Zum Inhalt springen

Änderungen von Dokument Paperless NGX

Zuletzt geändert von Daniel Herrmann am 2026/02/22 11:41
Von Version Icon 14.1 Icon
bearbeitet von Daniel Herrmann
am 2025/10/24 20:20
Änderungskommentar: Neuen Anhang pencil.png hochladen
Auf Version Icon 16.1 Icon
bearbeitet von Daniel Herrmann
am 2026/02/22 11:37
Änderungskommentar: Neuen Anhang Screenshot 2026-02-22 at 11.36.43.png hochladen

Zusammenfassung

Details

Icon Seiteneigenschaften
Inhalt
... ... @@ -62,17 +62,16 @@
62 62  
63 63  **Aus diesem Grund wird auf jedes Dokument einen spezieller QR Code aufgedruckt**. Der QR code wird vom Post-Consume Script verwendet um die Metadaten in Paperless zuzuordnen. Weiterhin können Daten übermittelt werden, die dann mittels Webhook an N8n übermittelt werden und dort im Workflow verwendet werden können. Der Aufbau orientiert sich an dem Aufbau eines **JSON Web Tokens (JWT).**
64 64  
65 +=== Erzeugung des QR Codes ===
65 65  
66 -=== Barcode erzeugen ===
67 +Der Prozess zur Erzeugung eines QR Codes funktioniert wie folgt:
67 67  
68 -Der Prozess zur Erzeugung eines QR Codes ist wie folgt:
69 -
70 70  * **Payload (Daten) festlegen**. Einige Werte sind verpflichtend, andere können nach Bedarf optional hinzugefügt werden.
71 -* JWT erzeugen und signieren. der JWT besteht aus drei Teilen:
70 +* **JWT** erzeugen und signieren. der JWT besteht aus drei Teilen:
72 72  ** **Header**: **alg** (Algorithmus) und **typ** (JWT) sind verpflichtend. Zusätzlich fügen wir einen Timestamp, eine eindeutige ID und eine Gültigkeitsdauer hinzu.
73 73  ** **Body**: beinhaltet die eigentlichen Daten.
74 74  ** **Signature**: Mit Hilfe eines Secrets und wird die Signatur erzeugt und automatisch angehängt.
75 -* PDF417 code erzeugen: ein JWT ist per Definition URL safe und kann daher einfach in ein QR code umgewandelt werden.
74 +* **QR code erzeugen**: ein JWT ist per Definition URL safe und kann daher einfach in ein QR code umgewandelt werden.
76 76  
77 77  === Header ===
78 78  
... ... @@ -172,7 +172,6 @@
172 172  {{success}}
173 173  **Algorithmus**
174 174  
175 -
176 176  Von den meisten Libraries werden symmetrische und asymmetrische Signaturen unterstützt. Die Verwendung eines symmetrischen Algorithmus ist für uns einfacher.
177 177  
178 178  Für diesen Anwendungsfall nutzen wir **HS256** (HMAC mit SHA-256 Algorithmus).
... ... @@ -271,12 +271,12 @@
271 271  
272 272  Unsere bevorzugte Library ist **pyjwt**. Diese ist auch in **paperless nativ vorhanden**, sodass wir uns für die Implementierung mittels **pyjwt** entschieden haben.
273 273  
274 -=== PDF417 Code ===
272 +=== QR Code ===
275 275  
276 276  Als Format für den Code wurde PDF417 ausgewählt, da dieser mehr Platz und Fehlerkorrektur bietet. Weiterhin gibt es eine einfach zu nutzende Library für Python (Erzeugung) und PDF417 wird von ZXING unterstützt, welches in Paperless eingebettet ist. Ein solcher Barcode sieht beispielsweise so aus:
277 277  
278 278  
279 -[[image:/bin/download/PROJ/Digitale%20Mitgliederverwaltung/WebHome/barcode.jpg?height=250&rev=1.1||alt="barcode.jpg" height="250"]]
277 +[[image:barcode.jpg||height="250"]]
280 280  
281 281  Daraus kann dann eine Base64 basierte Repräsentation berechnet werden, die einfach in Docuseal hochgeladen werden kann.
