IAM-Logs

IAM-Logs

Der IAM-Logs-Bereich ist Ihr Echtzeit-Prüfprotokoll für alle Identitäts- und Zugriffsverwaltungsereignisse in DPMS – konkret für jede Operation, die Ihr Identity-Provider über das SCIM-Bereitstellungsprotokoll sendet. IT-Administratoren, Datenschutzbeauftragte und Compliance-Verantwortliche kommen hierher, um Fragen zu beantworten wie: „Hat die heutige Benutzersynchronisierung funktioniert?" oder „Warum ist das Konto des neuen Mitarbeiters noch nicht angelegt worden?" Im Gegensatz zu anderen IAM-Bereichen dient diese Ansicht ausschließlich der Beobachtung: Sie können hier nichts erstellen, bearbeiten oder löschen. Sie kommen hierher, um zu beobachten, zu diagnostizieren und Nachweise zu dokumentieren.

So öffnen Sie den Bereich

Navigieren Sie zu IT-Einstellungen im linken Hauptmenü, klappen Sie den Bereich IAM-Einstellungen auf und klicken Sie auf Logs. Sie benötigen die IAM-Berechtigung für IT-Einstellungen. Ohne diese Berechtigung zeigt DPMS statt des Logs eine Seite mit dem Hinweis „403 Verboten". Es gibt keine Teilzugriffs-Stufe – entweder Sie sehen die vollständige Log-Tabelle oder gar nicht.

Die Übersicht auf einen Blick

Ganz oben im Inhaltsbereich finden Sie einen Navigationspfad: IT-Einstellungen › IAM-Einstellungen › Logs. „IAM-Einstellungen" ist als anklickbarer blauer Link dargestellt, „Logs" erscheint fett und blau als aktueller Standort. Links und rechts neben der Bezeichnung befinden sich zwei kleine Pfeil-Schaltflächen (linkes und rechtes Chevron), mit denen Sie direkt zum vorherigen oder nächsten Unterbereich innerhalb der IAM-Einstellungen wechseln können, ohne ins übergeordnete Menü zurückzukehren.

Unterhalb des Navigationspfads befindet sich eine Abschnittsüberschrift – ebenfalls mit Logs beschriftet – gefolgt von einer horizontalen Trennlinie, die den Titel von der Datentabelle trennt.

Den Hauptbereich nimmt eine seitenbasierte, schreibgeschützte Datentabelle ein. Über der Tabelle befindet sich eine einzelne Registerkarte mit der Bezeichnung Alle – sie ist vorausgewählt und kann nicht abgewählt werden. Die Tabelle lädt automatisch beim Aufruf der Seite; beim Scrollen nach unten werden weitere Einträge nachgeladen (Infinite Scroll). Es gibt weder Kontrollkästchen noch Aktionsschaltflächen, keine Erstellungsoption und keine Filter oder Suchleiste. Das ist beabsichtigt: Log-Einträge sind unveränderliche Prüfnachweise.

Mit diesem Bereich arbeiten

Fehler bei der Benutzerbereitstellung untersuchen

Dies ist der häufigste Grund, aus dem IT-Administratoren diesen Bereich aufrufen. Angenommen, ein neuer Mitarbeiter wurde in Ihrem Identity-Provider (beispielsweise Microsoft Entra ID oder Okta) angelegt, sein Konto ist jedoch noch nicht in DPMS erschienen.

