> ## Documentation Index > Fetch the complete documentation index at: https://docs.iru.com/llms.txt > Use this file to discover all available pages before exploring further. # Administratoren und Rollen > Steuern Sie, wer Iru Identity verwalten kann, weisen Sie integrierte oder benutzerdefinierte Administratorrollen zu und beschränken Sie die Berechtigungen jedes Administrators auf das, was seine Aufgabe erfordert. **Administratoren** sind die Teammitglieder, die sich beim Iru-Dashboard anmelden und Iru Identity verwalten können: Ihr Verzeichnis, Ihre Anwendungen, Richtlinien und Einstellungen. Was jeder Administrator tun kann, wird durch die ihm zugewiesene **Rolle** bestimmt. Sie verwalten beides unter **Zugriff** im Iru-Dashboard auf den Registerkarten **Administrators** und **Roles**. Hier geht es um das Iru-Dashboard, nicht um den App-Launcher für Endbenutzer. Endbenutzer in Ihrem [Verzeichnis](/de/identity/directory/directory-overview) melden sich an, um ihre zugewiesenen Apps zu erreichen, verwalten Iru aber nicht. Ein Administrator ist ein Verzeichnisbenutzer, dem zusätzlich eine Administratorrolle zugewiesen wurde. ## Wie der Zugriff strukturiert ist Berechtigungen werden nicht einzeln vergeben. Stattdessen ist eine **Rolle** ein benanntes Bündel von Berechtigungen, und Sie gewähren jemandem Zugriff, indem Sie ihm eine Rolle zuweisen. Verwalten Sie Rollen einmal, und jeder Administrator mit dieser Rolle erbt ihre Berechtigungen. ```mermaid theme={null} flowchart LR admin["Administrator
(ein Verzeichnisbenutzer)"] -->|"erhält"| role["Rolle"] role -->|"gewährt"| perms["Berechtigungen"] perms -->|"erlauben Aktionen in"| console["Dem Iru-Dashboard"] ``` ## Administratoren Die Registerkarte **Administrators** listet alle auf, die Iru Identity verwalten können, mit Name, Benutzername, E-Mail-Adresse, Status und zugewiesener Rolle. Fügen Sie einen Administrator hinzu, um ihm Zugriff auf das Iru-Dashboard zu gewähren, und öffnen Sie einen beliebigen Administrator, um seine Rolle zu überprüfen oder zu ändern. Ein Benutzer wird als **Kontoinhaber** des Mandanten festgelegt, sein primärer Eigentümer. Ein Administrator legt den Kontoinhaber im Datensatz eines Benutzers fest. Wählen Sie auf der Registerkarte **Administrators**, einen Administrator hinzuzufügen, und geben Sie seine Daten ein, einschließlich der E-Mail-Adresse und des User Principal Name, mit denen er sich anmeldet. Wählen Sie die Rolle, die seinen Aufgaben entspricht. Die Rolle bestimmt seine Berechtigungen im gesamten Iru-Dashboard. Überprüfen Sie Zuweisungen erneut, wenn sich Zuständigkeiten ändern, und entziehen Sie den Zugriff umgehend, wenn jemand ihn nicht mehr benötigt. Der **Status** eines Administrators folgt demselben Lebenszyklus wie bei jedem Verzeichnisbenutzer (ausstehend, aktiv oder gesperrt). Das Sperren eines Benutzers blockiert seinen Zugriff, einschließlich der Möglichkeit, Iru zu verwalten, ohne seinen Datensatz zu löschen. Siehe [Benutzer](/de/identity/directory/users). ## Rollen Die Registerkarte **Roles** listet jede Rolle in Ihrem Mandanten auf. Jede Rolle hat einen **Anzeigenamen**, einen kurzen **Slug**, der sie identifiziert, eine Angabe, ob es sich um eine **Standard**- oder **benutzerdefinierte** Rolle handelt, sowie die **Berechtigungen**, die sie gewährt. ### Standardrollen Iru Identity wird mit einer Reihe integrierter **Standardrollen** ausgeliefert, die gängige Verwaltungsanforderungen abdecken. Sie sind in der Rollenliste als **Default** gekennzeichnet, und ihre Berechtigungen werden von Iru verwaltet. | Rolle | Vorgesehen für | | - | - | | **Administrator** | Vollständige Verwaltung von Iru Identity. Reservieren Sie diese Rolle für die kleine Anzahl von Personen, die alles verwalten müssen. | | **Standard** | Tägliche Verwaltung: Verwalten von Benutzern, ihren Authentifikatoren und Geräten sowie Versenden von