B2B Multi-Tenant-Organisationen

Das Organisations-System ermöglicht B2B-Mehrmandantenfähigkeit in Auris. Jede Organisation repräsentiert eine Kundeneinheit — ein Unternehmen, ein Team oder eine beliebige logische Gruppierung —, die eine Menge von Mitgliedsbenutzern besitzt, eigene Rollenzuweisungen hat und einen eigenen Enterprise-SSO-Provider konfigurieren kann. Organisationen sind voneinander unabhängig: Die Rolle eines Benutzers in Organisation A hat keinen Einfluss auf seinen Zugriff in Organisation B.

Dieses Modell ist für SaaS-Produkte konzipiert, die an Unternehmen verkaufen: Dein einzelner Auris-Tenant hostet mehrere Kundenorganisationen, jede mit isolierter Mitgliedschaft und Zugriffskontrolle.

Kernkonzepte

Organisation: Eine benannte Entität mit einem eindeutigen slug. Organisationen haben Metadaten, Anzeigenamen und Einstellungen. Sie gehören immer genau einem Benutzer (dem OWNER).

Organisationsmitglied: Ein Benutzer, der einer Organisation mit einer von vier Rollen angehört: OWNER, ADMIN, MEMBER oder VIEWER.

Einladung: Eine zeitlich begrenzte, Token-basierte Einladung, die einem Benutzer (oder einer noch nicht registrierten E-Mail-Adresse) ermöglicht, einer Organisation mit einer festgelegten Rolle beizutreten.

Organisations-spezifisches SSO: Jede Organisation kann ihren eigenen SAML 2.0- oder OIDC-Identity-Provider konfigurieren. Wenn sich ein Benutzer mit einer E-Mail-Adresse anmeldet, die einer verifizierten Domain entspricht, leitet Auris ihn automatisch zum IdP seiner Organisation weiter. Siehe Enterprise SSO.

Organisationen erstellen

Organisationen können von jedem Benutzer mit der entsprechenden Berechtigung oder programmgesteuert über das Management SDK erstellt werden.

Request-Body:

{
  "name": "Acme Corporation",
  "displayName": "Acme Corp",
  "slug": "acme-corp",
  "metadata": {
    "plan": "enterprise",
    "contractId": "KTR-2025-0042"
  }
}

Feldreferenz:

Mitgliederrollen

Organisationen verwenden ein vierstufiges hierarchisches Rollensystem. Höhere Rollen erben alle Fähigkeiten niedrigerer Rollen.

Mitglieder verwalten

Antwort:

{
  "data": [
    {
      "userId": "usr_01HX...",
      "email": "[email protected]",
      "firstName": "Alice",
      "lastName": "Rossi",
      "role": "ADMIN",
      "joinedAt": "2025-01-15T10:00:00Z"
    }
  ],
  "pagination": { "page": 1, "limit": 20, "total": 12, "totalPages": 1 }
}

{
  "userId": "usr_01HX...",
  "role": "MEMBER"
}

Einladungen

Einladungen ermöglichen es, Benutzer per E-Mail zu einer Organisation hinzuzufügen, auch wenn sie noch kein Auris-Konto haben. Der Einladungsablauf:

1. Ein ADMIN oder OWNER sendet eine Einladung an eine E-Mail-Adresse.
2. Auris generiert ein eindeutiges, zeitlich begrenztes Token und sendet eine E-Mail mit einem Akzeptier-Link.
3. Der Eingeladene klickt auf den Link. Hat er bereits ein Auris-Konto, wird er sofort zur Organisation hinzugefügt. Wenn nicht, wird er aufgefordert, ein Konto zu erstellen, wonach die Einladung akzeptiert wird.
4. Einladungen laufen nach 7 Tagen ab, wenn sie nicht akzeptiert wurden.

