FirstSpirit Cloud: User and Access Management, July 2026
Dokumentation

Benutzer- und Rechteverwaltung mit IdP

Dieser Abschnitt beschreibt, wie Sie einen externen Identity Provider (IdP) an FirstSpirit Cloud anbinden und Benutzer in dieser Umgebung verwalten. Sie erfahren, was ein IdP ist und welche Vorteile seine Nutzung bietet, und werden Schritt für Schritt durch den Einrichtungsprozess sowie die anschließende Benutzerverwaltung geführt.

Was ist ein Externer Identity Provider?

Ein Identity Provider (IdP) speichert und verifiziert Identitäten von Benutzern. Für Service-Provider-Dienste wie z.B. FirstSpirit Cloud dient der IdP als zentrales Zugangssystem, bei dem sich die Benutzer anmelden können. In der Regel sind IdPs Cloud-gehostet und arbeiten mit Single-Sign-On-Providern (SSO) zusammen, um Benutzer zu authentifizieren.

Intern ist Keycloak ein IdP für die FirstSpirit Cloud. Sie können für die Benutzerverwaltung aber auch Ihren eigenen IdP verwenden.

Ihre IdP-Anbindung an FirstSpirit Cloud bietet einige Vorteile:

  • Stärkere Authentifizierung: Ein IdP stellt Lösungen bereit, die einen sicheren Zugang über Anwendungen hinweg gewährleisten.
  • Vereinfachte Benutzerverwaltung: Eine weitere Lösung, die von den meisten IdPs angeboten wird, ist das Single-Sign-On (SSO), was den Benutzern die Erstellung und Pflege mehrerer Benutzernamen und Passwörter erspart.
  • Bessere Transparenz: Ein IdP fasst alle Benutzeraktivitäten zusammen und sorgt dadurch für Transparenz über alle Benutzer und deren Rechte.
  • Weniger Aufwand für die Identitätsverwaltung: Eine zentrale Identitätsverwaltung erleichtert das On- und Offboarding neuer Redakteure und erhöht dadurch auch die Sicherheit.
  • Multi-Faktor-Authentifizierung: Mit Ihrem eigenen IdP können Sie die Multi-Faktor-Authentifizierung realisieren, die aktuell von FirstSpirit nicht unterstützt wird.

Mit Ausnahme der Multi-Faktor-Authentifizierung gelten diese Vorzüge bereits für Keycloak als internen IdP in FirstSpirit. Durch die Ausweitung Ihres IdP auf FirstSpirit erhalten Sie einen zusätzlichen Synergieeffekt.

Funktionsumfang

Neue Benutzer und automatische Aktualisierung

Wenn Sie einen IdP einsetzen, bietet der FirstSpirit Cloud-Dialog das Einloggen mit dem Login des Providers als Option an. Wählt der Benutzer diese Option, dann gibt er seine Anmeldedaten an, die er beim IdP (z.B. Azure) benötigt.

Wenn Sie die Multi-Faktor-Authentifizierung einsetzen, findet auch dieser Schritt beim externen IdP statt.

Bei einem erfolgreichen Login werden die Benutzerdaten (User-ID, E-Mail-Adresse, Vorname, Name etc.) vom IdP an Keycloak übertragen, der Benutzer mit dieser User-ID wird aktualisiert. Neue Benutzer werden in Keycloak automatisch angelegt.

Manuelle Aufnahme von Benutzern in Gruppen

Der IdP hat keine Informationen über die Zugriffsrechte des Benutzers auf FirstSpirit Cloud-Anwendungen. Daher kann die Aufnahme in die Gruppen nicht automatisiert werden. Ein User-Manager muss einen neuen Benutzer in die benötigten Gruppen aufnehmen.

Wenn Sie Group Mapping einrichten, kann diese Zuweisung automatisiert werden. Weitere Informationen finden Sie unter Group Mapping.

Zugriff auf alle Anwendungen mit SSO-Login

Wenn der Benutzer beim IdP angemeldet ist, hat er Zugriff auf alle Anwendungen des Kunden in seinem Unternehmen und auch innerhalb der FirstSpirit Cloud, wenn seine Zugriffsrechte in Keycloak eingerichtet sind.

Es ist dabei unerheblich, in welcher Anwendung die Anmeldung erfolgt. Auch wenn er sich zuvor bei einer Anwendung seines Unternehmens anmeldet, erreicht er die FirstSpirit Cloud-Anwendungen (z.B. Git, Bamboo etc.) direkt ohne Anmeldedialog.

Unterstützte Protokolle: OIDC & SAML

FirstSpirit Cloud unterstützt die IdP-Anmeldung mit den Protokollen OIDC und SAML.

