IAM und Authentifizierung

Verwalten Sie Identitäten, Rollen und Zugriffsgruppen im Bereich System > IAM. Nutzen Sie IAM, um Benutzer sicher in den Arbeitsbereich aufzunehmen, Rechte gezielt zu vergeben und Zugänge nachvollziehbar zu pflegen. Alternativ öffnen Sie die Suche und geben IAM ein.

Benutzer aufnehmen

Workspace unterstützt zwei öffentliche Aufnahmewege:

  • Selbstregistrierung mit E-Mail und Passwort, wenn Ihr Arbeitsbereich diesen Weg freigibt.
  • Einladung durch Administratoren, wenn Benutzer gezielt einem Arbeitsbereich beitreten sollen.

Wählen Sie die Einladung, wenn Sie Rolle, Gruppenzugehörigkeit und Arbeitsbereichszugriff vorab kontrollieren möchten. Prüfen Sie vor dem Versand, ob die E-Mail-Adresse, der Anzeigename, die Rolle und die Zugriffsgruppen stimmen.

Registrierung abschließen

Bei der Registrierung erstellt der Benutzer ein Konto mit E-Mail und Passwort. Danach bestätigt er die E-Mail-Adresse über den zugesendeten Code. Der Code ist 15 Minuten gültig und wird nach drei falschen Eingaben gesperrt. Starten Sie die Registrierung erneut, wenn der Code abgelaufen oder gesperrt ist.

Erst nach erfolgreicher Bestätigung kann der Benutzer den vorgesehenen Arbeitsbereich nutzen. Wenn keine Bestätigung ankommt, prüfen Sie zuerst Spamfilter, die eingetragene E-Mail-Adresse und die Mailkonfiguration Ihres Arbeitsbereichs.

Einladung einlösen

Eingeladene Benutzer öffnen Einladung einlösen und geben Einladungstoken, E-Mail-Adresse und Passwort ein.

Für neue Benutzer entsteht dabei das Konto und die Mitgliedschaft im Arbeitsbereich. Bestehende Benutzer bestätigen mit ihrem Passwort, dass sie die Einladung für die angegebene E-Mail-Adresse einlösen dürfen.

Empfehlen Sie Benutzern, Einladungen zeitnah einzulösen und keine Einladungstokens weiterzugeben.

Passwort zurücksetzen

Benutzer starten den Passwort-Reset über die Anmeldeseite.

Workspace beantwortet die Anfrage bewusst neutral. Dadurch lässt sich aus der Antwort nicht ableiten, ob eine E-Mail-Adresse existiert oder ob ein Konto für den Reset berechtigt ist. Wenn der Reset möglich ist, erhält der Benutzer einen Code per E-Mail und schließt den Vorgang im Browser ab.

Wenn für einen Benutzer ein stärkeres Sicherheitsverfahren greift, kann der normale E-Mail-Reset nicht zur Verfügung stehen. Klären Sie solche Fälle über Ihren internen Supportprozess.

Initiales System-Admin-Passwort lokal zurücksetzen

Setzen Sie das Passwort des initialen System-Admin-Accounts nur direkt auf dem Server oder in einer gleichwertig geschützten Betriebsumgebung zurück. Nutzen Sie dafür keinen API-Endpunkt und schreiben Sie keinen selbst erzeugten Hash manuell in die Datenbank.

Führen Sie den Recovery-Befehl mit einem Passwort aus einem lokalen Secret- oder Passwortmanager aus:

bash
printf '%s\n' "$NEUES_PASSWORT" | numin admin reset-password --password-stdin --email admin@system.nucleus

Der Befehl ist auf den initialen System-Admin begrenzt, ersetzt nur das E-Mail-Credential und widerruft bestehende Browser-Sitzungen sowie Bootstrap-Grants dieser Identität. Er rotiert keine API-Schlüssel. Prüfen Sie API-Schlüssel separat, wenn Sie eine Kompromittierung vermuten.

Rollen pflegen

Öffnen Sie System > IAM > Rollen oder suchen Sie nach Rollen, um Rollen für den Arbeitsbereich zu pflegen.

Nutzen Sie Rollen für:

  • gebündelte Berechtigungen
  • fachliche Administrationsrechte
  • getrennte Lese-, Schreib- und Pflegezugriffe
  • wiederverwendbare Rechteprofile für Teams

Die Rollenliste kann neben den Rollen Ihres Arbeitsbereichs auch globale Systemrollen zeigen. Solche Systemrollen erklärt Workspace in der Detailansicht, sie bleiben aber schreibgeschützt und erscheinen nicht in den Auswahlfeldern für Benutzer, Zugriffsgruppen oder automatische Aufnahmewege. Für diese Zuweisungen stehen nur lokale Rollen des aktuellen Arbeitsbereichs zur Verfügung. Im System-Arbeitsbereich gilt dieselbe Trennung: Dort angelegte lokale Rollen sind zuweisbar, globale Systemrollen nicht.

