Mandantenwechsel per Header

Worum es geht

Normalerweise arbeitet eine Anfrage im Mandanten aus dem Token. Manchmal muss jemand gezielt in einem anderen Mandanten arbeiten: eine Person, die zu zwei Firmen gehört, oder der Support, der einem Kunden hilft. Dafür schickt der Client den Header tenant mit dem gewünschten Mandantenschlüssel:

POST /api/rest/crm/customer/query
Authorization: Bearer <Token>
tenant: globex
{ "response": ["id", "name"] }

Die Suche läuft in der Datenbank von globex,
sofern der Wechsel erlaubt ist.

Der Header ist nicht vertrauenswürdig, denn jeder Client kann ihn setzen. Er ist deshalb nur ein Wunsch. Ob er wirkt, entscheiden Angaben aus dem signierten Token.

Es gibt zwei Arten von Wechsel:

• Auswahl: Die Person ist selbst Mitglied im Ziel-Mandanten, also in dieser Organisation. Dafür braucht sie keine besondere Rolle.
• Privilegierter Wechsel: Die Person ist nicht Mitglied im Ziel-Mandanten. Dafür braucht sie die Realm-Rolle allowed-tenant-context-switch und das Ziel muss in ihrer Liste der erlaubten Mandanten stehen. Eine Realm-Rolle ist eine Rolle, die in Keycloak für die ganze Plattform gilt, nicht nur für eine Anwendung.

Die Entscheidungstabelle

„–“ heißt: spielt in dieser Zeile keine Rolle.

Der Ablauf

sequenceDiagram
    participant C as Client
    participant F as CIAS-Filterkette
    participant G as Mandanten-Tor (CIAS)
    participant P as CDMS-Persistenz
    participant DB as Datenbank globex
    C->>F: Anfrage mit Token (Mandant acme) und Header tenant: globex
    F->>F: Mandant aus dem Token bestimmen: acme
    F->>G: Wird acme bedient?
    G-->>F: ja
    F->>F: Rolle allowed-tenant-context-switch? globex erlaubt?
    F->>F: Mandant der Anfrage := globex
    F->>G: Wird globex bedient?
    G-->>F: ja
    F->>P: Anfrage weiterreichen
    P->>P: globex in der Liste der erlaubten Mandanten? ja
    P->>DB: lesen und schreiben
    P-->>C: Antwort

Zwei Prüfungen fallen auf:

• CIAS fragt das Mandanten-Tor zweimal: einmal für den Mandanten aus dem Token und nach dem Wechsel noch einmal für das Ziel. Ein gesperrter Mandant bleibt auch für jemanden gesperrt, der hineinwechselt, Administratoren eingeschlossen.
• Die Persistenz prüft die Liste der erlaubten Mandanten ein zweites Mal, unabhängig von CIAS. Zwei getrennte Prüfungen sichern denselben Sachverhalt.

Varianten

Fallen

Wie es weitergeht

• Im Namen einer anderen Person arbeiten: Benutzerwechsel per Header
• Wann ein Mandant bedient wird: Wird der Mandant bedient?
• Die Sicht von CIAS: Zwischen Mandanten wechseln
• Ein Beispiel von Anfang bis Ende: Der Support schaut in einen Mandanten