Benutzer, SAML, Thresholds, KI, MCP und Audit

Users & roles

Verwenden Sie Users & roles, um Benutzer per E-Mail einzuladen, Memberships zu aktivieren oder zu deaktivieren und Rollen zuzuweisen. Der Bildschirm trennt aktive Zugriffe von ausstehenden Einladungen.

• admin: kann Tenant-Konfiguration ändern.
• viewer: kann prüfen, ohne Konfiguration zu ändern.

Invite user fragt nur E-Mail und Rolle ab. SPOT erstellt kein Konto und gewährt keinen Zugriff, bevor der Empfänger den Link öffnet und annimmt. Eine bestehende SPOT-Identität muss genau diese Identität mit ihrem Passwort oder dem SAML-Login ihrer Organisation nachweisen. Ist ein anderes Konto geöffnet, fordert SPOT zum Kontowechsel auf, ohne den Link zu verbrauchen. Ein Empfänger ohne Authenticator erstellt bei der Annahme das erste Passwort. Nach erfolgreicher Annahme öffnet SPOT direkt den Tenant, der die Einladung gesendet hat — ohne zweite Anmeldung oder Workspace-Auswahl. Ein Tenant-Administrator kann die globale Anmeldeinformation auf diesem Bildschirm weder erstellen noch zurücksetzen.

Der Link kann nur einmal verwendet werden und läuft nach 24 Stunden ab. Falls eine Anmeldung erforderlich ist, bleibt die Einladung in diesem Browser-Tab ausstehend. Ein abgelaufener oder bereits verwendeter Link gewährt keinen Zugriff; fordern Sie beim Administrator eine neue Einladung an.

Prüfen Sie den Membership-Status, bevor Sie ein Zugriffsproblem diagnostizieren. Eine deaktivierte Membership ist kein Authentifizierungsfehler, und ein viewer sieht keine Administrationsaktionen, auch wenn Read-only-Bildschirme geöffnet werden können.

Users & roles trennt ausstehende Einladungen von aktiven Memberships und deren Rollen.

Kapazitätswarnungen

SPOT zeigt eine nicht blockierende globale Warnung, wenn die bekannte Nutzung einen Kapazitätsschwellenwert des Dienstes überschreitet. Die Warnung verhindert weder Navigation noch den normalen Betrieb. Liegen für eine oder mehrere Quellen noch keine aktuellen Daten vor, meldet SPOT eine teilweise oder unbekannte Abdeckung, statt fehlende Daten als Nutzung null zu interpretieren.

Ein Tenant-Administrator kann die Details öffnen und aktuelle Nutzung, Kapazität und Datenaktualität prüfen. Ein viewer erhält nur den allgemeinen Betriebsstatus und die Warnung. Bleibt die Warnung bestehen, prüfen Sie zuerst, ob die SAP-Quellen aktuelle Daten liefern, und wenden Sie sich an Ihren SPOT-Ansprechpartner.

SAML

Der Bildschirm SAML bereitet die Integration mit einem Identity Provider vor: Entity ID, SSO URL, Zertifikat und Gruppenzuordnungen. Die IdP-Konfiguration aktiviert den Unternehmens-Login nicht allein: Platform muss zuerst die verifizierte primäre Domäne dieses Tenants als Identity Authority genehmigen. Dieser Tenant wird dann zum Home-Tenant für Identitäten der Domäne.

SPOT erkennt eine bekannte SAML-Identität anhand des stabilen Subjects des IdP, nicht nur anhand der E-Mail. Gruppenzuordnungen vergeben Rollen ausschließlich im Home-Tenant und niemals Zugriff auf einen anderen Tenant. Widerruft Platform die Authority, werden die zugehörigen SAML-Sitzungen ungültig.

SAML zeigt Provider-Parameter, SPOT-Werte und Gruppenzuordnungen.

Microsoft Entra: manuelle Anwendungsrollen

Verwenden Sie eine eigene SAML-Anwendung. Kopieren Sie SPOT Entity ID, ACS URL und Metadata URL aus SAML nach Entra. Speichern Sie IdP Entity ID, SSO URL und Signaturzertifikat in SPOT. Verwenden Sie ein stabiles Subject und senden Sie die geschäftliche E-Mail als email.

1. Definieren Sie Anwendungsrollen für Benutzer, etwa spot-admin und spot-viewer.
2. Öffnen Sie Users and groups in der Unternehmensanwendung. Fügen Sie den Benutzer hinzu, wählen Sie die Rolle und bestätigen Sie die manuelle Zuweisung.
3. Übermitteln Sie die zugewiesenen Rollenwerte im SAML-Attribut groups. Ordnen Sie in SPOT spot-admin zu admin und spot-viewer zu viewer zu. Prüfen Sie die exakten Attributnamen und Werte vor dem Aktivieren.

Microsoft beschreibt die Rollendefinition und Benutzerzuweisung. Bewahren Sie vor dem Aktivieren einen administrativen Wiederherstellungszugang.

