Autorisatiematrix

Dit document beschrijft welke processen of acties autorisatie nodig hebben en welke extra contextcontrole daarbij geldt. Vanaf Feature 11-5 gebruikt OefenHub permission-based RBAC: de historische rolkolommen blijven bruikbaar als leesbare overgangsmatrix, maar de runtime-check gebeurt tegen permissions uit het RBAC-permissieregister.

Permissiongerichte leeswijze

De bestaande tabellen gebruiken nog rolkolommen om snel te zien voor welke gebruikersgroep een actie relevant is. Bij implementatie moet iedere regel echter worden vertaald naar:

1. één of meer permission-codes volgens <resource>.<action>[.<scope>];
2. een optionele domein-/objectcheck;
3. cache-invalidatie wanneer rollen, UserRoles, RolePermissions of accountstatus wijzigen.

Voorbeelden:

Historische actie	Permission	Extra contextcontrole
Leerling-frontpage bekijken	frontpage.view.student	Leerlingrol exclusief; actieve niveaucontext waar vereist.
Docent-frontpage bekijken	frontpage.view.teacher	Frontpageblok bevat alleen geautoriseerde docentreadmodels.
Ouder-/voogd-frontpage bekijken	frontpage.view.guardian	Alleen actieve GuardianStudent-relaties tellen mee.
Beheerder-frontpage bekijken	frontpage.view.administrator	Applicatiebeheercontext; geen recht op role/permission management.
Leerlingresultaten bekijken als docent	student-results.read.assigned	Docent-leerlingrelatie, niveauautorisatie en runscope.
Resultaten van kind bekijken	student-results.read.children	Actieve GuardianStudent-relatie en run hoort bij kind.
Eigen resultaat bekijken	practice-results.read.own	Run is eigen afgeronde run.
Permissioncache gebruiker legen	authorization-cache.invalidate.user	Systeem/admincontract; geen gewone beheerderactie in Feature 11-5.

