Eine einzige organisatorische Wahrheit, die cohort, studio, capabilities und executor trägt.
Standard OIDC / OAuth2: ES256 + PKCE, erzwungene Refresh-Rotation, rotierendes JWKS und Device Flow. Tokens tragen den minimalen Claim-Satz, und Profile werden immer autoritativ über userinfo aufgelöst.
Organisationsbaum, Anstellungsverhältnisse und Personensuche bilden die einzige Wahrheitsquelle für das plattformweite Verzeichnis. Eine Person einmal in identity ändern, und Desktop, Server und IM folgen — Verzeichnis-Drift ist an der Wurzel beseitigt.
Die gesamte Plattform hat drei Rollen — platform_admin / tenant_admin / member — mit zentralisierter Autorisierung in identity und einheitlich konsumierten Scopes. Ein Produkt hinzufügen bedeutet eine Katalogzeile, ohne nachgelagerte Änderungen.
Einmal anmelden, und cohort, studio, capabilities und executor verlangen keine zweite Anmeldung. Der Token-Austausch bleibt auf denselben Benutzer über Erstanbieter-Produkte beschränkt, lateral oder herabgestuft — ein gehaltenes Token erweitert nie Rechte.
Die AI-Engine erhält herabgestufte Tickets mit einem einzelnen Scope, kurzer TTL und einem festgepinnten Pfad. Die Engine hält keine Modellanbieter-Schlüssel, sodass selbst ein Leck nur einen einzigen Explosionsradius verbrennt.
„In welchem Mandanten bin ich“ ist als einzige Wahrheit im Token geschrieben; der Wechsel löst eine Neuausstellung aus, die Autorisierung wird bei jeder Ausstellung neu geprüft, und eine entzogene Rolle greift sofort — sie driftet nie in Überprivilegien.
Standard-SCIM-Inbound-Provisioning mit Okta / Azure AD out of the box, plus externe IdPs über SAML / OIDC-Föderation auf beiden Gleisen. Eintritt, Austritt und Abteilungswechsel greifen automatisch.
Jede Audit-Zeile trägt einen SHA-256-Inhaltshash plus den Hash der vorherigen Zeile und verkettet die Zeilen miteinander. Einfügungen, Löschungen, Umordnungen und Änderungen sind alle erkennbar — „wer was getan hat“ ist verifizierbar und manipulationssichtbar.
Benutzerdefinierte Felder nutzen ein deklaratives Schema; sensible Daten wie Ausweisnummern werden mit AES-256-GCM verschlüsselt gespeichert, maskiert zurückgegeben, und jedes Klartext-Lesen wird protokolliert — das erfüllt die strengen Anforderungen der PIPL an die Nachvollziehbarkeit sensibler personenbezogener Daten.
Identity ist die Basis — und der Ausgangspunkt für Datenisolation und Governance.
Einmal mit Ihrem Unternehmenskonto anmelden; SSO verbindet jedes Produkt.
Das Verzeichnis von Organisation und AI-Mitarbeitern wird hier zentral gepflegt und überall übernommen.
Abteilungen / Positionen / Rollen — ein Berechtigungsmodell über alle Produkte.
Daten sind by design nach Mandant isoliert; alles außerhalb des Rahmens wird zurückgerollt.
Vereinbaren Sie eine Demo und sehen Sie, wie die vereinheitlichte Identität die gesamte TUEO-Suite durchzieht.