Benutzer, SAML, Thresholds, KI, MCP und Audit

Users & roles

Verwenden Sie Users & roles, um Benutzer per E-Mail einzuladen, Memberships zu aktivieren oder zu deaktivieren und Rollen zuzuweisen. Der Bildschirm trennt aktive Zugriffe von ausstehenden Einladungen.

• admin: kann Tenant-Konfiguration ändern.
• viewer: kann prüfen, ohne Konfiguration zu ändern.

Invite user fragt nur E-Mail und Rolle ab. SPOT erstellt kein Konto und gewährt keinen Zugriff, bevor der Empfänger den Link öffnet und annimmt. Eine bestehende SPOT-Identität muss genau diese Identität mit ihrem Passwort oder dem SAML-Login ihrer Organisation nachweisen. Ist ein anderes Konto geöffnet, fordert SPOT zum Kontowechsel auf, ohne den Link zu verbrauchen. Ein Empfänger ohne Authenticator erstellt bei der Annahme das erste Passwort. Nach erfolgreicher Annahme öffnet SPOT direkt den Tenant, der die Einladung gesendet hat — ohne zweite Anmeldung oder Workspace-Auswahl. Ein Tenant-Administrator kann die globale Anmeldeinformation auf diesem Bildschirm weder erstellen noch zurücksetzen.

Der Link kann nur einmal verwendet werden und läuft nach 24 Stunden ab. Falls eine Anmeldung erforderlich ist, bleibt die Einladung in diesem Browser-Tab ausstehend. Ein abgelaufener oder bereits verwendeter Link gewährt keinen Zugriff; fordern Sie beim Administrator eine neue Einladung an.

Prüfen Sie den Membership-Status, bevor Sie ein Zugriffsproblem diagnostizieren. Eine deaktivierte Membership ist kein Authentifizierungsfehler, und ein viewer sieht keine Administrationsaktionen, auch wenn Read-only-Bildschirme geöffnet werden können.

Users & roles trennt ausstehende Einladungen von aktiven Memberships und deren Rollen.

Kapazitätswarnungen

SPOT zeigt eine nicht blockierende globale Warnung, wenn die bekannte Nutzung einen Kapazitätsschwellenwert des Dienstes überschreitet. Die Warnung verhindert weder Navigation noch den normalen Betrieb. Liegen für eine oder mehrere Quellen noch keine aktuellen Daten vor, meldet SPOT eine teilweise oder unbekannte Abdeckung, statt fehlende Daten als Nutzung null zu interpretieren.

Ein Tenant-Administrator kann die Details öffnen und aktuelle Nutzung, Kapazität und Datenaktualität prüfen. Ein viewer erhält nur den allgemeinen Betriebsstatus und die Warnung. Bleibt die Warnung bestehen, prüfen Sie zuerst, ob die SAP-Quellen aktuelle Daten liefern, und wenden Sie sich an Ihren SPOT-Ansprechpartner.

SAML

Der Bildschirm SAML bereitet die Integration mit einem Identity Provider vor: Entity ID, SSO URL, Zertifikat und Gruppenzuordnungen. Die IdP-Konfiguration aktiviert den Unternehmens-Login nicht allein: Platform muss zuerst die verifizierte primäre Domäne dieses Tenants als Identity Authority genehmigen. Dieser Tenant wird dann zum Home-Tenant für Identitäten der Domäne.

SPOT erkennt eine bekannte SAML-Identität anhand des stabilen Subjects des IdP, nicht nur anhand der E-Mail. Gruppenzuordnungen vergeben Rollen ausschließlich im Home-Tenant und niemals Zugriff auf einen anderen Tenant. Widerruft Platform die Authority, werden die zugehörigen SAML-Sitzungen ungültig.

SAML zeigt Provider-Parameter, SPOT-Werte und Gruppenzuordnungen.

Aktueller Status

SAML ist als Konfiguration verfügbar, benötigt aber noch End-to-end-Validierung in einer realen IdP-integrierten Umgebung. Behandeln Sie den Ablauf erst danach als vollständig freigegeben.

Thresholds

Thresholds erlaubt die Anpassung von Metrikgrenzen nach Metrik und Quelle. Verwenden Sie Suche und Domänenfilter, um die richtige Metrik zu finden. Ändern Sie nur Werte, die mit Basis oder Betrieb abgestimmt sind.

Jede Änderung beeinflusst die Interpretation von Betriebsansichten, KI-Berichten und Health-Evidenzen. Identifizieren Sie vor einer Änderung SAP-Quelle, Domäne und exakte Metrik. Validieren Sie danach dieselbe Metrik in Metrics, damit die neue Grenze normales Rauschen nicht dauerhaft in WARN/KO verwandelt.

Zusätzlich zu Warning und Critical kann eine Metrik mit ML-Policy alerting ML warning und ML critical verwenden, standardmäßig 75 und 90. Diese Werte steuern Punkte im Diagramm und ML-Bedingungen in Alarmregeln. Der Score kombiniert kalibrierte Seltenheit, materielle Auswirkung, Richtung und Persistenz.

Änderungen bleiben ein lokaler Entwurf, bis in der Zeile Save gewählt wird. SPOT validiert alle vier Werte gemeinsam und sendet während der Eingabe keine Änderungen. Für eine SAP-Quelle entfernt Reset den Override dieser Quelle und stellt die effektiven Tenant-Werte wieder her.

