# Dashboard-Team verwalten Ihr Dashboard-Team sind die Personen, die in Ihrem KeenAuth-Konto arbeiten: Sie konfigurieren Umgebungen, betreuen Endbenutzer und verwalten die Abrechnung. Teammitglieder sind von Ihren Endbenutzern und von den Administratoren der Organisationen Ihrer Kunden getrennt. Öffnen Sie im Dashboard **Team**, um die Mitglieder, die offenen Einladungen und, im Enterprise-Plan, die benutzerdefinierten Rollen zu sehen. Eine Person kann mit derselben Anmeldung zu mehreren KeenAuth-Konten gehören. Die Kontoauswahl in der oberen Leiste wechselt zwischen ihnen. Benötigt das Konto, zu dem Sie wechseln, eine andere Anmeldung, fordert Sie das Dashboard auf, sich für dieses Konto erneut anzumelden. ## Integrierte Rollen Jedes Mitglied hat eine oder mehrere Rollenzuweisungen. Eine für das gesamte Konto zugewiesene Rolle gilt für jedes Projekt und jede Umgebung des Kontos. | Rolle | Was sie darf | |---|---| | `owner` | Alles, einschließlich Schließen des Kontos, Übertragen des Eigentums, Erstellen von `production`-Umgebungen, Löschen von Umgebungen, Ändern des Issuer-Modus sowie Tarif- und Abrechnungsänderungen. | | `admin` | Alles, was ein Owner darf, außer den oben genannten Aktionen, die nur dem Owner vorbehalten sind, und der Abrechnung. Verwaltet das Team und benutzerdefinierte Rollen, kann aber keinen Owner einladen, zuweisen, widerrufen oder entfernen. | | `developer` | Liest und schreibt die Konfiguration der Umgebung (Anwendungen, Verbindungen, Branding, Hooks und Ähnliches). Erstellt Management-API-Schlüssel und Management-Clients nur in `development`- und `staging`-Umgebungen. Sieht personenbezogene Daten von Endbenutzern maskiert und kann nicht auf Endbenutzer einwirken. | | `support` | Liest Konfiguration, Protokolle und Audit-Ereignisse und wirkt auf Endbenutzer ein: sperren, Sitzungen beenden, Zugangsdaten zurücksetzen, Benutzer löschen. Sieht personenbezogene Daten von Endbenutzern vollständig. Kann die Konfiguration nicht ändern. | | `billing` | Sieht Nutzung, Tarif und Rechnungen und ändert den Tarif. Hat keinen Zugriff auf die Konfiguration der Umgebung oder auf Endbenutzer. | | `viewer` | Liest Konfiguration, Protokolle, Audit-Ereignisse und Nutzung. Sieht personenbezogene Daten von Endbenutzern maskiert. | Jede Rolle kann die Teamliste sehen. Sicherheitseinstellungen, Signierschlüssel, benutzerdefinierte Domains, Massenexport und -import sowie Zugriffsgewährungen für den Plattform-Support sind auf `owner` und `admin` beschränkt. ### Aktionen, die eine aktuelle Anmeldung erfordern Bestimmte Aktionen werden nur akzeptiert, wenn Sie sich in den letzten 5 Minuten angemeldet haben. Andernfalls fordert Sie das Dashboard auf, sich erneut anzumelden, und fährt danach fort: - Mitglieder einladen, Rollen zuweisen und widerrufen, Mitglieder entfernen - benutzerdefinierte Rollen erstellen, bearbeiten und löschen - Eigentum übertragen und das Konto schließen - `production`-Umgebungen erstellen, Umgebungen löschen und den Issuer-Modus ändern - Tarif- und Abrechnungsänderungen - Zugriff für den Plattform-Support gewähren und Sicherheitseinstellungen des Dashboards ändern ## Mitglied einladen Nur ein `owner` oder `admin` kann einladen. Ein `admin` kann niemanden als `owner` einladen. 