Rechte und Not-Aus
Dies ist der Abschnitt, der die häufigste Sorge eines Kunden beantwortet: Kann mein Dienstleister jetzt alles auf meiner Anlage? Die Antwort lautet: nur das, was ein Administrator auf dieser Anlage ausdrücklich freigegeben hat – und nur so lange, wie er es dabei belässt.
Der Grundsatz: Rechte entstehen lokal
Im gesamten Protokoll zwischen Controller und Anlage gibt es kein einziges Frame, das Rechte erweitert. Der Controller kann ein Recht anfragen. Setzen kann es nur ein Administrator auf der Anlage.
Das ist keine Konvention, sondern eine Eigenschaft des Protokolls:
- Eine neu angebundene Anlage erzeugt die Berechtigung im Zustand CLAIMED und nur lesend.
- Solange sie in diesem Zustand ist, wird kein Kommando ausgeführt – auch kein lesendes.
- Mit der Freigabe werden der zustimmende Administrator und der Zeitpunkt festgehalten. Das ist der Nachweis der Einwilligung.
- Die Anlage meldet dem Controller bei jedem Verbindungsaufbau, was sie durchsetzt. Der Controller darf diesen Zustand nur auf eine Berechtigung anwenden, die er selbst ausgestellt hat.
Damit der Controller weiß, ob ein Kommando überhaupt Aussicht auf Ausführung hat. Ohne diese Meldung stünde eine Anlage in der Konsole als verbunden und genehmigt da, während in Wahrheit nie etwas passiert – und beide Seiten sähen dabei korrekt aus. Die Richtung ist unbedenklich: Eine Anlage kann sich damit nichts nehmen, denn die Durchsetzung liegt ohnehin bei ihr.
Was eine Berechtigung umfasst
Eine Berechtigung ist kein Schalter, sondern drei Angaben:
| Angabe | Bedeutung |
|---|---|
| Werkzeugliste | Welche Werkzeuge dieser Partner überhaupt aufrufen darf. Was nicht genannt ist, gilt als abgeschaltet. |
| Nur lesend | Ist der Schalter gesetzt, kommen ausschließlich lesende Werkzeuge in die Liste. |
| Löschen erlaubt | Ohne dieses Recht werden löschende Operationen abgewiesen. |
Vor jedem Aufruf leitet der Agent daraus eine verengte Sicht auf die lokalen Einstellungen ab. Diese Sicht kann ausschließlich verengen – niemals erweitern.
Was der Kunde auf seiner Anlage lokal abgeschaltet hat, kann keine Berechtigung wieder einschalten. Auch nicht die eines Partners, auch nicht die eines Administrators im Controller, auch nicht die eines Verzeichnisadministrators bei einem Identitätsanbieter.
Zwei zusätzliche Tore
Der Fernkanal erbt zwei Prüfungen nicht automatisch und führt sie deshalb selbst durch:
- Der globale Hauptschalter des MCP-Servers. Hat der Kunde die Werkzeugschnittstelle im Admin Power Pack abgeschaltet, wird jedes Kommando abgewiesen – auch über die Flotte.
- Die Modullizenz. Ist die Lizenz des Admin Power Pack ungültig, wird abgewiesen.
Ohne diese ausdrückliche Prüfung bliebe eine Anlage über die Flotte administrierbar, obwohl der Kunde den Werkzeugzugang abgeschaltet hat oder die Lizenz abgelaufen ist.
Eine bewusste Ausnahme
Ein einziges Werkzeug entzieht sich der Verengung: die Fähigkeitsauskunft. Sie wird für jede gültige Berechtigung beantwortet, auch bei leerer Werkzeugliste.
Das ist Absicht. Diese Auskunft ist die einzige verlässliche Antwort auf die Frage, was auf einer Anlage überhaupt möglich ist – ohne sie bliebe nur Ausprobieren, und Ausprobieren erzeugt genau die abgelehnten Aufrufe, die niemand im Protokoll haben will. Sie verrät den Katalog, nicht die Daten.
Der Probelauf
Jedes Kommando läuft standardmäßig als Probelauf. In diesem Modus führt der Agent ausschließlich lesende Werkzeuge aus. Alles Verändernde wird abgelehnt – mit einer Beschreibung dessen, was passiert wäre.
Erst die ausdrückliche Umstellung auf Ausführung verändert etwas. Diese Umstellung gehört bestätigt, nicht geraten.
Sie wollen bei einem Kunden eine Rufumleitung korrigieren. Im Probelauf sehen Sie, welche Objekte betroffen wären – noch bevor etwas geschieht. Erst wenn das Bild stimmt, stellen Sie auf Ausführung um. Das erspart genau die Sorte Rückfrage, die man sonst erst nach der Änderung stellt.
Nur ein veränderndes Kommando gleichzeitig
Auf einer Anlage läuft höchstens ein veränderndes Kommando zur selben Zeit – anlagenweit und über alle verbundenen Controller hinweg. Jedes weitere wird mit Anlage beschäftigt abgewiesen. Lesende Kommandos laufen parallel.
Die Sperre liegt auf der Anlage, nicht im Controller. Zwei selbsthostende Partner wissen nichts voneinander; eine zentrale Sperre wäre wirkungslos.
Der Not-Aus
Im Admin Power Pack gibt es einen Not-Aus für die Fernsteuerung. Er beendet die Verbindung sofort und schaltet die Fernadministration ab. In der Konsole erscheint die Anlage danach als widerrufen.
Der Not-Aus ist der Punkt, an dem die gesamte Architektur zusammenläuft. Weil die Verbindung von der Anlage ausgeht und die Rechte dort entstehen, genügt eine lokale Aktion, um alles zu beenden. Es gibt keinen Weg, sie von außen zu umgehen oder rückgängig zu machen – der Controller kann die Verbindung nicht von sich aus wiederherstellen.
Ein Kunde wechselt den Dienstleister. Sein Administrator entzieht die Freigabe auf der Anlage. Ab diesem Moment läuft dort kein Kommando des alten Partners mehr – unabhängig davon, was in dessen Controller noch eingetragen ist und ob der alte Partner überhaupt mitbekommen hat, dass etwas geschehen ist.
Ablehnungsgründe, die Sie sehen werden
| Grund | Bedeutung |
|---|---|
| tool_disabled | Das Werkzeug ist auf der Anlage nicht eingeschaltet |
| grant_scope | Die Berechtigung deckt dieses Werkzeug oder diese Wirkungsklasse nicht ab |
| capability_missing | Die installierte Modulversion kennt dieses Werkzeug nicht |
| needs_confirm | Zerstörende Operation ohne ausdrückliche Bestätigung |
| dry_run_only | Verändernder Aufruf im Probelauf |
| site_busy | Es läuft bereits ein veränderndes Kommando |
| expired | Das Ablaufdatum des Kommandos ist überschritten |
| bad_signature | Die Signatur ließ sich nicht prüfen |
| license_invalid | Die Modullizenz ist ungültig |
| unavailable | Das Modul lädt gerade neu |
Kurz zusammengefasst
- Eine Berechtigung entsteht als CLAIMED und nur lesend; sie wird auf der Anlage freigegeben.
- Sie kann nur verengen – nie das aufschließen, was lokal abgeschaltet ist.
- Hauptschalter und Modullizenz werden zusätzlich geprüft.
- Der Probelauf ist die Voreinstellung.
- Der Not-Aus auf der Anlage beendet alles sofort und ist von außen nicht zu umgehen.
Weiter mit Zugang zur Konsole.