FirstSpirit bevorzugt das OIDC-Protokoll. Für die Einrichtung der SAML-Konfiguration in der Azure Cloud kann kein Support angeboten werden.

OIDC

OpenID Connect (OIDC) ist ein offenes Authentifizierungsprotokoll, das OAuth 2.0 verwendet und um eine zusätzliche Identitätsebene erweitert. Über OIDC können Clients die Identität eines Endnutzers mithilfe der Authentifizierung durch einen Autorisierungsserver bestätigen.

SAML

Die Security Assertion Markup Language (SAML) ist ein offener Standard zum Austausch von Authentifizierungs- und Autorisierungs-Identitäten zwischen Sicherheitsdomänen. Das XML-basierte Protokoll erlaubt die Übertragung von Authentifizierungs- und Authorisierungs-Informationen von einem IdP zur FirstSpirit Cloud. SAML stellt Funktionen zur Verfügung, um sicherheitsbezogene Informationen zu beschreiben und korrekt und sicher zu übertragen.

Identity Provider einrichten

FirstSpirit Cloud ist für die Anbindung an Ihren IdP ausgestattet.

Für die Aktivierung bereiten wir Ihren FirstSpirit Cloud Zugang vor und Sie passen Ihren IdP an.

Hier finden Sie die erforderlichen Einrichtungsschritte.

FirstSpirit bevorzugt das OIDC-Protokoll. Sollten Sie sich dennoch für das SAML-Protokoll entscheiden sind folgende wichtige Vorbedingung bei der Einrichtung zu beachten:
  • Die IdP Anbindung mit SAML muss zwingend durch Zufügen einer Application ID URI folgender Formdurchgeführt werden:
    https://sso.e-spirit.hosting/auth/realms/your-realm
    Konsultieren Sie hierzu Ihren Azure AD-Administrator, bevor Sie weitere Schritte zur Einrichtung mit SAML unternehmen.
  • Wenn diese Bedingung nicht erfüllt ist, können Sie Ihren IdP nur mit OIDC anbinden.

Support-Anfrage erstellen

Bei Neukunden wird der IdP bei Bedarf im Verlauf des Onboarding eingerichtet. Überspringen Sie in diesem Fall diesen Schritt.

Informieren Sie uns

  • über Ihre Absicht, Ihre FirstSpirit Cloud an Ihren IdP anzubinden;
  • über das einzusetzende Verbindungsprotokoll.

Schreiben Sie uns unter support@firstspirit.com oder erstellen Sie ein Ticket.

Wir bereiten Ihre FirstSpirit Cloud auf die Anbindung vor und senden Ihnen Links zu, die Sie für die Vorbereitung in Ihrem IdP benötigen:

OIDC

SAML

  • Sie erhalten eine Application ID URI
    Z.B.: https://sso.e-spirit.hosting/auth/realms/your-realm
  • Sie erhalten eine Redirect URI
    Z.B.: https://sso.e-spirit.hosting/auth/realms/<REALM NAME>/broker/<IDP ALIAS>/endpoint
  • Richten Sie den IdP mit SAML ein.

Voraussetzungen

  • Die E-Mail-Funktionsfähigkeit in Ihrem Keycloak-Realm muss gewährleistet sein.
  • Alle Benutzer (auch Testbenutzer) müssen über eine E-Mail-Adresse verfügen und E-Mails abrufen können.

Mitteilung der IdP-Bereitschaft und Ihrer Daten an FirstSpirit

OIDC

  • Richten Sie Ihren IdP ein und verwenden Sie dazu die übermittelte Redirect URI.
  • Informieren Sie FirstSpirit über den Abschluss IdP-Einrichtung geben Sie folgende Informationen an:
    • Configuration URL / Metadata
    • ClientID
    • ClientSecret
    • E-Mail-Adresse zur Einrichtung der User-Manager-Rolle

SAML

  • Richten Sie Ihren IdP ein und verwenden Sie dazu die übermittelten Application ID URI und Redirect URI.
  • Richten Sie ID, Access-Token und SAML-Token ein. Verwenden Sie hierzu Ihre E-Mail-Adresse.
  • Informieren Sie FirstSpirit über den Abschluss der IdP-Einrichtung und geben Sie folgende Informationen an:
    • E-Mail-Adressen, die für ID, Access-Token und SAML-Token verwendet wurden
    • Federation Metadata Document URL
    • E-Mail-Adresse zur Einrichtung der User-Manager-Rolle

FirstSpirit bevorzugt das OIDC-Protokoll. Für die Einrichtung der SAML-Konfiguration in der Azure Cloud kann kein Support angeboten werden.

Definition des IdP in der FirstSpirit Cloud

Der IdP in der FirstSpirit Cloud wird durch FirstSpirit definiert.

