CONTAILOR unterstütze eine Vielzahl von verschiedenen Gruppen-Rechte-Konfigurationen, um komplexe Berechtigungsstrukturen abbilden zu können. Da diese relativ schnell komplex werden, sind verschiedene Pflegemöglichkeiten dazu im Standard ausgeschaltet.
Folgende allgemeine Einstellungen beeinflussen die Darstellung der Gruppen im Backend:
Dabei regelt die Einstellung "Benutzergruppen", ob generell Benutzergruppen im System angezeigt werden, da dies bei benutzerlosen Instanzen nicht von Bedeutung ist. Administratorengruppen gibt es dagegen immer.
Die Verbindungstypen besagen jeweils das Gleiche, können jedoch getrennt für Administratoren- und Benutzergruppen eingeschaltet werden. Details siehe weiter unten bei Verbindungstypen.
Folgende Grafik zeigt die maximal mögliche Komplexität der Gruppen und Berechtigungen im System.
Jede Person, der sich ein einer Gruppe befindet, hat automatisch alle ihre Rechte. Ist eine Person mehreren Gruppen zugewiesen, hat sie die Summe aus allen Berechtigungen der Gruppen.
Auf die Vergabemöglichkeit von Rechten direkt an einzelne Personen wurde bewusst verzichtet, um die Struktur einfacher zu halten.
Es gibt zwei grundlegende Basistypen von Gruppen:
Zur Unterscheidung von Benutzern und Administratoren siehe Benutzer vs Administrator.
Zu den vorhandenen Systemrechten und vordefinierten Gruppen siehe Systemrechte.
Der Verbindungstyp einer Gruppe sagt aus, womit die Gruppe verknüpft werden darf.
Dieser kann bei Aktivierung der jeweiligen o. g. Einstellung gewählt werden.
Es gibt drei Verbindungstypen:
Der wesentliche Grund warum Administratoren und Benutzer und entsprechend ihre Gruppen getrennt sind, sind ihre unterschiedlichen Berechtigungen.
Bei den Berechtigungen gibt es bei den Gruppen drei verschiedene Typen zu unterscheiden:
Es gibt darüber hinaus noch zwei weitere Berechtigungsmöglichkeiten außerhalb der Gruppenverwaltung:
Die Berechtigung eines Administratoren zu einer Seite besagt, der Admin darf die Seite grundsätzlich bearbeiten, eingeschränkt auf seine bestehenden Rechte natürlich. Ohne Verknüpfung könnte er die Seite nicht bearbeiten, es sei den er besitzt das Recht "Alle Seiten bearbeiten", das die Zuweisungen zu den einzelnen Seiten aushebelt.
Die Berechtigung eines Benutzers zu einer Seite sagt aus, dass der Benutzer die Seite einsehen darf. Dies greift natürlich nur dann, wenn die Seite standardmäßig geschützt ist, also der Haken "Login erforderlich" im Seitenmanager unter "Geschützte Seite verwalten" (Schloss-Symbol oben) aktiv ist. Ansonsten wäre sie ohnehin für jeden aufrufbar.
Es kann nun Fälle geben, in denen Systemrechte auch für Benutzer greifen sollen. Gäbe es nur die oben beschriebene Konfiguration wäre das nicht möglich und es ließe sich z. B. kein automatischer API-Benutzer definieren, der automatisiert bestimmte Änderungen am System vornehmen darf.
Aus diesem Grund können Administratorengruppen so konfiguriert werden, dass sie auch Benutzer enthalten können, wodurch ihre Systemrechte auch für die enthaltenen Benutzer greifen. Dies geschieht in der Administratorengruppenverwaltung mit dem Haken "auch für Benutzer gültig".
So konfigurierte Gruppen tauchen sowohl in der Verwaltung der Administratoren- als auch der Benutzergruppen auf. Zu beachten ist in dem Fall, wo was gepflegt wird, es verhält sich genau so wie bei Gruppen, die nicht beide Personentypen enthalten dürfen:
Bei allen diesen Konfigurationsmöglichkeiten achtet CONTAILOR wie an jeder anderen Stelle auch auf Konsistenz, sodass z. B. eine Rechtegruppe, die Rechte enthält nicht den Verbindungstyp nach Personengruppe ändern kann, etc..