Gruppe des Benutzers hat eine dieser Rollen	Sieht sie	Sieht sie
Rollen zugewiesen, und die Gruppe des Benutzers hat keine dieser Rollen	Sieht sie nicht	Sieht sie

Eine Prozessgruppe ohne Rolle ist für alle sichtbar

Ist einer Prozessgruppe keine Rolle zugewiesen, sehen alle Benutzer sie. Um einen Bereich einzuschränken, weisen Sie der Prozessgruppe mindestens eine Rolle zu.

Der Umfang wird an folgenden Stellen angewendet:

• Dashboard und Live-Werte: Der Benutzer sieht nur die Prozessgruppen, Aufgabenzentren, Geräte und Tags in seinem Umfang.
• Live-Alarme und Alarmvorgänge: Der Benutzer erhält nur die Alarme, die er sehen darf, und kann nur diese quittieren, sperren und zurücksetzen (siehe Alarme).
• Auswahllisten für Tags, Geräte und Definitionen sowie die Abteilungsliste.
• Befehle Impuls und Steigende Flanke (siehe Schreibumfang für Tags).

Die Sichtbarkeit von Seiten wird zusätzlich durch die der Seite zugewiesenen Rollen eingeschränkt (siehe Seitenverwaltung und Berechtigungen). Der Prozessgruppenumfang berechtigt nicht zum Schreiben von Werten in Tags; dafür ist zusätzlich die Rolle Operate oder Editor erforderlich.

Schreibumfang für Tags

Das Schreiben eines Werts in ein Tag erfordert immer die Rolle Operate oder Editor. Bei Tags mit dem Befehlsverhalten Impuls oder Steigende Flanke (siehe EtherNet/IP) muss der Benutzer das Tag außerdem in seinem Prozessgruppenumfang sehen. Die Regel ist dieselbe wie die Regel, die festlegt, wer einen Alarm erhält:

• Es zählen die Tag-Gruppen des Tags und die Prozessgruppe des Aufgabenzentrums seines Geräts. Sieht der Benutzer eine davon, kann er schreiben; ein Benutzer, der die Tag-Gruppe sieht, kann auch dann schreiben, wenn er die Prozessgruppe des Geräts nicht sieht.
• Liegt das Tag in keiner davon, zählt Genel. Ist Genel keine Rolle zugewiesen, kann jeder Benutzer mit der Rolle Operate oder Editor schreiben. Ist eine Rolle zugewiesen, können nur Benutzer mit dieser Rolle und uneingeschränkte Benutzer schreiben; auch sie benötigen die Rolle Operate oder Editor. Eine Genel zugewiesene Rolle beschränkt auch, wer die Tags in Genel sieht (siehe Die Prozessgruppe Genel).

Da ein Tag, das zu keiner anderen Gruppe gehört, in Genel übergeht, gehört jedes Tag zu mindestens einer Prozessgruppe; es gibt kein Tag, das auf einer Seite liegt, aber zu keiner Prozessgruppe gehört. Nur in der kurzen Zeit, in der die Prozessgruppen neu geladen werden, kann der Umfang noch veraltet sein. In dieser Zeit können nur uneingeschränkte Benutzer in ein Tag schreiben, dessen Gruppe noch unbestimmt ist. Ein Schreibvorgang auf ein Tag, das gerade einer neuen Gruppe hinzugefügt wurde, kann bis zum Ende des Ladens für alle Benutzer abgewiesen werden, auch für uneingeschränkte; versuchen Sie es nach dem Ende des Ladens erneut.

Dass ein Benutzer eine Seite öffnen kann, berechtigt ihn nicht zum Schreiben in die Tags dieser Seite: Der Seitenzugriff wird durch die der Seite zugewiesenen Rollen bestimmt, der Schreibumfang durch die Prozessgruppen. Sieht ein Benutzer die Prozessgruppe eines Tags auf einer Seite, die er öffnen kann, nicht, kann er keinen Befehl an dieses Tag senden. Ein Schreibvorgang außerhalb des Umfangs wird mit einem Berechtigungsfehler abgewiesen (siehe Ergebnis des Schreibens).

Benutzer ohne Prozessgruppenberechtigung

Ist keine der Rollen in der Gruppe des Benutzers einer Prozessgruppe zugewiesen, sieht der Benutzer nur die Prozessgruppen ohne Rolle. Sind allen Prozessgruppen Rollen zugewiesen, sieht ein solcher Benutzer im Dashboard keine Prozessgruppe und erhält keine Alarme, die zu Prozessgruppen gehören.

