Appearance
Zielgruppe & Rolle
Rolle: Kunden-Administrator (CUSTOMER_ADMIN) | Voraussetzung: Kunde mit der Login-Methode „Lokale Benutzer“ (Einrichtung durch einen Portal-Administrator)
Lokale Benutzer
Mit lokalen Benutzern verwaltet ConnectCLOUD die Konten Ihrer Mitarbeitenden selbst. Sie benötigen keinen eigenen Identity Provider (OIDC): Ihre Benutzer melden sich mit ihrem Microsoft-Konto oder einem Passkey (Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Sicherheitsschlüssel) an. Benutzer, Gruppen und Rollen pflegen Sie direkt in der Kunden-Administration.
Lokale Benutzer oder eigener Identity Provider?
Betreiben Sie bereits Microsoft Entra ID oder einen anderen OIDC-Provider und möchten Benutzer und Gruppen dort zentral verwalten, nutzen Sie die Anbindung per OIDC. Lokale Benutzer eignen sich, wenn Sie keine eigene App-Registrierung pflegen möchten oder Ihre Benutzer direkt in ConnectCLOUD verwalten wollen.
1. Lokale Benutzer einrichten
Lokale Benutzer sind die Standard-Login-Methode für neue Kunden. Die Einrichtung nimmt ein Portal-Administrator in der Kundenverwaltung vor – in dieser Reihenfolge: Kunde anlegen, Mandanten anlegen, Benutzer einladen, microtech einrichten.
- Wählen Sie in der Kundenverwaltung „Neuer Kunde“. Die Login-Methode steht auf „Lokale Benutzer“ (Standard); die Alternative ist „Eigener OIDC-Provider“.
- Mit „Lokale Benutzer“ wird der Kunde direkt angelegt: ohne Onboarding-Assistent, ohne OIDC-Felder und ohne Einladungs-E-Mail. Die Systemgruppen „Administratoren“ und „Mitarbeiter“ werden automatisch angelegt.
- Legen Sie die Mandanten des Kunden an.
- Öffnen Sie in der Kundenliste über die Zeilenaktion „Kunden-Administration“ die Verwaltung des Kunden – auch dann, wenn er noch keine Mandanten hat – und laden Sie im Reiter „Benutzer“ die ersten Benutzer ein (siehe Abschnitt 3).
- Richten Sie anschließend microtech ein.
Mit „Eigener OIDC-Provider“ bleibt der bisherige Dialog bestehen (OIDC-Felder und/oder Einladung zum Self-Service-Onboarding). Das Onboarding gibt es nur für OIDC-Kunden.
Hinweis „Kein Administrator“
Solange kein aktiver Administrator eine gültige Einladung oder eine Anmeldemethode hat, zeigt die Kundenliste die Warnung „Kein Administrator“. In der Kunden-Administration erscheint „Noch kein Administrator eingeladen“ mit einer Schaltfläche, die den Einladungsdialog mit vorausgewählter Gruppe „Administratoren“ öffnet. Läuft eine Einladung ab, kehrt die Warnung zurück.
Benutzer ohne Mandant
Hat der Kunde noch keinen Mandanten, sieht ein lokaler Benutzer bei der Anmeldung: „Für Ihr Konto ist noch kein Mandant eingerichtet. Bitte wenden Sie sich an Ihren Administrator.“
Nach der Anlage erscheinen in der Kunden-Administration die Reiter „Benutzer“, „Gruppen“ und „Anmeldung“. Der Reiter „Sicherheit“ ist für lokale Kunden ausgeblendet.
2. Gruppen & Rollen
Bei der Anlage des Kunden legt ConnectCLOUD zwei Systemgruppen an und ordnet sie allen Mandanten zu:
| Gruppe | Rolle auf jedem Mandanten | Kundenweite Rolle |
|---|---|---|
| Administratoren | TENANT_ADMIN | CUSTOMER_ADMIN |
| Mitarbeiter | TENANT_VIEWER | – |
- Mandanten, die Sie später anlegen, erhalten diese Zuordnungen automatisch.