Tabelstructuur

Actie / command	Leerling	Docent	Ouder/voogd	Beheerder	Extra contextcontrole	Opmerking
Relaties bekijken	Ja	Ja	Ja	Ja	Ingelogde gebruiker; resultaten worden gefilterd op actieve rolcontexten, actieve relaties en zichtbare pending uitnodigingen	Zie UC-GEN-REL-001.
Relatiedetails openklappen	Ja	Ja	Ja	Ja	Gebruiker is betrokken partij bij de relatie of heeft een geldige beheerderscontext	Leest alleen extra contextwaarden; geen datamutatie.
Vriend uitnodigen	Ja	Nee	Nee	Nee	Actieve leerlingcontext, actief relatietype Friendship, geldig e-mailadres, geen actieve identieke relatie en geen openstaande identieke of kruislings conflicterende uitnodiging	Zie UC-GEN-REL-002; vriendschap is leerling-leerling.
Externe OefenHub-uitnodiging voor vriend versturen	Ja	Nee	Nee	Nee	Zelfde controles als vriend uitnodigen, plus onbekend e-mailadres en expliciete bevestiging dat de naam van de uitnodiger wordt gedeeld	Tweede stap in UC-GEN-REL-002 bij een e-mailadres zonder bestaand OefenHub-account.
Ouder/voogd uitnodigen	Ja	Nee	Nee	Nee	Actieve leerlingcontext, actief relatietype GuardianStudent, geldig e-mailadres, geen actieve identieke relatie en geen openstaande identieke of kruislings conflicterende uitnodiging	Zie UC-GEN-REL-003; technische doelrol is Guardian.
Externe OefenHub-uitnodiging voor ouder/voogd versturen	Ja	Nee	Nee	Nee	Zelfde controles als ouder/voogd uitnodigen, plus onbekend e-mailadres en expliciete bevestiging dat de naam van de uitnodiger wordt gedeeld	Tweede stap in UC-GEN-REL-003 bij een e-mailadres zonder bestaand OefenHub-account.
Relatie-uitnodiging accepteren	Ja	Ja, wanneer doelrol docent is	Ja, wanneer doelrol Guardian is	Alleen wanneer doelrol beheerder expliciet ondersteund wordt	Gebruiker is ontvanger van pending uitnodiging; uitnodiging is niet verlopen; doelrol past bij uitnodiging of wordt bewust gekozen/geactiveerd	Zie UC-GEN-REL-005; geen acceptatieconfirmatie.
Relatie-uitnodiging afwijzen	Ja	Ja, wanneer doelrol docent is	Ja, wanneer doelrol Guardian is	Alleen wanneer doelrol beheerder expliciet ondersteund wordt	Gebruiker is ontvanger van pending uitnodiging; uitnodiging is niet verlopen; afwijzen is bevestigd via popup	Zie UC-GEN-REL-005; afwijzen vraagt confirm.
Relatie-uitnodiging koppelen na registratie	Systeem	Systeem	Systeem	Systeem	Openstaande uitnodiging met ToEmail, lege ToUserId, overeenkomend genormaliseerd e-mailadres en geldigheid binnen 7 dagen	Geen gebruikersactie; wordt na registratie of via technische verwerking uitgevoerd.
Systeembericht voor relatie-uitnodiging aanmaken	Systeem	Systeem	Systeem	Systeem	ToUserId is bekend en verwijst naar ontvanger van de uitnodiging	Voor externe uitnodiging pas mogelijk na registratie/koppeling.
