Die Mandantenprüfung in beiden Betriebsarten

Wann: CIAS läuft im selben Prozess, etwa im Hub-Backend oder in einem generierten Projekt.

sequenceDiagram
    participant F as Filterkette
    participant T as Mandanten-Tor
    participant A as LocalTenantLookupAdapter
    participant DB as System-DB
    F->>T: darf "kunde-a" bedient werden?
    T->>T: schon gemerkt und jünger als 30 s?
    T->>A: Methodenaufruf
    A->>DB: Stellung und Gültigkeitsfenster lesen
    DB-->>A: ACTIVE, gültig
    A-->>T: bedient
    T-->>F: zugelassen, 30 s gemerkt

Ergebnis: Kein Netzwerkaufruf. Der Vorrat spart eine Datenbankabfrage, mehr nicht.

Wann: CIAS läuft als eigener Dienst (cias-runtime).

sequenceDiagram
    participant F as Filterkette
    participant T as Mandanten-Tor
    participant C as cias-tenancy-client
    participant S as CIAS-Dienst
    F->>T: darf "kunde-a" bedient werden?
    T->>T: schon gemerkt und jünger als 30 s?
    T->>C: frag nach
    C->>S: GET /cias/lookup/tenants/kunde-a<br/>Authorization Bearer Dienst-Token
    S->>S: darf dieser Aufrufer fragen?
    S-->>C: 200 key kunde-a served true
    C-->>T: bedient
    T-->>F: zugelassen, 30 s gemerkt

Ergebnis: Ein zusätzlicher HTTP-Aufruf – aber nur, wenn nichts gemerkt ist.

Wann: Für diesen Mandanten liegt eine Antwort, die jünger als die Merkzeit ist.

Das Tor antwortet sofort aus dem Gedächtnis. Weder der Methodenaufruf noch der HTTP-Aufruf findet statt. Das ist der häufigste Fall, denn 30 Sekunden sind viele Anfragen.

Ergebnis: Kein Aufruf, keine Wartezeit.

Wann: Erste Anfrage für diesen Mandanten, oder die Merkzeit ist abgelaufen.

Ein Methodenaufruf in cias-tenancy, der Stellung und Gültigkeitsfenster in der System-Datenbank nachschlägt. Das dauert so lange wie eine Datenbankabfrage und kann nur scheitern, wenn die Datenbank nicht antwortet.

Ergebnis: Antwort, und 30 Sekunden gemerkt.

Wann: Dasselbe, aber CIAS ist ein eigener Dienst.

Ein HTTP-Aufruf mit dem Dienst-Token. 200 mit served ist die Antwort, 404 heißt „diesen Schlüssel hat kein Mandant“ – auch das ist eine Antwort und wird gemerkt.

Ergebnis: Antwort, und 30 Sekunden gemerkt.

Wann: Der CIAS-Dienst nimmt die Verbindung nicht an oder antwortet nicht rechtzeitig.

Nach 2 Sekunden Verbindungsaufbau beziehungsweise 2 Sekunden Warten auf die Antwort gilt CIAS als nicht erreichbar. Die Zeitlimits sind absichtlich kurz und absichtlich kein Stellknopf: Dieser Aufruf liegt auf dem Weg jeder Anfrage, und ein langsamer CIAS-Dienst wäre sonst eine langsame Plattform.

Ergebnis: Behandelt wie jeder andere Ausfall, siehe Wenn CIAS nicht erreichbar ist.

Wann: CIAS weist das Dienst-Token ab – es fehlt, ist abgelaufen oder trägt die Abfragerolle nicht.

Ein 401 oder 403 ist kein Urteil über den Kunden, sondern über die eigenen Zugangsdaten dieses Dienstes. Es wäre falsch, daraus „dieser Mandant wird nicht bedient“ zu machen: eine falsch eingerichtete Installation würde damit still alle Kunden aussperren.

Ergebnis: Deshalb ist es kein Nein über den Mandanten. Die Anfrage wird trotzdem sofort abgelehnt, auch wenn eine Antwort gemerkt ist, siehe Wenn CIAS nicht erreichbar ist.

Wann: Der CDMS-Dienst braucht ein neues Dienst-Token, aber Keycloak antwortet nicht.

Der Dienst holt sein Token selbst beim IAM (Client Credentials) und erneuert es, bevor es abläuft. Ist das alte Token noch gültig, nimmt er weiter das alte und versucht es nach 10 Sekunden erneut. Erst ohne gültiges Token wird die Frage an CIAS gar nicht erst gestellt.

Ergebnis: Das zählt wie ein Ausfall von CIAS: Gemerkte Antworten gelten weiter. Weist Keycloak dagegen den Client ab (falsches Secret, Client gesperrt), wird sofort abgelehnt.