IAM und Authentifizierung

Verwalten Sie Identitäten, Rollen und Zugriffsgruppen im Bereich System > IAM. Nutzen Sie IAM, um Benutzer sicher in den Arbeitsbereich aufzunehmen, Rechte gezielt zu vergeben und Zugänge nachvollziehbar zu pflegen. Alternativ öffnen Sie die Suche und geben IAM ein.

Benutzer aufnehmen

Workspace unterstützt zwei öffentliche Aufnahmewege:

  • Selbstregistrierung mit E-Mail und Passwort, wenn Ihr Arbeitsbereich diesen Weg freigibt.
  • Einladung durch Administratoren, wenn Benutzer gezielt einem Arbeitsbereich beitreten sollen.

Wählen Sie die Einladung, wenn Sie Rolle, Gruppenzugehörigkeit und Arbeitsbereichszugriff vorab kontrollieren möchten. Prüfen Sie vor dem Versand, ob die E-Mail-Adresse, der Anzeigename, die Rolle und die Zugriffsgruppen stimmen.

Registrierung abschließen

Bei der Registrierung erstellt der Benutzer ein Konto mit E-Mail und Passwort. Danach bestätigt er die E-Mail-Adresse über den zugesendeten Code. Der Code ist 15 Minuten gültig und wird nach drei falschen Eingaben gesperrt. Starten Sie die Registrierung erneut, wenn der Code abgelaufen oder gesperrt ist.

Erst nach erfolgreicher Bestätigung kann der Benutzer den vorgesehenen Arbeitsbereich nutzen. Wenn keine Bestätigung ankommt, prüfen Sie zuerst Spamfilter, die eingetragene E-Mail-Adresse und die Mailkonfiguration Ihres Arbeitsbereichs.

Einladung einlösen

Eingeladene Benutzer öffnen Einladung einlösen und geben Einladungstoken, E-Mail-Adresse und Passwort ein.

Für neue Benutzer entsteht dabei das Konto und die Mitgliedschaft im Arbeitsbereich. Bestehende Benutzer bestätigen mit ihrem Passwort, dass sie die Einladung für die angegebene E-Mail-Adresse einlösen dürfen.

Empfehlen Sie Benutzern, Einladungen zeitnah einzulösen und keine Einladungstokens weiterzugeben.

Passwort zurücksetzen

Benutzer starten den Passwort-Reset über die Anmeldeseite.

Workspace beantwortet die Anfrage bewusst neutral. Dadurch lässt sich aus der Antwort nicht ableiten, ob eine E-Mail-Adresse existiert oder ob ein Konto für den Reset berechtigt ist. Wenn der Reset möglich ist, erhält der Benutzer einen Code per E-Mail und schließt den Vorgang im Browser ab.

Wenn für einen Benutzer ein stärkeres Sicherheitsverfahren greift, kann der normale E-Mail-Reset nicht zur Verfügung stehen. Klären Sie solche Fälle über Ihren internen Supportprozess.

Initiales System-Admin-Passwort lokal zurücksetzen

Setzen Sie das Passwort des initialen System-Admin-Accounts nur direkt auf dem Server oder in einer gleichwertig geschützten Betriebsumgebung zurück. Nutzen Sie dafür keinen API-Endpunkt und schreiben Sie keinen selbst erzeugten Hash manuell in die Datenbank.

Führen Sie den Recovery-Befehl mit einem Passwort aus einem lokalen Secret- oder Passwortmanager aus:

bash
printf '%s\n' "$NEUES_PASSWORT" | numin admin reset-password --password-stdin --email admin@system.nucleus

Der Befehl ist auf den initialen System-Admin begrenzt, ersetzt nur das E-Mail-Credential und widerruft bestehende Browser-Sitzungen sowie Bootstrap-Grants dieser Identität. Er rotiert keine API-Schlüssel. Prüfen Sie API-Schlüssel separat, wenn Sie eine Kompromittierung vermuten.

Rollen pflegen

Öffnen Sie System > IAM > Rollen oder suchen Sie nach Rollen, um Rollen für den Arbeitsbereich zu pflegen.

Nutzen Sie Rollen für:

  • gebündelte Berechtigungen
  • fachliche Administrationsrechte
  • getrennte Lese-, Schreib- und Pflegezugriffe
  • wiederverwendbare Rechteprofile für Teams

Vergeben Sie nur Rechte, die Benutzer für ihre Aufgaben brauchen. Prüfen Sie Rollen regelmäßig und entfernen Sie nicht mehr benötigte Rechte.

Wirkung von Berechtigungsänderungen prüfen

Workspace prüft den aktuellen Berechtigungsstand bei jeder neuen Anfrage. Das gilt für Browser-Sitzungen, API-Schlüssel und verbundene Clients. Änderungen an Rollen, Zugriffsgruppen oder Mitgliedschaften wirken deshalb nach dem erfolgreichen Speichern auch dann, wenn mehrere Workspace-Server laufen.