Relatie direct ontkoppelen	Ja	Ja	Ja	Ja	Gebruiker is betrokken partij, relatie is actief, relatietype en rolcontext staan directe ontkoppeling toe, bevestigingspopup is bevestigd	Zie UC-GEN-REL-004; soft-deactivatie.
Ontkoppelverzoek indienen	Ja	Ja	Ja	Ja	Gebruiker is betrokken partij, relatie is actief, relatietype staat verzoekflow toe, bevestigingspopup is bevestigd	Vervolgflow moet nog apart worden uitgewerkt wanneer het domein dit nodig heeft.
Relatie handmatig beheren als beheerder	Nee	Nee	Nee	Ja	Expliciete beheerdercontext en geldige beheerflow	Niet onderdeel van generieke relatiepagina.
Berichtenoverzicht bekijken	Ja	Ja	Ja	Ja	Ingelogde gebruiker; alleen eigen SystemMessages en eigen PrivateMessageThreadParticipants zonder DeletedAtUtc	Zie UC-GEN-MSG-001; beheerder ziet hier de eigen mailbox, niet alle mailboxen.
Bericht of privéthread openen	Ja	Ja	Ja	Ja	Systeembericht heeft RecipientUserId = huidige gebruiker of privéthread heeft participantregel voor huidige gebruiker en DeletedAtUtc is null	Zie UC-GEN-MSG-003; openen kan uitsluitend de eigen leesstatus wijzigen.
Systeembericht-vervolgactie openen	Ja	Ja	Ja	Ja	Eigen systeembericht met geldige EntityType + EntityId; gebruiker moet ook rechten hebben op het onderliggende domeinobject	Zie UC-GEN-MSG-003; openen van het systeembericht verwerkt de vervolgactie niet automatisch.
Bericht als gelezen markeren	Ja	Ja	Ja	Ja	Alleen eigen systeembericht of eigen participant-readstate	Server-side controle verplicht; actualiseert ongelezenteller.
Bericht als ongelezen markeren	Ja	Ja	Ja	Ja	Alleen eigen systeembericht of eigen participant-readstate	Server-side controle verplicht; actualiseert ongelezenteller.
Privéberichtthread uit eigen mailbox verwijderen	Ja	Ja	Ja	Ja	Alleen eigen participantregel bij privéthread; niet toegestaan voor systeemberichten	Zie UC-GEN-MSG-005; vult PrivateMessageThreadParticipants.DeletedAtUtc en verwijdert niets voor andere deelnemers.
Systeembericht verwijderen	Nee	Nee	Nee	Nee	Niet toegestaan, ook niet via gemanipuleerd request	Systeemberichten blijven niet-verwijderbaar.
Privébericht opstellen en verzenden	Ja	Ja	Ja	Ja	Privéberichten actief; ontvanger binnen actieve relatie-, vriendschaps- of expliciet toegestane deelnemerscontext; server-side controle op verzendmoment	Zie UC-GEN-MSG-002; willekeurige ontvangers buiten de toegestane context zijn niet toegestaan.
Privéberichtthread beantwoorden	Ja	Ja	Ja	Ja	Eigen participantregel bij beantwoordbare privéthread, DeletedAtUtc is null, privéberichten actief en relatie-/deelnemerscontext nog geldig op verzendmoment	Zie UC-GEN-MSG-004; systeemberichten zijn niet beantwoordbaar.
Melding beheren als beheerder	Nee	Nee	Nee	Ja	Beheerdercontext	Operationele beheerflow.

