Sichtbarkeit in tenantree
Ihr Unternehmen legt fest, welche Personen tenantree überhaupt nutzen und welche Landschaften sie sehen. Ohne diese Freischaltung ist kein Zugriff möglich.
Sicherheit und Architektur
Ein Zugang. Ein Berechtigungspunkt. Ein Audit-Log.
tenantree ist eine Durchreiche zwischen KI-Assistent und Ihrer SAP BTP, kein Datensilo. Anmeldung, Berechtigungen und Identitäten bleiben in Ihrer Hand; jede Änderung wird von einem Menschen freigegeben und protokolliert.
Architektur
Jeder Aufruf passiert dieselben vier Stationen
Der KI-Assistent erreicht Ihre BTP ausschließlich über tenantree. Dort wird jede Anfrage einer angemeldeten Person zugeordnet, gegen deren Rechte geprüft, bei Änderungen zur Freigabe vorgelegt und protokolliert.
Das Diagramm lässt sich seitlich verschieben.
Ein Zugang
Ihr Team benötigt keine Zugangsdaten zu einzelnen Diensten. Der KI-Assistent arbeitet ausschließlich über tenantree; direkte Schlüssel im Chat entfallen.
Ein Berechtigungspunkt
tenantree prüft vor jedem Aufruf selbst, ob die angemeldete Person die Aktion ausführen darf. Grundlage sind die Rollen in Ihrer BTP und Ihrem IAS.
Ein Audit-Log
Jede Aktion wird mit Person, Aktion, Zielobjekt und Zeitpunkt protokolliert, je Kunde getrennt und einzeln herausgebbar.
Berechtigungsmodell
Rechte werden gespiegelt, nicht kopiert
tenantree führt kein zweites Rollenmodell neben Ihrer BTP. Wer was darf, entscheiden Sie in Ihrem IAS und Ihrer BTP. Im Zweifel gewinnt die BTP des Kunden.
Anmeldung am IAS des Kunden
Die Anmeldung erfolgt über die SAP Cloud Identity Services Ihres Unternehmens, mit Ihren Kennwortregeln und Ihrer Mehr-Faktor-Authentifizierung. tenantree speichert keine Passwörter.
Rollen aus BTP und IAS
Die Rechte je Dienst ergeben sich zur Laufzeit aus den Rollen der Person in Ihrer BTP und Ihrem IAS. Vor jedem schreibenden Vorgang wird erneut geprüft.
| Rolle der Person im Dienst | Was tenantree für diese Person tut |
|---|---|
| Keine Rolle | Nichts. Der Dienst ist für diese Person nicht zugänglich. |
| Rolle | Lesen. Bei einem Änderungswunsch nennt tenantree die fehlende Rolle. |
| Administratorrolle | Schreiben: Anlegen, Ändern, Löschen, Aktionen und Runbooks – jeweils nach Freigabe. |
Was das in der Praxis bedeutet
- Verlässt eine Person das Unternehmen oder verliert sie eine Rolle, endet der entsprechende Zugriff auch in tenantree.
- Sie pflegen keine zusätzliche Berechtigungsmatrix und keine Freigabelisten außerhalb Ihrer BTP.
- Die Schreibstufe begrenzt zusätzlich, welche Arten von Änderungen überhaupt möglich sind. Änderungen auf Ebene des Global Account sind standardmäßig ausgeschaltet.
- In Cloud Foundry handelt tenantree im Namen der angemeldeten Person und kann dort nie mehr als diese Person selbst.
Freigabe
Drei Sperren vor jeder Änderung
Eine Änderung wird nur ausgeführt, wenn alle drei Bedingungen erfüllt sind. Das Sprachmodell kann keine davon selbst herbeiführen.
Pläne, die Kosten auslösen können, enthalten die Bewertung des Kostenrechners. Was sich nicht bewerten lässt oder ohnehin abgelehnt würde, wird bereits vor dem Plan abgewiesen – niemand soll einer Änderung zustimmen, die anschließend nicht ausgeführt wird.
Recht der Person
Die angemeldete Person hat im betroffenen Dienst eine Administratorrolle.
Schreibstufe
Die Art der Änderung ist in der für Ihr Unternehmen eingestellten Schreibstufe zugelassen.
Freigabe per Schaltfläche
Eine Person gibt den vorgelegten Plan auf der Freigabekarte oder der Freigabeseite im Browser frei. Eine Bestätigung im Chattext genügt nicht.
Netz und Verschlüsselung
Öffentlich ist nur die dünne Zugangsschicht
Im Standardbetrieb liegt alles Sensible in einem abgeschotteten Innennetz. Sämtliche Verbindungen sind mit TLS verschlüsselt.