- Im Reiter „Gruppen“ können Sie weitere Gruppen anlegen, Mitglieder verwalten und Gruppen umbenennen. Systemgruppen lassen sich umbenennen, aber nicht löschen.
- Welche Rolle eine Gruppe auf einem Mandanten erhält, legen Sie wie gewohnt in der Berechtigungskonfiguration des Mandanten fest (siehe Berechtigungskonzept).
Administratorrechte nur per Einladung
Administratorrechte erhält ausschließlich, wer in die Gruppe „Administratoren“ eingeladen oder ihr zugeordnet wird. Benutzer, die sich automatisch per Microsoft anmelden (siehe Abschnitt 5), landen immer in der Standardgruppe – auch dann, wenn der Kunde noch keinen Administrator hat.
3. Benutzer einladen
- Öffnen Sie Kunden-Administration → Benutzer und klicken Sie auf „Benutzer einladen“.
- Geben Sie die E-Mail-Adresse, optional einen Anzeigenamen und die Gruppen an. Ohne Auswahl wird der Benutzer der Standardgruppe zugeordnet. Für Administratorrechte wählen Sie „Administratoren“.
- Klicken Sie auf „Einladung senden“.
Der Benutzer erhält eine E-Mail mit einem persönlichen Einladungslink. Der Link ist 7 Tage gültig und kann nur einmal verwendet werden. Über „Einladung erneut senden“ verschicken Sie einen neuen Link; der vorherige wird damit ungültig.
Regeln für E-Mail-Adressen
- Eine E-Mail-Adresse kann nur zu einem Kunden gehören.
- Adressen, deren Domain einem anderen Kunden zugeordnet ist, und Adressen von Portal-Administratoren können nicht eingeladen werden.
- Die E-Mail-Adresse eines Benutzers lässt sich nicht ändern. Löschen Sie den Benutzer in diesem Fall und laden Sie die neue Adresse ein.
Einladung annehmen (Sicht des Benutzers)
Der Einladungslink öffnet die Seite „Willkommen bei ConnectCLOUD“. Dort richtet der Benutzer seine erste Anmeldemethode ein:
- „Passkey einrichten“ – optional mit einem Namen für den Passkey (z. B. „Laptop“).
- „Mit Microsoft verknüpfen“ – das Microsoft-Konto muss zur eingeladenen E-Mail-Adresse gehören.
Danach meldet sich der Benutzer direkt im Portal an.
4. Anmelden
Auf der Anmeldeseite des Portals stehen unter dem Feld für die E-Mail-Adresse die Schaltflächen „Mit Microsoft anmelden“ und „Mit Passkey anmelden“. Lokale Benutzer wählen direkt eine davon; eine E-Mail-Adresse müssen sie dafür nicht eingeben.
Gibt ein lokaler Benutzer trotzdem seine E-Mail-Adresse ein und klickt auf „Weiter“, bleibt er auf der Anmeldeseite und erhält den Hinweis, sich mit Microsoft oder einem Passkey anzumelden.
Die Microsoft-Anmeldung nutzt die App-Registrierung von ConnectCLOUD; eine eigene App-Registrierung ist nicht nötig.
Wie schnell wirken Änderungen?
Ein Portal-Token gilt eine Stunde und wird danach anhand der aktuellen Benutzerdaten erneuert. Deaktivieren, Löschen oder geänderte Gruppen wirken daher spätestens nach einer Stunde. Eine Anmeldung endet unabhängig davon nach 48 Stunden.
5. Anmeldeeinstellungen
Im Reiter „Anmeldung“ legen Sie fest, was bei der ersten Microsoft-Anmeldung einer Person geschieht, die noch nicht eingeladen wurde:
| Einstellung | Verhalten |
|---|---|
| Nur bestehende Benutzer (Standard) | Wer nicht eingeladen wurde, kann sich nicht anmelden. |
| Benutzer automatisch anlegen | Personen mit einer E-Mail-Adresse aus den E-Mail-Domains des Kunden werden bei der ersten Microsoft-Anmeldung angelegt und der Standardgruppe für neue Benutzer („Mitarbeiter“) zugeordnet. |
Die E-Mail-Domains ergeben sich aus der Domänenkonfiguration Ihrer Mandanten. Eine Domain, die mehreren Kunden zugeordnet ist, führt nie zu einer automatischen Anlage.
