Eine Person in zwei Mandanten

Worum es geht

Clara berät zwei Kunden: nordbau und suedlogistik. Sie hat ein Konto und ein Passwort. Trotzdem darf keine ihrer Anfragen Daten der beiden Kunden vermischen.

CIAS löst das, indem jede einzelne Anfrage unter genau einem Mandanten läuft. Welcher das ist, entscheidet sich vor jeder Anfrage neu – und daran hängen dann die Rollen und die Attributwerte, die für diese eine Anfrage gelten.

Das Bild

flowchart TB
    K["Ein Konto in Keycloak<br/>clara@beispiel.example"]
    K --> T["Ein Token:<br/>organization: nordbau, suedlogistik<br/>Rollen je Organisation<br/>Realm-Rollen<br/>Profilattribute"]
    T --> R{"Welcher Mandant<br/>für diese Anfrage?"}
    R -- "Header tenant: nordbau" --> N["Anfrage in nordbau<br/>Rollen aus nordbau<br/>Werte für nordbau"]
    R -- "Header tenant: suedlogistik" --> S["Anfrage in suedlogistik<br/>Rollen aus suedlogistik<br/>Werte für suedlogistik"]
    N --> ND[("Datenbank nordbau")]
    S --> SD[("Datenbank suedlogistik")]

Wie Clara in zwei Mandanten kommt

Es gibt zwei Formen, und sie verhalten sich unterschiedlich:

Der erste Fall heißt Auswahl, der zweite privilegierter Wechsel. Der Unterschied ist nicht kosmetisch: Die Auswahl passiert während der Mandantenauflösung, der Wechsel erst danach. Und die Rollen werden dazwischen bestimmt.

Wie gewählt wird

Die Filterkette liest den Header tenant vor dem Token, weil die gewählte Organisation entscheidet, welche Rollen gelten. Dann prüft sie die Regeln der Reihe nach.

Alle Regeln im Einzelnen: Den Mandanten einer Anfrage bestimmen und Zwischen Mandanten wechseln.

Welche Rollen je Mandant gelten

Rollen können an zwei Stellen im Token stehen: global und in einer Organisation. Daraus bildet CIAS bei jeder Anfrage die effektiven Rollen.

In Claras Token:

global (resource_access):      report-read
organization nordbau:          order-read, order-edit
organization suedlogistik:     order-read
realm_access:                  user

Effektiv in nordbau:           order-read, order-edit   (+ Realm: user)
Effektiv in suedlogistik:      order-read               (+ Realm: user)

report-read fällt in beiden Mandanten weg. Das ist Absicht: Hat Clara in ihrem aktiven, dynamischen Mandanten irgendeine Rolle, ersetzen die Rollen dieses Mandanten die globalen Client-Rollen. Eine global vergebene Rolle hat niemand für diesen einen Kunden vergeben, also gilt sie dort nicht. Realm-Rollen gelten dagegen immer, in jedem Mandanten.

Beim privilegierten Wechsel ist es anders: Dort nimmt Clara ihre eigenen Rollen mit ins Ziel. Rollen, die jemand im Zielmandanten hat, bekommt sie nicht. Einzelheiten: Effektive Rollen: global oder im Mandanten.

Welche Attributwerte je Mandant gelten

Ein Attribut ist eine Angabe an der Person, die als Claim ins Token kommt und mit der CDMS Zeilen filtert. Bei der Anmeldung sagt jedes Modul, worüber das Attribut etwas aussagt:

Für ein Attribut mit USER_IN_TENANT fragt CIAS bei jeder Anfrage die Werte ab, die es für Clara im aktiven Mandanten führt.

Am Konto (Token):   region = nord, sued
In CIAS, nordbau:      region = nord
In CIAS, suedlogistik: region = sued

Effektiv in nordbau:      region = nord
Effektiv in suedlogistik: region = sued

Kann CIAS die Werte nicht abrufen und hat auch keinen Pufferwert, lehnt es die Anfrage ab, statt auf den Wert aus dem Token zurückzufallen: 403 cias.authentication.tenant-not-served. Die Antworten merkt sich CIAS je Person und Mandant 30 Sekunden.

Was sich nicht je Mandant unterscheidet

Der Heimatmandant im Benutzerdatensatz von CIAS ist deshalb keine Aussage darüber, in welchem Mandanten eine Anfrage läuft. Das entscheidet immer das Token. Siehe Der Benutzerdatensatz.

Der Weg einer Anfrage, verkürzt

Den vollständigen Weg beschreibt Vom Login bis zu den Daten.

Fallen

Weiter

• Den Mandanten einer Anfrage bestimmen
• Zwischen Mandanten wechseln
• Ein Wert pro Person oder pro Mandant
• Eine Kollegin wird eingeladen