Sie werden von FirstSpirit über den Abschluss der Konfiguration unterrichtet. Anschließend können Sie mit Tests in FirstSpirit Cloud fortfahren.

Workshop

Nach Abschluss der Konfiguration werden Sie zu einem Workshop eingeladen. Der Zugang mit Benutzern wird getestet und eventuelle Problemlösungen besprochen.

Neukunden: Organisation von Gruppen und Benutzern in der FirstSpirit Cloud

Das Anlegen und Löschen von Benutzern kann vollständig mithilfe des IdP erfolgen. Die Verwaltung der Berechtigungen von Benutzern (Zuordnung zu Gruppen, etc.) kann der User-Manager nur innerhalb der FirstSpirit Cloud (Keycloak) vornehmen.

Der erste Benutzer: User-Manager

Das erste Benutzerkonto Ihrer FirstSpirit Cloud wird von FirstSpirit erstellt und die Rolle User-Manager wir dem Benutzer zugewiesen. Der erste Benutzer ist als User-Manager berechtigt, weitere Benutzer zu erstellen und alle anderen Einstellungen in Keycloak und FirstSpirit vorzunehmen.

Den ersten Benutzer beantragen

Bei Neukunden wird dieser Schritt ohne Anfrage erledigt. Überspringen Sie in diesem Fall diesen Schritt.

Schicken Sie eine Supportanfrage:

  • als E-Mail an support@firstspirit.com mit Informationen zum neuen Benutzer: Vorname, Nachname, geschäftliche E-Mail-Adresse

  • oder als Support-Ticket.

Erstellen Sie ein Support Ticket:

  • Im Support-Portal, klicken Sie auf Supportanfragen einreichen.
  • Geben Sie Ihre E-Mail-Adresse an und wählen Sie die Produktlinie FirstSpirit aus.
  • Optional: Geben Sie Priorität, Produktversion und FirstSpirit-Komponente an.
  • Fallgrund: Service-Anfrage
  • Betreff: Neuer Account
  • Tragen Sie in der Beschreibung die Informationen zum neuen Benutzer ein: Vorname, Nachname, geschäftliche E-Mail-Adresse.

Aktivieren des ersten Benutzers

Sobald der erste Benutzer eingerichtet ist, bestätigt FirstSpirit Ihre Anfrage via E-Mail.

Sie müssen das Konto des Benutzers zunächst aktivieren:

  • Rufen Sie die Account-URL Ihrer Umgebung auf, z.B. https://<Tenant>-account.e-spirit.hosting.
    Bei einem Partner-Realm ohne FirstSpirit-Systeme nutzen Sie bitte die zentrale URL, siehe Infobox unten.
  • Klicken Sie auf Forgot Password.
  • Geben Sie die E-Mail-Adresse ein, die für den ersten Benutzer bei FirstSpirit hinterlegt wurde.

Sie erhalten eine Verifizierungs-E-Mail:

  • Klicken Sie auf den Link in der E-Mail.
    → Sie werden zu Ihrer Keycloak Account-Seite weitergeleitet.
  • Vergeben Sie ein Passwort unter Account security > Signing in.

Eine E-Mail zur Bestätigung der Aktivierung wird nicht versendet.
Die URL https://accounts.e-spirit.cloud/ steht als Fallback weiterhin zur Verfügung. Wenn Sie die URL aufrufen, muss zuerst der Tenant angegeben werden.

Keycloak-Login für User-Manager

  • Geben Sie im Browser die Adresse Ihres Realms ein:
    https://sso.e-spirit.hosting/auth/admin/<Tenant>/console/
  • Ersetzen Sie <Tenant> durch den FirstSpirit Cloud Tenant-Namen Ihres Unternehmens.

Das Formular für die Benutzerverwaltung mit Ihrem FirstSpirit-Benutzernamen wird geöffnet. Hier können Sie Benutzer und Gruppen verwalten.

Standardbenutzer einrichten

Sie können die nachfolgenden Anleitungen als Vorlage zum Erstellen von Arbeitsanweisungen für Benutzer in Ihrem Unternehmen verwenden.

Es wird unterschieden zwischen neuen Benutzern in der FirstSpirit Cloud mit einem externen IdP und bestehenden Benutzern, die sich bisher ohne einen externen IdP in der FirstSpirit Cloud eingeloggt haben.

Erster Login für neue Benutzer nach IdP-Einrichtung

Voraussetzung: Ein einfacher Zugriff auf die FirstSpirit Cloud-Anwendungen wurde beantragt.

  • Rufen Sie die Zugangs-URL zu Ihrem Produktiv-System auf
    Beispiel: https://<Tenant>.e-spirit.hosting
  • Wählen Sie den Login mit IdP aus:

    → Sie werden zum IdP Ihres Unternehmens weitergeleitet.
  • Melden Sie sich mithilfe des IdP an.
    → Sie sind nun eingeloggt und werden anschließend zur Anwendung mit allen Zugangsinformationen zurückgeleitet.