1. Öffnen Sie **Team** und wählen Sie **Mitglied einladen**. 2. Geben Sie die E-Mail-Adresse, die Rolle und den Geltungsbereich ein. Die Rolle `owner` kann nur für das gesamte Konto vergeben werden. Projekt- und Umgebungsbereiche erfordern den Enterprise-Plan; siehe „Benutzerdefinierte Rollen und bereichsbezogene Zuweisungen“ weiter unten. 3. Wählen Sie **Einladung erstellen**. Das Dashboard zeigt den Einladungslink nur einmal an. Kopieren Sie ihn in diesem Moment, da er nicht erneut angezeigt werden kann. Das Dashboard zeigt außerdem an, ob eine Einladungs-E-Mail an die eingeladene Person gesendet wurde. Die E-Mail ist in der Sprache Ihres Dashboards verfasst oder auf Englisch. Wurde keine E-Mail gesendet, übermitteln Sie den Link der eingeladenen Person über einen vertrauenswürdigen Kanal. Grenzwerte: - Eine Einladung läuft 7 Tage nach ihrer Erstellung ab. - Ein Konto kann höchstens 50 Einladungen innerhalb von 24 Stunden erstellen und höchstens 100 offene Einladungen haben. - Eine E-Mail-Adresse kann in einem Konto jeweils nur eine offene Einladung haben. Um eine Einladung zurückzuziehen, öffnen Sie **Einladungen** und wählen Sie **Einladung widerrufen**. Der Link funktioniert sofort nicht mehr. ### Einladung annehmen Die eingeladene Person öffnet den Link und meldet sich im Dashboard an. Die Einladung kann nur von einem Dashboard-Benutzer angenommen werden, dessen verifizierte primäre E-Mail-Adresse die eingeladene Adresse ist; eine Anmeldung mit einer anderen Adresse funktioniert nicht. Nach der Annahme ist das Mitglied mit der eingeladenen Rolle aktiv. Eine Einladung hat die Berechtigungen des Mitglieds, das sie gesendet hat. Ist dieses Mitglied bei Verwendung des Links nicht mehr aktiv oder kann es die eingeladene Rolle nicht mehr vergeben, funktioniert die Einladung nicht mehr. Ein abgelaufener, bereits verwendeter, widerrufener oder unbekannter Link sowie ein Link, der mit der falschen Adresse geöffnet wird, zeigen alle dieselbe Meldung: Bitten Sie die Person, die Sie eingeladen hat, um einen neuen Link. ## Rollen ändern und Mitglieder entfernen Über das Menü des Mitglieds unter **Mitglieder**: - **Rolle zuweisen** fügt eine Zuweisung hinzu. Ein Mitglied kann mehrere Zuweisungen haben; dieselbe Rolle mit demselben Geltungsbereich kann nicht zweimal zugewiesen werden. - **Widerrufen** entfernt eine Zuweisung. - **Mitglied entfernen** entfernt alle Zuweisungen des Mitglieds und beendet seine Mitgliedschaft. Das Mitglied verliert sofort den Zugriff auf das Konto. Ein `admin` kann die Rolle `owner` eines Owners nicht widerrufen und keinen Owner entfernen. Der letzte aktive `owner` eines Kontos kann weder entfernt werden noch die Rolle `owner` verlieren, sodass ein Konto immer einen Owner hat. Wenn eine Rolle widerrufen oder ein Mitglied entfernt wird, werden auch die Dashboard-Sitzungen dieser Person und ihr Zugriff auf das Konto widerrufen. Siehe [Sicherheit des Dashboard-Zugriffs](/docs/security/dashboard-access). ## Eigentum übertragen Nur ein `owner` kann das Eigentum übertragen. Der neue Owner muss ein anderes aktives Mitglied sein, das noch kein Owner ist und sich mindestens einmal mit Multi-Faktor-Authentifizierung