PlanetNTF

Komplexität reduzieren

Warum schwierig, wenn’s auch einfach gehtDas Thema Berechtigungen ist unter Microsoft SharePoint äußerst komplex und vielschichtig. Oft kann es dabei zu Missverständnissen und im Ergebnis zu ausufernder Komplexität kommen, die sich nur schwer beherrschen lässt. In diesem Beitrag möchten wir Ihnen ein grundlegendes Verständnis über Strukturen, Authentifizierung und Berechtigungen vermitteln und Ihnen nützliche Tipps für die tägliche Nutzung mit auf den Weg geben. Viel Spaß beim Lesen!

Authentifizierung

Microsoft SharePoint setzt grundsätzlich auf eine externe Authentifizierungsinstanz, z.B. auf ein Active Directory (AD). Das bedeutet konkret, dass Microsoft SharePoint immer einen Account aus einer anderen Quelle nutzt. Jeder SharePoint Nutzer kommt von einem „externen“ Adressbuch wie z.B. AD oder LDAP (Lightweight Directory Access Protocol), einem weit verbreiteten Protokoll für die Abfrage von Informationen aus einem Verzeichnisdienst.

Darüber hinaus können auch Gruppen innerhalb von Microsoft SharePoint definiert werden. Dies allerdings nur innerhalb einer SiteCollection. Das heißt, die Gruppe existiert nicht SharePoint-weit, sondern nur innerhalb eines SharePoint-Raumes. In SharePoint SiteCollection Gruppen können beispielsweise AD Personen und AD Gruppen eingebucht werden.

Server Berechtigungen

In vielen Systemen wird ein Anwender mehrstufig berechtigt. Um auf eine Applikation auf einem Server zugreifen zu können, wird neben der Berechtigung auf der Applikation auch ein Leserecht auf dem Server benötigt. Bei SharePoint reicht es, die jeweilige Person direkt in der Access Control List (ACL) des jeweiligen Objektes einzutragen. Bei Bedarf ist es möglich auf Ebene der Webapplikation bestimmten Personen Rechte für alle SiteCollections in dieser Webapplikation einzuräumen. Ebenso ist es möglich, einzelne Rechte auf dieser Ebene für alle SiteCollections auszuschließen.

SharePoint Berechtigungen

Die SharePoint Berechtigungen werden durch eine Access Control List gesteuert. Dabei stellt die Access Control List den Vereinigungsort von Personen, Rechten und Objekten dar. Jedes SharePoint Objekt, wie etwa ein in SharePoint abgespeichertes Word-Dokument, steht in Beziehung zu genau einer ACL.

Berechtigungen brechen

Möchten Sie auf eine Untermenge einer SiteCollection die Berechtigung anpassen, ist es notwendig eine neue ACL anzulegen und die Beziehung dieser Untermenge zur SiteCollection-weiten ACL zu unterbrechen (Vererbung brechen).

Die Untermenge kann nicht völlig frei gewählt werden. Es ist lediglich möglich entlang einer Art Baumstruktur die Berechtigungen zu unterbrechen. Das heißt, Sie können nicht zwei einzelne Dokumente an ein und dieselbe ACL binden. Es sei denn, Sie knüpfen diese ACL an einen Container, wie z.B. Ordner oder eine Bibliothek, in denen dann beide Dokumente liegen. Befinden sich die Dokumente aber in zwei verschiedenen Bibliotheken und möchten Sie ausschließlich diese und keine anderen Dokumente der Berechtigung “unterwerfen”, ist es notwendig, je Dokument die Vererbung zu unterbrechen und eine neue ACL zu pflegen.

Berechtigungen verwalten

Die SiteCollection, häufig in Gestalt eines virtuellen Raumes à la Team Room, wird häufig von Fachanwendern selbst administriert. Technisch gibt es für die Verwaltung einer SiteCollection die Rolle eines SiteCollection Administrators, der über weitreichende Rechte und Möglichkeiten verfügt und pro SiteCollection berechtigt werden kann. Diese Rechte gehen in vielen Szenarien über die für Fachanwender sinnvollen Rechte weit hinaus, können schwierig unterstützt werden und zu unnötig komplexen Strukturen führen. Berechtigungsverwaltung beginnt daher mit der Frage nach den sinnvollen Rechten und der Überlegung wie man eine möglichst klare und verständliche Struktur für die virtuellen Räume realisieren kann.

Häufige Fehler

Verwaltungsaufwand gering haltenKomplexe Strukturen, viele Access Control Listen (ACL), Einzelberechtigungen auf Dokumente sowie direkte Dokument-Berechtigungen von Personen führen häufig zu chaotischen und unkontrollierbaren Rechtestrukturen. Leider gibt es, trotz kreativer und ungewöhnlicher Denkweisen keine effektive Möglichkeit komplexe Berechtigungsstrukturen zu verwalten oder auch nur zu durchschauen. Dieser Missstand – in Verbindung mit der beschriebenen Berechtigungsmechanik – führt bei stark ausdifferenzierten Rechten auf einzelne Dokumente oder Items dazu, dass Rechte falsch gesetzt sind und der Verwaltungsaufwand gleichzeitig unangemessen hoch ist.