Prüfen Sie einen Rechteentzug mit einem neuen Aufruf oder einem erneuten Seitenwechsel. Eine bereits begonnene Anfrage kann noch nach dem vorherigen Stand abgeschlossen werden. Benutzer müssen sich für den Sicherheitsentzug nicht abmelden. Die Funktion Berechtigungen aktualisieren bleibt hilfreich, um die sichtbare Oberfläche sofort an den neuen Stand anzupassen.

Setzen Sie ein Profil im betroffenen Arbeitsbereich auf suspended, wenn Sie den Zugang zu genau diesem Arbeitsbereich sperren möchten. Das Benutzerkonto und Zugänge zu anderen aktiven Arbeitsbereichen bleiben dabei erhalten. Wenn Sie die Identität deaktivieren, werden alle Anmeldewege dieser Identität beim nächsten Aufruf abgelehnt.

Zugriffsgruppen nutzen

Öffnen Sie System > IAM > Zugriffsgruppen oder suchen Sie nach Zugriffsgruppen, um Benutzer fachlich zu gruppieren.

Zugriffsgruppen helfen bei:

  • gemeinsamen Freigaben
  • Empfängerkreisen für Aufgaben oder Hinweise
  • Zugriffen auf fachliche Bereiche
  • wiederverwendbaren Gruppen statt einzelner Benutzerzuordnung

Vergeben Sie Gruppen nach Verantwortlichkeit. Vermeiden Sie kurzfristige Einzelfallgruppen, wenn eine Rolle oder bestehende Gruppe den Bedarf bereits abdeckt.

Seitenzielgruppen steuern

Öffnen Sie System > IAM > Seitenzielgruppen oder suchen Sie nach Seitenzielgruppen, wenn Seiten nur für bestimmte Zielgruppen sichtbar sein sollen.

Nutzen Sie Seitenzielgruppen für Bereiche, die nicht jeder Benutzer im Arbeitsbereich sehen soll. Prüfen Sie nach Änderungen mit einem passenden Testkonto, ob die Navigation die erwarteten Seiten zeigt.

Profil-Self-Service berücksichtigen

Benutzer pflegen persönliche Daten in Profil. Dort können sie je nach Einrichtung Anzeigename, Passwort, Avatar, Adressen, Kommunikationsdaten, API-Schlüssel und gespeicherte Client-Einstellungen verwalten.

Widerruft ein Benutzer dort einen API-Schlüssel, akzeptiert Workspace ihn ab der nächsten Anfrage nicht mehr. Behandeln Sie kopierte Schlüsselwerte trotzdem als Geheimnisse und ersetzen Sie einen Schlüssel sofort, wenn sein Wert offengelegt wurde.

Der Profilbereich ist an den aktuellen Arbeitsbereich gebunden. Benutzer sehen nur eigene Self-Service-Daten. Planen Sie Supportprozesse so, dass Benutzer einfache Profilaufgaben selbst erledigen und Administratoren nur bei Zugangs-, Rollen- oder Richtlinienfragen eingreifen.

Wenn Sie zwischen persönlicher Mandantenliste, aktivem Arbeitsbereich und systemweiter Mandantenverwaltung unterscheiden müssen, nutzen Sie Mandanten, Benutzerkonten und Systemsicht. Dort ist die Beziehung zwischen Benutzerkonto, Mitgliedschaft, Profilbindung und System-Mandant erklärt.

Zugriff entziehen

Entziehen Sie eine Mitgliedschaft, wenn eine Person keinen Zugriff auf den Arbeitsbereich mehr benötigt. Die Änderung gilt ab der nächsten Anfrage auf allen Serverknoten. Prüfen Sie danach Rollen, Gruppen und fachliche Zuständigkeiten, damit keine offenen Aufgaben oder Freigaben ohne verantwortliche Person bleiben.

Deaktivieren Sie die Identität, wenn Sie den Zugang vollständig sperren müssen. Workspace widerruft dabei die offenen Browser-Sitzungen, Bootstrap-Zugänge und API-Schlüssel der Identität. Eine einzelne entfernte Mitgliedschaft sperrt dagegen nur den betroffenen Arbeitsbereich.

Prüfen Sie nach dem Entzug mindestens einen Browser-Aufruf und, falls vorhanden, einen API-Schlüssel oder verbundenen Client. Ein widerrufener, abgelaufener oder rotierter Schlüssel darf beim nächsten Aufruf keinen Zugriff mehr erhalten. Verlassen Sie sich dabei nicht auf eine manuelle Cache-Bereinigung.

Dokumentieren Sie Berechtigungsänderungen in Ihrem eigenen Administrationsprozess, wenn Ihr Unternehmen Nachweise über Zugriffsänderungen verlangt.

Grenzen

IAM schützt Zugriffe innerhalb eines Arbeitsbereichs. Es ersetzt keine organisatorische Prüfung, welche Personen Zugang erhalten sollen, welche Rolle fachlich angemessen ist oder welche externen Nachweispflichten Ihr Unternehmen erfüllen muss.