Das Diagramm lässt sich seitlich verschieben.
HTTPS auf allen Wegen
Verbindungen von KI-Assistent und Browser sowie alle Aufrufe an SAP sind TLS-verschlüsselt.
Datenbank ohne öffentliche IP
Die Datenbank ist nur aus dem privaten Netz erreichbar; Firewall-Regeln begrenzen den Zugriff je Dienst.
Geheimnisse verschlüsselt
Zugangsdaten zu Ihren Diensten werden verschlüsselt und je Kunde getrennt gehalten; die Schlüssel liegen getrennt von den Daten.
Betrieb in Deutschland
Der Standardbetrieb erfolgt in Rechenzentren in Deutschland. Eine eigene Zertifizierung nach ISO 27001 ist geplant.
Datensparsamkeit und Audit
Was tenantree speichert – und was nicht
tenantree hält nur, was für Berechtigungsprüfung, Nachvollziehbarkeit und Ihre Konfiguration erforderlich ist. Die Daten jedes Kunden sind von denen anderer Kunden getrennt.
Gespeichert
- Die Zuordnung von SAP-Standardrollen zu Rechten je Dienst
- Das Audit-Log: Person, Aktion, Zielobjekt, Zeitpunkt und Bezug zum Audit-Log der BTP
- Ihre Konfiguration, etwa BTP-Endpunkte und die Verbindung zu Ihrem IAS
Nicht gespeichert
- Geschäftsdaten, Nachrichteninhalte und Datenbankinhalte
- Passwörter Ihrer Mitarbeitenden
- Kopien Ihrer Rollen und Rollensammlungen
Audit-Log
Jede Aktion ist einer Person zugeordnet. Das Audit-Log ist je Kunde logisch getrennt und kann Ihnen einzeln bereitgestellt werden. Die Übernahme in den SAP Audit Log Service Ihres Unternehmens ist vorgesehen.
Was das Sprachmodell sieht. Der KI-Assistent erhält Konfigurationsmetadaten Ihrer Landschaft, Kennzahlen und Kostendaten sowie die Inhalte des Gesprächs. Passwörter, Tokens, Zugangsdaten von Service Keys und Nutzdaten erreichen das Modell nicht.
Geheimnisse
Einmal-Links statt Passwörter im Chat
Geheimnisse berühren den Chat nicht. Sie wechseln ausschließlich über Einmal-Links, die nach der Freigabe erscheinen und nach Gebrauch oder Ablauf ungültig werden.
An tenantree
Passwörter, Schlüsseldateien und Keystores, etwa das Systempasswort einer Datenbank, geben Sie auf einer eigenen Seite über einen Einmal-Link ein.
An die anfragende Person
Zugangsdaten, etwa eines Service Key, erhält nur die Person, die den Vorgang angefragt hat, über einen Einmal-Link. Sie werden genau einmal angezeigt.
Kein Export privater Schlüssel
Privates Schlüsselmaterial wird nie zurückgegeben. Die dafür nötige Rolle hält tenantree bewusst nicht.
Maskierung
Felder, die einen Zugang tragen könnten, erscheinen in Ausgaben und Fehlermeldungen maskiert.
Bewusste Grenzen
Was tenantree nicht tut
Manche Fähigkeiten wären technisch möglich. tenantree verzichtet bewusst darauf, weil sie Rechte oder Kanäle erfordern würden, die ein Administrationswerkzeug nicht halten sollte.
Für Ihre Sicherheitsprüfung stellen wir Ihnen auf Anfrage die Dokumentation zu Sicherheit und Governance bereit. Kontakt aufnehmen
- tenantree liest keine Nachrichteninhalte aus Cloud Integration oder Event Mesh.
- tenantree bietet keinen SQL-Kanal und liest keine Datenbankinhalte.
- tenantree exportiert keine privaten Schlüssel.
- tenantree gibt keine Änderung selbst frei; das Sprachmodell kann nicht freigeben.
- tenantree handelt nie mit mehr Rechten, als Ihre BTP der Person einräumt.
- tenantree legt keine eigenen Benutzerkonten mit Passwörtern an.
- tenantree führt Änderungen in Ihrem Git-Repository nicht eigenständig in den Hauptzweig zusammen; das entscheidet ein Mensch per Pull Request.
tenantree in Ihrer Landschaft einsetzen
Wir zeigen Ihnen tenantree an Ihren Anforderungen und klären Betriebsform, Einführung und Konditionen. Preise auf Anfrage.