282 282  
... ... @@ -288,4 +288,465 @@
288 288  
289 289  Die eigentliche Zuordnung der Meta-Daten erfolgt über ein so genanntes Post Consumption Script. Dieses befindet sich ebenfalls im Makerspace Gitlab: [[https:~~/~~/git.makerspace-darmstadt.de/makerspace-it-infrastructure/mitgliederverwaltung/paperless-post-consumption-script#>>url:https://git.makerspace-darmstadt.de/makerspace-it-infrastructure/mitgliederverwaltung/paperless-post-consumption-script]]
290 290  
289 +== Paperless Berechtigungen ==
291 291  
291 +Paperless NGX hat ein Berechtigungssystem, welches sich über fast alle Ressourcen erstreckt. Grundsätzlich gibt es **Benutzer** und **Gruppen**. Berechtigungen können dann global vergeben werden (Sichtbarkeit von Features) und zusätzlich auf Objektebene vergeben werden.
292 +
293 +=== Benutzer und Gruppen ===
294 +
295 +Paperless NGX ist so konfiguriert, dass sich Benutzer mit ihrem zentralen Makerspace Login anmelden können (OIDC über Keycloak). Eine Anmeldung mit lokalen Zugangsdaten ist nicht möglich. Bei der Anmeldung werden ebenfalls die Gruppen aus Keycloak übernommen, aber nur die folgenden:
296 +
297 +* **Vorstand**: Für die Mitglieder des Vorstands
298 +* **Mitgliederverwaltung**: Alle Personen, die mit der Verwaltung der Mitglieder betraut sind
299 +* **IT Admin**: IT Administratoren im Makerspace
300 +
301 +Nutzer, die keine dieser Gruppen angehören haben keine Rechte in Paperless. Sie können sich zwar anmelden, aber selbst die Willkommens-Seite erzeugt eine "Permission Denied" Fehlermeldung.
302 +
303 +=== Globale Berechtigungen ===
304 +
305 +Berechtigungen werden grundsätzlich nicht auf Benutzerebene konfiguriert, sondern ausschließlich auf Gruppenebene. So wird sichergestellt, dass bei der Änderung einer Gruppenzugehörigkeit auch die damit verbundenen Rechte entzogen oder gewährt werden, ohne dass eine manuelle Änderung notwendig ist. Die folgende Tabelle gibt eine Übersicht der konfigurierten globalen Berechtigungen pro Gruppe:
306 +
307 +|=(((
308 +Berechtigung
309 +)))|=(((
310 +Beschreibung
311 +)))|=(((
312 +Mitgliederverwaltung
313 +)))|=(((
314 +Vorstand
315 +)))|=(((
316 +IT Admin
317 +)))|=(((
318 +Notiz
319 +)))
320 +|=(((
321 +Document
322 +)))|(((
323 +Sehen und bearbeiten von Dokumenten.
324 +)))|(((
325 +ALLE
326 +)))|(((
327 +ALLE
328 +)))|(((
329 +KEINE
330 +)))|(((
331 +Wird zusätzlich durch Berechtigungen auf Objekt-Level eingeschränkt
332 +)))
333 +|=(((
334 +Tag
335 +)))|(((
336 +Sehen und bearbeiten von Tags.
