Rollen und Zugriff¶

Diese Seite erklärt, wie OS entscheidet, was jemand in einer Organisation darf: Rollen, Gruppen, Attribute, das Regeldokument der Organisation, wie ein Partner an die Organisationen unter sich kommt und warum niemand mehr weitergeben kann, als er selbst hat. Schritte stehen hier nicht; die Aufgabenseiten unter Verwalten zeigen, wie Sie es einrichten.

Eine Regel entscheidet¶

Alles, was jemand in OS darf, ergibt sich aus Regeln. Eine Regel sagt über eine Art von Ding (eine Gruppe, ein Mitglied, einen Agent, ein Gespräch), ob sie etwas erlaubt (permit) oder verbietet (forbid), für welche Aktionen und unter welchen Bedingungen.

Es gibt vier Aktionen:

Drei Vereinbarungen entscheiden jeden Fall:

• Nichts ist erlaubt ohne eine Regel, die es erlaubt. Die Reihenfolge der Regeln spielt keine Rolle.
• Eine verbietende Regel gewinnt. Passt ein forbid, lehnt OS ab, was ein permit auch sagt.
• Keine Aktion schließt eine andere ein. Wer ändern, aber nicht sehen darf, findet das Ding nicht. Was Sie nicht sehen dürfen, existiert für Sie nicht: OS antwortet, als gäbe es es nicht.

Eine Regel kann Bedingungen an das Ding stellen (den Namen oder ein Label, das darauf steht) und an die Person (ein Attribut, das sie hat). Eine Regel gilt nur, wenn alle ihre Bedingungen zutreffen; wer zwei Werte erlauben will, schreibt zwei Regeln. Wie eine Regel genau aussieht, steht unter Arten und Aktionen.

Rollen¶

Eine Rolle ist eine benannte Sammlung von Regeln. Wer eine Rolle hat, fällt unter ihre Regeln. Ein Mitglied bekommt eine Rolle direkt oder über eine Gruppe, in der es ist.

Jede Organisation hat dieselben eingebauten Rollen. Sie sind überall gleich und Sie ändern sie nicht.

Darüber hinaus legt ein Administrator eigene Rollen für seine Organisation an: zum Beispiel eine Rolle „Teamleitung“, die Mitglieder der eigenen Abteilung verwalten darf. Eine Organisation hat höchstens 100 davon, jede mit höchstens 200 Regeln. Siehe Rollen verwalten.

Was die eingebauten Rollen in den KI-Funktionen dürfen¶

Die eingebauten Rollen enthalten auch Regeln über die KI-Funktionen: Modelle, Agents, Wissen, Dateien und Gespräche.

Jede eingebaute Rolle darf alle Modelle, Tools, Agents, Prompts, Skills, Zeitpläne, Workflows, Wissen und Dateien der Organisation nutzen. Was der Dienst der Organisation nicht enthält, darf auch eine eingebaute Rolle nicht. Von Gesprächen, Gedächtnis, gespeicherten Dateien und Datastore-Zeilen erreicht ein Mitglied seine eigenen und die gemeinsamen, die niemandem im Besonderen gehören.

Ein Administrator sieht nie die Gespräche, das Gedächtnis oder die Dateien einer Kollegin oder eines Kollegen. Auch org-admin erreicht von diesen Zeilen nur die eigenen und die gemeinsamen. Wer das anders will, schreibt dafür selbst eine Regel und kann das nur, wenn er diesen Zugriff selbst hat (unten).

Einstellungen für die ganze Organisation¶

Einige Dinge gelten für alle in der Organisation gleichzeitig und hängen nicht von der Person ab. Sie stehen deshalb nicht in einer Rolle, sondern im Regeldokument:

• ob die KI-Funktionen Gedächtnis schreiben dürfen: standardmäßig für niemanden;
• ob gespeicherte Dateien und Seiten über einen Link geteilt werden dürfen: standardmäßig für niemanden;
• ob Dateien, die ein Tool erstellt hat, heruntergeladen werden dürfen: standardmäßig für jedes Mitglied;
• welche Modell-Router genutzt werden dürfen: standardmäßig jeder, für jedes Mitglied;
• welche externen Adressen die KI-Funktionen erreichen dürfen. Ohne Regel dazu sind es die Adressen, die Ihr Betreiber für die Organisation erlaubt; eine Regel kann das einschränken.

Gedächtnis schreiben und Teilen über einen Link sind eingeschaltet, sobald das Regeldokument sie erlaubt, und dann für alle, nie für eine einzelne Person. Nur wer sie selbst hat, org-admin oder operator, darf eine solche Regel schreiben (wie). Eine eigene Rolle kann zu diesen Dingen nichts sagen.

Gruppen¶

Eine Gruppe bündelt Mitglieder, zum Beispiel ein Team oder eine Abteilung. Eine Gruppe kann Rollen und Attributwerte haben, und jedes Mitglied der Gruppe hat sie dann auch. Wer die Gruppe verlässt oder dessen Gruppe verschwindet, verliert, was die Gruppe gab. Siehe Gruppen verwalten.

Attribute¶

Ein Attribut ist eine Tatsache über ein Mitglied, die Regeln lesen können, etwa department (Abteilung) oder office (Büro). Der Administrator bestimmt, welche Attribute die Organisation kennt und ob die Werte frei sind oder aus einer festen Liste stammen. Ein Mitglied hat die Werte, die es selbst bekam, plus die seiner Gruppen. Siehe Attribute verwalten.

Drei Attribute liest OS immer selbst ab, und Sie können sie nicht anlegen:

• role: jede Rolle, die das Mitglied hat, direkt oder über eine Gruppe;
• group: jede Gruppe, in der das Mitglied ist;
• subject: wer das Mitglied ist, damit eine Regel „das gehört mir“ sagen kann.

