Technische Hinweise / Tipps

Information: Setzen der Rechte über Windows-Dienst / Windows-Konto

Wie vorstehend bereits erwähnt, erfordert das Setzen der Windows-Berechtigungen auf die Mandanten-/Kanzlei-Verzeichnisse Windows-Administrator-Berechtigungen voraus. Es kann nicht gewährleistet werden, dass der am Programm angemeldete Benutzer zum Zeitpunkt des Setzens der Windows-Berechtigungen, über diese Berechtigungen verfügt.

Daher wird die Ausführung dieser Aufgabe an einen Windows-Dienst delegiert, der automatisch bei der Installation des Client-Programmes hinzugefügt wird. Dieser Windows-Dienst hat den Namen ADDISON Installer Server.

Weiterhin richtet das Programm-Setup im Standardfall auf dem Rechner auf dem sich das Bewegungsdatenverzeichnis und die administration tools bzw. die SBS Rewe Management Console befinden automatisch das Windows-Benutzerkonto ADDISON Service ein.

Die Windows Berechtigungen auf die Mandanten- und Kanzleiverzeichnisse setzt der Dienst ADDISON Installer Server im Standardfall im Kontext des Benutzerkontos ADDISON Service. Dieses verfügt bei einer All- in One-Installation (→ Programme und Daten liegen hier auf ein und demselben Rechner), über die notwendigen Windows-Sicherheits-Rechte.

Bei einer Client-Server-Installation existiert für das Bewegungsdatenverzeichnis zusätzlich eine Netzwerkfreigabe, was neben den oben stehend unter [Dienst ADDISON Installer Server und Benutzer ADDISON Service] beschriebenen Einstellungen noch folgende zusätzliche Konfiguration erfordert:


	Voraussetzung: Bei einer Client-Server-Installation müssen Sie auf dem Datenserver den Benutzer ADDISON Service, der ja im Standardfall das Konto ist, das den Dienst ADDISON Installer Server ausführt, die Freigabeberechtigung Vollzugriff auf die Netzwerkfreigabe des Bewegungsdatenverzeichnisses erteilen. Bei diesem Konto kann es sich entweder um ein lokales oder Domain Konto des ADDISON Service oder in Ausnahmefällen auch um ein individuelles Domain-Konto handeln. Siehe hierzu auch die Ausführungen unter Dienst ADDISON Installer Server und Benutzer ADDISON Service.

Weiterhin müssen Sie natürlich sicherstellen, dass der Windows-Dienst ADDISON Installer Server gestartet ist.

Tipps bzgl. Windows-Administrator-Konten

Wir empfehlen Ihnen den internen Mitarbeitern / Benutzern von AKTE / SBS Rewe keine Windows-Benutzerkonten zuzuweisen, die in Ihrer Windows-Domäne hohe bzw. höchste Privilegien besitzen. Hiermit sind insbesondere Domänen - Administrator-Konten, Administrator-Konten oder das Konto ADDISON Service gemeint.

Wenn Sie dies tun, kann dies ggfls. dazu führen, dass Sie diesen Administrator-Konten grundsätzlich die Windows-Rechte entziehen, die sie unabhängig vom Verzeichnisschutz für das manuelle Setzen von Windows - Berechtigungen auf das Bewegungsdatenverzeichnis benötigen würden.

Praxisanleitung / Beschreibung des Einrichtungs-Prozesses

Nachfolgend wird erläutert, welche Schritte notwendig sind, um bei einem bestehenden AKTE/ SBS Rewe-System mit dem Verzeichnisschutz zu arbeiten.

Schritt 1: Vorbereitung der Windows-Benutzergruppen im Active Directory.

