Modell-Ebenen: System, Mandant, Benutzer

Worum es geht

Wenn du im Hub ein Modell anlegst, wählst du als Erstes seinen Scope, also die Ebene, auf der seine Daten leben. Es gibt genau drei:

Wo die Daten liegen

In der Betriebsart MULTI hat jeder Mandant eine eigene Datenbank. Die Benutzerebene ist keine eigene Datenbank, sondern eine Verfeinerung innerhalb der Mandanten-Datenbank:

flowchart LR
    subgraph SYS["System-Datenbank"]
        S1["System-Modelle<br/>z. B. Länderliste"]
    end
    subgraph TA["Datenbank Mandant A"]
        A1["Mandanten-Modelle<br/>z. B. Kunden von A"]
        A2["Benutzer-Modelle<br/>Zeilen von Anna | Zeilen von Ben"]
    end
    subgraph TB2["Datenbank Mandant B"]
        B1["Mandanten-Modelle<br/>z. B. Kunden von B"]
        B2["Benutzer-Modelle<br/>Zeilen von Clara"]
    end
    SYS ~~~ TA ~~~ TB2

Benutzer-Modelle haben ein zusätzliches Feld _userId. CDMS trägt dort beim Anlegen die ID der angemeldeten Person ein und filtert beim Lesen danach.

Welche Ebene wähle ich?

Zwei Fragen genügen:

flowchart LR
    Q1{"Brauchen alle Kunden<br/>dieselben Daten?"}
    Q1 -->|ja| SYS["System"]
    Q1 -->|nein| Q2{"Gehören die Daten einer<br/>einzelnen Person, die sie<br/>als Einzige sehen darf?"}
    Q2 -->|ja| USR["Benutzer"]
    Q2 -->|nein| TEN["Mandant"]

Was bei einem Zugriff passiert

Die Ebene wirkt bei jedem Lesen und Schreiben an zwei Stellen: bei der Wahl der Datenbank und beim Filtern der Zeilen.

Welche Datenbank? Die vollständige Entscheidung

So entscheidet die Persistenz bei jedem einzelnen Zugriff. Die Reihenfolge ist wichtig: Die Frage „System-Modell?“ kommt vor allem anderen.

„Erlaubt“ heißt: Der Mandant steht in der Liste allowedTenants aus dem Token. Fehlt die Liste, ist nichts erlaubt.

Die Tabelle zeigt die Sicht der Persistenz. Eine Anfrage ohne Mandant erreicht sie in MULTI meist gar nicht erst: Schon die Filterkette von CIAS lehnt sie mit 403 tenant-required ab. Die 400 ist die zweite Sicherung dahinter.

Einen Rückfall gibt es nicht: Fehlt der Mandant, landet ein Mandanten-Objekt nie stillschweigend in der System-Datenbank. Ob ein Mandant überhaupt bedient wird (aktiv, nicht gesperrt), hat vorher schon das Mandanten-Tor in CIAS entschieden.

SINGLE und MULTI

Die Ebenen gibt es in beiden Betriebsarten. Was sich ändert, ist nur die Datenhaltung:

Beziehungen zwischen den Ebenen

Eine Beziehung verbindet zwei Modelle, und beide müssen in derselben Datenbank erreichbar sein. Daraus folgt die Regel, die der Hub beim Modellieren durchsetzt:

Im Hub sind unzulässige Ziele im Auswahlfeld ausgegraut („Scope unzulässig“) und werden beim Speichern abgewiesen.

Wie die Ebene festgelegt wird

Zwei Sicherungen gegen Verwechslung

Dass ein Objekt in der falschen Datenbank landet, verhindern zwei voneinander unabhängige Mechanismen:

Was sonst noch an der Ebene hängt

Rollen, Attributfilter und eigene Filter wirken zusätzlich auf jeder Ebene.

Fallen