Actie / command	Leerling	Docent	Ouder/voogd	Beheerder	Extra contextcontrole	Opmerking
Melding indienen	Ja	Ja	Ja	Ja	Ingelogde gebruiker; meldingenfeature actief; alleen eigen melding aanmaken	Zie UC-GEN-TIC-001.
Eigen meldingen bekijken	Ja	Ja	Ja	Ja	Alleen Tickets.CreatedByUserId = huidige gebruiker	Zie UC-GEN-TIC-002.
Eigen meldingdetails bekijken	Ja	Ja	Ja	Ja	Alleen eigen melding; interne beheerinformatie wordt uitgesloten	Zie UC-GEN-TIC-003.
Reageren op eigen melding	Ja	Ja	Ja	Ja	Eigen melding; melding is niet functioneel gesloten; reactie is altijd extern	Zie UC-GEN-TIC-004.
Eigen melding sluiten	Ja	Ja	Ja	Ja	Eigen melding; niet functioneel gesloten; verplichte reden	Zie UC-GEN-TIC-005; gebruikt TicketClosures met ClosedByUser.
Oplossing accepteren	Ja	Ja	Ja	Ja	Eigen melding; actuele sluiting is nog gebruikersgericht Opgelost; niet eerder geaccepteerd of heropend	Zie UC-GEN-TIC-006.
Eigen melding heropenen	Ja	Ja	Ja	Ja	Eigen opgeloste melding; binnen heropentermijn; verplichte toelichting	Zie UC-GEN-TIC-007.
Beheerdersoverzicht meldingen bekijken	Nee	Nee	Nee	Ja	Actieve beheerdercontext	Zie UC-GEN-TIC-008.
Melding openen als beheerder	Nee	Nee	Nee	Ja	Actieve beheerdercontext; alle meldingen zichtbaar volgens beheerflow	Zie UC-GEN-TIC-009.
Beheerder koppelen of ontkoppelen	Nee	Nee	Nee	Ja	Actieve beheerdercontext; ontkoppelen vereist reden; meerdere beheerderkoppelingen toegestaan	Zie UC-GEN-TIC-010.
Extern bericht plaatsen	Nee	Nee	Nee	Ja	Actieve beheerdercontext én actieve behandelcontext; melding mag niet puur New zijn	Zie UC-GEN-TIC-011; eerst koppelen indien nieuw.
Intern bericht plaatsen	Nee	Nee	Nee	Ja	Actieve beheerdercontext; bericht blijft intern zichtbaar	Zie UC-GEN-TIC-012.
Melding oplossen of sluiten als beheerder	Nee	Nee	Nee	Ja	Actieve beheerdercontext én actieve behandelcontext; oplossing/sluitstatus verplicht	Zie UC-GEN-TIC-013; niet rechtstreeks vanuit New.
Melding heropenen als beheerder	Nee	Nee	Nee	Ja	Gesloten melding; verplichte reden; bevestiging	Zie UC-GEN-TIC-014.
Melding doorzetten naar docent	Nee	Nee	Nee	Ja	Actieve beheerdercontext én actieve behandelcontext; gekozen docent moet geldig zijn binnen de meldingcontext	Zie UC-GEN-TIC-015.
Eigen profiel bekijken	Ja	Ja	Ja	Ja	Alleen eigen profiel via sessiecontext	Zie UC-GEN-PROF-001.
Eigen profielgegevens wijzigen	Ja	Ja	Ja	Ja	Alleen eigen applicatieprofiel; e-mail/wachtwoord via identity-providerflow	Zie UC-GEN-PROF-002.
Verplicht niveau instellen	Ja	Ja	Ja	Ja	Alleen eigen profiel; niveau moet geldig en selecteerbaar zijn	Zie UC-GEN-PROF-003.
Profielfoto kiezen	Ja	Ja	Ja	Ja	Alleen eigen profiel; gekozen profielafbeelding moet vooraf gedefinieerd en actief zijn	Zie UC-GEN-PROF-004.
Toegankelijkheidsinstellingen beheren	Ja	Ja	Ja	Ja	Alleen eigen instellingen; toegankelijkheidsfeature actief	Zie UC-GEN-PROF-005.
Toegankelijkheid-cookie synchroniseren	Systeem	Systeem	Systeem	Systeem	Alleen technische toegankelijkheidswaarden; profielinstellingen blijven leidend na login	Zie UC-GEN-PROF-006.
Voorkeuren beheren	Ja	Ja	Ja	Ja	Alleen eigen voorkeuren; sleutel/type/rolcontext moet toegestaan zijn	Zie UC-GEN-PROF-007.
Systeemnotificatie tonen	Ja	Ja	Ja	Ja	Doelgroep, tijdvenster, feature- en displayregelcontrole; ook publieke bezoekers indien AudienceType = Public	Zie UC-GEN-NOT-001.
Systeemnotificatie sluiten	Ja	Ja	Ja	Ja	Alleen actuele getoonde notificatie; geen beheerrecht nodig	Zie UC-GEN-NOT-002.
Eenmalige systeemnotificatie verwerken	Systeem	Systeem	Systeem	Systeem	Browsermarker voor OncePerBrowser; geen persoonsgegevens of autorisatiedata	Zie UC-GEN-NOT-003.

