Security overview

[Michael-Schaer]

Timebox: 1h

[TheWalkingLeek]

Schaut sehr cool aus! Hab noch ein paar Dinge kommentiert :)

[Michael-Schaer]

Merci für dein Feedback! Ich habe deine Punkte noch eingearbeitet!

Was jetzt noch offen ist, sind die Specs: Dort komme ich aktuell nicht weiter und bräuchte wohl etwas Unterstützung

• Testen, dass das Passwort-Reset Mail an alle Adressen der betroffenen Person geht
• Testen dass der Tab nur mit Update-Berechtigung sichtbar ist

[richardjubla]

(benötigt :update Permission auf Person)

Die Berechtigung :update finde ich in unserer "Jubla Organization Hierarchy" https://github.com/hitobito/hitobito_jubla#jubla-organization-hierarchy nirgends. Dennoch steht der Tab Sicherheit zur Verfügung und kann das PW zurückgesetzt werden.

[carlobeltrame]

Was damit gemeint war sind einfach Schreibrechte. (Technisch gesehen ist ":update Permission" nach dem aktuellen Gebrauch in hitobito nicht ganz richtig, es wäre eher eine "Ability". Rollentypen haben Permissions, und Personen mit entsprechenden Rollen haben dann Abilities. Z.B. vergibt eine Rolle mit :layer_full Permission unter anderem Schreibrechte, also :update Ability auf (nicht restriktierte) Personen in demselben Layer: https://github.com/hitobito/hitobito/blob/master/app/abilities/person_ability.rb#L54..L57)

Die Überlegung hinter Schreibrechten war, dass jemand mit Schreibrechten auch die Hauptmailadresse entfernen könnte, und so der betroffenen Person bereits das Login "wegnehmen" könnte. Ausserdem haben schreibberechtigte Personen normalerweise sowieso vollen Lesezugriff, und dürfen daher alle Informationen auf der Security-Ansicht sowieso schon einsehen.

[richardjubla]

Ich habe das Feature "Rollen, die auf mich Zugriff haben" entdeckt. Wo kann/soll man sich dazu äussern? Ich habe zum Beispiel entdeckt, dass auch gelöschte Gruppen dort aufgeführt werden. Weiter können sich Profile in gewissen Konstellationen gegenseitig sehen oder exportieren obwohl ihnen die Ebene/Gruppe nicht angezeigt wird.

[carlobeltrame]

@richardjubla hitobito/hitobito_pbs#257