Anmeldung und Prüfung im Browser

Starten Sie am SPOT-Login: Geben Sie die geschäftliche E-Mail ein und wählen Sie Continuar con SAML. Nach der Provider-Anmeldung kehrt SPOT zum Login zurück und schließt die Sitzung ab. Wählen Sie bei mehreren Tenants den Workspace. Eine ausstehende Einladung im selben Tab oder eine OAuth-Autorisierung wird nach der Anmeldung fortgesetzt.

Prüfen Sie mit einem zugewiesenen Testkonto den erwarteten Tenant, die vorgesehenen Rollenrechte, den Sitzungserhalt nach dem Neuladen und einen erfolgreichen Eintrag saml.acs in Audit. Wiederholen Sie dies mit einer bereits geöffneten SPOT-Sitzung, um den Identitätswechsel zu prüfen. Dies ist das Abnahmeverfahren; gespeicherte Konfiguration und automatische Tests allein belegen keine Abnahme mit dem echten IdP.

Bei abgelaufenem oder fehlgeschlagenem Abschluss kehren Sie zum Login zurück und starten SAML im selben Tab erneut. Erlauben Sie Website-Cookies und kopieren Sie die Rückkehradresse nicht in einen anderen Browser. Prüfen Sie Zuweisung, Rollenwerte, Zertifikat, genehmigte Domäne sowie Benutzer- und Membership-Status. Teilen Sie keine SAML-Antworten, Cookies oder Zugangsdaten in Screenshots oder Logs.

Thresholds

Thresholds erlaubt die Anpassung von Metrikgrenzen nach Metrik und Quelle. Verwenden Sie Suche und Domänenfilter, um die richtige Metrik zu finden. Ändern Sie nur Werte, die mit Basis oder Betrieb abgestimmt sind.

Jede Änderung beeinflusst die Interpretation von Betriebsansichten, KI-Berichten und Health-Evidenzen. Identifizieren Sie vor einer Änderung SAP-Quelle, Domäne und exakte Metrik. Validieren Sie danach dieselbe Metrik in Metrics, damit die neue Grenze normales Rauschen nicht dauerhaft in WARN/KO verwandelt.

Zusätzlich zu Warning und Critical kann eine Metrik mit ML-Policy alerting ML warning und ML critical verwenden, standardmäßig 75 und 90. Diese Werte steuern Punkte im Diagramm und ML-Bedingungen in Alarmregeln. Der Score kombiniert kalibrierte Seltenheit, materielle Auswirkung, Richtung und Persistenz.

Änderungen bleiben ein lokaler Entwurf, bis in der Zeile Save gewählt wird. SPOT validiert alle vier Werte gemeinsam und sendet während der Eingabe keine Änderungen. Für eine SAP-Quelle entfernt Reset den Override dieser Quelle und stellt die effektiven Tenant-Werte wieder her.

SPOT erzwingt 0 ≤ ML warning < ML critical ≤ 100. Auf der kalibrierten Standardskala entspricht 75 einer seltenen und 90 einer deutlich außergewöhnlicheren Abweichung, sofern die Änderung materiell und schädlich ist. Prüfe den Effekt in Metrics, die Abdeckung unter Machine Learning und Regeln unter Alarme.

Thresholds kann nach SAP-Quelle, Domäne und Metrik gefiltert werden.

AI

AI konfiguriert Provider für Berichte und Chat. Validieren Sie jeden Provider mit Test, bevor Sie ihn im Betrieb verwenden.

Test führt einen echten Aufruf beim Provider mit gespeicherter Konfiguration oder dem sichtbaren Entwurf auf dem Bildschirm aus. Das Ergebnis bestätigt Konnektivität, Modell und Latenz, ohne rohe Provider-Antworten oder Secrets anzuzeigen.

Für OpenAI, Anthropic und Gemini können Sie Base URL leer lassen: SPOT verwendet beim Testen, Speichern und Nutzen des Providers den jeweiligen offiziellen HTTPS-Endpunkt. Für OpenAI-compatible oder einen anderen benutzerdefinierten Provider geben Sie eine gültige öffentliche HTTPS-Base URL ein. Wenn Save tenant config die Konfiguration ablehnt, prüfen Sie zuerst Providertyp und URL; private oder unsichere Ziele werden nicht akzeptiert.

Wenn Sie type oder base_url in einem Entwurf ändern, geben Sie vor Test eine neue API key ein. SPOT verwendet das gespeicherte Secret nicht für einen geänderten Endpoint; stattdessen erscheint ein klarer Fehler, damit Zugangsdaten nicht an ein nicht validiertes Ziel gesendet werden.

