FirstSpirit Cloud: User and Access Management, July 2026

Dokumentation

Benutzerverwaltung in Keycloak

Die auf der folgenden Seite beschriebenen Aufgaben gelten unabhängig davon, ob Sie in Ihrer FirstSpirit Cloud-Umgebung einen externen Identity Provider (IdP) eingerichtet haben.

Auf dieser Seite erfahren Sie, wie Sie als User-Manager Benutzer und Gruppen in Keycloak verwalten. Sie können Benutzer erstellen und bearbeiten, Gruppen zuweisen und entfernen sowie Rollen verwalten.

Die Benutzerverwaltung in Keycloak ist Benutzern mit der Rolle User-Manager vorbehalten. Um Benutzer verwalten zu können, muss zunächst der erste Benutzer mit dieser Rolle eingerichtet werden. Sie finden die entsprechenden Schritte unter Erster Benutzer: User-Manager auf der Seite Benutzer- und Rechteverwaltung ohne IdP oder Benutzer- und Rechteverwaltung mit IdP.

Individuelle Benutzer verwalten

Erstellen eines neuen Benutzers

Wenn ein Identity Provider bereits eingesetzt wird, müssen Benutzer nicht manuell angelegt werden. Sie können direkt mit der IdP-Einrichtung weitermachen.

In Keycloak, wechseln Sie in den Bereich Users.

Im Bereich Users ist nur der Tab User list freigeschaltet.

Menü: Users

Klicken Sie auf Add User im oberen Bereich.

Add user

Befüllen Sie die Felder:

Feld	Pflichtfeld	Beschreibung
Username	Ja	Verwenden Sie ausschließlich die geschäftliche E-Mail-Adresse des Benutzers
Email	Nein	Verwenden Sie ausschließlich die geschäftliche E-Mail-Adresse des Benutzers
Email verified	Nein	Ändern Sie den Verifizierungsstatus in Yes
First name	Nein	Vorname des Benutzers
Last name	Nein	Nachname des Benutzers
Groups	Nein	Wählen Sie die Gruppen aus, denen der Benutzer angehören soll. Die Gruppenzuweisung kann auch nach dem Erstellen des Benutzers vorgenommen werden

Klicken Sie auf Create, um den Benutzer-Eintrag zu speichern.

Keycloak versendet keine automatischen E-Mail-Benachrichtigungen an den Benutzer. Benachrichtigen Sie den neuen Benutzer manuell darüber, dass ein Benutzer-Eintrag für ihn erstellt wurde.

E-Mail-Vorlage

Sie können die nachfolgende E-Mail-Vorlage als Basis für eine eigene E-Mail verwenden und anpassen:

Hello!

We’ve created your account for the < CUSTOMER_NAME > FirstSpirit Cloud Environment.

To sign in, you need to activate your account first:

1. Open the URL https://< CUSTOMER_NAME >-account.e-spirit.hosting

2. Click Forgot Password.

3. Enter this e-mail address, which represents your FirstSpirit user name.

4. You will receive an e-mail to set your password (please check your spam folder, just in the case that the confirmation e-mail got delivered there instead of your inbox).

5. Click the link in the email.
→ You are redirected to your Keycloak account site.

6. Set your password under Account security > Signing in.

After setting the password your account is activated. No further e-mail will be sent!

The stages can be reached via following URLs:

Development (DEV) http://< CUSTOMER_NAME >dev.e-spirit.hosting
Quality Assurance (QA) http://< CUSTOMER_NAME >qa.e-spirit.hosting
Production (PROD) http://< CUSTOMER_NAME >.e-spirit.hosting

If you have any questions, please feel free to contact me.

Kind regards,

Bearbeiten von Benutzer-Einträgen

Nach der Erstellung eines Benutzer-Eintrags können Sie zusätzliche Eigenschaften des Eintrags bearbeiten.

Wechseln Sie in den Bereich Users.
Klicken Sie auf den Benutzernamen in der Spalte Username.
Die Benutzer-Detailansicht wird angezeigt.

Benutzer-Details

Der Keycloak-Funktionsumfang ist umfangreicher, als für die beschriebenen Zwecke benötigt. Nehmen Sie Einstellungen wie beschrieben vor.

Löschen von Benutzer-Einträgen

Wechseln Sie in den Bereich Users.
Wählen Sie einen oder mehrere Benutzer in der Liste aus und klicken Sie auf Delete user im oberen Bereich.
Alternativ: Klicken Sie auf das Drei-Punkte-Menü in der Zeile eines Benutzer-Eintrags und wählen Sie Delete aus.
Alternativ: Wechseln Sie in die Detail-Ansicht des Benutzer-Eintrags. Klicken Sie auf Action im oberen Bereich und wählen Sie Delete aus:
Bestätigen Sie mit Delete.

Gelöschte Benutzer können nicht auf die FirstSpirit Cloud zugreifen.
Das Wiederherstellen von Benutzern mit den ursprünglichen Einstellungen ist nicht möglich.
Das Löschen von Benutzern, die nicht von Ihrem Unternehmen verwaltet werden (z.B. Benutzer aus Partnerorganisationen oder FirstSpirit-Mitarbeiter), ist nicht möglich.
Für die Zugriffskontrolle:

Entfernen eines Benutzers aus zugeordneten Benutzergruppen
Löschen zugeordneter Benutzergruppen
Support-Anfrage zum Entfernen des gesamten Partner-Realms

Verwalten von Benutzergruppen

Erstellen einer neuen Benutzergruppe

Üblicherweise sind die Gruppen, die Sie am Anfang mit der FirstSpirit Cloud benötigen, bereits vorhanden und müssen nicht erst angelegt werden.