Actie / command	Leerling	Docent	Ouder/voogd	Beheerder	Extra contextcontrole	Opmerking
Inloggen via identity provider	Ja	Ja	Ja	Ja	Externe identity-providerflow beschikbaar; OefenHub valideert daarna server-side de applicatiecontext	OefenHub verwerkt geen wachtwoordvalidatie.
Intern account provisionen	Systeem	Systeem	Systeem	Systeem	Alleen na succesvolle identity-providerlogin en wanneer geen Users-record met dezelfde ExternalId bestaat	Zie UC-GEN-ACC-001; idempotent en transactioneel.
Bestaande sessie verwerken	Systeem	Systeem	Systeem	Systeem	Geldige identity-providercontext, precies één intern account, Users.IsActive = true	Zie UC-GEN-ACC-002; bepaalt rollen en frontendcontext server-side.
Toegang weigeren bij gedeactiveerd account	Systeem	Systeem	Systeem	Systeem	Verplicht wanneer Users.IsActive = false	Ook bij geldige identity-providerlogin.
Rollen en frontendcontext bepalen na login	Systeem	Systeem	Systeem	Systeem	Alleen actieve UserRoles en actieve Roles; clientstate is niet leidend	Zie UC-GEN-ACC-002 en UC-GEN-ACC-003.
Beperkte context zonder rol tonen	Systeem	Systeem	Systeem	Systeem	Geauthenticeerd actief account zonder bruikbare actieve rolcontext	Geen toegang tot reguliere rolgebonden domeinfunctionaliteit.
Ontbrekende verplichte context doorleiden	Systeem	Systeem	Systeem	Systeem	Verplichte profiel- of niveaucontext ontbreekt	Doorleiding naar bestaande profiel- of niveauflow; geen automatische aanname.
Pending uitnodigingen koppelen na provisioning	Systeem	Systeem	Systeem	Systeem	Geldig intern Users.Id, genormaliseerd e-mailadres en openstaande geldige uitnodiging	Vult RelationshipInvitations.ToUserId; accepteert de uitnodiging niet.
Systeembericht voor gekoppelde uitnodiging aanmaken	Systeem	Systeem	Systeem	Systeem	ToUserId bestaat en uitnodiging is gekoppeld	SystemMessages.EntityType = RelationshipInvitation.
Eigen accountverwijdering starten	Ja	Ja	Ja	Ja	Ingelogde gebruiker; alleen eigen account; accountverwijdering beschikbaar	Zie UC-GEN-ACC-004.
Eigen accountverwijdering definitief bevestigen	Ja	Ja	Ja	Ja	Eigen account, geldige sessie, expliciete bevestiging via popup en eventuele opvolgerkeuzes voltooid	Leidt naar anonimiseer- en opruimflow.
Account anonimiseren en afhankelijke toegang opruimen	Systeem	Systeem	Systeem	Systeem	Geautoriseerde verwijdertrigger; precies één intern account; lifecycle-logging beschikbaar	Zie UC-GEN-ACC-005.
Niveau-opvolger kiezen bij eigen accountverwijdering	Nee	Ja	Nee	Ja	Alleen wanneer de verwijderende gebruiker eigenaar is van niveaus met meerdere actieve collaborators	Opvolger moet actieve collaborator zijn; beheerderkolom alleen wanneer beheerflow later dezelfde backendflow gebruikt.
Uitloggen	Ja	Ja	Ja	Ja	Geldige of al verlopen eigen OefenHub-sessiecontext	Zie UC-GEN-ACC-006; idempotent.
Beveiligde route na logout openen	Nee	Nee	Nee	Nee	Geen geldige applicatiesessie	Routeguard leidt naar login of publieke context.