Die Mitgliedschaft eines Benutzers kann eine direkte Rolle tragen. Weitere Rollen können über Zugriffsgruppen hinzukommen. Workspace vereinigt die Berechtigungen aller direkten und geerbten Rollen. Dabei gibt es keine verneinenden Rechte: Eine zusätzliche Rolle schränkt vorhandene Rechte nicht ein, sondern kann sie nur erweitern.

Vergeben Sie deshalb nur Rechte, die Benutzer für ihre Aufgaben brauchen. Prüfen Sie Rollen regelmäßig und entfernen Sie nicht mehr benötigte Rechte. Der Rollenname allein reicht für diese Prüfung nicht aus.

Direkte und effektive Rechte unterscheiden

Öffnen Sie die betreffende Person und wechseln Sie zum Tab Berechtigungen. Der Tab unterscheidet:

  • die direkt über die Mitgliedschaft zugewiesene Rolle,
  • effektive Rollen aus direkter Zuweisung und Zugriffsgruppen,
  • effektive Scopes und ihre jeweilige Herkunft.

Ein Scope ist die technische Berechtigung für eine bestimmte Aktion, zum Beispiel das Lesen oder Ändern einer Ressource. Ein Eintrag wie <ressource>:* umfasst alle Aktionen dieser Ressource; * umfasst alle Scopes. Vergeben Sie solche Wildcards nur, wenn der Aufgabenbereich sie tatsächlich erfordert.

Rollen- und Scope-Informationen sind selbst geschützt. Benutzer können ihre eigenen effektiven Rechte sehen. Die Rechte anderer Personen sehen nur berechtigte Administratoren, Einladende oder zuständige Manager.

Wirkung von Berechtigungsänderungen prüfen

Workspace prüft den aktuellen Berechtigungsstand bei jeder neuen Anfrage. Das gilt für Browser-Sitzungen, API-Schlüssel und verbundene Clients. Änderungen an Rollen, Zugriffsgruppen oder Mitgliedschaften wirken deshalb nach dem erfolgreichen Speichern auch dann, wenn mehrere Workspace-Server laufen.

Prüfen Sie einen Rechteentzug mit einem neuen Aufruf oder einem erneuten Seitenwechsel. Eine bereits begonnene Anfrage kann noch nach dem vorherigen Stand abgeschlossen werden. Benutzer müssen sich für den Sicherheitsentzug nicht abmelden. Die Funktion Berechtigungen aktualisieren bleibt hilfreich, um die sichtbare Oberfläche sofort an den neuen Stand anzupassen. Sie ist keine Voraussetzung für den serverseitigen Rechteentzug.

Setzen Sie ein Profil im betroffenen Arbeitsbereich auf suspended, wenn Sie den Zugang zu genau diesem Arbeitsbereich sperren möchten. Das Benutzerkonto und Zugänge zu anderen aktiven Arbeitsbereichen bleiben dabei erhalten. Wenn Sie die Identität deaktivieren, werden alle Anmeldewege dieser Identität beim nächsten Aufruf abgelehnt.

Zugriffsgruppen nutzen

Öffnen Sie System > IAM > Zugriffsgruppen oder suchen Sie nach Zugriffsgruppen, um Benutzer fachlich zu gruppieren.

Zugriffsgruppen helfen bei:

  • gemeinsamen Freigaben
  • Empfängerkreisen für Aufgaben oder Hinweise
  • Zugriffen auf fachliche Bereiche
  • wiederverwendbaren Gruppen statt einzelner Benutzerzuordnung

Eine Zugriffsgruppe kann eine Rolle tragen. Mitglieder erhalten deren Scopes zusätzlich zu ihrer direkten Rolle. Bei verschachtelten Gruppen erben Mitglieder einer Untergruppe außerdem die Rollen der übergeordneten Gruppen. Prüfen Sie deshalb immer die gesamte Gruppenkette.

Die Rechte Lesen, Schreiben, Verwalten oder Owner an einer Zugriffsgruppe steuern die Verwaltung der Gruppe. Sie sind nicht mit der Rolle gleichzusetzen, die Mitglieder aus dieser Gruppe erben. Auch ein Gruppen-Owner darf keine Rolle mit weitergehenden Scopes vergeben, als er im Arbeitsbereich selbst besitzt.