: Dies ist notwendig, da von der Zugriffsteuerung nur verweigernde Windows-Rechte gesetzt werden (Details siehe [Vorbereitung Windows-Benutzergruppen])
Schritt 2: Ggfls. anlegen der notwendigen Benutzer im Active Directory und Zuweisung zur entsprechenden Benutzergruppe gemäß Abschnitt [Vorbereitung Windows-Benutzergruppen]).
Schritt 3 (nur bei einer Client-Server-Installation): Freigabeberechtigung Vollzugriff für den Benutzer ADDISON Service auf das Bewegungsdatenverzeichnis auf dem Datenbankserver setzen.
Schritt 4: Sicherstellung, dass die benötigten Mitarbeiter/Benutzer/Selbstbuchenden Mandanten in AKTE/SBS Rewe vorhanden sind und die Berechtigungen und sichtbaren Akten in AKTE / SBS Rewe entsprechend konfiguriert wurden (ggfls. sind die vorhandenen Einstellungen nochmals prüfen).
Schritt 5: Aktivieren der Option Datenverzeichnisse mit Windows-Rechten schützen.
Schritt 6: Zuweisen der Windows-Benutzer zum AKTE / SBS Rewe Benutzer im Dokument Mitarbeiterliste (AKTE)/Selbstbuchende Mandanten (AKTE)/Benutzer (SBS Rewe).
Schritt 7: Setzen der Windows-Berechtigung für gewünschte/alle Mitarbeiter/Selbstbuchenden Mandanten per Kontextmenü oder Schaltfläche sowohl im Dokument Mitarbeiterliste (AKTE) als auch im Dokument Selbstbuchende Mandanten (AKTE)/Benutzer (SBS Rewe).. Das Setzen der Berechtigungen wird dabei automatisch im Windows-Benutzer-Kontext des Dienstes ADDISON Installer Server durchgeführt (Siehe Abschnitt [Information: Setzen der Rechte über Windows-Dienst].). Der Dienst wird durch das Programm Setup automatisch installiert und eingerichtet und ist somit bereits vorhanden. Ggfls. ist zu prüfen, ob dieser ausgeführt/gestartet ist.
Schritt 8: Prüfen der gesetzten Berechtigungen im Dokument Mitarbeiterliste (AKTE) über die Schaltfläche Verzeichnisschutz Rechte prüfen

Nach diesen Schritten ist die Einrichtung erfolgt und die entsprechenden Mandanten/Kanzleiverzeichnisse des Bewegungsdatenorders sind durch Windows-Berechtigungen abgesichert, die mit den Rechten von AKTE / SBS Rewe korrespondieren.

Die Windows-Berechtigungen können, falls es erforderlich ist, danach jederzeit von Ihnen durch individuelle Einstellungen im Active Directory wieder verändert werden.

Wir empfehlen Ihnen jedoch sich ausschließlich für eine Variante (d.h. entweder den WK Verzeichnisschutz oder Active Directory) zu entscheiden, um die Verwaltung zu vereinfachen und um Effekte auszuschließen, die sich aus der Überlappung von Active Directory und Verzeichnisschutz ergeben können.

Vorbereitung Windows-Benutzergruppen

Ein wichtiger Aspekt, der im Zusammenhang mit dem Verzeichnisschutz bedacht werden muss, ist die Windows-Logik „negatives / verweigerndes Recht siegt immer“.

D.h. es ist nicht möglich einer Benutzergruppe auf ein Verzeichnis die Zugriffe zu verweigern und dieses dem einzelnen Benutzer wieder zu erlauben. In diesem Fall wirkt im Unterschied zur internen Rechteverwaltung von AKTE / SBS Rewe das verweigernde Recht, das über die Gruppe kommt.

Den Verwaltungsaufwand im Active Directory kann man somit minimieren, indem man zumindest mit zwei Windows-Benutzergruppen arbeitet:

Erste Windows-Benutzergruppe ohne Zugriffsrecht auf Bewegungsdatenordner

Es gibt eine "erste" Windows-Benutzergruppe, die kein Recht auf den Bewegungsdatenordner besitzt. Dieser Benutzergruppe sind alle Benutzer zugeordnet, die nicht mit AKTE / SBS Rewe arbeiten und somit auf die Bewegungsdaten-Verzeichnisse keine Zugriffberechtigungen haben.

Zweite Windows-Benutzergruppe mit Zugriffsrecht auf Bewegungsdatenordner

Windows-Benutzer, die mit AKTE / SBS Rewe arbeiten, dürfen kein Mitglied der ersten Benutzergruppe sein. Es muss eine andere Gruppe geben, die mit Vollzugriff auf den Bewegungsdaten-Ordner zugreifen darf. Die Verweigerung der Zugriffsrechte für die Mandantenverzeichnisse usw. wird für diese über Verzeichnisschutz von AKTE / SBS Rewe geregelt.