im Dashboard angemeldet hat. Wählen Sie im Menü des Mitglieds **Eigentum übertragen** und geben Sie zur Bestätigung die Mitglieds-ID ein. In einem Schritt wird das Mitglied zum `owner`, und Ihre eigene Rolle `owner` wird zu `admin`. Nur ein Owner kann Sie wieder zum Owner machen. ## Benutzerdefinierte Rollen und bereichsbezogene Zuweisungen Benutzerdefinierte Rollen und projekt- oder umgebungsbezogene Zuweisungen sind im Enterprise-Plan verfügbar. In anderen Tarifen zeigt das Dashboard den Tab **Benutzerdefinierte Rollen** mit einem Hinweis zum Tarif, und die Zuweisung einer benutzerdefinierten oder bereichsbezogenen Rolle wird abgelehnt. ### Benutzerdefinierte Rolle erstellen Mitglieder mit `owner` oder `admin` verwalten benutzerdefinierte Rollen unter **Team** > **Benutzerdefinierte Rollen**. - **Rollenschlüssel**: 3 bis 40 Zeichen aus Kleinbuchstaben, Ziffern und Unterstrichen, beginnend mit einem Buchstaben. Er darf nicht der Name einer integrierten Rolle sein und kann später nicht geändert werden. - **Name**: 1 bis 100 Zeichen. - **Berechtigungen**: Management-API-Berechtigungen, die in den Umgebungen gelten, in denen die Rolle zugewiesen ist, höchstens 200. - **Dashboard-Aktionen**: Konto-, Projekt-, Umgebungs- und Abrechnungsaktionen im Dashboard. Eine Rolle braucht mindestens eine Berechtigung oder eine Dashboard-Aktion. Dabei gelten folgende Grenzen: - Dem Owner vorbehaltene Aktionen (Schließen des Kontos, Übertragen des Eigentums, Erstellen von `production`-Umgebungen, Löschen von Umgebungen, Ändern des Issuer-Modus) können nicht Teil einer benutzerdefinierten Rolle sein. - Sie können nur Berechtigungen und Aktionen vergeben, die Ihre eigene Rolle in einer `production`-Umgebung besitzt. Das Dashboard bietet nur diese an. - Zum Bearbeiten einer Rolle müssen Sie alles besitzen, was sowohl im bisherigen als auch im neuen Inhalt enthalten ist. Gewährt eine Rolle mehr als Ihre eigene Rolle, bitten Sie einen Konto-Owner, sie zu ändern. - Eine Rolle, die noch zugewiesen ist oder in einer offenen Einladung genannt wird, kann nicht gelöscht werden. Widerrufen Sie diese Zuweisungen zuerst. Löschen ist auch dann möglich, wenn das Konto den Enterprise-Plan verlassen hat. Zum Einladen von Mitgliedern, Zuweisen von Rollen und Verwalten benutzerdefinierter Rollen ist immer die integrierte Rolle `owner` oder `admin` für das gesamte Konto erforderlich; eine benutzerdefinierte Rolle gewährt diese Team-Aktionen nicht. ### Bereichsbezogene Zuweisungen Eine Rolle kann für das gesamte Konto, für ein Projekt (jede Umgebung dieses Projekts) oder für eine Umgebung zugewiesen werden. Das Projekt oder die Umgebung muss zum Konto gehören. Ein Mitglied mit ausschließlich bereichsbezogenen Zuweisungen sieht nur die Projekte und Umgebungen, die diese Zuweisungen abdecken, und erhält Dashboard-Zugriff nur auf diese Umgebungen. Wenn mehrere Zuweisungen dieselbe Umgebung abdecken, hat das Mitglied dort die Berechtigungen aller dieser Zuweisungen. Die Rolle `owner` kann nicht bereichsbezogen zugewiesen werden. ## Verwandte Seiten - [Sicherheit des Dashboard-Zugriffs](/docs/security/dashboard-access) - [Datenisolation zwischen Umgebungen](/docs/security/tenant-isolation)