Ein neuer Kunde wird eingerichtet

Worum es geht

Die Nordbau GmbH will die Anwendung nutzen. Niemand legt ihr von Hand etwas an: Anna Berg füllt ein öffentliches Formular aus, und am Ende gibt es einen Mandanten nordbau-gmbh, eine Organisation in Keycloak, eine Datenbank und ein Konto, das darin arbeiten kann.

Diese Seite spielt den Fall einmal von vorn bis hinten durch. Für die Einzelheiten verlinkt sie die Seiten, die den jeweiligen Schritt allein beschreiben.

Die Beteiligten

Wer welche Farbe hat, steht unter Die Beteiligten einer Anfrage.

Der ganze Weg

sequenceDiagram
    participant B as Anna
    participant C as CIAS
    participant K as Keycloak
    participant M as E-Mail
    participant A as Plattform-Admin
    participant P as Persistenz
    B->>C: POST /cias/registration/self<br/>email, Vorname, Nachname, company „Nordbau GmbH“
    C->>C: Drosselung, Felder prüfen, Schlüssel nordbau-gmbh bilden
    C->>K: Konto deaktiviert und unbestätigt anlegen
    C->>M: Bestätigungsmail mit Einmal-Link
    C-->>B: 202 accepted
    M-->>B: Mail
    B->>C: klickt den Link (POST /cias/registration/verify)
    C->>M: „Ihre Registrierung wird geprüft“
    Note over C,A: Vorgang wartet in PENDING_APPROVAL
    A->>C: POST /cias/admin/registrations/{id}/approve
    C->>K: Adresse bestätigt, Konto freischalten, Passwort verlangen
    C->>K: Organisation nordbau-gmbh anlegen
    C->>P: Mandant anlegen, Datenbank einrichten
    P-->>C: fertig
    C->>K: Anna wird Mitglied der Organisation
    C->>K: Attribute tenant und allowedTenants setzen
    C->>K: Startrollen in der Organisation vergeben
    C->>C: Benutzerdatensatz anlegen, Vorgang COMPLETED
    C->>M: Willkommensmail, möglichst mit Link zum Passwort-Setzen

Block 1: Die Person beweist ihre Adresse

Einzelheiten: Selbstregistrierung, E-Mail bestätigen, Der Mandantenschlüssel.

Block 2: Ein Mensch gibt frei

Ein öffentliches Formular, das Mandanten anlegt, legt sie in dem Takt an, in dem es aufgerufen wird. Deshalb steht in cias-runtime die Freigabe standardmäßig auf „nötig“ (CIAS_SELF_SERVICE_APPROVAL).

CIAS schickt Administratoren keine Mail, wenn etwas zu genehmigen ist. Die Verwaltungsoberfläche fragt die Liste ab. Einzelheiten: Freigabe durch einen Administrator.

Block 3: Alles entsteht auf einmal

Scheitert einer dieser Schritte, endet der Vorgang in FAILED. Ein Plattform-Administrator wiederholt ihn dann mit retry oder verwirft ihn mit discard. Einzelheiten: Was beim Abschluss passiert.

Die beiden Zustandsreihen nebeneinander

Registrierung und Mandant haben eigene Zustände. Sie hängen zusammen, aber sie sind nicht dasselbe. Die Registrierung ist ein Vorgang, der endet; der Mandant ist ein Kunde, der bleibt.

Der Mandant entsteht also erst im letzten Block und ist innerhalb weniger Augenblicke ACTIVE. Bedient wird er, sobald die Stellung ACTIVE ist und das heutige Datum im Gültigkeitsfenster liegt. Alle Zustände einzeln: Die Zustände einer Registrierung und Der Lebenslauf eines Mandanten.

Das Passwort und der erste Login

CIAS sieht nie ein Passwort. Die Willkommensmail enthält einen Link auf die Passwortseite von Keycloak; lässt sich der Link nicht erzeugen, führt die Mail zur Anmeldung, und Anna nutzt dort „Passwort vergessen“.

Einzelheiten: Das Passwort setzen, Anmelden im Browser, Passwort-Setz-Link erneut schicken.

Die erste Anfrage an CDMS

Den vollständigen Weg beschreibt Vom Login bis zu den Daten.

Was die Gründerin kann – und was die Installation dafür einrichten muss

Die Startrollen sind kein fester Code, sondern ein Regelwerk. Was die Gründerin am ersten Tag tun kann, hängt deshalb daran, was die Installation in dieses Regelwerk geschrieben hat.

Verwalten kann die Gründerin ihren Mandanten also ab dem ersten Tag allein. Soll sie auch mit den Daten arbeiten, schreibt die Installation eine Regel der Installation für die Situation TENANT_FOUNDER mit den Modellrollen und trägt die passenden Delegationen in den Rollenkatalog ein. Beides sind bewusste Entscheidungen der Plattform, kein Nebeneffekt der Registrierung.

Einzelheiten: Startrollen als Regelwerk, Eine Rolle vergeben, Der Rollenkatalog, Die Obergrenze.

Die Ausprägungen

Fallen

Weiter

• Selbstregistrierung
• Was beim Abschluss passiert
• Einen Mandanten anlegen und bereitstellen
• Eine Kollegin wird eingeladen