Florian WildeandClaude Opus 5
76a61ec771
Ein Haus ohne lokales Active Directory hat kein LDAP, auf das sich zeigen liesse. Eine Verzeichnisquelle hat jetzt eine **Art** — LDAP oder GRAPH —, und beide laufen durch **denselben** Abgleich: anlegen, aktualisieren, deaktivieren, nie loeschen. Nur das Holen der Eintraege unterscheidet sich; zwei Abgleiche nebeneinander wuerden auseinanderdriften, und die Zusage „es wird nichts geloescht“ gaelte dann fuer eine Art und fuer die andere nicht mehr ganz. Gelesen wird mit dem Client-Credentials-Flow, seitenweise ueber @odata.nextLink, der Vorgesetzte ueber $expand=manager($select=id). Das Client-Secret wird verschluesselt gespeichert wie das Bind-Passwort und erreicht keine Antwort und keinen Protokolleintrag. Die Art ist **unveraenderlich**, und das steht nicht im Issue: an ihr haengt, was `externeId` bedeutet. Im AD eine objectGUID, in Entra ID eine andere GUID — nach einem Wechsel wuerde kein einziger Mitarbeiter wiedererkannt, der naechste Abgleich legte die ganze Belegschaft neu an und setzte die alten Zeilen auf aktiv = false, mit allen Laeufen und Geraeten daran. Der teuerste Fund beim Bauen: „in Entra ID deaktiviert“ als *uebersprungen* zu melden haette die Leute **aktiv** gelassen. Uebersprungen heisst im Abgleich „nicht zuordenbar“, und solche Eintraege werden seit #016 absichtlich nicht abgeschaltet. Gefiltert wird deshalb serverseitig mit `$filter=accountEnabled eq true`, als Gegenstueck zum LDAP-Standardfilter. Gefunden hat es der Test — aber nur, weil der Doppelgaenger den Filter wirklich auswertet statt ihn bloss zu empfangen. {{ou}} bleibt bei einer Graph-Quelle leer: Entra ID hat keine OU, und etwas hineinzudeuten waere ein Wert, den kein PowerShell-Befehl brauchen kann — er saehe nur richtig aus. Steht an der Abteilung eine Ziel-OU gepflegt, greift die. Gegen einen echten Entra-Mandanten ist das **nicht** gelaufen. Geprueft ist es gegen einen HTTP-Doppelgaenger mit aufgezeichneten Antworten; die Pruefliste fuer den ersten echten Lauf steht am Ende von docs/betrieb/entra-id.md. Closes #48 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Laufzettel — Anleitung
Laufzettel ist eine Checkliste für wiederkehrende IT-Arbeiten. Ein Redakteur schreibt einmal auf, was bei einer PC-Neuinstallation, einem Onboarding oder einem Patchday zu tun ist — das ist eine Vorlage. Aus einer veröffentlichten Vorlage entsteht ein Lauf: die Abschrift für einen bestimmten Fall, mit einem bestimmten Gerät und einer bestimmten Person. Den Lauf arbeitet ein Techniker Schritt für Schritt ab, oft am Handy, direkt am Gerät. Am Ende wird er abgeschlossen und archiviert und ändert sich nie wieder.
Auf jedem Gerät klebt ein QR-Aufkleber. Wer ihn scannt, landet auf der Geräteseite und sieht, was dort zu tun ist und was dort schon getan wurde. Der Code auf dem Aufkleber wird nie geändert und nie an ein zweites Gerät vergeben — er ist die einzige Angabe am Gerät, die Jahre hält.
Wer welches Kapitel braucht
Techniker — du arbeitest Läufe ab, scannst Aufkleber und druckst Etiketten:
- 01 Erste Schritte — anmelden, wo was steht
- 02 Läufe abarbeiten — der Alltag, am Schreibtisch und am Handy
- 03 QR-Aufkleber und Tags — scannen, registrieren, Etiketten drucken
- 08 Fehlerbehebung — wenn etwas klemmt
Administrator oder Redakteur — du richtest ein und pflegst:
- 04 Vorlagen bauen — Abschnitte, Schritte, Variablen, veröffentlichen
- 05 Mitarbeiter, Abteilungen und Geräte — Stammdaten und CSV-Import
- 06 Verzeichnis anbinden — Active Directory als Quelle der Personen
- 07 Verwaltung — Benutzer, Rollen, Einstellungen, Betriebsmodus, Kunden
Mitarbeiter — du bedienst Laufzettel nicht, sondern willst nur wissen, was mit deinem Gerät passiert ist:
- 09 Meine Geräte — anmelden, was dort steht und was nicht
Dieses eine Kapitel ist an Mitarbeiter gerichtet und nicht an die IT. Wer die Selbstauskunft im Haus freigibt, kann es weitergeben, ohne den Rest der Anleitung mitzuschicken.
Zwei Betriebsmodi
Laufzettel läuft in einem von zwei Modi. Der Modus entscheidet, ob es eine Kundenebene gibt, und ändert einige Beschriftungen.
| Modus | Für wen | Kundenebene |
|---|---|---|
| Intern | eine Firma und ihre eigenen Mitarbeiter | unsichtbar |
| Dienstleistung | IT-Dienstleister mit mehreren Kunden | sichtbar: Kundenliste, Kundenwahl, Kürzel auf dem Etikett |
Im Modus Intern heißt der Menüpunkt „Mitarbeiter & Geräte“, im Modus Dienstleistung „Personen & Geräte“; dort kommt außerdem „Kunden“ dazu, und das Verzeichnis fällt weg. Wo diese Anleitung „Person“ schreibt, heißt es im Modus Intern auch „Mitarbeiter“ — gemeint ist dasselbe. Umgestellt wird der Modus unter Admin, siehe Kapitel 07.
Drei Zusagen, die überall gelten
- Eine veröffentlichte Version wird nie verändert. Sonst zeigte ein alter Lauf Schritte, die es damals nicht gab. „Bearbeiten“ erzeugt stattdessen eine Kopie als Entwurf.
- Ein archivierter Lauf ist schreibgeschützt. Kein Haken, keine Notiz, kein Kommentar geht danach noch. Nur ein Administrator holt ihn zurück.
- Gelöscht wird fast nichts. Geräte, Abteilungen, Vorlagen und Kunden werden archiviert, Personen nur deaktiviert. Ein archivierter Lauf muss auch in zehn Jahren noch sagen können, für wen er lief.