Einfache Tipps

• Authorisieren Sie wenige Gruppen

• Leser/Gast/Visitor
• Bearbeiter/Editor darf alles, außer löschen
• Verwalter
• Löscher

• Richten Sie wenige Access Control Listen ein
  

• Brechen Sie wenn möglich keine Berechtigungen.
• Tun Sie dies im Notfall nur auf Basis von Ordnern.
• Hilfreich kann es sein, wenn man Ordner durch Bezeichnung oder zusätzliche Werte mit Informationen anreichert.

• Berechtigen Sie nie Personen direkt

• Rechte sollten immer nur Gruppen, nie aber Einzelpersonen erhalten.
• Dadurch lassen sich Zugriffe einfach durch Hinzufügen in die Gruppe auf eine andere Person übertragen.

• Nutzen Sie Microsoft SharePoint zum Teilen von Informationen

• Leben Sie grundsätzlich innerhalb eines Raums eine möglichst offene und kollaborative Berechtigungsstruktur.
• Wenn diese droht komplex zu werden, ist es häufig sinnvoller den Raum in mehrere Räume zu splitten.
• Innerhalb einzelner Räume lässt sich wiederum eine einfache Struktur einrichten.

Fazit

In diesem Beitrag bin ich weder auf die Feinheiten der Berechtigungsstufen noch auf einzelne Rechte im Detail eingegangen, die entweder über weitere Einstellungen oder zentral über den Berechtigungsmechanismus eingeräumt werden können.

Ziel des Beitrags ist es, die grundsätzliche Mechanik verständlich zu machen und für die richtige Nutzung des Berechtigungssystems zu sensibilisieren. Ich hoffe, Sie sind diesem Ziel jetzt etwas näher gekommen.

 

Zusammenarbeit im Wandel

Welche Plattform ist die Richtige?Auf der Suche nach Wegen, die Produktivität der Mitarbeiter und die Zusammenarbeit untereinander zu verbessern, denken immer mehr Unternehmen über die Einführung flexibler Collaboration und Social Business Plattformen nach. Neben der grundsätzlichen Entscheidung steht dabei oft eine Frage im Raum: Welche Plattform ist die Richtige für mich und welche Technologie passt am besten zu meinem Unternehmen? Nachdem wir bereits mehrfach über IBM Connections berichtet haben, möchte ich heute das Pendant von Microsoft beleuchten. Dabei soll in erster Linie eine Einordnung der SharePoint 2013 Technologie im Enterprise Kontext sowie der Bezug zur IBM Notes Domino Plattform im Mittelpunkt stehen.

Microsoft SharePoint eignet sich insbesondere für die Unterstützung von schwach und wenig strukturierten Prozessen und Daten. Damit unterscheidet es sich von Systemen, die einen klar abgegrenzten Spezialbereich, wie z.B. ERP, adressieren. Somit ist es bestens für ad-hoc Projekte und zur Unterstützung dynamischer Prozesse geeignet.

Quick Wins und Risiken

Microsoft SharePoint hat sich in den letzten 13 Jahren mit jeder Version ein stückweit neu erfunden und definiert. Stand bei der Version 2003 noch die Portal-Idee im Vordergrund, so lag bei der Version 2007 vor allem das Zusammenspiel von SharePoint mit Outlook, Word, Excel und PowerPoint im Fokus. Mit SharePoint 2010 erreichte das Produkt insgesamt einen Reifegrad und eine Attraktivität, die in vielen Unternehmen dazu führte, sich intensiver mit der Thematik auseinanderzusetzen.

Die Vorteile von SharePoint lassen sich mit diesen 5 Aspekten zusammenfassen:

• Verbesserung der Anwenderproduktivität bei der Nutzung der Office Clients
• Enterprise Volltextsuche, d.h. in einer SharePoint, Notes und Fileshares umfassenden Volltextsuche
• Breite Unterstützung vieler Web 1.0 und Web 2.0 Themen, wie z.B. Intranet, DMS, WCMS, Blogs, Wikis etc. und somit geringere Komplexität sowie bessere Zusammenarbeit der einzelnen Komponenten
• Unterstützung von Business Intelligence und Controlling Lösungen
• Unterstützung von Projekt-, Team- und Besprechungsmanagement durch das Zusammenspiel von Microsoft Projekt, Exchange/Outlook und geeigneten kollaborativen SharePoint Räumen

Eines sollte immer beachtet werden: Softwareentwicklung im SharePoint Umfeld ist gegenüber der IBM Notes Domino Welt mit einer Vielzahl von Herausforderungen verbunden und bringt ggf. zusätzliche Risiken und Kosten mit sich. Diese Punkte sollten also gut bedacht sein und sind Anwendern von IBM Notes Technologie nicht immer transparent:

• Erheblicher Überarbeitungsaufwand: RIP und REPLACE, d.h. Code ist mit jeder Majorversion zu überarbeiten.
• Hoher Migrationsaufwand: Aufgrund der erheblichen Veränderungen der SharePoint Architektur und Konzeption von Version zu Version verändert sich auch die empfehlenswerte Struktur der auf SharePoint aufsetzenden Applikationen.
• Deployment-Prozesse und Transparenz leiden: Im Unterschied zu IBM Notes existiert weder eine integrierte Code Signatur noch ein Template Refreshment/Replacement System. Der Prozess des serverseitigen Applikations Updates ist relativ aufwendig.