6. Benutzer verwalten
Im Reiter „Benutzer“ sehen Sie alle Benutzer mit Status, Gruppen und letzter Anmeldung.
- Bearbeiten: Anzeigename und Gruppen ändern.
- Deaktivieren / Aktivieren: Ein deaktivierter Benutzer kann sich nicht mehr anmelden; seine Daten bleiben erhalten.
- Löschen: Entfernt den Benutzer mit allen Anmeldemethoden und offenen Einladungen.
Löscht ein Portal-Administrator einen Kunden, werden auch alle lokalen Benutzer, Gruppen und Einladungen dieses Kunden gelöscht; die E-Mail-Adressen der Benutzer sind danach für andere Kunden wieder frei.
Schutz des letzten Administrators
Der letzte aktive Administrator kann weder deaktiviert noch gelöscht noch aus der Gruppe „Administratoren“ entfernt werden. So bleibt Ihr Kundenkonto immer verwaltbar.
7. Mein Konto (Selbstverwaltung)
Lokale Benutzer erreichen über das Benutzermenü den Punkt „Mein Konto“. Dort können sie:
- weitere Passkeys hinzufügen, umbenennen und löschen,
- ein Microsoft-Konto verknüpfen oder die Verknüpfung entfernen.
Änderungen an Anmeldemethoden erfordern eine frische Bestätigung der Identität („Mit Passkey bestätigen“ oder „Mit Microsoft bestätigen“). Die Bestätigung gilt anschließend 10 Minuten. Die letzte Anmeldemethode kann nicht entfernt werden – richten Sie zuerst eine weitere ein.
8. Login-Methode wechseln
Die Login-Methode eines bestehenden Kunden können nur Portal-Administratoren ändern: über „Provisionierung anfordern“ und den Hinweis „Assistent wird hier geöffnet“. Kunden-Administratoren können sie nicht umstellen.
- Zu lokalen Benutzern: Es wird niemand automatisch eingeladen, und der Wechsel wird nicht blockiert, wenn noch kein Administrator existiert. Laden Sie die Administratoren anschließend in der Kunden-Administration ein.
- Zu einem eigenen OIDC-Provider: Alle lokalen Benutzer werden deaktiviert und offene Einladungen widerrufen. Benutzer und Gruppen bleiben gespeichert.
- Wechseln Sie später erneut zu lokalen Benutzern, werden die durch den Wechsel deaktivierten Benutzer wieder aktiviert. Von einem Administrator deaktivierte Benutzer bleiben deaktiviert – ebenso Benutzer, deren E-Mail-Adresse zwischenzeitlich ein anderer Kunde verwendet.
Wiederherstellungs-Links ändern die Login-Methode nie
Ein per E-Mail an den Kunden versendeter Wiederherstellungs-Link lässt die aktuelle Login-Methode unverändert. Ein reiner Wechsel der Login-Methode versendet keine Wiederherstellungs-Links. Ein Rollback durch einen Portal-Administrator kann die Login-Methode dagegen wechseln.
9. Verlorener Administratorzugang
Lokale Kunden haben keine Wiederherstellungs-Kontakte, keine Wiederherstellungscodes und keinen Link „Zugang wiederherstellen“; der Reiter „Sicherheit“ ist ausgeblendet. Verliert ein lokaler Kunde den Administratorzugang (z. B. weil der einzige Passkey verloren ging), lädt ein Portal-Administrator über die Kunden-Administration einen neuen Administrator in die Gruppe „Administratoren“ ein.
Wechselt ein Kunde zu lokalen Benutzern, bleiben seine bisherigen Wiederherstellungs-Kontakte gespeichert, sind aber inaktiv. Die Self-Service-Wiederherstellung gilt nur für Kunden mit eigenem OIDC-Provider.