SPOT erzwingt 0 ≤ ML warning < ML critical ≤ 100. Auf der kalibrierten Standardskala entspricht 75 einer seltenen und 90 einer deutlich außergewöhnlicheren Abweichung, sofern die Änderung materiell und schädlich ist. Prüfe den Effekt in Metrics, die Abdeckung unter Machine Learning und Regeln unter Alarme.

Thresholds kann nach SAP-Quelle, Domäne und Metrik gefiltert werden.

AI

AI konfiguriert Provider für Berichte und Chat. Validieren Sie jeden Provider mit Test, bevor Sie ihn im Betrieb verwenden.

Test führt einen echten Aufruf beim Provider mit gespeicherter Konfiguration oder dem sichtbaren Entwurf auf dem Bildschirm aus. Das Ergebnis bestätigt Konnektivität, Modell und Latenz, ohne rohe Provider-Antworten oder Secrets anzuzeigen.

Wenn Sie type oder base_url in einem Entwurf ändern, geben Sie vor Test eine neue API key ein. SPOT verwendet das gespeicherte Secret nicht für einen geänderten Endpoint; stattdessen erscheint ein klarer Fehler, damit Zugangsdaten nicht an ein nicht validiertes Ziel gesendet werden.

Der aktive Provider wird für Berichte und Chat zur gewählten SAP-Quelle verwendet. Wenn mehrere Provider existieren, lassen Sie nur den operativen Default aktiv und halten Sie die übrigen deaktiviert, bis Konnektivität, Modell und Berechtigungen getestet sind. Wenn Sie eine Fallback-Chain (fallback_chain) konfigurieren, versucht SPOT automatisch den nächsten Provider bei transienten Fehlern (429, Timeouts, Serverfehler).

Das AI-Analytics-Panel in der /ai-Ansicht ermöglicht die Bewertung der tatsächlichen Systemnutzung: erstellte Berichte, Chat-Sitzungen, durchschnittliche Qualität, Fehlerrate und Benutzer-Feedback.

AI kombiniert Tenant-Provider und schreibgeschützten MCP-Zugriff.

MCP access

MCP access unter AI verbindet Cursor, Claude oder Codex mit den schreibgeschützten Tenant-Daten. Ein admin aktiviert oder deaktiviert MCP für den Tenant. admin und viewer können ihre eigenen Zugangsdaten erstellen und widerrufen; nur ein Administrator darf Grants anderer Benutzer anzeigen und widerrufen.

Der Abschnitt erscheint nur, wenn das SaaS-Deployment MCP bereitstellt. Sein Fehlen beeinflusst die KI-Provider nicht: Die globale Capability ist dann deaktiviert und die Konsole ruft keine MCP-Endpunkte auf. Auch bei verfügbarem Abschnitt ist MCP für den Tenant zunächst deaktiviert und erfordert das ausdrückliche Opt-in eines Administrators.

OAuth ist die empfohlene Option. Füge die von SPOT angezeigte MCP-URL im Client hinzu, melde dich im Browser an, wähle den Tenant und bestätige die Berechtigungen. Verwende ein persönliches Token nur, wenn der Client OAuth nicht abschließen kann. SPOT zeigt dieses Token einmal: kopiere es in einen Secret-Manager oder eine Umgebungsvariable und speichere es weder im Repository noch in einer gemeinsam genutzten Projektkonfiguration.

Wähle beim Erstellen Gültigkeitsdauer und erlaubte Daten:

• metrics:read: vollständiger Katalog und kanonische Metrikabfragen.
• alerts:read: Alarmübersicht, Verlauf und Details.
• ml:read: Modellstatus, Expected Range, Forecast und Anomalien.

Alle drei Optionen sind zunächst ausgewählt. Entferne Berechtigungen, wenn der Client nur einen Teil benötigt. Die Zugangsdaten sind an deinen Benutzer und Tenant gebunden; ein anderer Tenant oder beliebige Elasticsearch-Abfragen können nicht gewählt werden.

Die Anleitung im Bildschirm enthält kopierbare Schritte für Cursor, Claude web, Claude Code und Codex. Für Codex verwende codex mcp add spot --url <MCP-URL> und danach codex mcp login spot. Für Claude Code verwende claude mcp add --transport http spot <MCP-URL> und prüfe die Verbindung mit /mcp. Cursor und Claude web können dieselbe URL als Remote-Server oder Connector hinzufügen und OAuth im Browser abschließen.

Widerrufe Zugangsdaten nach Verlust eines Geräts, einer Zweckänderung oder wenn sie nicht mehr benötigt werden. Wird MCP für den Tenant deaktiviert, werden alle bestehenden Verbindungen und Tokens widerrufen; nach erneuter Aktivierung sind neue Zugangsdaten nötig. Bei 401 melde dich erneut an oder erstelle ein neues Token. Prüfe bei unzureichenden Berechtigungen die Scopes. Ein inaktiver Tenant oder Benutzer blockiert den Zugriff sofort.

Audit

Audit zeigt Tenant-Aktionen. Filtern Sie nach Action, Outcome, Actor, IP, Resource type, Resource ID und Zeitfenster.

Nutzen Sie Audit, um Konfigurationsänderungen, Benutzeraktionen, Connector-Aktionen und Integrationstests zu bestätigen. Bei Zugriffsincidents kombinieren Sie actor, outcome und Zeitfenster, um falsche Zugangsdaten, unzureichende Berechtigungen und aktuelle administrative Änderungen zu trennen.

Audit prüft Tenant-Aktionen mit operativen Filtern.