Erster Login für übernommene Benutzer nach IdP-Einrichtung

Wenn ein externer IdP eingerichtet wird, müssen Benutzer, die vor der IdP-Einrichtung angelegt wurden, ihr bestehendes Konto einmalig mit dem IdP verknüpfen.

Damit ein bereits existierender Benutzer in die Verwaltung mit dem IdP übernommen werden kann, muss sein Benutzername unverändert bleiben.

  • Melden Sie sich mit Ihrem IdP an.
    → Sie werden aufgefordert, Ihr bestehendes Konto mit dem IdP zu verknüpfen.
  • Klicken Sie auf Add to existing account.

    → Sie erhalten eine E-Mail zur Verifizierung Ihrer E-Mail-Adresse.
  • Folgen Sie dem Link in der E-Mail.
    → Ihr Konto ist nun mit dem IdP verknüpft.

Bestätigung des Benutzerkontos

Nach dem ersten Einloggen wird eine E-Mail mit einem Bestätigungslink an die von Ihnen angegebene E-Mail-Adresse verschickt.

  • Klicken Sie auf den Link in der E-Mail.
    → Ihr Keycloak Benutzerkonto ist nun mit dem IdP verbunden.

Gruppen erstellen und Benutzer zuweisen

Damit ein Benutzer auf FirstSpirit-Anwendungen zugreifen kann, muss er den entsprechenden Gruppen in Keycloak zugewiesen werden. Die Gruppenmitgliedschaft bestimmt, welche Berechtigungen der Benutzer innerhalb der Projekte erhält.

Mehr Informationen finden Sie unter Gruppen erstellen und Zuordnen von Benutzern zu Benutzergruppen.
Wenn Sie einen IdP verwenden, können Sie die Gruppenzuweisung in Keycloak durch Group Mapping automatisieren. Group Mapping ordnet Benutzern beim Login automatisch die entsprechenden Keycloak-Gruppen zu, basierend auf ihrer Gruppenmitgliedschaft im IdP.

Zugriff auf FirstSpirit CLI und API ermöglichen

Um die FirstSpirit CLI oder die API direkt zu nutzen, benötigt ein Benutzer ein lokales Passwort in Keycloak. Dafür muss ihm die Rolle password-user in Keycloak zugewiesen sein. Dies ist erforderlich, weil bei diesen technischen Anwendungsfällen keine browserbasierte SSO-Authentifizierung möglich ist.

Eine Anleitung zur Zuweisung der Rolle finden Sie unter Benutzerverwaltung in Keycloak.

Externe Gruppen in FirstSpirit-Projekt konfigurieren

Keycloak und FirstSpirit sind durch Gruppen mit genau übereinstimmenden Gruppennamen verbunden. Die Gruppen müssen in den jeweiligen FirstSpirit-Projekten angelegt und als extern gekennzeichnet sein. Aktivitäten in Keycloak, wie das Anlegen oder Umbenennen von Gruppen, werden nicht automatisch in FirstSpirit übertragen. Die Zuweisung von Benutzern zu Gruppen geschieht ausschließlich in Keycloak.

Mehr Details finden Sie in der FirstSpirit-Dokumentation.

  • Loggen Sie sich auf Ihrer FirstSpirit-Instanz ein, öffnen Sie den Server-Manager, wählen Sie das benötigte Projekt aus und wechseln Sie in die Eigenschaften.
  • Wählen Sie Gruppen, um die Übersicht der Gruppen anzuzeigen.

    Externe Gruppen werden mit dem Text Externe Gruppe in der Spalte Benutzer hervorgehoben. Diesen Gruppen sind in FirstSpirit keine Benutzer zugewiesen, da die Gruppen in Keycloak verwaltet werden.
  • Prüfen Sie, welche Keycloak-Gruppen bereits vorhanden sind.

Neue Gruppe mit identischem Gruppennamen anlegen

  • Klicken Sie rechts auf die Gruppenliste und wählen Sie Neue Gruppe anlegen.
  • Markieren Sie den Eintrag als Externe Gruppe.
  • Tragen Sie im Feld Externe Bezeichnung den exakten Namen der Keycloak-Gruppe ein.
  • Bestätigen Sie mit OK.

Zugriffsrechte konfigurieren

Sie können nun die Berechtigungen für die neue Gruppe konfigurieren.

Verwalten Sie Benutzer ausschließlich in Keycloak. Wenn ein Benutzer einer externen Gruppe in FirstSpirit hinzugefügt wird, verliert er die Möglichkeit, sich in FirstSpirit anzumelden.

Seiteninhalte