{
  "email": "[email protected]",
  "role": "MEMBER",
  "message": "Du wurdest eingeladen, Acme Corp auf unserer Plattform beizutreten."
}

Einladungs-Status:

SDK-Verwendung

import { useOrganization } from '@auris/react'
 
function OrgDashboard() {
  // Gibt den Organisations-Kontext aus der Sitzung des authentifizierten Benutzers zurück.
  // Die Organisation wird aus den Claims des Access Tokens abgeleitet.
  const { organization, members, isLoading } = useOrganization()
 
  if (isLoading) return <div>Wird geladen...</div>
  if (!organization) return <div>Keine Organisation</div>
 
  return (
    <div>
      <h1>{organization.displayName}</h1>
      <p>Mitglieder: {members.length}</p>
      <ul>
        {members.map((member) => (
          <li key={member.userId}>
            {member.email} — {member.role}
          </li>
        ))}
      </ul>
    </div>
  )
}

import { AurisClient } from '@auris/js'
 
const auris = new AurisClient({
  domain: 'https://auth.yourdomain.com',
})
 
const mgmt = auris.createManagementClient({
  clientId: process.env.AURIS_MGMT_CLIENT_ID,
  clientSecret: process.env.AURIS_MGMT_CLIENT_SECRET,
})
 
// Alle Organisationen auflisten
const { data: orgs } = await mgmt.organizations.list()
 
// Eine bestimmte Organisation mit ihren Mitgliedern abrufen
const org = await mgmt.organizations.get('org_01HX...')
const { data: members } = await mgmt.organizations.listMembers('org_01HX...')
 
// Eine Organisation erstellen
const newOrg = await mgmt.organizations.create({
  name: 'Neuer Kunde GmbH',
  slug: 'neuer-kunde',
})
 
// Einen Benutzer einladen
await mgmt.organizations.createInvitation('org_01HX...', {
  email: '[email protected]',
  role: 'ADMIN',
})

import { createServerManagementClient } from '@auris/nextjs/server'
 
// In einem Route Handler
export async function GET(
  request: Request,
  { params }: { params: { orgId: string } }
) {
  const mgmt = createServerManagementClient()
  const org = await mgmt.organizations.get(params.orgId)
  const { data: members } = await mgmt.organizations.listMembers(params.orgId)
 
  return Response.json({ org, members })
}

Organisations-Metadaten

Wie Benutzer unterstützen Organisationen beliebige JSON-Metadaten. Verwende diese, um anwendungsspezifische Daten zusammen mit dem Organisations-Datensatz zu speichern, ohne Schema-Migrationen.

{
  "metadata": {
    "plan": "enterprise",
    "contractId": "KTR-2025-0042",
    "maxSeats": 250,
    "billingEmail": "[email protected]",
    "features": ["advanced-analytics", "custom-domains", "audit-export"]
  }
}

Metadaten werden in jeder Organisations-API-Antwort zurückgegeben und sind im Management SDK zugänglich.

Anwendungsfälle

SaaS-Mehrmandantenfähigkeit: Jeder deiner Kunden ist eine Organisation. Deine Anwendung liest die Organisation des Benutzers aus seinem JWT oder seiner Sitzung und begrenzt alle Datenbankabfragen auf diese Organisation. Neue Kunden werden durch Erstellen einer Organisation und Einladen ihres Administrators eingerichtet.

Enterprise-Kunden-Onboarding: Erstelle die Organisation, füge den IT-Administrator des Kunden als OWNER hinzu und lass ihn seine eigenen Benutzer verwalten sowie seinen Corporate-SSO konfigurieren. Dein Team behält die Sichtbarkeit auf Tenant-Ebene über die Admin Console.

White-Label-Lösungen: Jede Kundenorganisation kann ihr eigenes SSO, Domain-Verifizierung und Anzeigenamen konfigurieren. Die Hosted-Login-Seite passt sich an das organisations-spezifische Branding an, wenn die E-Mail eines Benutzers einer verifizierten Domain entspricht.

Interne Produktteams: Separate Produktlinien oder Geschäftsbereiche in verschiedene Organisationen aufteilen für isoliertes Rollenmanagement, ohne separate Auris-Tenant-Instanzen zu betreiben.

Erforderliche Berechtigungen

Verwandte Seiten

• Enterprise SSO pro Organisation — SAML 2.0 oder OIDC SSO für einzelne Organisationen konfigurieren
• SCIM 2.0-Provisionierung — Mitglieder-Synchronisation von einem externen IdP automatisieren
• Rollen & Berechtigungen — RBAC auf Tenant-Ebene, das Organisationsrollen ergänzt
• Console: Organisationen — Vollständige Console-Anleitung