Berechtigungen

Übersicht

Als Workplace-Systemadministrator kannst du die Fähigkeiten steuern, die für jede Integration zur Verfügung stehen, indem du Apps erstellst und diesen bestimmte Berechtigungen gewährst. Jede App kann nach dem Dienst benannt werden, den sie unterstützt. Apps verfügen über eindeutige Zugriffstoken und Berechtigungen, mit denen die Art von Informationen gesteuert wird, die von dieser App gelesen oder geschrieben werden dürfen.

In diesem Leitfaden werden das App- und das Berechtigungsmodell detailliert beschrieben.

Die Berechtigungssteuerelemente beim Bearbeiten einer App für benutzerdefinierte Integrationen

Verfügbare Berechtigungen

Jeder Workplace-App kann ein eigener Satz von Berechtigungen gewährt werden, um den Funktionsumfang der App für die Graph API und Account Management API zu steuern.

Wenn du eine Anwendung erstellst und Berechtigungen erteilst, werden diese Berechtigungen auf jedes Konto in deiner Community angewendet. Kontoinhaber müssen der App keine zusätzlichen Berechtigungen erteilen, um ihre Funktionen nutzen zu können. Dies unterscheidet sich von dem Berechtigungsmodell auf Facebook, bei dem jeder Nutzer einer App bei der Anmeldung einzeln Berechtigungen erteilt.

Es folgt eine ausführliche Liste der App-Berechtigungen, die für Integrationen zur Verfügung stehen, zusammen mit einer Beschreibung der Verwendungsmöglichkeiten.

Berechtigungen auf Gruppenebene

Bei einigen Berechtigungen kann die Integration auf bestimmte Gruppen beschränkt werden. Dadurch kannst du den Zugriff einer Integration auf genau die Inhalte beschränken, die du freigeben möchtest.

Du kannst z. B. einer Integration zum Posten von Warnhinweisen erlauben, nur in der eigenen Gruppe eines Teams zu posten, oder einer Mitarbeiter-App-Integration, Inhalte nur in bestimmten offenen Gruppen zu lesen.

Um Berechtigungen auf Gruppenebene für eine benutzerdefinierte Integration anzugeben, verwende die Gruppenzugriffsansicht im Dialog „Integration bearbeiten“.

Aktivieren der Gruppenberechtigung für diese Integration

Gruppenberechtigungen sind für die folgenden Berechtigungen verfügbar:

• Gruppeninhalte lesen: Beiträge, Kommentare und Mitgliedsprofile in ausgewählten Gruppen lesen
• Gruppeninhalte verwalten: Beiträge und Kommentare in ausgewählten Gruppen verwalten
• Gruppen verwalten: ausgewählte Gruppen und deren Mitglieder bearbeiten und entfernen

Du kannst eine Integration so konfigurieren, dass Gruppenberechtigungen auf Alle Gruppen oder Bestimmte Gruppen angewendet werden, die vom Systemadministrator ausgewählt werden. Alternativ können Integrationen auch von Gruppenadministratoren für die jeweiligen Gruppen aktiviert werden.

Installationsablauf für Administratoren

Wenn Let group admins enable for their groups (Gruppenadministratoren für ihre Gruppen aktivieren lassen) aktiviert ist, wird dem Admin einer Gruppe unter dem Bildschirm Gruppe verwalten der neue Tab Integrationen angezeigt, auf dem er die Integration für seine Gruppe aktivieren kann.

Eine Beispiel-App, die jetzt vom Gruppenadministrator aktiviert werden kann

App-Token und -Nutzung

Wenn du für Workplace eine neue App erstellst, wird ein Zugriffstoken erzeugt, der mit der Graph API, Account Management API oder Webhooks verwendet werden kann.

Dieser Zugriffstoken wird nur einmal angezeigt. Daher ist es wichtig, dass du den Token sicher aufbewahrst, um ihn später im Code verwenden zu können.

Der Ablauf zum Zurücksetzen des Tokens bei einer App für die benutzerdefinierte Integration

Workplace-App-Token laufen niemals ab und müssen nur dann aktualisiert werden, wenn sie manuell zurückgesetzt wurden. Wenn du die für eine bestimmte App verfügbaren Berechtigungen bearbeitest, funktioniert das vorhandene Token weiterhin und du musst kein neues Token erstellen.

Wenn du ein Token einmal ungültig machen musst, kannst du das Token über den Button Zugriffstoken zurücksetzen im Dialog App bearbeiten zurücksetzen. Ein neues Token wird erstellt und angezeigt und das vorhandene Token wird sofort ungültig gemacht.

