Organisationen verwalten

Organisationen in Auris bieten B2B-Multi-Tenancy innerhalb eines einzigen Auris-Tenants. Sie ermöglichen es, Benutzer in separate Entitäten zu gruppieren — jede repräsentiert ein Kundenunternehmen, Team oder Geschäftsbereich — mit eigenen Mitgliederrollen, Einladungsworkflows und Enterprise-SSO-Konfiguration.

Organisationen sind geeignet, wenn dein Produkt an andere Unternehmen verkauft wird, von denen jedes seine eigenen Benutzer verwaltet und möglicherweise isolierte Zugriffskontrolle oder SSO-Verbund benötigt.

Übersicht

Jede Organisation in Auris hat:

• Einen Namen und optionalen Anzeigenamen, der in der Benutzeroberfläche und E-Mails verwendet wird
• Eine Liste von Mitgliedern, denen jeweils eine von vier Rollen zugewiesen ist
• Ein Einladungssystem zum Onboarding neuer Mitglieder per E-Mail
• Optionale Enterprise-SSO-Verbindungen (SAML 2.0 oder OIDC) für domänenbasierte föderierte Anmeldung

Organisationen erzwingen keine Datenisolation auf Speicherebene — alle Benutzer existieren im selben Auris-Tenant. Was Organisationen bieten, ist Mitgliedschaftskontext (zu welcher Organisation ein Benutzer gehört, in welcher Rolle) und SSO-Routing (welcher Identity Provider für eine bestimmte E-Mail-Domain zu verwenden ist).

Organisationsliste

Gehe zu Konsole → Organisationen, um alle Organisationen in deinem Tenant anzuzeigen.

Die Liste zeigt:

Verwende das Feld Suche, um Organisationen nach Name zu filtern. Die Liste paginiert mit 25 Organisationen pro Seite.

Eine Organisation erstellen

Organisationsdetailseite

Die Organisationsdetailseite ist in vier Tabs organisiert: Details, Mitglieder, Einladungen und Enterprise SSO.

Tab „Details”

Der Tab „Details” zeigt die aktuelle Konfiguration der Organisation und ermöglicht die Bearbeitung.

Bearbeitbare Felder

• Anzeigename
• Beschreibung
• Metadaten (beliebige Schlüssel-Wert-Paare, die über die API gelesen und in Token eingebettet werden können)

Klicke nach Änderungen auf Speichern.

Organisation löschen

Am unteren Rand des Details-Tabs klickst du auf Organisation löschen, um die Organisation dauerhaft zu entfernen. Ein Bestätigungsdialog erfordert, dass du den Organisationsnamen eintippst, bevor du fortfährst.

Tab „Mitglieder”

Der Tab „Mitglieder” zeigt alle aktuellen Mitglieder der Organisation in einer Tabelle.

Mitgliederrollen

Jedes Mitglied hat genau eine Organisationsrolle. Rollen bestimmen, was das Mitglied innerhalb der Organisation über die Auris API und Konsole verwalten kann:

Hinweis: In jeder Organisation muss immer mindestens ein OWNER vorhanden sein. Du kannst die Rolle des letzten OWNERs nicht ändern oder ihn aus der Organisation entfernen.

Ein Mitglied hinzufügen

1. Klicke auf Mitglied hinzufügen
2. Gib die Auris-Benutzer-ID oder E-Mail-Adresse des Benutzers ein
3. Wähle seine initiale Rolle
4. Klicke auf Hinzufügen

Der Benutzer wird sofort zur Organisation hinzugefügt. Bei direktem Hinzufügen von Mitgliedern wird keine E-Mail-Benachrichtigung gesendet — verwende den Einladungsablauf, wenn du eine E-Mail senden möchtest.

Die Rolle eines Mitglieds ändern

1. Klicke auf den Rollen-Badge oder das Optionsmenü (...) in der Mitgliederzeile
2. Wähle Rolle ändern
3. Wähle die neue Rolle
4. Bestätigen

Die Rollenänderung tritt sofort in Kraft. Die nächste Token-Aktualisierung des Benutzers enthält die aktualisierte Organisationsrolle.

Ein Mitglied entfernen

1. Klicke auf das Optionsmenü (...) in der Mitgliederzeile
2. Klicke auf Entfernen
3. Bestätigen im Dialog

Der Benutzer behält sein Auris-Konto, verliert aber seine Mitgliedschaft in dieser Organisation.