• Navigieren Sie zu IT-Einstellungen › IAM-Einstellungen › Logs.
• Die Tabelle lädt die neuesten Einträge ganz oben. Schauen Sie in die Spalte Datum – sie zeigt Zeitstempel bis auf die Millisekunde genau, sodass Sie den genauen Zeitpunkt des Synchronisierungsversuchs Ihres Identity-Providers ermitteln können.
• Prüfen Sie die Spalte Http (HTTP-Statuscode). Eine erfolgreiche Bereitstellung ergibt 200 oder 201. Ein 401-Code bedeutet, dass das in Ihrem Identity-Provider konfigurierte SCIM-Token falsch oder abgelaufen ist – wechseln Sie in diesem Fall zu den Tokens und überprüfen Sie Ihr Token. Ein 404-Code bedeutet, dass die Zielressource in DPMS nicht gefunden wurde. Ein 500-Code weist auf einen serverseitigen Fehler innerhalb von DPMS hin.
• Klicken Sie in der betroffenen Zeile auf die Spalte Log. Diese Spalte enthält die vollständige Beschreibung des Vorgangs – Fehlermeldungen, den Namen des betroffenen Benutzers oder der Gruppe sowie die Rohantwort. Da SCIM-Nachrichten lang sein können, wird der Text in der Zelle automatisch umgebrochen, und die Zeile weitet sich entsprechend aus.
• Sobald Sie die Ursache identifiziert haben, wechseln Sie zum entsprechenden IAM-Konfigurationsbereich (z. B. Tokens, um ein neues SCIM-Token zu generieren, oder SCIM-Übersicht, um sicherzustellen, dass SCIM aktiviert ist) und beheben Sie das Problem.

Überprüfen, ob eine neu aktivierte SCIM-Integration funktioniert

Nachdem Sie SCIM im Bereich SCIM-Übersicht aktiviert und auf der Seite Tokens ein SCIM-Token generiert haben, möchten Sie bestätigen, dass die ersten Bereitstellungsereignisse korrekt ankommen.

• Navigieren Sie zu IT-Einstellungen › IAM-Einstellungen › Logs.
• Die neuesten Einträge erscheinen ganz oben. In der Spalte Protokoll sollte für jede Zeile SCIM stehen.
• Prüfen Sie die Spalte Ereignis, um den erwarteten Operationstyp zu bestätigen (z. B. ein Benutzer-Erstell- oder Gruppenaktualisierungsereignis, das Ihrer Aktion im Identity-Provider entspricht).
• Vergewissern Sie sich, dass in der Spalte Http für jede Zeile 200 oder 201 steht. Falls alle Zeilen 401 zeigen, sendet Ihr Identity-Provider Anfragen mit dem falschen SCIM-Token – wechseln Sie zu den Tokens, kopieren Sie den korrekten Tokenwert und tragen Sie ihn in die Konfiguration Ihres Identity-Providers ein.
• Nutzen Sie die Spalte Typ, um zu bestätigen, dass die Ereigniskategorie Ihren Erwartungen entspricht.

Prüfnachweise für eine Compliance-Kontrolle bereitstellen

Im Rahmen einer SOC-2-, ISO-27001- oder DSGVO-Prüfung kann ein externer Prüfer von Ihnen verlangen nachzuweisen, dass alle Benutzerbereitstellungsereignisse mit ausreichendem Detailgrad protokolliert werden.

• Navigieren Sie zu IT-Einstellungen › IAM-Einstellungen › Logs.
• Scrollen Sie durch die Tabelle und zeigen Sie dem Prüfer, dass jede SCIM-Operation – Erstellungen, Aktualisierungen und Löschungen – mit einem präzisen Zeitstempel (die Spalte Datum zeigt Millisekunden), dem verwendeten Protokoll, dem Ereignistyp und dem HTTP-Ergebnis erfasst wird.
• Die Millisekunden-genauen Zeitstempel in der Spalte Datum ermöglichen es dem Prüfer, einzelne Ereignisse mit dem eigenen Prüfprotokoll des Identity-Providers abzugleichen und die Vollständigkeit der Aufzeichnung zu verifizieren.
• Weisen Sie auf die Spalte Log hin, die den vollständigen Inhalt jedes Ereignisses enthält und belegt, dass das Protokoll inhaltlich substanziell ist.
• Wenn Sie Einträge aus einem bestimmten Zeitraum zeigen möchten, scrollen Sie manuell zu dieser Stelle. Beachten Sie, dass es auf diesem Bildschirm kein Datumsfilter gibt.