Token-Sicherheit

Zugriffstoken sind wertvoll. Sie gewähren Zugriff auf die Daten deines Unternehmens auf Workplace. Überlege dir bei der Erstellung einer App, welche Berechtigungen mindestens erforderlich sind, um die Integrationsfunktionen zu realisieren, und erteile keine unnötigen Berechtigungen.

Wenn Token gespeichert oder zu Code-Repositories hinzugefügt werden, sollte sehr genau darauf geachtet werden, dass sie nicht an die falschen Personen weitergegeben werden.

Um die Sicherheit von Integrationen noch weiter zu erhöhen, solltest du eine IP-Positivliste hinzufügen, die die Verwendung von Token auf Server beschränkt, die auf die Positivliste der IP-Adressen gesetzt wurden.

Hinzufügen einer IP-Positivliste, um die Tokennutzung auf bestimmte Server zu beschränken, und Anfordern eines App-Geheimcode-Nachweises

Automatische Entfernung nicht verwendeter Berechtigungen

Wenn eine benutzerdefinierte Integration 30 Tage lang keine Aufrufe mit einer bestimmten Berechtigung tätigt, wird diese Berechtigung entfernt. Nachdem dies einmal für eine benutzerdefinierte Integration geschehen ist, steht eine Option zur Verfügung, mit der dieser Löschvorgang gestoppt werden kann.

Wenn ein gültiges Webhook-Abonnement eingerichtet wurde, gelten die von diesem gesendeten Webhooks als Nutzung der entsprechenden Berechtigung.

Steuerelemente für die automatische Entfernung von Berechtigungen

App-Geheimcode-Nachweis

Zugriffstoken für Workplace laufen nicht ab. Für benutzerdefinierte Integrationen kann ein App-Geheimcode-Nachweis erforderlich sein, um die Sicherheit zusätzlich zu erhöhen. Durch die Aktivierung der Option „App-Geheimcode erforderlich“ wird sichergestellt, dass API-Aufrufe nur von serverseitigem Code durchgeführt werden. Für API-Aufrufe ist zusammen mit dem Zugriffstoken ein App-Geheimcode-Nachweis mit Ablauf erforderlich.

Um einen App-Geheimcode-Nachweis mit Ablauf zu generieren, musst du das Token mit einem Unix-Zeitstempel verketten, getrennt durch einen Senkrechtstrich (|). Erstelle dann anhand deines App-Geheimcodes als Schlüssel einen SHA-256-Hash der verketteten Zeichenfolge. Nachfolgend ein Beispiel in PHP:

$appsecret_proof = hash_hmac('sha256', $access_token.'|'.time(), $app_secret); 

Um API-Aufrufe mit deinem App-Geheimcode-Nachweis durchzuführen, übergebe den generierten Hash über den Parameter appsecret_proof, zusammen mit der appsecret_time, die auf den Zeitstempel festgelegt ist, der beim Hashen des App-Geheimcodes verwendet wurde, und deinem Zugriffstoken.

GET https://graph.facebook.com/v2.9/community/groups?
&access_token={access-token}
&appsecret_proof={appsecret_proof}
&appsecret_time={appsecret_time}

Entdecken von API-Funktionen mit Postman

Postman ist ein weitverbreitetes Tool für die Arbeit mit Web-APIs. Du findest es vielleicht praktisch, die Workplace API mit Postman zu erkunden, aber der Parameter $appsecret_proof stellt eine Komplikation dar: Da dieser Wert berechnet werden muss und nach fünf Minuten abläuft, wäre es einfacher, wenn Postman den Wert zum Zeitpunkt des Aufrufs erzeugen könnte. Postman kann dazu entsprechende Voranforderungsskripte und Parameterfunktionen verwenden. Als Ausgangspunkt kann dieses Skript verwendet werden:

// Add to Postman's Pre-request Script Tab
var access_token = "replace-me";
var app_secret = "replace-me";
var time = (new Date().getTime()/1000|0);
postman.setEnvironmentVariable("access_token", access_token)
postman.setEnvironmentVariable("appsecret_time", time);
postman.setEnvironmentVariable("appsecret_proof", CryptoJS.HmacSHA256(access_token + '|' + time, app_secret));

1) Erstelle eine aktive Umgebung (es gibt keine Standardumgebung) und 2) füge dann diese drei Parameter hinzu, die durch dein Voranforderungsskript berechnet werden.