Tab „Einladungen”

Der Tab „Einladungen” zeigt alle ausstehenden (noch nicht angenommenen) Einladungen für diese Organisation.

Eine Einladung senden

Lebenszyklus der Einladung

• Einladungen sind 7 Tage ab Sendezeitpunkt gültig
• Jeder Einladungslink ist einmalig verwendbar
• Wenn die eingeladene E-Mail bereits zu einem Auris-Benutzer gehört, wird er bei Annahme direkt zur Organisation hinzugefügt
• Wenn die eingeladene E-Mail kein Auris-Konto hat, fordert der Annahmeablauf den Benutzer auf, sich zuerst zu registrieren
• Abgelaufene Einladungen bleiben im Tab „Einladungen” mit einem „Abgelaufen”-Status-Badge sichtbar und können erneut gesendet werden

Erneut senden und stornieren

Tab „Enterprise SSO”

Der Tab „Enterprise SSO” verwaltet Identity-Provider-Verbindungen für diese spezifische Organisation. Wenn eine SSO-Verbindung aktiv ist, werden Benutzer, die sich mit einer E-Mail-Adresse anmelden, die zur konfigurierten Domain passt, automatisch zum SSO-Anbieter der Organisation weitergeleitet anstatt zum Standardanmeldeformular.

Dieser Tab unterstützt das Erstellen und Verwalten von SAML 2.0- und OIDC-Verbindungen.

Wie domänenbasiertes SSO-Routing funktioniert

Wenn ein Benutzer seine E-Mail-Adresse auf der gehosteten Login-Seite eingibt, prüft Auris, ob der Domainanteil einer konfigurierten SSO-Verbindung einer Organisation entspricht. Wenn eine Übereinstimmung gefunden wird und die Verbindung aktiv ist, wird der Benutzer zum Identity Provider der Organisation weitergeleitet anstatt zum Auris-Anmeldeformular.

Dies wird als Home Realm Discovery oder domänenbasierte SSO-Erkennung bezeichnet.

Eine SSO-Verbindung erstellen

Typ:   TXT
Name:  _auris-domain-verify.[ihredomain.com]
Wert:  auris-verify=[verifizierungs-token]

Verbindungsstatus

Just-In-Time-Benutzerbereitstellung

Wenn sich ein Benutzer zum ersten Mal über SSO authentifiziert, erstellt Auris automatisch ein Auris-Benutzerkonto mit den vom IdP zurückgegebenen Identitätsdaten (E-Mail, Name, usw.) und fügt ihn zur Organisation hinzu. Dies wird als Just-In-Time (JIT)-Bereitstellung bezeichnet.

Bei nachfolgenden Anmeldungen wird das vorhandene Konto verwendet. Du musst keine Benutzerkonten für SSO-Benutzer vorab erstellen.

Für vollständige SSO-Implementierungsdetails siehe Enterprise SSO.

Organisationskontext in Token

Wenn ein Benutzer Mitglied einer oder mehrerer Organisationen ist, enthält sein Access Token einen org_id-Anspruch, der seinen aktuellen Organisationskontext identifiziert. Anwendungen können diesen Anspruch verwenden, um organisationsbezogene Zugriffskontrolle anzuwenden.

{
  "sub": "user_id_here",
  "email": "[email protected]",
  "roles": ["member"],
  "org_id": "org_abc123",
  "org_role": "ADMIN"
}

Bei Multi-Organisations-Benutzern spiegelt der Token den Organisationskontext der aktuellen Sitzung wider. Benutzer können den Organisationskontext wechseln, indem sie einen neuen Anmeldeablauf mit dem Parameter organization initiieren.

Zugehörige Anleitungen

• Enterprise SSO (SAML 2.0 + OIDC) — Vollständiger SSO-Konfigurationsleitfaden einschließlich IdP-seitiger Einrichtung für gängige Anbieter
• SCIM-Provisionierung — Automatisierte Benutzerlebenszyklus-Synchronisierung für Organisationen
• Organisations-API — Organisationen programmatisch verwalten
• Feingranulare Autorisierung für Organisationen — Objektebenenbasierte Zugriffskontrolle innerhalb von Organisationen