Der aktive Provider wird für Berichte und Chat zur gewählten SAP-Quelle verwendet. Wenn mehrere Provider existieren, lassen Sie nur den operativen Default aktiv und halten Sie die übrigen deaktiviert, bis Konnektivität, Modell und Berechtigungen getestet sind. Wenn Sie eine Fallback-Chain (fallback_chain) konfigurieren, versucht SPOT automatisch den nächsten Provider bei transienten Fehlern (429, Timeouts, Serverfehler).

Das AI-Analytics-Panel in der /ai-Ansicht ermöglicht die Bewertung der tatsächlichen Systemnutzung: erstellte Berichte, Chat-Sitzungen, durchschnittliche Qualität, Fehlerrate und Benutzer-Feedback.

AI kombiniert Tenant-Provider und schreibgeschützten MCP-Zugriff.

MCP access

MCP access unter AI verbindet Cursor, Claude oder Codex mit den schreibgeschützten Tenant-Daten. Ein admin aktiviert oder deaktiviert MCP für den Tenant. admin und viewer können ihre eigenen Zugangsdaten erstellen und widerrufen; nur ein Administrator darf Grants anderer Benutzer anzeigen und widerrufen.

Der Abschnitt erscheint nur, wenn das SaaS-Deployment MCP bereitstellt. Sein Fehlen beeinflusst die KI-Provider nicht: Die globale Capability ist dann deaktiviert und die Konsole ruft keine MCP-Endpunkte auf. Auch bei verfügbarem Abschnitt ist MCP für den Tenant zunächst deaktiviert und erfordert das ausdrückliche Opt-in eines Administrators.

OAuth ist die empfohlene Option. Füge die von SPOT angezeigte MCP-URL im Client hinzu, melde dich im Browser an, wähle den Tenant und bestätige die Berechtigungen. Verwende ein persönliches Token nur, wenn der Client OAuth nicht abschließen kann. SPOT zeigt dieses Token einmal: kopiere es in einen Secret-Manager oder eine Umgebungsvariable und speichere es weder im Repository noch in einer gemeinsam genutzten Projektkonfiguration. Copy token verwendet die Zwischenablage des Browsers und weicht auf eine lokale Kopie innerhalb der Seite aus, wenn diese API nicht verfügbar ist. Blockiert der Browser beide Methoden, markiere den Wert, bevor du den Hinweis schließt.

Wähle beim Erstellen Gültigkeitsdauer und erlaubte Daten:

• metrics:read: vollständiger Katalog und kanonische Metrikabfragen.
• alerts:read: Alarmübersicht, Verlauf und Details.
• ml:read: Modellstatus, Expected Range, Forecast und Anomalien.

Alle drei Optionen sind zunächst ausgewählt. Entferne Berechtigungen, wenn der Client nur einen Teil benötigt. Die Zugangsdaten sind an deinen Benutzer und Tenant gebunden; ein anderer Tenant oder beliebige Elasticsearch-Abfragen können nicht gewählt werden.

Die Anleitung im Bildschirm enthält kopierbare Schritte für Cursor, Claude web, Claude Code und Codex. Für Codex verwende codex mcp add spot --url <MCP-URL> und danach codex mcp login spot. Für Claude Code verwende claude mcp add --transport http spot <MCP-URL> und prüfe die Verbindung mit /mcp. Cursor und Claude web können dieselbe URL als Remote-Server oder Connector hinzufügen und OAuth im Browser abschließen.

So validierst du die Verbindung, ohne Berechtigungen zu erweitern:

1. Liste die Tools auf und prüfe, dass nur die durch die Scopes erlaubten Tools erscheinen.
2. Liste die Quellen auf und frage eine Metrik einer aktivierten Tenant-Quelle ab.
3. Widerrufe die Zugangsdaten und wiederhole den Lesezugriff: Der Client muss eine neue Anmeldung anfordern oder 401 zurückgeben.

Verwende echte Tokens niemals in Screenshots, Logs oder Testberichten.

Widerrufe Zugangsdaten nach Verlust eines Geräts, einer Zweckänderung oder wenn sie nicht mehr benötigt werden. Wird MCP für den Tenant deaktiviert, werden alle bestehenden Verbindungen und Tokens widerrufen; nach erneuter Aktivierung sind neue Zugangsdaten nötig. Bei 401 melde dich erneut an oder erstelle ein neues Token. Prüfe bei unzureichenden Berechtigungen die Scopes. Ein inaktiver Tenant oder Benutzer blockiert den Zugriff sofort.

Audit

Audit zeigt Tenant-Aktionen. Filtern Sie nach Action, Outcome, Actor, IP, Resource type, Resource ID und Zeitfenster.

Nutzen Sie Audit, um Konfigurationsänderungen, Benutzeraktionen, Connector-Aktionen und Integrationstests zu bestätigen. Bei Zugriffsincidents kombinieren Sie actor, outcome und Zeitfenster, um falsche Zugangsdaten, unzureichende Berechtigungen und aktuelle administrative Änderungen zu trennen.

Audit prüft Tenant-Aktionen mit operativen Filtern.