Actie / autorisatiepunt	Rolcontext	Regel / contextcontrole
Leerling-frontpage bekijken	Leerling	Toegestaan voor actieve leerlingrol; frontpageblokken worden server-side uit actieve niveaucontext samengesteld.
Beschikbare categorieën en oefeningen bekijken	Leerling	Alleen binnen actieve niveaucontext en geldige toegang.
Oefening openen of starten	Leerling	Alleen wanneer oefening, categorie, niveau en autorisatie op dat moment geldig zijn.
Oefening hervatten	Leerling	Alleen voor eigen niet-afgeronde run binnen geldige context.
Vraag beantwoorden	Leerling	Alleen binnen eigen actieve run.
Resultaat en geschiedenis bekijken	Leerling	Alleen eigen afgeronde runs of ontvangen gedeelde runs waar toegang toe bestaat.
Oefening delen met vriend	Leerling	Alleen bij actieve vriendschap, toegestane deelfunctionaliteit en deelbare afgeronde run.
Ontvangen gedeelde oefening starten	Leerling	Alleen voor eigen ontvangen shared-record dat niet verwijderd of geblokkeerd is.
Docent-frontpage bekijken	Docent	Toegestaan voor actieve docentrol; inhoud wordt server-side samengesteld.
Oefenaanbod en niveau bekijken	Docent	Alleen binnen eigen eigenaar- of collaboratorcontext en toegankelijke open context.
Niveau aanmaken	Docent	Toegestaan voor actieve docentrol; aanmaker wordt eigenaar.
Niveaukerngegevens wijzigen	Docent	Alleen eigenaar of expliciet bevoegde beheerflow.
Categorie aan niveau koppelen	Docent	Alleen binnen bevoegd niveau; centrale categorie blijft bron.
Oefening aanmaken of configureren	Docent	Alleen eigenaar of actieve collaborator met bewerkrecht binnen niveau.
Oefening activeren of in onderhoud zetten	Docent	Alleen bevoegd binnen niveau; server-side validatie verplicht.
Oefening testen	Docent	Alleen binnen bevoegde docentcontext; testrun wordt niet permanent als leerlingresultaat opgeslagen.
Collaborator beheren	Docent	Alleen eigenaar van het niveau of expliciet bevoegde beheerflow.
Eigenaarschap overdragen	Docent	Alleen huidige eigenaar; doel moet actieve collaborator zijn en reden is verplicht.
Leerlingenoverzicht bekijken	Docent	Alleen eigen docent-leerlingcontext; geen inzage in andere docentrelaties.
Niveauautorisaties beheren	Docent	Alleen voor leerlingen met actieve docent-leerlingrelatie binnen eigen context.
Leerlingresultaten bekijken	Docent	Alleen resultaten binnen door deze docent geautoriseerde niveaus.
Live meekijken starten	Docent	Alleen bij actieve run binnen eigen docentcontext en niveauautorisatie.

