Gemeinsame Plattform, getrennte Kundendaten

Das Betreiben gemeinsamer IT-Dienste bedeutet, mit einer eingebauten Spannung zu leben. Intern müssen Sie alles auf einmal sehen: jeden Server, jeden Incident, jede Change und jeden Kostenpunkt über alle Ihre Kunden hinweg. Dies ist die einzige Möglichkeit, Kapazitäten zu planen, Ausfälle zu koordinieren und den Betrieb als Ganzes zu führen. Ihre Kunden erwarten zu Recht das Gegenteil. Sie möchten ihre eigenen Daten sehen und nichts anderes. Sie möchten nicht, dass jemand anderes ihre Anwendungsliste oder ihre monatlichen Kosten sieht.

Wenn diese Spannung schlecht gehandhabt wird, zahlen die Menschen dafür. Das Betriebsteam sendet Excel-Exporte an Kunden, weil es ihnen keinen direkten Zugriff gewähren kann. Kunden rufen an, um nach dem Status eines Incidents zu fragen, den sie selbst hätten überprüfen können. Und bei jedem Audit fragt der Sicherheitsmanager, ob eine Abteilung jemals die Daten einer anderen Abteilung einsehen könnte.

Warum die üblichen Ansätze nicht ausreichen

In der Praxis sehen wir oft zwei Extreme. Das erste ist eine separate Instanz für jeden Kunden. Die Daten sind getrennt, aber der Betrieb zerfällt. Die von mehreren Kunden gemeinsam genutzte Infrastruktur muss mehrmals erfasst werden, niemand sieht Abhängigkeiten zwischen Instanzen, und jedes Upgrade muss wiederholt werden.

Das zweite Extrem ist eine einzelne Instanz ohne echte Trennung. Entweder dürfen Kunden gar nicht auf das Tool zugreifen, oder die Trennung beruht auf Filtern und Namenskonventionen. Das funktioniert, bis zum ersten Konfigurationsfehler. Filter sind leicht zu umgehen, zu vergessen oder falsch zu kopieren, wenn ein neuer Benutzer eingerichtet wird.

Beide Wege enden am selben Ort: Kunden haben keinen direkten, sicheren Blick auf ihre Dienste, und der Anbieter verbringt Zeit mit manueller Kommunikation, anstatt den Betrieb zu führen.

Wie man über Trennung nachdenkt

Die Trennung von Kundendaten sollte eine Eigenschaft der Plattform sein, nicht eine Frage der Disziplin des Administrators. Einige Prinzipien, die für uns funktionieren:

• Trennen Sie auf der Datenebene, nicht auf der Bildschirmebene. Wenn einem Benutzer die Berechtigung fehlt, werden die Daten nie zurückgegeben. Das Ausblenden einer Spalte ist keine Trennung.
• Machen Sie den Umfang Teil der Rolle. Eine Rolle definiert nicht nur, was ein Benutzer tun darf, sondern auch, worüber: alles, ein Kunde, ein Team oder ein einzelnes Element.
• Beziehen Sie Kosten in dasselbe Modell ein. Finanzielle Daten sind oft sensibler als technische Daten. Die Trennung muss auch dies abdecken.
• Verwenden Sie eine Identität. Die Anmeldung über das unternehmensweite SSO bedeutet, dass der Zugriff an einer Stelle verwaltet wird, und ein ausscheidender Mitarbeiter hinterlässt kein vergessenes Konto.

Wie Eywo Stratum es handhabt

Wir haben Eywo Stratum für Anbieter gemeinsamer Dienste entwickelt, die viele Kunden von einer einzigen Plattform aus bedienen. Die Kundentrennung (Multi-Tenancy) ist Teil des Datenmodells.

Ein Kundenbenutzer sieht nur die Daten seines eigenen Kunden. Dies gilt für CMDB-Elemente, Incidents, Requests, Changes und Kosten gleichermaßen. Wenn eine Abteilung ihre Kostenübersicht öffnet, sieht sie ihre eigenen Business-Services und Projekte, nicht die Zahlen einer anderen Abteilung. Das interne Team des Anbieters arbeitet auf der gesamten Plattform und sieht gemeinsame Infrastruktur und kundengübergreifende Abhängigkeiten.

Berechtigungen werden über bereichsspezifische Rollen verwaltet. Die Plattform hat 14 Rollen, und jede wird mit einem Umfang von allem, Kunde, Team oder Element zugewiesen. Ein Kunden-Operations-Leiter kann dieselbe Rolle wie ein interner Teamleiter haben, einfach auf seinen eigenen Kunden beschränkt. Eine RACI-Matrix zeigt, wer für was verantwortlich ist, und die Plattform überprüft, ob diese Verantwortlichkeiten mit den Berechtigungen übereinstimmen, die die Personen tatsächlich haben.

Die Anmeldung erfolgt über SSO (Cloudflare Access), sodass der Zugriff der Unternehmensidentität folgt. Integrationen und Service-Konten verwenden API-Token, die nicht an eine bestimmte Person gebunden sind. Jede Aktion, einschließlich Berechtigungsänderungen, wird in einem Audit-Trail festgehalten, der fünf Jahre lang aufbewahrt wird.

Für den Anbieter beendet dies die Ära manueller Exporte. Kunden können den Status ihrer Incidents, ihrer SLA-Leistung oder ihrer monatlichen Kosten selbst überprüfen. Das Betriebsteam kann sich auf den Betrieb konzentrieren, und der Sicherheitsmanager hat eine klare Antwort auf die Frage "Wer kann was sehen?"

Fazit

Eine gemeinsame Plattform und getrennte Daten schließen sich nicht aus. Aber die Trennung muss eingebaut sein, nicht aufgesetzt. Wenn die Plattform selbst durchsetzt, wer mit welchen Daten arbeitet, kann ein Anbieter das Tool seinen Kunden öffnen und trotzdem mit einem ruhigen Gefühl nach Hause gehen.

Die Trennung von Kundendaten ist in der Enterprise-Edition enthalten.