Monatliche Zugriffskontrollüberprüfung durchführen

Compliance-Verantwortliche, die periodische Überwachungen durchführen, können diesen Bereich aufrufen, um Anomalien zu erkennen – ungewöhnlich viele fehlgeschlagene Ereignisse, unerwartete Massenlöschungen oder gehäufte Serverfehler.

• Navigieren Sie zu IT-Einstellungen › IAM-Einstellungen › Logs.
• Scrollen Sie durch aktuelle Einträge und achten Sie in der Spalte Http auf Häufungen von 4xx- oder 5xx-Codes.
• Achten Sie in der Spalte Ereignis auf unerwartete Operationstypen – z. B. eine große Anzahl von Gruppenl ö schungen, die nicht geplant waren.
• Da der Bereich schreibgeschützt ist, können Sie gefahrlos navigieren, ohne versehentlich eine Konfiguration zu verändern.

Feldbeschreibungen

Datum — Das genaue Datum und die genaue Uhrzeit der Protokollierung des Eintrags, dargestellt mit Millisekundengenauigkeit (z. B. 15.01.2025, 14:32:07.842). Fehlt ein gültiger Zeitstempel, wird ein Bindestrich angezeigt. Nutzen Sie diese Spalte, um Ereignisse mit dem eigenen Prüfprotokoll Ihres Identity-Providers zu korrelieren.

Typ — Die Klassifizierungskategorie des Log-Eintrags. Sie gibt an, um welche Art von IAM-Ereignis es sich handelt (z. B. ob es sich um eine Benutzerbereitstellung oder um eine Gruppenverwaltung handelt).

Protokoll — Das verwendete Bereitstellungsprotokoll. In der Praxis wird hier fast immer SCIM stehen, was darauf hinweist, dass das Ereignis über den SCIM-2.0-Standard übermittelt wurde. Dieses Feld dient dazu, SCIM-Ereignisse von anderen möglichen Protokollereignissen zu unterscheiden.

Ereignis — Die konkrete SCIM-Operation, die durchgeführt wurde. Typische Werte sind Operationen wie das Erstellen eines Benutzers, das Aktualisieren von Benutzerattributen, das Löschen eines Benutzers, das Erstellen einer Gruppe, das Aktualisieren einer Gruppe oder das Ändern einer Gruppenmitgliedschaft – entsprechend der SCIM-Terminologie.

Http — Der HTTP-Statuscode, den der DPMS-SCIM-Endpunkt als Antwort auf die Bereitstellungsanfrage zurückgegeben hat. Dies ist häufig die erste Spalte, die bei der Fehlersuche zu prüfen ist. Codes im Bereich 200–299 stehen für Erfolg. 401 bedeutet, dass das SCIM-Token ungültig oder nicht vorhanden ist. 404 bedeutet, dass die Zielressource nicht gefunden wurde. 5xx-Codes weisen auf einen serverseitigen Fehler innerhalb von DPMS hin.

Log — Die vollständige Log-Nachricht oder Nutzdatenbeschreibung des Ereignisses. Dies kann Fehlermeldungen, den Namen des betroffenen Benutzers oder der Gruppe, Vorgangsergebnisse oder ausführliche SCIM-Fehlerbeschreibungen enthalten. Diese Spalte nimmt den gesamten verbleibenden Platz in der Tabelle ein; der Text wird automatisch umgebrochen, sodass lange Nachrichten die Zeilenhöhe vergrößern. Sie ist die informationsreichste Spalte auf diesem Bildschirm.

Einbindung in den Rest von DPMS

Der IAM-Logs-Bereich steht am Ende der IAM-Konfigurationskette. Die Konfiguration von SCIM und Tokens nehmen Sie an anderer Stelle vor; hier beobachten Sie die Ergebnisse.