Vergeben Sie Gruppen nach Verantwortlichkeit. Vermeiden Sie kurzfristige Einzelfallgruppen, wenn eine Rolle oder bestehende Gruppe den Bedarf bereits abdeckt. Verwenden Sie Zugriffsgruppen für interne Zugriffs- und Arbeitskontexte; Kundengruppen und Personensegmente haben andere Aufgaben.

Seitenzielgruppen steuern

Öffnen Sie System > IAM > Seitenzielgruppen oder suchen Sie nach Seitenzielgruppen, wenn Seiten nur für bestimmte Zielgruppen sichtbar sein sollen.

Nutzen Sie Seitenzielgruppen für Bereiche, die nicht jeder Benutzer im Arbeitsbereich sehen soll. Prüfen Sie nach Änderungen mit einem passenden Testkonto, ob die Navigation die erwarteten Seiten zeigt.

Eine Seitenzielgruppe schränkt eine mandantengebundene Site-Page zusätzlich ein. Sie ersetzt weder die Mitgliedschaft noch die erforderlichen Scopes. Wie Entwickler den access-Block und tenantAudienceKey in einer Page verbinden, steht in Seitenzugriff konfigurieren.

Profil-Self-Service berücksichtigen

Benutzer pflegen persönliche Daten in Profil. Dort können sie je nach Einrichtung Anzeigename, Passwort, Avatar, Adressen, Kommunikationsdaten, API-Schlüssel und gespeicherte Client-Einstellungen verwalten.

Widerruft ein Benutzer dort einen API-Schlüssel, akzeptiert Workspace ihn ab der nächsten Anfrage nicht mehr. Behandeln Sie kopierte Schlüsselwerte trotzdem als Geheimnisse und ersetzen Sie einen Schlüssel sofort, wenn sein Wert offengelegt wurde.

Ein API-Schlüssel kann nur einen Teil der aktuell effektiven Rechte seines Benutzers verwenden. Entfernen Sie eine Rolle, eine Gruppenmitgliedschaft oder einen Scope, verliert auch der Schlüssel dieses Recht beim nächsten Aufruf. Ein im Schlüssel gespeicherter Scope kann den Entzug nicht umgehen.

Der Profilbereich ist an den aktuellen Arbeitsbereich gebunden. Benutzer sehen nur eigene Self-Service-Daten. Planen Sie Supportprozesse so, dass Benutzer einfache Profilaufgaben selbst erledigen und Administratoren nur bei Zugangs-, Rollen- oder Richtlinienfragen eingreifen.

Wenn Sie zwischen persönlicher Mandantenliste, aktivem Arbeitsbereich und systemweiter Mandantenverwaltung unterscheiden müssen, nutzen Sie Mandanten, Benutzerkonten und Systemsicht. Dort ist die Beziehung zwischen Benutzerkonto, Mitgliedschaft, Profilbindung und System-Mandant erklärt.

Zugriff entziehen

Entziehen Sie eine Mitgliedschaft, wenn eine Person keinen Zugriff auf den Arbeitsbereich mehr benötigt. Die Änderung gilt ab der nächsten Anfrage auf allen Serverknoten. Prüfen Sie danach Rollen, Gruppen und fachliche Zuständigkeiten, damit keine offenen Aufgaben oder Freigaben ohne verantwortliche Person bleiben.

Deaktivieren Sie die Identität, wenn Sie den Zugang vollständig sperren müssen. Workspace widerruft dabei die offenen Browser-Sitzungen, Bootstrap-Zugänge und API-Schlüssel der Identität. Eine einzelne entfernte Mitgliedschaft sperrt dagegen nur den betroffenen Arbeitsbereich.

Prüfen Sie nach dem Entzug mindestens einen Browser-Aufruf und, falls vorhanden, einen API-Schlüssel oder verbundenen Client. Ein widerrufener, abgelaufener oder rotierter Schlüssel darf beim nächsten Aufruf keinen Zugriff mehr erhalten. Verlassen Sie sich dabei nicht auf eine manuelle Cache-Bereinigung.

Dokumentieren Sie Berechtigungsänderungen in Ihrem eigenen Administrationsprozess, wenn Ihr Unternehmen Nachweise über Zugriffsänderungen verlangt.

Grenzen

IAM schützt Zugriffe innerhalb eines Arbeitsbereichs. Es ersetzt keine organisatorische Prüfung, welche Personen Zugang erhalten sollen, welche Rolle fachlich angemessen ist oder welche externen Nachweispflichten Ihr Unternehmen erfüllen muss.