Zum Hauptinhalt springen
Administration · Karten und Geodienste

GeoServer-Arbeitsbereich verwalten

In der UDSP bündelt ein GeoServer-Workspace fachlich zusammengehörige Stores, Layer und Layergruppen. Berechtigungen werden bevorzugt auf dieser Ebene vergeben und anschließend aus Sicht der Zielgruppe geprüft.

Geodaten liegen im richtigen Workspace, Keycloak-Rollen besitzen nur den vorgesehenen Lese-, Schreib- oder Administrationszugriff und neue Layer erben eine nachvollziehbare Grundberechtigung.

Datenraum

Workspace wählen

Fachlicher Bereich, Mandant und Schutzbedarf sind eindeutig.

Inhalt

Ressourcen zuordnen

Stores, Layer und Layergruppen werden im richtigen Workspace geführt.

Rechte

Rollen zuweisen

Lesen, Schreiben und Administration werden nach Aufgabe vergeben.

Abnahme

Zugang testen

Zielrolle und nicht berechtigter Benutzer werden getrennt geprüft.

Rollen und Workspace gemeinsam betrachten​

Die UDSP synchronisiert vorgesehene Keycloak-Rollen mit GeoServer. Die fachliche Freigabe entsteht aber erst, wenn eine Rolle am passenden Workspace oder – in begründeten Ausnahmefällen – an einem einzelnen Layer berechtigt wird.

  1. Öffnen Sie den vorgesehenen Workspace und wechseln Sie zu Security.
  2. Deaktivieren Sie einen pauschalen Zugriff für alle Rollen, sofern der Workspace nicht ausdrücklich öffentlich ist.
  3. Weisen Sie der Zielrolle Lesen, Schreiben oder Administration entsprechend ihrer Aufgabe zu.
  4. Vergeben Sie Rechte bevorzugt am Workspace, damit zugehörige Layer konsistent erben.
  5. Verwenden Sie feinere Layerrechte nur, wenn der zusätzliche Pflegeaufwand fachlich notwendig ist.
Sicherheitseinstellungen eines GeoServer-Workspaces mit Rollen und Lese-, Schreib- sowie Administrationsrechten
Die Workspace-Matrix verbindet synchronisierte Rollen mit GeoServer-Rechten. Rollennamen des historischen Screenshots sind nur Beispiele; verbindlich sind die Rollen des aktuellen Mandanten.
OIDC und Rollensynchronisation gehören zur Bereitstellung

Keycloak-Client, Authentifizierungsfilter, Header-Verarbeitung und technischer Rollendienst werden für den Plattformzugang eingerichtet. Diese sicherheitsrelevante Grundkonfiguration ist keine tägliche Kundenaufgabe und wird nicht manuell nach einer alten Screenshotfolge nachgebaut.

Öffentliche Geodaten bewusst trennen​

Der aktuelle Plattformstandard sieht einen eigenen Open-Data-Workspace vor. Verschieben Sie geschützte Layer nicht in diesen Bereich, um eine Zugriffsfrage kurzfristig zu umgehen. Eine öffentliche Freigabe benötigt eine fachliche, rechtliche und technische Entscheidung sowie einen Test ohne Anmeldung.

Ergebnis prüfen​

  • Workspace und Datenraum entsprechen einander fachlich.
  • Nur benötigte Rollen besitzen Lese-, Schreib- oder Administrationsrechte.
  • Neue Layer übernehmen die erwartete Workspace-Berechtigung.
  • Zielnutzer können den Dienst verwenden; nicht berechtigte Nutzer bleiben gesperrt.
  • Ein öffentlicher Zugang wurde ausdrücklich entschieden und separat getestet.

Weiterarbeiten​

Die Anleitung Vektorlayer als WFS freigeben führt anschließend durch Veröffentlichung, CRS-Prüfung, Berechtigung und Abnahme eines konkreten Layers.

Referenzen​