337 +)))|(((
338 +Anzeigen
339 +)))|(((
340 +ALLE
341 +)))|(((
342 +ALLE
343 +)))|(((
344 +Wird zusätzlich durch Berechtigungen auf Objekt-Level eingeschränkt
345 +)))
346 +|=(((
347 +Correspondent
348 +)))|(((
349 +Sehen und bearbeiten von Korrespondenten
350 +)))|(((
351 +Anzeigen
352 +)))|(((
353 +ALLE
354 +)))|(((
355 +ALLE
356 +)))|(((
357 +Wird zusätzlich durch Berechtigungen auf Objekt-Level eingeschränkt
358 +)))
359 +|=(((
360 +DocumentType
361 +)))|(((
362 +Sehen und bearbeiten von Dokument-Typen
363 +)))|(((
364 +Anzeigen
365 +)))|(((
366 +ALLE
367 +)))|(((
368 +ALLE
369 +)))|(((
370 +Wird zusätzlich durch Berechtigungen auf Objekt-Level eingeschränkt
371 +)))
372 +|=(((
373 +StoragePath
374 +)))|(((
375 +Sehen und bearbeiten von Speicherpfaden
376 +)))|(((
377 +Anzeigen
378 +)))|(((
379 +Anzeigen
380 +)))|(((
381 +ALLE
382 +)))|(((
383 +Wird zusätzlich durch Berechtigungen auf Objekt-Level eingeschränkt
384 +)))
385 +|=(((
386 +SavedView
387 +)))|(((
388 +Ansichten erzeugen und speichern
389 +)))|(((
390 +ALLE
391 +)))|(((
392 +ALLE
393 +)))|(((
394 +KEINE
395 +)))|(((
396 +
397 +)))
398 +|=(((
399 +PaperlessTask
400 +)))|(((
401 +Dateiaufgaben einsehen und löschen
402 +)))|(((
403 +KEINE
404 +)))|(((
405 +KEINE
406 +)))|(((
407 +ALLE
408 +)))|(((
409 +
410 +)))
411 +|=(((
412 +AppConfig
413 +)))|(((
414 +Konfiguration von Paperless NGX selbst
415 +)))|(((
416 +KEINE
417 +)))|(((
418 +KEINE
419 +)))|(((
420 +ALLE
421 +)))|(((
422 +
423 +)))
424 +|=(((
425 +UISettings
426 +)))|(((
427 +Persönliche Anzeigeeinstellungen ändern
428 +)))|(((
429 +ALLE
430 +)))|(((
431 +ALLE
432 +)))|(((
433 +ALLE
434 +)))|(((
435 +
436 +)))
437 +|=(((
438 +History
439 +)))|(((
440 +Dokumenten-Audit Log anzeigen oder ändern
441 +)))|(((
442 +Anzeigen
443 +)))|(((
444 +Anzeigen
445 +)))|(((
446 +KEINE
447 +)))|(((
448 +Nur für Dokumente, auf die Zugriff gewährt wurde.
449 +)))
450 +|=(((
451 +Note
452 +)))|(((
453 +Notizen zu Dokumenten einsehen oder ändern
454 +)))|(((
455 +ALLE
456 +)))|(((
457 +ALLE
458 +)))|(((
459 +KEINE
460 +)))|(((
461 +Nur für Dokumente, auf die Zugriff gewährt wurde.
462 +)))
463 +|=(((
464 +MailAccount
465 +)))|(((
466 +Mail-Accounts verwalten
467 +)))|(((
468 +KEINE
469 +)))|(((
470 +Anzeigen
471 +)))|(((
472 +ALLE
473 +)))|(((
474 +
475 +)))
476 +|=(((
477 +MailRule
478 +)))|(((
479 +Verarbeitungsregeln für eingehende Mails bearbeiten
480 +)))|(((
481 +KEINE
482 +)))|(((
483 +ALLE
484 +)))|(((
485 +ALLE
486 +)))|(((
487 +
488 +)))
489 +|=(((
490 +User
491 +)))|(((
492 +Benutzer einsehen oder verwalten
493 +)))|(((
494 +KEINE
495 +)))|(((
496 +Anzeigen
497 +)))|(((
498 +ALLE
499 +)))|(((
500 +
501 +)))
502 +|=(((
503 +Group
504 +)))|(((
505 +Gruppen einsehen oder verwalten
506 +)))|(((
507 +KEINE
508 +)))|(((
509 +Anzeigen