OS bestimmt diese Tatsachen bei jeder Anfrage neu aus dem, was die Organisation festgelegt hat. Ein Mitglied kann seine eigenen Attribute nicht selbst angeben.

Das Regeldokument¶

Neben Rollen hat jede Organisation ein Regeldokument: Regeln, die für jedes aktive Mitglied gelten. Dort steht, was für alle gilt, etwa „niemand nutzt das teure Modell“ oder „Praktikanten nutzen keine Agents der Finanzabteilung“. Auch die Einstellungen für die ganze Organisation stehen hier. Siehe Das Regeldokument.

Für ein Mitglied gelten also zusammen: die Regeln seiner Rollen, das Regeldokument und member.

Partner und die Organisationen darunter¶

Eine Rolle wird mit einer Reichweite vergeben:

• organisation (Standard): Die Rolle gilt in der Organisation, die sie vergab.
• descendants: Die Rolle gilt in dieser Organisation und in jeder Organisation darunter.

So arbeiten die Leute eines Partners in den Organisationen ihrer Kunden, ohne dort Mitglied zu sein. Ein Supportmitarbeiter, der beim Partner org-admin mit Reichweite descendants hat, verwaltet auch die Kunden unter dem Partner. Vom Partner zählt in einer Kundenorganisation nur, was mit Reichweite descendants vergeben wurde; das Regeldokument des Partners und seine Rollen mit Reichweite organisation reichen nicht nach unten.

Eine Organisation kann die Verwaltung, die eine übergeordnete Organisation mit Reichweite descendants vergibt, nicht wegnehmen: Für die Verwaltung gibt es keine verbietenden Regeln. Für die KI-Funktionen schon: Ein forbid im Regeldokument einer Organisation gilt dort auch für die Leute eines Partners. Das Prüfprotokoll der Organisation nennt bei jeder Änderung, aus welcher Organisation die Person handelte.

Der erste Administrator einer neuen Organisation erhält org-admin mit Reichweite descendants, damit er auch die Abteilungen verwaltet, die er später unter seiner Organisation anlegt.

Niemand vergibt mehr, als er hat¶

Jede Änderung, mit der jemand mehr tun kann, ist eine Vergabe: eine Rolle geben, ein Mitglied in eine Gruppe setzen, einer Gruppe eine Rolle oder einen Wert geben, einen Attributwert geben, die Regeln einer eigenen Rolle oder das Regeldokument schreiben und mit einem dieser Dinge einladen. OS erlaubt eine Vergabe nur, wenn Sie die Änderung selbst vornehmen dürfen und selbst haben, was Sie weitergeben:

• eine Rolle haben Sie, wenn Sie sie selbst haben (mit mindestens derselben Reichweite) oder jede ihrer Regeln;
• einen Attributwert haben Sie, wenn Sie ihn selbst haben oder wenn Sie dieses Attribut vergeben dürfen (org-admin darf das für jedes Attribut);
• eine Gruppe haben Sie, wenn Sie jede Rolle und jeden Wert haben, die die Gruppe gibt;
• eine Regel haben Sie, wenn eine Ihrer eigenen Regeln dasselbe erlaubt, über dieselben Dinge, und keine verbietende Regel etwas davon wegnimmt.

Eine abgelehnte Vergabe ändert nichts, und OS nennt, was Sie nicht haben. Eine Einladung wird beim Senden geprüft und beim Annehmen erneut.

Eine verbietende Regel über die Verwaltung (Organisationen, Mitglieder, Einladungen, Gruppen, Rollen, Regeln und Attribute) können Sie nicht schreiben. Eine solche Regel könnte auch den Administratoren selbst Rechte nehmen. Bei den KI-Funktionen können Sie verbieten.

Innerhalb des Dienstes der Organisation¶

Alles, was Rollen, Gruppen und Regeln erlauben, gilt nur innerhalb des Dienstes der Organisation: dessen, was ihre Pläne und Ausnahmen enthalten. Eine Regel über etwas, das nicht im Dienst enthalten ist, erlaubt nichts. Der Dienst macht Rollen also kleiner, nie größer, und eine verbietende Regel gilt immer.

Wer eine eigene Rolle, eine Gruppe oder eine Regel vergibt, die über den Dienst hinausreicht, erhält 403 mit This is not part of your organisation's service, noch vor der Prüfung, ob Sie selbst haben, was Sie weitergeben (oben). Die eingebauten Rollen können Sie immer vergeben: Sie sind überall gleich und der Dienst macht sie nur kleiner. Die eigene Verwaltung der Organisation (Mitglieder, Einladungen, Gruppen, Rollen, Attribute, Regeln, das Prüfprotokoll und das Lesen des Dienstes) ist immer im Dienst enthalten (Immer im Dienst).

Was Sie in OS sehen¶

OS zeigt Schaltflächen und Menüs genau für das, was Sie dürfen, innerhalb des Dienstes der Organisation: Bei jedem Ding steht, welche Aktionen Sie darauf ausführen dürfen, und pro Art, welche Aktionen Sie auf mindestens einem Ding dieser Art ausführen dürfen. Was Sie nicht sehen, dürfen Sie nicht. Wie ein Programm das ausliest, steht unter Die Zugriffs-API.

Das Prüfprotokoll¶

Jede Änderung an den Personen, Gruppen, Rollen, Attributen, Regeln, Einladungen und Einstellungen einer Organisation kommt in ihr Prüfprotokoll: wann, wer, aus welcher Organisation und was sich änderte. Das Prüfprotokoll enthält keine Passwörter, Schlüssel oder E-Mail-Adressen. Siehe Das Prüfprotokoll lesen.