Moin,
Ich habe mal eine allgemeine Frage und stelle die hier im C# Bereich, weil es darauf umgesetzt werden wird.
Wir haben im Unternehmen Zeiterfassungsterminals, die ich stündlich mit unserem Zeiterfassungssystem synchronisiere. Dazu bediene ich mich des API der Zeiterfassung.
Nun haben wir Entwickler in unterschiedliche Bereichen, die dieses API für andere Zwecke auch gut verwenden könnten. Ich tu mich allerdings schwer, die API Zugangsdaten rauszugeben, weil darüber sämtliche Personaldaten eingesehen werden können, was datenschutzrechtlich ziemlich fragwürdig sein dürfte.
Meine Idee ist es nun, eine DLL zu schreiben, die als eine Art Middleware fungiert. Über die DLL möchte ich dann entscheiden, welche API Methoden "harmlos" und dem entsprechend nutzbar sind und denen, die "sensibel" sind und nur mit einem zusätzlichen Token aufgerufen werden können.
Der Hintergrund mit dem Token ist der, dass ich diese DLL dann selbstverständlich auch selber nutzen will und somit eine Art Berechtigung benötige.
Meine Gedanken dazu:
Diese Überlegungen führen mich dazu, dass ich es in einer DLL abbilden möchte und wie gesagt für Methoden mit sensiblen Daten einen Token erforderlich mache.
Wie aber setze ich so einen Token sinnvoll um?
Die Entwickler sind alle nicht blöd und können problemlos eine DLL recompilen und sich ansehen, wie in etwa das umgesetzt ist.
Ich habe bisher vieles über Berechtigungen gemacht, aber würde hier gerne auf einen Token ausweichen.
Daher interessieren mich allgemein mal Tipps, wie ihr das machen würdet, bzw. wie eure Gedanken dazu sind?
Danke und Gruß
Arne
Ich habe mal eine allgemeine Frage und stelle die hier im C# Bereich, weil es darauf umgesetzt werden wird.
Wir haben im Unternehmen Zeiterfassungsterminals, die ich stündlich mit unserem Zeiterfassungssystem synchronisiere. Dazu bediene ich mich des API der Zeiterfassung.
Nun haben wir Entwickler in unterschiedliche Bereichen, die dieses API für andere Zwecke auch gut verwenden könnten. Ich tu mich allerdings schwer, die API Zugangsdaten rauszugeben, weil darüber sämtliche Personaldaten eingesehen werden können, was datenschutzrechtlich ziemlich fragwürdig sein dürfte.
Meine Idee ist es nun, eine DLL zu schreiben, die als eine Art Middleware fungiert. Über die DLL möchte ich dann entscheiden, welche API Methoden "harmlos" und dem entsprechend nutzbar sind und denen, die "sensibel" sind und nur mit einem zusätzlichen Token aufgerufen werden können.
Der Hintergrund mit dem Token ist der, dass ich diese DLL dann selbstverständlich auch selber nutzen will und somit eine Art Berechtigung benötige.
Meine Gedanken dazu:
- Berechtigung auf Benutzer-/Gruppenebene
Hier sehe ich den administrativen Aufwand gegenüber einem Token als zu groß. - Zwei DLLs, eine für normale API Calls und eine für die sensiblen Daten
Halte ich nicht für realistisch, weil die DLLs irgendwo liegen, wo auch andere Entwickler Zugriff drauf haben. Hierfür dann einen Token o.ä. zu implementieren, wäre für mich das gleiche, als gleich alles in einer DLL mit Token zu realisieren. - Einen weiteren API Zugang anlegen.
Aus meiner Sicht die eigentlich beste Lösung, aber leider sind diese Zugänge nicht ausreichend eingrenzbar, so dass es kaum einen Unterschied macht.
Diese Überlegungen führen mich dazu, dass ich es in einer DLL abbilden möchte und wie gesagt für Methoden mit sensiblen Daten einen Token erforderlich mache.
Wie aber setze ich so einen Token sinnvoll um?
Die Entwickler sind alle nicht blöd und können problemlos eine DLL recompilen und sich ansehen, wie in etwa das umgesetzt ist.
Ich habe bisher vieles über Berechtigungen gemacht, aber würde hier gerne auf einen Token ausweichen.
Daher interessieren mich allgemein mal Tipps, wie ihr das machen würdet, bzw. wie eure Gedanken dazu sind?
Danke und Gruß
Arne
Comment