510 +)))|(((
511 +ALLE
512 +)))|(((
513 +
514 +)))
515 +|=(((
516 +ShareLink
517 +)))|(((
518 +Öffentliche Share-Links erstellen oder verwalten
519 +)))|(((
520 +KEINE
521 +)))|(((
522 +KEINE
523 +)))|(((
524 +KEINE
525 +)))|(((
526 +
527 +)))
528 +|=(((
529 +CustomField
530 +)))|(((
531 +Custom Fields einsehen oder verwalten
532 +)))|(((
533 +Anzeigen
534 +)))|(((
535 +Anzeigen
536 +)))|(((
537 +ALLE
538 +)))|(((
539 +
540 +)))
541 +|=(((
542 +Workflow
543 +)))|(((
544 +Workflows für neue Dokumente einsehen oder verwalten
545 +)))|(((
546 +KEINE
547 +)))|(((
548 +KEINE
549 +)))|(((
550 +ALLE
551 +)))|(((
552 +
553 +)))
554 +
555 +=== Objekt-Berechtigungen ===
556 +
557 +Zusätzlich zu den globalen Berechtigungen können für alle Objekte noch Berechtigungen auf Objekt-Level konfiguriert werden. Dabei werden globale Regeln zuerst geprüft, danach zusätzlich die Objekt-Berechtigungen. Jedes Objekt (egal ob Dokument, Korrespondent, Tag, Dokumenten-Typ) hat zwei wichtige Einstellungen:
558 +
559 +* Owner / Eigentümer: Das Objekt gehört diesem Benutzer. Der Owner hat immer alle Berechtigungen für das Objekt
560 +* Zusätzliche Berechtigungen:
561 +** Es können getrennt voneinander Berechtigungen zum Anzeigen und Bearbeiten vergeben werden
562 +** Diese Berechtigungen können jeweils für einzelne Benutzer oder für Gruppen gewährt werden
563 +
564 +Das sieht im Frontend beispielsweise so aus:
565 +
566 +[[image:image-2025-8-25_10-19-25.png||height="250"]]
567 +
568 +{{info}}
569 +**Berechtigungen**
570 +
571 +Es sind grundsätzlich sowohl globale als auch objekt-spezifische Berechtigungen notwendig. Wenn ein Benutzer ein Objekt bearbeiten ansehen oder bearbeiten möchte ergibt sich daher die folgende Matrix:
572 +{{/info}}
573 +
574 +|=(((
575 +Globale Berechtigung
576 +)))|=(((
577 +Owner
578 +)))|=(((
579 +Objekt-Berechtigung
580 +)))|=(((
581 +Ergebnis
582 +)))
583 +|(((
584 +❌️
585 +)))|(((
586 +Egal
587 +)))|(((
588 +Egal
589 +)))|(((
590 +❌️
591 +)))
592 +|(((
593 +✅️
594 +)))|(((
595 +✅️
596 +)))|(((
597 +Egal
598 +)))|(((
599 +✅️
600 +)))
601 +|(((
602 +✅️
603 +)))|(((
604 +❌️
605 +)))|(((
606 +❌️
607 +)))|(((
608 +❌️
609 +)))
610 +|(((
611 +✅️
612 +)))|(((
613 +❌️
614 +)))|(((
615 +✅️
616 +)))|(((
617 +✅️
618 +)))
619 +
620 +Mit anderen Worten, um eine Aktion auszuführen, muss ein Benutzer (a) die globale Berechtigung haben **UND** (b) Owner sein **ODER** Objekt-Berechtigungen haben.
621 +
622 +=== Lokale Owner ===
623 +
624 +Jedes Objekt in Paperless muss einen Owner haben. Damit der Owner nicht ein realer Benutzer ist, der gegebenenfalls den Vorstand / Mitgliederverwaltung oder Verein verlassen könnte, werden lokale Benutzer angelegt. Diese halten lediglich die Owner Rolle für die Ressourcen, können aber nicht für den Login verwendet werden.
