Übersicht

Nicht jeder Besucher Ihrer Joomla-Website sollte dieselben Inhalte sehen. Auf einer Mitgliederseite sind bestimmte Artikel möglicherweise nur zahlenden Mitgliedern vorbehalten. Ein internes Portal schützt abteilungsspezifische Seiten vor den Zugriffen der übrigen Mitarbeiter. Eine Community-Plattform ermöglicht Moderatoren den Zugriff auf Bereiche, die regulären Mitgliedern nicht zugänglich sind.

Joomla regelt all dies über sein integriertes Zugriffskontrollsystem, mit dem Sie Seiten, Artikel, Kategorien und Menüpunkte nach Benutzergruppen einschränken können. Bisher fehlte nur die automatische Zuordnung der Benutzer zu den richtigen Gruppen. Meldet sich ein Benutzer per OAuth-SSO an, liest die miniOrange Joomla OAuth Client-Erweiterung die dem Benutzer im Identitätsanbieter zugewiesenen Rollen und ordnet sie sofort den entsprechenden Joomla-Benutzergruppen zu. Anschließend übernimmt Joomlas Zugriffskontrollliste (ACL) und setzt die von Ihnen festgelegten Inhaltsbeschränkungen durch. Sie verwalten die Rollen zentral, und der Zugriff auf Ihre gesamte Joomla-Website wird automatisch geregelt.

Voraussetzungen:

Um die rollenbasierte Zugriffskontrolle mit OAuth SSO auf einer Joomla-Website zu aktivieren, benötigen Sie Folgendes:

miniOrange OAuth-Client-Erweiterung für Joomla

Erweiterung herunterladen

Herausforderung

Joomlas Zugriffskontrollsystem ist leistungsstark, funktioniert aber nur dann einwandfrei, wenn die Benutzer den richtigen Gruppen angehören. Ohne SSO-basierte Rollenzuordnung schlägt dieser Prozess in einigen häufigen Fällen fehl:

• Jemand muss die Gruppen manuell zuweisen. Jedes Mal, wenn sich ein neuer Benutzer registriert oder per SSO anmeldet, muss ein Administrator dessen Konto überprüfen und ihn der richtigen Gruppe zuordnen, bevor er auf die entsprechenden Inhalte zugreifen kann. Bei wenigen Benutzern ist dies machbar, bei Hunderten jedoch nicht mehr praktikabel.
• Rollen werden nicht mehr synchronisiert. Ändert sich die Rolle eines Benutzers beim Identitätsanbieter, läuft ein Abonnement aus, wechselt ein Mitarbeiter das Team oder wird ein Mitwirkender befördert, bleibt seine Joomla-Gruppe unverändert, bis ein Administrator dies bemerkt und aktualisiert. Das bedeutet, dass Benutzer entweder Zugriffsrechte behalten, die sie eigentlich verloren haben sollten, oder von Inhalten ausgeschlossen werden, auf die sie nun Anspruch haben.
• Geschützte Inhalte werden offengelegt. Bei uneinheitlichen Gruppenzuordnungen können eingeschränkte Artikel oder Seiten leicht einem breiteren Publikum zugänglich werden als beabsichtigt. Dies fällt oft erst auf, wenn es jemand meldet.
• Die Verwaltung von Bearbeitungsrechten gestaltet sich schwierig. Lesezugriff ist nur ein Teilaspekt. Ebenso wichtig ist es, wer Artikel erstellen, bestehende Inhalte bearbeiten oder Seiten veröffentlichen darf. Ohne verlässliche Gruppenzugehörigkeit lassen sich Autorenrechte nur schwer überprüfen und noch schwerer widerrufen, wenn sich die Rolle einer Person ändert.

Umsetzung

Die Einrichtung umfasst die Konfiguration der Rollenzuordnung in der miniOrange-Erweiterung und die anschließende Verwendung der standardmäßigen ACL-Tools von Joomla, um Einschränkungen auf Ihre Inhalte anzuwenden.

1. Verbindung zum Identitätsanbieter herstellen: Richten Sie den Identitätsanbieter in der miniOrange OAuth-Client-Erweiterung mithilfe der Standardkonfiguration für OAuth 2.0 oder OIDC ein. Stellen Sie sicher, dass die OAuth-Bereiche alle Ansprüche enthalten, die Rollen- oder Gruppeninformationen Ihres Anbieters beinhalten. Bei Entra ID ist dies beispielsweise ein Gruppenanspruch, bei Okta ein Rollenanspruch. Diese Daten verwendet die Erweiterung, um Joomla-Gruppen beim Login zuzuweisen.