Ein gut geplanter Start

In IBM Notes Domino konnte man über Jahre hinweg eine eigene Applikation Stück für Stück mit geringem Aufwand erweitern und musste sich über Kompatibilität mit neuen Serverversionen keine großen Gedanken machen. Auch der Deployment Prozess war stabil und gut beherrschbar. Ich rate Ihnen daher, falls Sie sich mit der Ablösung von IBM Notes Domino durch SharePoint beschäftigen, nicht bei IBM Notes Domino entwickelten Line of Business (LOB) Applikationen anzufangen. Vielmehr empfehlen sich die Themenfelder Office Integration, Daten Sharing, Web 2.0 und Volltextsuche für einen Start.

Glücklicherweise hat sich auf Basis der SharePoint Plattform in den letzten Jahren ein vitales Ökosystem von Business Applikationen herausgebildet. Dies ermöglicht es durch die Nutzung von 3rd Party Software, vorhandene Lücken in der Funktionalität zu schließen.

Mit der Version SharePoint 2013 hat Microsoft sein Bekenntnis zu SharePoint als zentralen Baustein der Office Strategie erneuert und bekräftigt. Zur Abmilderung des bekannten Problemfeldes, des hohen Aufwandes und Risiken, wurde das Konzept um clientseitige Applikationen erweitert. Das ermöglicht es, bereits in der aktuellen Version serverseitige Erweiterungen erheblich zu reduzieren.

SaaS rückt in den FokusSie sollten sich jedoch nicht davon irritieren lassen, dass der Begriff SharePoint von Microsoft in den aktuellen Marketing Kampagnen hinter Begriffen wie Office 365 usw. zurücktritt. Microsoft möchte sich aktuell vom Softwareanbieter hin zum SaaS Provider entwickeln und strebt daher neben dem Verkauf von Software auch das Bereitstellen von Software Services auf Basis seines Produktportfolios an. SharePoint, Lynx, Exchange und Yammer sind dabei die wichtigsten serverseitigen Komponenten für dieses SaaS Modell.

Bei allem Enthusiasmus über neue Technologien oder einen möglichen Umstieg sollten Sie bedenken, dass IBM Notes Domino auch Stand 2013 noch nennenswerte Stärken besitzt. Insbesondere im anspruchsvollen und komplexen Enterprise Umfeld ergeben sich zahlreiche Vorzüge, die sich nicht oder nur mit erheblichen Klimmzügen in SharePoint nachbilden lassen:

• „Best in Class“ Offline Client
• Server Replikation
• Hochverfügbarkeitslösung
• Georeplikation
• Execution Control List und Codesignierung
• Integrierte asymetrische Signatur und Verschlüsselungsinfrastruktur
• Integrierte Transport- und Ablageverschlüsselung mit starker Authentifizierung und voller Offline Integration
• Schnelle und mächtige RAD Umgebung
• Erstklassige Abwärtskompatibilität (auch 15 Jahre alte Notes Applikationen laufen ohne Anpassung auf aktuellen Domino Server)
• Leistungsfähige integrierte Deployment Architektur (Template Replacment, Replikation)

Fazit

Immer mehr Zeichen deuten darauf hin, dass klassische Server-Client Architekturen zu Gunsten von flexiblen Collaboration und Social Business Systemen, wie Microsoft SharePoint oder IBM Connections, in den Hintergrund treten. Dieser Wandel wird sicher noch einige Jahre in Anspruch nehmen und hängt letztlich auch mit der Komplexität der zugrundeliegenden Daten und Anwendungen zusammen. Microsoft SharePoint erscheint in diesem Umfeld als ein zentraler Baustein für eine zeitgemäße Unterstützung der Zusammenarbeit der Mitarbeiter bei unstrukturierten bzw. schwach strukturierten Daten und Prozessen.

Dabei ist es sinnvoll, SharePoint 2013 zunächst mit den oben erwähnten, ausgesuchten Themen einzuführen. Erst nach dieser Einführungsphase sollten Sie weitere Themen mit in’s Boot nehmen und dabei die Komplexität der bereits vorhandenen, über Jahre gewachsenen Anwendungslandschaft nicht aus den Augen lassen.

Übrigens: In der GBS Academy biete ich regelmäßig weiterführende Workshops zu Microsoft SharePoint, der Koexistenz mit IBM Lösungen und einer möglichen Umstellung an.