Protokollierung Setzen der Benutzerrechte

Der Vorgang des Setzens der Benutzerrechte für die Bewegungsdaten-Verzeichnisse wird in der MS-SQL-Server Datenbank in den Tabellen SYSt_AccCtrlSetzenRechte und SYSt_AccCtrlSetzenRechte_Detail protokolliert. Seit der Version 3/2019 können Sie Protokolleinträge auch direkt im Programm einsehen. Der Aufruf erfolgt in der Zentralakte im Dokument Mitarbeiterliste (AKTE) über das Symbol P (Protokoll Rechte setzen). In SBS Rewe steht ihnen dieses Protokoll (P) in den Zentralen Stammdaten im Dokument Benutzer sowie Rechteverwaltung bereit.

Zusätzlich können Sie z.B. auch mit folgender SQL Abfrage die Protokolleinträge im SQL Server Management Studio aufrufen.

SELECT

a.WinKonto AS [Benutzerkonto],

mit.Ps_KurzName AS [Name Mitarbeiter],

a.Gesetzt AS [Zugriffschutz gesetzt am],

CASE WHEN a.ZugriffErlaubt = 1 THEN 'Ja' ELSE 'Nein' END AS [Zugriff erlaubt],

a.PsId AS [<Ps_Id>], a.PsNr AS [<Ps_Nr>], akte.Ps_KurzName AS [Mandant/Firma],

ad.DetailInfo AS [Datenpfad/Datei]

FROM

dbo.SYSt_AccCtrlSetzenRechte_Detail ad

INNER JOIN dbo.SYSt_AccCtrlSetzenRechte a ON a.SYSt_AccCtrlSetzenRechte_Id = ad.SYSt_AccCtrlSetzenRechte_Id

INNER JOIN person_v4 mit ON mit.Ps_Id = a.WinKontoPsId

INNER JOIN person_v4 akte ON akte.Ps_Id = a.PsId

ORDER BY a.Gesetzt, a.PsId, a.WinKonto

Auch das Werkzeug "Windows Powershell" vereinfacht die Überwachung der Verzeichnisrechte des Bewegungsdatenordners.

Mit dem folgenden beispielhaften Powershell Script können Sie eine csv-Datei erzeugen, die Ihnen als Ergebnis eine Übersicht der Berechtigungen der entsprechenden Verzeichnisse liefert.

Die Angaben $OutFile und $RootPath (siehe nachfolgend) müssen Sie vor der Ausführung des Scripts an ihre individuellen Gegebenheiten anpassen. Weitere Informationen zu Windows-Powershell finden Sie in der dazugehörigen Dokumentation von Microsoft.

Beispiel-Script zum Auslesen der Verzeichnisrechte:

$OutFile = "C:\Temp\permissions.csv" $Header = "Folder Path, IdentityReference, AccessControlType, IsInherited, InheritanceFlags, PropagationFlags" Del $OutFile Add-Content -Value $Header -Path $OutFile $RootPath = "C:\rewe_daten" $Folders = dir $RootPath -recurse | where {$_.psiscontainer -eq $true} foreach ($Folder in $Folders){ $ACLs = get-acl $Folder.fullname | ForEach-Object { $_.Access } Foreach ($ACL in $ACLs){ $OutInfo = $Folder.Fullname + "," + $ACL.IdentityReference + "," + $ACL.AccessControlType + "," + $ACL.IsInherited + "," + $ACL.InheritanceFlags + "," + $ACL.PropagationFlags Add-Content -Value $OutInfo -Path $OutFile }}

Prüfen der gesetzten Benutzerrechte

Verzeichnisschutz Rechte prüfen in der Mitarbeiterliste (AKTE)

Im Dokument Mitarbeiterliste (AKTE) kann über die Schaltfläche Verzeichnisschutz Rechte prüfen geprüft werden, ob die Sicherheitseinstellungen der über den Verzeichnisschutz verwalteten Verzeichnisse noch den Anforderungen auf Basis der erlaubten Mandanten/Kanzleien entsprechen.

Wir empfehlen, diese Prüfung regelmäßig durchzuführen, da durch administrative Eingriffe die über den Verzeichnisschutz gesetzten Berechtigungen verändert worden sein könnten.

Prüfung im ADDISON Diagnosetool (AKTE)

Im Prüschritt Verzeichnisschutz unterhalb von tse:nit/cs:Plus | Datenbereich werden zwei Prüfungen vorgenommen.

Es wird geprüft, wann die letzte Prüfung Im Dokument Mitarbeiterliste (AKTE) über die Schaltfläche Verzeichnisschutz Rechte prüfen vorgenommen wurde und ggfs. welche Fehler dabei aufgetreten sind. Liegt die letztePrüfung länger als 30 Tage zurück, wird eine Warnung ausgegeben.