Invulregels

Onderwerp	Regel
Ja/Nee is niet genoeg	Vul altijd de extra contextcontrole in.
Meerdere rollen	Beschrijf gedrag bij effectieve permissions; aanwezigheid van een rol is niet voldoende.
Backend leidend	De matrix beschrijft server-side permission- en contextautorisatie, niet alleen frontend-zichtbaarheid.
Systeemacties	Gebruik Systeem wanneer een proces niet door een gebruikersrol wordt gestart maar wel autorisatie- of contextregels kent.
Nog open ontwerpkeuze	Wanneer doelrolkeuze tijdens acceptatie wordt aangepast, leg de impact vast in het relevante usecase-, ontwerpbron- of besluitenregister.

Beheerder- en ouder-/voogdcontexten

Actie / command	Leerling	Docent	Ouder/voogd	Beheerder	Extra contextcontrole	Opmerking
Beheerder-frontpage bekijken	Nee	Nee	Nee	Ja	Actieve beheerdersrol; gecombineerde rollen krijgen beheerderprioriteit	Zie UC-BEH-FP-001 en UC-BEH-FP-002.
Beheersamenvattingen tonen	Nee	Nee	Nee	Ja	Alleen afgeleide readmodelwaarden; geen detaildata buiten beheercontext	Zie UC-BEH-FP-003.
Recente beheerwijzigingen tonen	Nee	Nee	Nee	Ja	Alleen beheerlogregels die binnen beheercontext zichtbaar zijn	Zie UC-BEH-FP-004.
Site Instellingen-hub openen	Nee	Nee	Nee	Ja	Actieve beheerdersrol; hub voert geen mutaties uit	Zie UC-BEH-SITE-001.
Frontpagecontent beheren	Nee	Nee	Nee	Ja	Bestaande context en contentblok; layout codegedreven	Zie UC-BEH-FRONT-*.
Handige links en vaste pagina’s beheren	Nee	Nee	Nee	Ja	Geldige URL-/footer-/pagina-context; server-side validatie	Zie UC-BEH-LINKS-*.
Popupdefinitie beheren	Nee	Nee	Nee	Ja	Bestaande popupkey; technische velden read-only	Zie UC-BEH-POP-*.
Systeemberichttemplate beheren	Nee	Nee	Nee	Ja	Bestaande templatekey; referentie en technische actie read-only	Zie UC-BEH-SYSMSG-*.
Featuretoggle wijzigen	Nee	Nee	Nee	Ja	Bestaande featuretoggle; reden en audit verplicht	Zie UC-BEH-FEAT-002.
Systeemnotificatie beheren	Nee	Nee	Nee	Ja	Geldige doelgroep, tijdvenster en displayregel	Zie UC-BEH-FEAT-003 t/m UC-BEH-FEAT-008.
Systeeminstelling wijzigen	Nee	Nee	Nee	Ja	Bestaande sleutel, passend datatype en invoervorm, audit verplicht	Zie UC-BEH-SET-002 en UC-BEH-SET-005.
Beheerlog raadplegen	Nee	Nee	Nee	Ja	Alleen beheercontext; filtering wijzigt geen auditdata	Zie UC-BEH-SET-006 en UC-BEH-SET-007.
Centrale categorie beheren	Nee	Nee	Nee	Ja	Bestaande centrale categorie; status-/migratieregels server-side afgedwongen	Zie UC-BEH-CAT-*.
Technische module beheren	Nee	Nee	Nee	Ja	Bestaand ExerciseModules-record; migratievoorwaarden server-side gecontroleerd	Zie UC-BEH-MOD-*.
Docentondersteuning uitvoeren	Nee	Nee	Nee	Ja	Eén geselecteerde docentcontext; supportflow mag centraal categorie-/modulebeheer niet dupliceren	Zie UC-BEH-DOCSUP-*.
Accountbeheer uitvoeren	Nee	Nee	Nee	Ja	Beheerdercontext; identity-providercredentials blijven buiten scope	Zie UC-BEH-ACC-*.
Ouder-/voogd-frontpage bekijken	Nee	Nee	Ja	Ja, bij gecombineerde rol als afgeleid blok	Actieve ouder-/voogdrol en minimaal toegestane context	Zie UC-OVG-FP-*.
Kinderenoverzicht bekijken	Nee	Nee	Ja	Ja, alleen via expliciete beheer-/supportcontext	Actieve ouder-/voogdrelatie met zichtbaar kind	Zie UC-OVG-KIND-001.
Kindinformatie bekijken	Nee	Nee	Ja	Ja, alleen via expliciete beheer-/supportcontext	Actieve ouder-/voogdrelatie met geselecteerd kind	Zie UC-OVG-KIND-004.
Kind ontkoppelen als ouder/voogd	Nee	Nee	Ja	Ja, alleen via expliciete beheer-/supportcontext	Actieve GuardianStudent-relatie; bevestiging en audit	Zie UC-OVG-KIND-005.
Resultaten van kind bekijken	Nee	Nee	Ja	Ja, alleen via expliciete beheer-/supportcontext	Actieve ouder-/voogdrelatie; alle niveaus van gekoppeld kind toegestaan	Zie UC-OVG-RES-*.
Live meekijken met kind	Nee	Nee	Ja	Nee	Actieve ouder-/voogdrelatie; kind heeft actieve oefenrun; read-only	Zie UC-OVG-LIVE-*.
Resultaat als PDF downloaden binnen oudercontext	Nee	Nee	Ja	Ja, alleen via expliciete beheer-/supportcontext	Actieve ouder-/voogdrelatie; run is afgerond en hoort bij gekoppeld kind; export is read-only	Zie UC-OVG-RES-006.
Oude ouder-/voogdresultaatroute openen zonder relatie	Nee	Nee	Nee	Ja, alleen via beheer-/supportcontext	Zonder actieve ouder-/voogdrelatie wordt geen resultaatdata vrijgegeven, ook niet via RunId of oude route	Zie UC-OVG-RES-007.
Ouder-/voogd livebeschikbaarheid bepalen	Nee	Nee	Ja	Nee	Actieve ouder-/voogdrelatie, actieve live-feature en actieve run; knopstatus is geen autorisatiebron	Zie UC-OVG-LIVE-002.
Ouder-/voogd livevraag bekijken of bladeren	Nee	Nee	Ja	Nee	Open live sessie met actuele ouder-/voogdrelatie; read-only; vraagindex binnen run	Zie UC-OVG-LIVE-004 t/m UC-OVG-LIVE-006.