Datenraumkonzept

Übersicht

Das Datenraumkonzept der UDSP sieht eine Trennung von Daten in abgegrenzten Datenräumen vor. Einen Datenraum kann man sich wie einen Container vorstellen, der für definierte Daten vorgesehen ist und eigene Ressourcen und Zugriffsrechte hat. Zum einen lassen sich Daten dadurch thematisch clustern, zum anderen können Nutzer gezielt auf einzelne Datenräume über datenraumspezifische Rollen berechtigt werden.

Datenräume können prinzipiell beliebig geschnitten werden. Daten werden bei der Datenintegration immer genau einem Datenraum zugeordnet. Da Nutzer auf Datenraum-Ebene berechtigt werden, ist es jedoch sinnvoll logische Abgrenzungen vorzunehmen. Die nachfolgende Grafik zeigt eine Möglichkeit, wie Datenräume aufgeteilt werden können.

Daten aus unterschiedlichen heterogenen Quellen werden nach Datenintegration und Datenverarbeitung in zwei Arten von Datenräumen persistiert:

Datenräume nah an Datenquelle:

Hier werden Basis-Datensätze persistiert. Die Rohdaten aus der Quelle werden standardisiert, bekommen mindestens eine eindeutige ID und werden auf ein Smart Data Model gemappt. Innerhalb des Datenraums kann es Sinn machen, weitere Datensätze abzuleiten, bspw. bei der Aggregation von Daten mit Zeitreihe.

Beispiele: Datenraum für öffentliche Mobilitäts APIs, Datenraum für Parkplatzsensorik

Datenräume nah an Domäne / Use-Case / Anwendung:

In dieser Ebene werden Datenräume inhaltlich zugeschnitten mit Bezug zu Fachdomänen, Use-Cases oder Anwendungen. Der Zuschnitt muss immer projektspezifisch bewertet werden mit Hinblick auf die Anforderungen: Welche Nutzergruppen gibt es? Über welche Kanäle sollen Daten ausgespielt werden? Welche Schnittmengen gibt es bei der Nutzung von Daten? Aus welchen Datenquellen kommen die Daten?

In diesen Datenräumen liegen vor allem aggregierte Datensätze, also Datensätze, die aus der Verschneidung von Basis-Datensätzen entstehen. Die Basis-Datensätze können dabei verschiedenen Datenräumen entstammen.

Beispiele: Datenraum für Parkraummanagement mit Live-Belegung, Kontrollzonen oder verdichteten Indikatoren

Ziele des Datenraumkonzepts

Das Datenraumkonzept erfüllt mehrere Aufgaben gleichzeitig:

• fachliche Trennung unterschiedlicher Nutzungskontexte
• kontrollierte Wiederverwendung von Daten über Rollen und Freigaben
• klare Verantwortlichkeiten für Datenbestände und Datenprodukte
• technische Grundlage für Mandantenfähigkeit und Mehrorganisationsbetrieb
• saubere Zuordnung von APIs, Metadaten und Berechtigungen

Umsetzung

Die Datenräume werden in Stellio als NGSI-LD-Tenants abgebildet. Ein Datenraum entspricht dort einem eigenen Tenant mit separatem Schema und kann mehrere Datensätze oder Datenprodukte enthalten. Ein zentrales Ziel ist, dass Datenräume nicht nur konzeptionell, sondern auch technisch sauber voneinander getrennt sind.

Berechtigungen werden auf Datenraumebene erteilt. Ist ein Nutzer über seine zugeteilten Rollen auf einen Datenraum berechtigt, so kann er auf die darin enthaltenen Datensätze oder Datenprodukte mit den jeweils zugeteilten Rechten zugreifen.

Datenräume werden in Keycloak über datenraumspezifische Rollen abgebildet, wobei für jedes Zugriffsrecht eine eigene Rolle pro Datenraum hinterlegt wird.

Beispiel: Realm-Roles für den Quell-nahen Datenraum "Park-Api" aus Ebene S1 für alle CRUD-Operationen

• ds_s1_park_api_create
• ds_s1_park_api_read
• ds_s1_park_api_update
• ds_s1_park_api_delete

Bei der Namensgebung der Rollen ist auf ein sauberes, dauerhaft lesbares Schema zu achten. Das erleichtert Governance, Audits und spätere Erweiterungen.

Nutzer erhalten Rollen entweder direkt oder über Gruppen- und Rollenmodelle, denen die jeweiligen Datenraum-Berechtigungen zugeordnet sind.

Datenzugriff

Der Zugriff auf Daten in einem Datenraum kann auf unterschiedliche Weise erfolgen:

• API-Zugriff über APISIX

  • Authentifizierung — Keycloak stellt Token aus
  • Autorisierung am Gateway — APISIX prüft Token und Berechtigungen

• Direkte Datenbankverbindung (Komponenten des Application Stacks, z.B Grafana)

  • Die technische Umsetzung des Datenraum- und Berechtigungskonzepts ist pro Komponente unterschiedlich und in den jeweiligen Komponenten separat dokumentiert.

Für andere Komponenten wird das Datenraumkonzept jeweils auf die vorhandenen Mittel der Komponente abgebildet, etwa Workspaces in GeoServer oder komponentenspezifische Rollen- und Gruppenmodelle.

Datenräume und Mandanten

Das Datenraumkonzept ist von der Mandantenfähigkeit zu unterscheiden, ergänzt diese aber direkt:

• Mandanten trennen Organisationen oder größere Betriebsbereiche voneinander.
• Datenräume strukturieren innerhalb eines Mandanten die fachlichen Datenbestände und Zugriffe.

In einem mehrmandantenfähigen Betrieb können dadurch sowohl mandantengetrennte Plattformbereiche als auch feinere fachliche Unterteilungen innerhalb eines Mandanten abgebildet werden.

Veredelung von Daten

Ein Datensatz kann zu einem Datenprodukt werden, wenn bestimmte Kriterien erfüllt sind. Dazu gehören insbesondere eine fachliche Beschreibung, ein nachvollziehbarer Transformationsweg, eine klare Verantwortlichkeit und definierte Nutzungs- oder Freigaberegeln.