Wechseln Sie in den Bereich Groups.
Klicken Sie auf Create group.
Tragen Sie im Pop-up den Gruppennamen ein.
Empfehlungen zur Benennung von Gruppen
Bestätigen Sie mit Create.

Neu angelegte Gruppen werden automatisch entfernt, wenn sie nach einer voreingestellten Zeit keine Benutzer enthalten.

Zuordnung von Benutzern zu Benutzergruppen

Wenn Sie einen IdP verwenden, können Sie die Gruppenzuweisung in Keycloak durch Group Mapping automatisieren. Group Mapping ordnet Benutzern beim Login automatisch die entsprechenden Keycloak-Gruppen zu, basierend auf ihrer Gruppenmitgliedschaft im IdP.

Wechseln Sie in den Bereich Users.
Klicken Sie in den Eintrag in der Spalte Username, um die Benutzer-Detailansicht zu wechseln.
Öffnen Sie den Tab Groups.
In der Liste werden die Mitgliedschaften des Benutzers angezeigt.
Klicken Sie auf Join group.
Ein Pop-up mit verfügbaren Gruppen wird angezeigt.
Wählen Sie eine oder mehrere Gruppen aus und klicken Sie auf Join.

Entfernen von Benutzern aus Benutzergruppen

Klicken Sie in der Liste auf Leave in der Zeile des Gruppen-Eintrags.
Alternativ: Wählen Sie einen oder mehrere Einträge in der Liste aus und klicken Sie auf Leave im oberen Bereich.

Löschen von Benutzergruppen

Das Löschen von Benutzergruppen durch einen User-Manager oder eine andere Benutzerrolle in Ihrem Unternehmen ist nicht möglich.

Erstellen Sie eine Support-Anfrage, um eine Benutzergruppe zu löschen.

Verwaltung von Rollen

Wechseln Sie in den Bereich Users.
Wählen Sie in der Benutzer-Detailansicht den Tab Role Mapping.
Die Rollen Ihres Realms werden angezeigt.

Zuweisen der Rolle `User-Manager`

Als User-Manager können Sie einem anderen Benutzer die User-Manager-Rolle zuweisen.

Navigieren Sie zu Users > Role mapping.
Klicken Sie im oberen Bereich auf Assign role > Realm roles.
Wählen Sie im Pop-up die Rolle User-Manager aus und klicken Sie auf Assign.
→ Die Rolle wird sofort zugewiesen.

Die Rolle eines User-Manager sollte nur an Personen mit einer Nutzerverwaltungs-Funktion im Unternehmen vergeben werden. Je nach Aufbau des Unternehmens kann das z.B. ein Abteilungs-, Bereichs oder Projektleiter, oder Mitarbeiter der IT-Abteilung sein.

Zuweisen der Rolle `password-user`

Als User-Manager können Sie einem Benutzer die password-user-Rolle zuweisen, um ihm eine lokale Authentifizierung zu ermöglichen.

In Keycloak:

Navigieren Sie zum Bereich Users.
Öffnen Sie die Detailansicht des gewünschten Benutzers und wechseln Sie in den Tab Role Mapping.
Klicken Sie auf Assign role und wählen Sie Realm role aus.
Wählen Sie die Rolle password-user aus.

Die Rolle kann auch einer Gruppe zugewiesen werden. Wechseln Sie dazu in den Bereich Groups, öffnen Sie die Detailansicht der gewünschten Gruppe und gehen Sie analog vor.

Entziehen einer Rolle

Als User-Manager können Sie einem anderen Benutzer Rollen entziehen.

Navigieren Sie zu Users > Role mapping.
Wählen Sie eine Rolle in der Liste aus und klicken Sie auf Unassign im oberen Bereich.
Alternativ: Klicken Sie auf das Drei-Punkte-Menü in der Zeile der Rolle und wählen Sie Unassign aus.
Bestätigen Sie mit Remove.

Es ist technisch möglich, sich selbst die User-Manager-Rolle zu entziehen. Wenn Sie der einzige User-Manager Ihres Unternehmens sind, verliert das Unternehmen so die Kontrolle über die Benutzerverwaltung. Um einem Benutzer die User-Manager-Rolle zuweisen zu lassen, wenden Sie sich an den FirstSpirit-Support.

Federation erstellen

Jedes FirstSpirit-Partnerunternehmen hat genau einen Realm. Wenn Sie wünschen, dass ein Partner an Ihren Projekten arbeiten darf, muss Ihr Realm mit dem Realm des Partners verbunden werden.

Die Erstellung einer Federation muss durch den Kunden beim FirstSpirit-Support beantragt werden. Das Partnerunternehmen kann die Einrichtung einer Federation nicht beantragen.

Schicken Sie eine Supportanfrage an support@firstspirit.com und geben Sie die Benutzerinformationen an:

Name des Partnerunternehmens
Name oder ID eines oder mehrerer Benutzer Ihres Unternehmen, die die User-Manager-Rolle innehaben sollen

Oder erstellen Sie ein Ticket.