Was es tut
Die Anmeldung läuft über einen eigenen Identitätsanbieter nach OpenID Connect, im Betrieb über Authentik. Wer sich anmeldet, ist damit noch niemand. Die Identität wird über eine stabile Kennung auf einen Nutzer im System abgebildet, und erst dessen Berechtigungszeilen sagen, welche Objekte und Einheiten er sehen darf.
Der Geltungsbereich steht nie im Token. Er wird bei jeder einzelnen Anfrage frisch aus der Datenbank gelesen, was nach Aufwand klingt und einer ist. Dafür wirkt ein Entzug sofort und nicht erst nach Ablauf einer Sitzung, und dasselbe gilt für das Deaktivieren eines Zugangs.
Eine Berechtigung gibt entweder das ganze Objekt frei oder genau eine Einheit. Der letzte aktive Vollzugriff lässt sich weder entziehen noch deaktivieren, denn wer ihn verliert, käme nur noch über die Datenbank zurück.
Wie es zusammenhängt
Der Geltungsbereich ist ein Pflichtparameter der Datensichten. Vergessen kann ihn niemand, weil sonst der Typprüfer anschlägt. Ein auf eine Einheit beschränkter Nutzer bekommt das Abrechnungsdokument einer fremden Einheit nicht ausgeliefert, sondern eine Fehlermeldung.
Grenzen
Den Identitätsanbieter selbst bedient digoCockpit nicht. Ein Zugang muss dort bereits bestehen, sonst fällt der Tippfehler erst beim ersten Anmeldeversuch auf. Ein Eigentümer-Portal gibt es nicht, ein auf eine Einheit beschränkter Nutzer erreicht heute also wenig. Zwei Übersichten zeigen weiterhin die Namen aller Personen, unabhängig vom Objekt; das ist bekannt und noch nicht geschlossen.