Die Prozessgruppe Genel

Ein Tag gehört zu keiner Prozessgruppe, wenn beide folgenden Bedingungen erfüllt sind:

• Das Gerät des Tags ist keinem Aufgabenzentrum in einer Prozessgruppe zugeordnet (es gibt kein Aufgabenzentrum, es wurde gelöscht, oder die Prozessgruppe des Aufgabenzentrums wurde gelöscht).
• Das Tag ist in keiner Tag-Gruppe enthalten.

Diese Tags werden ab Version 2.10 automatisch in der Prozessgruppe Genel des Systems zusammengefasst. Wird das Tag einer Tag-Gruppe hinzugefügt oder sein Gerät einem Aufgabenzentrum in einer Prozessgruppe zugeordnet, verlässt es Genel automatisch. Genel enthält nur tatsächlich nicht zugeordnete Tags: Tags, deren Gerät einem Aufgabenzentrum in einer Prozessgruppe zugeordnet ist, erscheinen nicht in Genel. Diese Regel gilt auch für die Genel-Karte im Dashboard, für die Live-Daten und für den Zugriff auf die Geräteseiten.

• Wer sie sieht: Ist Genel keine Rolle zugewiesen, sehen alle Benutzer, auch die auf Prozessgruppen eingeschränkten, die Werte, Alarme und Logs dieser Tags. Ist Genel eine Rolle zugewiesen, sehen sie nur Benutzer mit dieser Rolle und uneingeschränkte Benutzer. Um diese Einträge wie in früheren Versionen nur Engineering-Personal zu zeigen, weisen Sie Genel nur die Engineering-Rolle zu.
• Was sie erlaubt: Genel erlaubt das Anzeigen ihrer Tags und das Quittieren ihrer Alarme. Benutzer mit der Rolle Operate oder Editor können an die Tags in Genel auch Befehle Impuls und Steigende Flanke senden (siehe Schreibumfang für Tags). Auf Prozessgruppen eingeschränkte Benutzer können die Geräte in Genel nicht neu initialisieren.
• Was nicht möglich ist: Genel kann nicht gelöscht werden, sein Typ kann nicht geändert werden, und Tags oder Aufgabenzentren können nicht von Hand hinzugefügt werden. Der Name kann geändert und Rollen können zugewiesen werden. Auf der Definitionsseite erscheint Genel mit der Kennzeichnung System; wird Genel ausgewählt, werden die enthaltenen Tags schreibgeschützt aufgelistet.
• Löschen: Beim Löschen eines Aufgabenzentrums oder einer Prozessgruppe zeigt das Bestätigungsfenster, wie viele Geräte und Tags in Genel übergehen.

Alarme ohne Prozessgruppe

Dank der Gruppe Genel gehört in Version 2.10 jeder Alarm zu mindestens einer Prozessgruppe; gehört sein Tag zu keiner anderen Gruppe, gehört der Alarm zu Genel und wird an die Benutzer übermittelt, die Genel sehen dürfen.

Uneingeschränkte Benutzer sehen auf den Seiten Alarmdefinitionen und Systeminformationen den Hinweis Alarme in der Gruppe Genel. Der Hinweis nennt die Anzahl der Alarme, die in Genel übergegangen sind, und listet die ersten zehn Alarme (mit Beschreibung, Geräte- und Tag-Name) auf; gibt es keine solchen Alarme, wird er nicht angezeigt. Damit jeder Alarm eine zuständige Bedienperson erreicht, fügen Sie das Tag des Alarms einer Tag-Gruppe hinzu oder ordnen Sie das Gerät des Tags einem Aufgabenzentrum zu.

SystemAdmin-Konto

Die Konten der Gruppe SystemAdmin gehören dem Integrator, der das System eingerichtet hat. Was Administratoren wissen müssen:

• SystemAdmin-Konten sehen alle Prozessgruppen.
• Ab 2.11 wird Ereigniscode in Seiten und Vorlagen nur mit SystemAdmin-Konten hinzugefügt oder geändert; die Rolle Editor gibt diese Berechtigung nicht. Wenden Sie sich für Änderungen, die Ereigniscode erfordern, an Ihren Systemintegrator (siehe Wer Ereigniscode hinzufügen darf).
• SystemAdmin-Konten werden vom Systemintegrator verwaltet. Administratoren des Kunden (Gruppe Administrators oder Rolle UserAdministrator) können diese Konten nicht bearbeiten, ihre Passwörter nicht zurücksetzen, keine API-Schlüssel in ihrem Namen erstellen und die Rollen der Gruppe SystemAdmin nicht ändern.
• Wenn auf der Seite Systeminformationen die SystemAdmin-Integritätswarnung erscheint, wenden Sie sich an Ihren Systemintegrator.
• Die Konfigurationssicherung enthält keine SystemAdmin-Konten. Eine Wiederherstellung kann keine neuen SystemAdmin-Konten anlegen und löscht keine vorhandenen SystemAdmin-Konten (siehe Sicherung und Wiederherstellung).