Understand Directory Roles

Zuletzt aktualisiert am 4. Nov. 2026

Verzeichnisrollen ermöglichen eine rollenbasierte Zugriffskontrolle (RBAC) für das STACKIT-Identitätsverzeichnis. Sie steuern Vorgänge im Identitätsverzeichnis und sind unabhängig von Cloud-Rollen, die zur Erteilung von Berechtigungen für Cloud-Ressourcen verwendet werden.

So funktionieren Verzeichnisrollen

Verzeichnisrollen sind Sammlungen von Berechtigungen. Sie können sie einem Benutzer, einer Gruppe oder einem Dienstkonto zuweisen. Die zugewiesene Identität erhält die durch diese Rolle definierten Berechtigungen.

Derzeit unterstützen Verzeichnisrollen die Verwaltung von Gruppen sowie die Zuweisung bestehender integrierter Verzeichnisrollen an Benutzer, Gruppen und Dienstkonten. Es ist nicht möglich, benutzerdefinierte Verzeichnisrollen zu erstellen.

Verfügbare Verzeichnisrollen suchen

Öffnen Sie im STACKIT-Portal IAM > Verzeichnisrollen und wählen Sie anschließend Rollen aus. Die Liste der verfügbaren Rollen zeigt den Namen, den Typ und die Beschreibung jeder Rolle an. Verwenden Sie Nach Rollennamen suchen, um eine Rolle zu finden.

Wählen Sie eine Rolle aus, um deren Details anzuzeigen. Die Detailansicht enthält die Abschnitte Übersicht und Zuweisungen. Unter Übersicht werden der Name, der Typ und die Beschreibung der Rolle angezeigt; integrierte Rollen werden von STACKIT verwaltet und können nicht bearbeitet werden.

Unter Zuweisungen listet das Portal die zugewiesenen Identitäten nach Name, Typ und Zuweisungsdatum auf. Verwenden Sie Filter, um die Liste einzugrenzen. Um eine Rolle zuzuweisen oder eine Zuweisung zu widerrufen, befolgen Sie die Anleitung unter Verzeichnisrollen zuweisen und widerrufen.

Integrierte Verzeichnisrollen

STACKIT bietet die folgenden integrierten Verzeichnisrollen. Die Spalte Typ kennzeichnet jede Rolle als integriert; benutzerdefinierte Verzeichnisrollen können derzeit nicht erstellt werden.

Rolle	Typ	Beschreibung
`administrator`	Integriert	Gewährt uneingeschränkte Kontrolle über das Verzeichnis, einschließlich der vollständigen Verwaltung von Benutzern, Gruppen, Rollendefinitionen, Rollenzuweisungen und globalen Verzeichniseinstellungen.
`group-reader`	Systemrolle	Gewährt Lesezugriff zum Anzeigen von Verzeichnisgruppen, Gruppeneigenschaften, Metadaten und Gruppenmitgliedschaftslisten, ohne die Berechtigung, diese zu ändern.
`group-writer`	Integriert	Gewährt Schreibzugriff zum Erstellen, Aktualisieren und Löschen von Verzeichnisgruppen sowie zum Hinzufügen oder Entfernen von Mitgliedern innerhalb bestehender Gruppen.
`role-reader`	Integriert	Gewährt Lesezugriff zum Anzeigen von Verzeichnis-Rollendefinitionen, aktiven Rollenzuweisungen und Berechtigungsbereichen von Mitgliedern in der gesamten Organisation.
`role-writer`	Systemrolle	Erteilt die Berechtigung, vorhandene systemeigene Verzeichnisrollen für Benutzer, Gruppen und Dienstkonten zuzuweisen und zu widerrufen. Das Erstellen benutzerdefinierter Verzeichnisrollen ist damit nicht möglich.
`user-reader`	Systemrolle	Erteilt Lesezugriff zum Anzeigen von Verzeichnisbenutzerprofilen, Kontometadaten und Identitätsattributen, ohne die Berechtigung, diese zu erstellen oder zu ändern.

Erster Organisationsadministrator

Wenn eine Organisation erstellt wird, erhält ihr erster Organisationsinhaber im Rahmen des Erstellungsprozesses die integrierte Verzeichnisrolle administrator. Diese automatische Zuweisung erfolgt nur bei der erstmaligen Erstellung der Organisation. Danach liegt es in der Verantwortung des bestehenden Administrators, die Rolle administrator den Personen zuzuweisen, die das Verzeichnis verwalten sollen. Später hinzugefügte Organisationsinhaber erhalten diese Verzeichnisrolle nicht automatisch.

Die Verzeichnisrolle administrator ist nicht mit der Cloud-Rolle Owner identisch. Die beiden Rollen gehören zu unterschiedlichen Autorisierungsmodellen und gewähren unterschiedliche Berechtigungen.