Servicekonten

Eine Identität für Software – eine Integration, ein geplanter Export, der Support-Desk –, die Rollen wie eine Person einnimmt, sich nie an der Konsole anmeldet und nie zu einem zweiten Schritt aufgefordert wird.

Die Zwei-Faktor-Authentifizierung ist für jeden Benutzer geeignet, aber für jedes Skript ungeeignet: Ein Programm, das sich mit einem Passwort anmeldet, wird nach einem Code gefragt, den es nicht eingeben kann. Stattdessen verwendet die Software ein Dienstkonto als Identität. Es verfügt über Rollen und Unternehmenszugehörigkeiten genau wie eine Person, sodass alle Bildschirmberechtigungen, Organisations- und Aufgabenregeln auch für es gelten – aber es hat kein bekanntes Passwort, das Anmeldeformular lehnt es ab, und es kann die persönlichen oder interaktiven Bereiche der Konsole (Einstellungen, Personalisierung, Dashboard, Assistent, Zwei-Faktor-Authentifizierung, Systemkonsole) nicht nutzen.

1. Open Platform → Zugriff & Sicherheit → Zugriff → Dienstkonten (neben Benutzern) und wählen Sie Neues Dienstkonto.
2. Geben Sie der Anwendung eine Adresse, die ihren Zweck beschreibt (nightly-export@service.yourcompany), einen Namen und einen Satz, der ihre Funktion erläutert.
3. Markieren Sie die entsprechenden Rollen. Weisen Sie der Funktion die engste Rolle zu, die den Zweck erfüllt: Eine Rolle, die ausschließlich Bestellungen anzeigt, ist beispielsweise ein Schlüssel, der nur Bestellungen lesen kann.
4. Optional kann die Gültigkeit auf Adressen (eine IP-Adresse oder ein IPv4-Bereich wie z. B. 203.0.113.0/24) beschränkt, die Gültigkeitsdauer des Tokens verkürzt oder ein Ablaufdatum festgelegt werden.
5. Erstellen Sie es. Das Geheimnis wird nur einmal angezeigt – kopieren Sie es in das Programm, das es verwenden soll. Es wird nur als Fingerabdruck gespeichert und kann nicht wieder ausgelesen werden.

Das Programm tauscht das Geheimnis gegen ein Token, das einige Minuten gültig ist, und sendet dieses Token bei jedem Aufruf wie jedes andere Bearer-Token:

POST /api/auth/service-token
{ "client_id": "nightly-export@service.yourcompany", "secret": "txs_…" }

→ { "token": "…", "expires_in": 3600, "companies": [ … ] }

GET /api/scm/purchase-orders
Authorization: Bearer <token>
X-Company: <company id>

• Ein neues Geheimnis ersetzt das alte und stoppt es sofort. Bereits ausgegebene Token verfallen, sofern Sie sie nicht beenden.
• Revoke stoppt das Geheimnis UND beendet bei der nächsten Anfrage jedes aktive Token.
• Durch Deaktivieren wird das Konto gelöscht; sein Name bleibt jedoch in jeder von ihm erstellten Prüfzeile erhalten.
• Jedes Token ist eine Sitzung: Es erscheint unter Plattform → Zugriff → Web- und Benutzersitzungen und kann dort wie jede andere Sitzung beendet werden.
• Falsche Geheimnisse führen zur gleichen Sperrung wie ein falsches Passwort, und jeder Austausch wird im Audit-Protokoll erfasst.
• Eine Person, die zwar Servicekonten verwaltet, aber kein Administrator ist, kann einem Konto nur Rollen zuweisen, die sie selbst innehat, und niemals die Administratorrolle.

Das Konto des Support-Desks

Jede Bereitstellung enthält ein Servicekonto, das nicht von der Bereitstellung selbst erstellt werden musste: support-desk@service.tranxact. Dieses Konto wird von der Bereitstellung automatisch anhand eines vom Anbieter bei der Installation festgelegten geheimen Schlüssels eingerichtet. Daher muss niemand in Ihrem Unternehmen etwas tun, damit Ihre Support-Tickets bearbeitet werden können. Dieses Konto übernimmt die Rolle des Support-Desks in jedem Unternehmen, liest und beantwortet Support-Tickets und deren Anhänge – und öffnet weder ein Modul noch eine andere Ansicht. Es ist als „von der Bereitstellung eingerichtet“ gekennzeichnet; die Aufhebung des Kontos liegt in Ihrer Verantwortung und wird von der Bereitstellung nicht überschrieben.