625 +
626 +|=(((
627 +Benutzer
628 +)))|=(((
629 +Verwendet für
630 +)))
631 +|=(((
632 +mksp-mv-owner
633 +)))|(((
634 +Alle Objekte (Dokumente, Dokumenttypen, Tags, Korrespondenten und Speicherpfade), die dem Use-Case **Mitgliederverwaltung** zugewiesen sind
635 +)))
636 +|=(((
637 +mksp-vs-owner
638 +)))|(((
639 +Alle Objekte (Dokumente, Dokumenttypen, Tags, Korrespondenten und Speicherpfade), die dem Use-Case **Vorstandspost** zugewiesen sind
640 +)))
641 +
642 +=== Standard-Objekt-Berechtigungen ===
643 +
644 +Basierend auf den hier beschrieben Regeln werden für Objekte die folgenden Berechtigungen gesetzt:
645 +
646 +|=(% rowspan="2" %)(((
647 +Objekt
648 +
649 +)))|=(% colspan="3" %)(((
650 +Mitgliederverwaltung
651 +)))|=(% rowspan="7" %)(((
652 +
653 +)))|=(% colspan="3" %)(((
654 +Vorstandspost
655 +)))
656 +|=(((
657 +Owner
658 +)))|=(((
659 +Anzeigen
660 +)))|=(((
661 +Bearbeiten
662 +)))|=(((
663 +Owner
664 +)))|=(((
665 +Anzeigen
666 +)))|=(((
667 +Bearbeiten
668 +)))
669 +|=(((
670 +Dokument
671 +)))|(((
672 +mksp-mv-owner
673 +)))|(((
674 +Mitgliederverwaltung
675 +)))|(((
676 +Mitgliederverwaltung
677 +)))|(((
678 +mksp-vs-owner
679 +)))|(((
680 +Vorstand
681 +)))|(((
682 +Vorstand
683 +)))
684 +|=(((
685 +Dokumenttyp
686 +)))|(((
687 +mksp-mv-owner
688 +)))|(((
689 +Mitgliederverwaltung, IT Admin
690 +)))|(((
691 +IT Admin
692 +)))|(((
693 +mksp-vs-owner
694 +)))|(((
695 +Vorstand
696 +)))|(((
697 +Vorstand
698 +)))
699 +|=(((
700 +Tag
701 +)))|(((
702 +mksp-mv-owner
703 +)))|(((
704 +Mitgliederverwaltung, IT Admin
705 +)))|(((
706 +IT Admin
707 +)))|(((
708 +mksp-vs-owner
709 +)))|(((
710 +Vorstand
711 +)))|(((
712 +Vorstand
713 +)))
714 +|=(((
715 +Korrespondent
716 +)))|(((
717 +mksp-mv-owner
718 +)))|(((
719 +Mitgliederverwaltung, IT Admin
720 +)))|(((
721 +IT Admin
722 +)))|(((
723 +mksp-vs-owner
724 +)))|(((
725 +Vorstand
726 +)))|(((
727 +Vorstand
728 +)))
729 +|=(((
730 +Speicherpfad
731 +)))|(((
732 +mksp-mv-owner
733 +)))|(((
734 +Mitgliederverwaltung, IT Admin
735 +)))|(((
736 +IT Admin
737 +)))|(((
738 +mksp-vs-owner
739 +)))|(((
740 +Vorstand
741 +)))|(((
742 +IT Admin
743 +)))
744 +
745 +== Workflows ==
746 +
747 +Paperless Workflows können zur Automatisierung verschiedener Tasks eingesetzt werden. In diesem Fall werden zwei Fälle damit abgedeckt:
748 +
749 +* Beim Hinzufügen der Dokumente via Webinterface **wird standardmäßig der angemeldete Nutzer als Owner des Dokuments festgelegt**. Damit haben andere Mitglieder der gleichen Gruppe (Beispielsweise Vorstand oder Mitgliederverwaltung) kein Zugriff auf die so hinzugefügten Dokumente. Aus diesem Grund setzt einer der Workflow die entsprechend notwendigen Berechtigungen.
750 +* Einscannen von Dokumenten soll sowohl für die Mitgliederverwaltung als auch für den Vorstand möglich sein und der richtigen Gruppe zugeordnet werden. Wir haben dafür zwei unterschiedliche Ordner aus dem NAS angelegt. Der Dokumentenscanner kann Dokumente in einen der beiden Ordner legen, wir nutzen Workflows um auch hier die richtigen Berechtigungen zu setzen.
Icon Screenshot 2026-02-22 at 11.36.43.png
Author
... ... @@ -1,0 +1,1 @@
1 +XWiki.dherrman
Größe
... ... @@ -1,0 +1,1 @@
1 +217.5 KB
Inhalt Icon