> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Systemarchitektur

> Erfahren Sie, wie Identitäten, Anmeldung und Bereitstellung durch Iru Identity fließen und welche architektonischen Garantien Daten schützen und Mandanten isolieren.

Iru Identity ist die Identitätsschicht zwischen Ihren Mitarbeitenden, den Systemen, die
über sie Bescheid wissen, und den Anwendungen, die sie nutzen. Im Folgenden wird gezeigt, wie Anmeldung, Bereitstellung
und Zugriffsentscheidungen durch diese Schicht fließen.

## Die Identitätsschicht

```mermaid theme={null}
flowchart LR
  subgraph people["Ihre Mitarbeitenden"]
    emp["Angestellte und externe Mitarbeitende"]
  end
  hr["HR-System<br/>(wer existiert)"]
  idp["Vorhandener Anbieter<br/>(optional · Migration)"]
  subgraph iru["Iru Identity"]
    dir["Verzeichnis"]
    engine["Richtlinien-Engine"]
    prov["Bereitstellung"]
  end
  subgraph apps["Wo Mitarbeitende arbeiten"]
    saas["Ihre Anwendungen"]
  end

  hr -->|"Personen synchronisieren"| dir
  emp -->|"Anmeldung mit einem Passkey"| engine
  idp -. "optionale Anmeldung" .-> engine
  dir --> engine
  engine -->|"erlaubter Zugriff"| saas
  dir --> prov
  prov -->|"Konten"| saas
```

Iru Identity ist **Ihr Identitätsanbieter**. Ihre Mitarbeitenden
melden sich direkt bei Iru an, typischerweise mit einem Passkey oder der Iru Access-App, und
Iru bürgt gegenüber jeder verbundenen App für ihre Identität, indem es jeder App eine signierte
Identitätserklärung über den unterstützten SAML- oder OIDC-Standard sendet.

Iru kann **außerdem als Relying Party** gegenüber einem Identitätsanbieter fungieren, den Sie bereits
betreiben: Es übergibt die Anmeldung an diesen Anbieter und setzt die Sitzung fort, sobald
der Anbieter den Benutzer bestätigt. Dies ist ein sekundärer Weg, gedacht für zwei
Situationen:

* **Anmeldung bei der Iru-Plattform mit einem vorhandenen Anbieter.** Jeder Iru-Mandant
  verwendet Iru Identity, um Administratoren zu verwalten und Benutzer synchron zu halten, aber nicht jede
  Organisation nutzt es als vollständigen Identitätsanbieter. Wenn Iru Identity die
  Authentifizierungsschicht für Iru und seine Produkte ist, können sich Benutzer mit dem
  bereits von Ihnen betriebenen Anbieter anmelden.
* **Erleichterung einer Migration.** Während Sie zu Iru Identity als Ihrem Identitätsanbieter
  wechseln, können sich Benutzer während der Umstellung weiterhin über ihren aktuellen Anbieter anmelden.

## So funktioniert die Anmeldung

```mermaid theme={null}
sequenceDiagram
  participant U as Person
  participant A as Anwendung
  participant I as Iru Identity
  participant P as Verbundener Anbieter

  U->>A: App öffnen
  A->>I: Iru um Authentifizierung bitten
  alt Direkte Anmeldung (Standard)
    I->>U: Passkey oder Iru Access anfordern
    U-->>I: Identität nachweisen
  else Föderierte Anmeldung (Authentifizierungsschicht oder Migration)
    I->>P: An Ihren vorhandenen Anbieter übergeben
    P-->>I: Benutzer bestätigen
  end
  I->>I: Authentifizierungsrichtlinie auswerten
  alt Richtlinie erfüllt
    I-->>A: Single Sign-On ausstellen
    A-->>U: Zugriff gewähren
  else Richtlinie nicht erfüllt
    I-->>U: Ablehnen und Grund erklären
  end
```

Jede Anmeldung bei einer verbundenen App wird anhand der Authentifizierungsrichtlinie dieser App
geprüft. Ein starker Authenticator ist immer erforderlich; die Richtlinie wertet dann
Device Trust aus, bevor Zugriff gewährt wird. Iru zeichnet die Entscheidung im
[Aktivitätsprotokoll](/de/identity/administration/activity-log) auf.

## So funktioniert die Bereitstellung

Die Bereitstellung hält Ihr Verzeichnis und Ihre Apps in zwei Richtungen im Einklang mit der Realität.