Außerdem wird geprüft, ob auf der obersten Ebene des Bewegungsdatenverzeichnisses zusätzliche Verzeichnisse außer den von der AKTE Software dort angelegten existieren und dann ebenfalls eine Warnung ausgegeben, dass Handlungsbedarf besteht, um ggfs. auch diese Verzeichnisse zu schützen, sofern datenschutzrelevante Daten dort gespeichert werden.

Verwandte Themen

Wie erstelle ich einem Mandanten ein ADDISON Direkt-Konto in ADDISON Akte (tse:nit / cs:Plus)?

Das Dokument beschreibt die Erstellung eines Portallogins für Mandanten im Programm "Portal Verwaltung". Über die Schaltfläche "neu erstellen" kann ein vorgeschlagener Benutzername übernommen oder geändert werden. Der Status des Logins ändert sich von "nicht erstellt" zu "beantragt" und schließlich zu "erstellt", was einige Minuten in Anspruch nehmen kann. Zudem wird automatisch ein Admin-Zugang erstellt. Die Login-Daten können im Dokument als PDF angezeigt, gedruckt oder per E-Mail versendet werden.

Freischalten von ADDISON Direkt-Anwendungen - Schnelleinstieg für die Steuerkanzlei (AKTE)

In diesem Dokument wird eine Schritt-für-Schritt-Anleitung gegeben, wie Mandantinnen und Mandanten über die AKTE-Software Zugriff auf ADDISON Direkt-Anwendungen erhalten können. Der Prozess umfasst das Öffnen der Zentralakte, das Navigieren zum Beraterportal und die Auswahl der jeweiligen Mandanten zur Konfiguration der Anwendungen. Die Anleitung betont die Bedeutung der richtigen Auswahl von Branchen und Anwendungen sowie die Optionen von Wolters Kluwer und Partnerapplikationen. Am Ende der Konfiguration sollen die ausgewählten Anwendungen gespeichert und abgeschlossen werden.

Erstellung von Mandanten-Zugangsdaten für ADDISON Direkt - Schnelleinstieg für den Berater mit AKTE

Dieses Dokument beschreibt den Prozess zur Einrichtung von ADDISON Direkt für Mandanten über die ADDISON AKTE-Software. Zunächst wird erläutert, wie Einzel- oder Mehrfachmandanten freigeschaltet und Login-Daten erstellt werden. Danach wird erklärt, wie die Zugangsdaten in PDF-Format angezeigt oder per E-Mail versendet werden können. Zudem wird die Aktivierung von ADDISON Direkt-Anwendungen in der Zentralakte und Dauerakte behandelt.

ADDISON Direkt Portalindividualisierung: E-Mails und Zugangsdaten anpassen - Schnelleinstieg für den Berater (ADDISON und AKTE)

Das Dokument beschreibt die Anpassung von E-Mails und Zugangsdaten in ADDISON Direkt. Dabei können E-Mails an Mandanten personalisiert werden, um auf neue Dokumente oder Nachrichten hinzuweisen. Mit Variablen können Platzhalter eingesetzt werden, die automatisch durch spezifische Informationen ersetzt werden. Grundlegende Einstellungen für Absender und Signatur sowie individuelle Anpassungen der E-Mail-Vorlagen werden erläutert. Zudem wird die Anpassung von Zugangsdaten-Dokumenten behandelt, einschließlich der Erstellung und Vorschau als PDF. Abschließend werden Tipps zur Bearbeitung und Formatierung der Dokumente gegeben.

ADDISON Direkt Kommunikation: Nachrichtenaustausch mit Ihren Mandanten - Schnelleinstieg für den Berater (AKTE)

Die ADDISON Direkt-App „Kommunikation“ ermöglicht den sicheren Austausch von Nachrichten mit Mandanten. Nutzer können Nachrichten verfassen, Dokumente und Bilder anhängen sowie mehrere Empfänger hinzufügen. Eingehende Nachrichten werden in der AKTE-Software angezeigt und können über eine Chat-ähnliche Oberfläche beantwortet werden. Der Dokumentenaustausch ist intuitiv gestaltet, wobei Nutzer Dateien einfach hinzufügen und anzeigen können. Ein Schnellstart-Leitfaden für Mandanten ist ebenfalls verfügbar.