Einladungen, ohne die sensibelsten Steuerelemente. | | **Helpdesk** | First-Level-Support, z. B. Anzeigen von Geräten und Versenden von Einladungen, ohne umfassenden Konfigurationszugriff. | | **Prüfer** | Schreibgeschützte Einsicht für Prüfung und Aufsicht, ohne die Möglichkeit, Änderungen vorzunehmen. | | **Secrets Auditor** | Schreibgeschützte Aufsicht, die sich auch auf sensibles Geheimnismaterial erstreckt, getrennt von der allgemeinen Prüfung. | Die Berechtigungen von Standardrollen können nicht bearbeitet werden; sie werden von Iru gepflegt, damit ihr Verhalten konsistent bleibt. Weisen Sie eine Standardrolle zu, wenn sie zur Aufgabe passt, und definieren Sie eine benutzerdefinierte Rolle, wenn Sie eine andere Kombination von Berechtigungen benötigen. ### Benutzerdefinierte Rollen Benutzerdefinierte Rollen sind bald verfügbar. Derzeit weisen Sie die oben genannten integrierten Standardrollen zu; das Erstellen eigener Rollen mit maßgeschneiderten Berechtigungen ist in Vorbereitung. Mit einer **benutzerdefinierten Rolle** können Sie künftig genau die Berechtigungen gewähren, die eine Aufgabe erfordert, und nicht mehr, wobei die Berechtigungen jeder Rolle nach Bereichen gruppiert und einzeln beschrieben werden. Wählen Sie bis dahin für jeden Administrator die am besten passende Standardrolle und befolgen Sie die unten stehenden Hinweise zum Prinzip der geringsten Rechte. ### Wie Berechtigungen ausgedrückt werden Jede Berechtigung kombiniert eine **Ressource** mit einer **Aktion**, geschrieben als `resource.action`. Beispielsweise erlaubt eine Berechtigung für die Benutzerressource mit der Aktion Anzeigen einer Rolle, Benutzer zu sehen. Der volle Funktionsumfang einer Rolle ist die Menge der Berechtigungen, die sie enthält. Einige Bereiche der Identitätsdaten unterliegen Berechtigungen auf Attributebene: Eine Rolle, die Benutzer anzeigen kann, kann auch die zugrunde liegenden Profilattribute dieser Benutzer sehen. Gewähren Sie Lesezugriff bewusst. Siehe [Schema](/de/identity/directory/schema). ## Hinweise zum Prinzip der geringsten Rechte Rollen gibt es, damit Sie jedem Administrator nur den Zugriff gewähren können, den seine Arbeit erfordert. Einige Vorgehensweisen halten den Administratorzugriff eng: Weisen Sie die am stärksten eingeschränkte Rolle zu, mit der jemand seine Arbeit erledigen kann, und erweitern Sie den Zugriff nur, wenn ein konkreter Bedarf entsteht. Es ist einfacher, eine fehlende Berechtigung zu gewähren, als eine ungenutzte zu bemerken. Die vollständige Verwaltung ist mächtig. Beschränken Sie die Anzahl der Personen mit der Rolle **Administrator** und bevorzugen Sie für alle anderen gezieltere Rollen (wie **Helpdesk** oder **Prüfer**). Wenn jemand Aktivitäten überprüfen, aber nicht ändern muss, bietet eine Prüferrolle Einsicht ohne die Möglichkeit, Änderungen vorzunehmen. Prüfen Sie regelmäßig, wer welche Rolle innehat, und entfernen Sie nicht mehr benötigten Zugriff, insbesondere bei den Rollen mit den meisten Rechten. Das [Aktivitätsprotokoll](/de/identity/administration/activity-log) zeichnet Rollen- und Berechtigungsänderungen auf, sodass Sie sehen können, wie sich der Zugriff im Laufe der Zeit verändert hat. Administratoren erreichen sensible Steuerelemente. Stellen Sie daher sicher, dass sie durch strenge [Authentifizierungsrichtlinien](/de/identity/authentication/authentication-policies) und Phishing-resistente [Authentifikatoren](/de/identity/authentication/authenticators) geschützt sind. ## Verwandte Themen Überprüfen Sie, wer was im Iru-Dashboard getan hat, einschließlich Änderungen an Rollen und Administratorzugriff. Legen Sie die Gerätevertrauensbedingungen fest, die bei der Anmeldung von Benutzern bei Ihren Apps durchgesetzt werden. Verwalten Sie die Verzeichnisbenutzer, aus denen Administratoren hervorgehen. Wie Iru Ihren Mandanten und seine Daten isoliert und schützt.