<Tabs>
  <Tab title="Eingehend (in Iru)">
    Personen gelangen aus einer maßgeblichen Quelle in das Verzeichnis:

    ```mermaid theme={null}
    flowchart LR
      hr["HR-System"] -->|"geplante Synchronisierung"| dir["Verzeichnis"]
      file["Benutzerimport"] -->|"beim Hochladen"| dir
      manual["Manuelle Eingabe"] --> dir
      dir -->|"Attribute steuern"| groups["Gruppenmitgliedschaft"]
    ```

    Ein verbundenes HR-System synchronisiert Benutzer nach Zeitplan, ein Dateiimport übernimmt einen
    ganzen Stapel auf einmal, und Sie können jederzeit Benutzer manuell hinzufügen. Wenn Profile eintreffen,
    aktualisieren [Auto Groups](/de/identity/directory/auto-groups) ihre
    Mitgliedschaft automatisch.
  </Tab>

  <Tab title="Ausgehend (in Ihre Apps)">
    Zugriffsänderungen fließen an verbundene Anwendungen:

    ```mermaid theme={null}
    flowchart LR
      dir["Verzeichnis"] -->|"zugewiesener Zugriff"| prov["Bereitstellung"]
      prov -->|"erstellen oder aktualisieren"| app["App-Konto"]
      prov -->|"beim Offboarding entfernen"| app
    ```

    Wenn Sie jemanden einer App zuweisen, die Bereitstellung unterstützt, erstellt und
    aktualisiert Iru dort sein Konto. Wenn der Zugriff entzogen wird, kann Iru das
    Konto entfernen. Iru führt einen Verlauf dieser Synchronisierungen, damit Sie nachvollziehen können, was passiert ist.
    Siehe [Bereitstellung](/de/identity/applications/provisioning).
  </Tab>
</Tabs>

## Iru Access

**Iru Access** ist die Iru-App, die Benutzer auf ihrem Computer oder Mobilgerät installieren.
Sie erfüllt zwei Rollen gleichzeitig:

* **Authenticator:** Sie enthält eine gerätegebundene, Passkey-ähnliche Anmeldeinformation, mit der sich Benutzer
  anmelden, entsperrt durch die Biometrie oder Bildschirmsperre des Geräts.
* **Geräte-Agent:** Sie meldet die Zustandssignale des Geräts an Iru, die Ihre
  [Device Trust](/de/identity/authentication/device-trust)-Richtlinien voraussetzen können.

Da sie beides ist, bietet eine einzige App Benutzern eine schnelle, Phishing-resistente Anmeldung und
Ihnen den Gerätestatus für Zugriffsentscheidungen – ohne separaten Agenten, der bereitgestellt werden muss.

## Signale zur Gerätevertrauenswürdigkeit

Der Iru Access-Agent auf jedem Gerät meldet den Gerätezustand (etwa ob das
Gerät verschlüsselt und fehlerfrei ist) an Iru, wo Ihre Authentifizierungsrichtlinien ihn
verwenden können. Eine Richtlinie kann dann ein bekanntes, fehlerfreies Gerät voraussetzen, bevor Zugriff gewährt wird.
Siehe [Device Trust](/de/identity/authentication/device-trust).

## Garantien zum Schutz Ihres Mandanten

Die Authentifizierung muss vertrauenswürdig bleiben. So schützt Iru sie:

<CardGroup cols={2}>
  <Card title="Mandantenisolierung" icon="box">
    Ihr Verzeichnis, Ihre Apps und Einstellungen befinden sich in Ihrem eigenen Mandanten. Die Daten einer
    Organisation sind für eine andere niemals sichtbar.
  </Card>

  <Card title="Überprüfbare Anmeldung" icon="signature">
    Die Identitätserklärungen, die Iru an Ihre Apps sendet, sind signiert, sodass jede App
    bestätigen kann, dass sie tatsächlich von Iru stammen und bei der Übertragung nicht verändert wurden.
  </Card>

  <Card title="Geschützte Anmeldeinformationen" icon="lock">
    Authenticators wie Passkeys werden so gespeichert und verifiziert, dass das für die Anmeldung
    benötigte Geheimnis niemals mit den von Ihnen genutzten Apps geteilt werden muss.
  </Card>

  <Card title="Überall verschlüsselt" icon="shield">
    Informationen sind bei der Übertragung zwischen Ihren Mitarbeitenden, Iru und Ihren Apps
    sowie bei der Speicherung geschützt.
  </Card>
</CardGroup>

Wie Anmeldeinformationen und Sitzungen geschützt werden und wie Sie über Daten und
Datenschutz nachdenken sollten, erfahren Sie unter [Sicherheit und Datenschutz](/de/identity/security/security-and-privacy).

## Nächste Schritte

<CardGroup cols={2}>
  <Card title="Wichtige Konzepte" icon="book" href="/de/identity/getting-started/key-concepts">
    Sehen Sie sich die oben genannten Objekte und ihre Zusammenhänge an.
  </Card>

  <Card title="Föderierte Authentifizierung" icon="plug" href="/de/identity/connections/connections-overview">
    Verbinden Sie einen Identitätsanbieter, über den sich Ihre Mitarbeitenden bereits anmelden.
  </Card>

  <Card title="Authentifizierungsrichtlinien" icon="shield-halved" href="/de/identity/authentication/authentication-policies">
    Legen Sie fest, wer sich bei jeder App anmelden kann und was nachgewiesen werden muss.
  </Card>

  <Card title="Anwendungen" icon="grip" href="/de/identity/applications/applications-overview">
    Verbinden Sie die Apps, bei denen sich Ihre Benutzer anmelden.
  </Card>
</CardGroup>