Die in dieser Tabelle angezeigten Daten hängen vollständig von den Einstellungen ab, die Sie auf den anderen IAM-Bildschirmen vorgenommen haben:

• SCIM-Übersicht — SCIM muss aktiviert sein, bevor Bereitstellungsereignisse eintreffen können. Ist SCIM deaktiviert, bleibt die Log-Tabelle leer oder zeigt nur fehlgeschlagene Authentifizierungsversuche.
• Tokens — Das auf der Tokens-Seite generierte SCIM-Token wird von Ihrem Identity-Provider zur Authentifizierung verwendet. Ein fehlendes oder abgelaufenes Token führt zu einer Flut von 401-Einträgen in diesem Protokoll.
• SAML/OAuth und Active Directory — Wenn Ihre Organisation die Entra-ID-Bereitstellung über den Active-Directory-Bereich aktiviert hat, kann SCIM nicht gleichzeitig betrieben werden. Nach der Aktivierung von Entra ID werden hier keine neuen SCIM-Ereignisse erscheinen – das ist erwartetes Verhalten.
• Rollenzuordnung — Gruppen-Bereitstellungsereignisse in der Log-Spalte (mit Gruppennamen) erlauben es Ihnen zu überprüfen, ob die in der Rollenzuordnung definierten Gruppen korrekt vom Identity-Provider empfangen werden.

Nach der Fehleranalyse auf diesem Bildschirm ist Ihr nächster Schritt in der Regel, zu einem der Konfigurationsbereiche zurückzukehren – Tokens, SCIM-Übersicht oder SAML/OAuth – und das im Protokoll identifizierte Problem zu beheben.

Über die Pfeil-Schaltflächen im Navigationspfad gelangen Sie direkt zu angrenzenden IAM-Unterbereichen. Mit einem Klick auf den blauen Link IAM-Einstellungen kehren Sie zum übergeordneten IAM-Bereich zurück.

Tipps und häufige Fallstricke

Achtung: Eine leere Tabelle bedeutet nicht automatisch, dass nichts passiert. Die beiden häufigsten Ursachen sind: (1) SCIM wurde auf der SCIM-Übersichtsseite noch nie aktiviert, und (2) das vom Identity-Provider verwendete SCIM-Token ist abgelaufen. Ein abgelaufenes Token erzeugt weiterhin Log-Einträge – jedoch zeigen alle Zeilen 401 in der Http-Spalte. Prüfen Sie zuerst die SCIM-Übersicht, bevor Sie schlussfolgern, dass die Pipeline stumm ist.

Achtung: Es gibt auf diesem Bildschirm keine Suchleiste und keine Spaltenfilter. Sie können nicht nach „nur Fehlern" oder „nur Gruppenereignissen" filtern. Um ein bestimmtes Ereignis in einem umfangreichen Protokoll zu finden, müssen Sie manuell scrollen und visuell suchen. Für die Analyse großer Log-Mengen empfiehlt sich der Einsatz der zugrunde liegenden Datenbank oder eines Export-Mechanismus.

• Millisekunden-Zeitstempel sind beabsichtigt. Die Datumsspalte auf diesem Bildschirm ist präziser als auf anderen DPMS-Listenansichten. Wenn Sie Ereignisse mit dem Prüfprotokoll Ihres Identity-Providers abgleichen, verwenden Sie den Millisekundenwert für eine exakte Zuordnung.
• Die Log-Spalte kann sehr lang werden. SCIM-Fehlerpayloads können ausführlich sein. Wenn die Tabelle schwer zu überblicken ist, hilft das Verbreitern des Browserfensters, da die Log-Spalte den gesamten verbleibenden Platz einnimmt.
• Entra ID und SCIM schließen sich gegenseitig aus. Wenn Ihre Organisation die Entra-ID-Bereitstellung über den Active-Directory-Bereich aktiviert hat, werden hier keine neuen SCIM-Ereignisse erscheinen – das ist ein beabsichtigtes Verhalten, kein Fehler. Prüfen Sie den Active-Directory-Bereich, um festzustellen, welche Integration aktiv ist.
• Kontrollkästchen fehlen absichtlich. Im Gegensatz zu den meisten anderen DPMS-Listenansichten können Sie keine Zeilen für einen Massenexport oder andere Massenaktionen auswählen. Log-Einträge sind unveränderliche Prüfnachweise und können über die Benutzeroberfläche nicht verändert werden.