2. Zuordnung von Identitätsanbieterrollen zu Joomla-Gruppen: Ordnen Sie in den Rollenzuordnungseinstellungen der Erweiterung jeder Identitätsanbieterrolle die entsprechende Joomla-Benutzergruppe zu. Beispielsweise entspricht die Rolle „Premium-Mitglied“ einer Joomla-Gruppe mit Zugriff auf Premium-Inhalte. Die Rolle „Redakteur“ entspricht einer Gruppe mit Rechten zum Erstellen und Bearbeiten von Artikeln. Meldet sich ein Benutzer per SSO an, liest die Erweiterung seine aktuellen Rollen, weist die passenden Joomla-Gruppen zu und aktualisiert diese Zuordnungen automatisch, falls sich seit der letzten Sitzung etwas geändert hat.

3. Artikel und Kategorien in Joomla einschränken: Da Gruppen zuverlässig per SSO zugewiesen werden, können Sie Artikel und Kategorien wie gewohnt über den Joomla-Inhaltsmanager einschränken. Legen Sie die Zugriffsebene für jeden Artikel oder jede Kategorie entsprechend der jeweiligen Benutzergruppe fest. Inhalte für Premium-Mitglieder sind auf die Gruppe „Premium-Mitglieder“ beschränkt, interne Dokumentationen auf die Gruppe „Mitarbeiter“, und öffentliche Inhalte bleiben für alle zugänglich. Es ist kein benutzerdefinierter Code erforderlich; dies erfolgt alles über die Joomla-Standardoberfläche.

4. Menüpunkte und Module einschränken: Die Zugriffskontrolle betrifft nicht nur Artikel. Menüpunkte und Module können in Joomla jeweils mit einer eigenen Zugriffsebene versehen werden, sodass Navigationslinks und Inhalte der Seitenleiste nur berechtigten Benutzern angezeigt werden. Dies verhindert, dass eine eingeschränkte Seite technisch nicht zugänglich ist, aber dennoch im Menü für Benutzer sichtbar ist, die sie nicht öffnen können.

5. Bearbeitungs- und Autorenberechtigungen festlegen: Wenn Ihre Website Benutzer hat, die Inhalte beitragen oder verwalten, können Sie mit der Zugriffssteuerungsliste (ACL) von Joomla festlegen, wer Inhalte in bestimmten Kategorien erstellen, bearbeiten, veröffentlichen oder löschen darf. Gruppen, die den Rollen „Mitwirkender“ oder „Redakteur“ im Identitätsanbieter zugeordnet sind, können die entsprechenden Berechtigungen in ihren jeweiligen Bereichen erhalten. Da die Gruppenzugehörigkeit durch die SSO-Rollenzuordnung aktuell gehalten wird, werden diese Autorenrechte automatisch angepasst, sobald sich ein Benutzer nach einer Rollenänderung das nächste Mal anmeldet.

6. Zugriffsprüfung für verschiedene Rollen: Melden Sie sich vor dem Livegang mit Testkonten an, die jede Rollenstufe repräsentieren, und überprüfen Sie, ob die korrekten Gruppen im Joomla-Benutzermanager zugewiesen sind. Stellen Sie sicher, dass eingeschränkte Artikel und Kategorien für Konten mit niedrigeren Berechtigungen nicht zugänglich sind und dass Menüpunkte und Module entsprechend der Gruppe des angemeldeten Benutzers korrekt angezeigt werden. Testen Sie außerdem Sonderfälle: Benutzer mit mehreren Rollen, Benutzer ohne zugeordnete Rollen und Benutzer, deren Rollen sich seit ihrer letzten Anmeldung geändert haben.

Fazit

Joomlas Zugriffskontrollsystem übernimmt die Hauptarbeit bei der Inhaltsbeschränkung, benötigt dafür aber eine präzise Gruppenzugehörigkeit. Durch die Verknüpfung von SSO-Login und Gruppenzuordnung mittels der miniOrange OAuth Client-Erweiterung wird Ihr Identitätsanbieter zur verlässlichen Quelle für die Zugriffsberechtigungen. Administratoren richten die Zugriffsregeln einmalig ein, und die berechtigten Benutzer erhalten bei jeder Anmeldung automatisch die entsprechenden Zugriffsrechte.

Zusätzliche Ressourcen

1. Zugriffssicherheit durch Abschottung – OAuth-Protokoll in Joomla!
2. SAML vs. OAuth in Joomla: Was sollten Sie wählen?
3. Schauen Sie sich unsere Dokumentation an