API-Tokens

API-Tokens

Auf der Seite „API-Tokens" erstellen, überprüfen und widerrufen Sie die Bearer-Zugangsdaten, mit denen externe Systeme programmgesteuert mit DPMS kommunizieren. Ob Sie einen Identitätsanbieter für die automatische Benutzerbereitstellung anbinden, den KI-Assistenten aktivieren oder ein benutzerdefiniertes Tool integrieren möchten – in jedem Fall müssen Sie hier zunächst ein Token generieren. Ohne ein gültiges, aktives Token des richtigen Typs können sich diese Integrationen nicht authentifizieren, weshalb diese Seite die Grundlage für alles bildet, was außerhalb eines Browsers auf DPMS zugreift.

So öffnen Sie die Seite

Navigieren Sie in der linken Seitenleiste zu IT-Einstellungen, klappen Sie Identity & Access Management (IAM) auf und klicken Sie auf API-Tokens. Der vollständige Pfad im Breadcrumb lautet: IT-Einstellungen › Identity & Access Management › API-Tokens.

Sie benötigen die IAM-Leseberechtigung, um die Seite aufzurufen. Die Schaltfläche Token erstellen ist nur für Benutzer mit der zusätzlichen IAM-Bearbeitungsberechtigung sichtbar. Fehlt Ihnen die Leseberechtigung vollständig, zeigt DPMS eine Standard-Zugriffsverweigerungsseite an, anstatt den Menüpunkt auszublenden.

Überblick über die Seite

Die Seite ist im typischen DPMS-Layout aufgebaut: Die linke Seitenleiste zeigt die IAM-Unternavigation mit hervorgehobenem Eintrag API-Tokens, und ein Breadcrumb oben ermöglicht es Ihnen, mithilfe der kleinen Pfeilsymbole beiderseits des Seitentitels direkt zu benachbarten IAM-Abschnitten zu springen.

Unterhalb des Breadcrumbs folgen eine fettgedruckte blaue Überschrift API-Tokens sowie eine durchgehende Trennlinie. Der Hauptbereich ist eine scrollbare Datentabelle mit den beiden Filterreitern Aktiv und Abgelaufen direkt über den Tabellenzeilen. Rechts oben befindet sich die Schaltfläche Token erstellen (sichtbar nur bei Bearbeitungsberechtigung). Beim Scrollen ans Ende einer langen Liste werden weitere Tokens automatisch nachgeladen, ohne dass die Seite neu geladen wird.

Jede Zeile steht für ein Token und zeigt dessen Name, Erstellungsdatum, Ablaufdatum, Typ, eine maskierte Version des Token-Strings und das Datum der letzten Verwendung.

Arbeiten mit dieser Seite

Neues Token erstellen

Der häufigste Grund, diese Seite aufzurufen, ist das Anbinden eines neuen externen Systems. Klicken Sie dazu auf Token erstellen oben rechts. Ein kleines Dropdown erscheint zur Bestätigung der Aktion – klicken Sie auf den Eintrag darin, um zum Erstellungsformular zu gelangen.

Füllen Sie zunächst das Feld Name aus. Wählen Sie eine aussagekräftige Bezeichnung, die auch in sechs Monaten noch verständlich ist, zum Beispiel „Workday SCIM Connector – HR-Onboarding" oder „KI-Agent – EU-Cluster". Ein klarer Name ist Ihr wichtigstes Nachweismittel dafür, warum jedes Zugangsdaten-Set existiert – seien Sie also präzise.

Öffnen Sie anschließend das Dropdown Typ und wählen Sie den Integrationskontext:

• Wählen Sie SCIM, wenn Sie einen Identitätsanbieter wie Microsoft Entra ID oder Okta anbinden möchten, um Benutzer automatisch zu synchronisieren.
• Wählen Sie MCP, wenn Sie KI-gestützte Funktionen aktivieren möchten – den KI-Assistenten, automatische Risikobewertung oder jedes Tool, das mit der KI-Schicht von DPMS kommuniziert.

Sobald Sie MCP als Typ auswählen, erscheint am Ende des Formulars ein schreibgeschütztes Feld URL. Dies ist der genaue Endpunkt, zu dem Ihr KI-Client eine Verbindung herstellen muss (z. B. https://dpms.ihrUnternehmen.com/pp/mcp/v1/abc123/mcp). Rechts neben der URL befindet sich ein Kopiersymbol; klicken Sie darauf, wechselt es kurz zu einem Häkchen als Bestätigung. Kopieren Sie diese URL jetzt – Sie brauchen sie zusammen mit dem Token selbst.

Legen Sie nun die Gültigkeitsdauer fest. Das Dropdown bietet die Voreinstellungen 182, 365, 548 oder 731 Tage. Bei Auswahl einer dieser Optionen wird das Feld Ablaufdatum darunter sofort gefüllt, sodass Sie genau sehen, wann das Token ungültig wird. Falls keine Voreinstellung passt, wählen Sie Benutzerdefiniert und geben die gewünschte Anzahl von Tagen ein. Beachten Sie: Der maximal zulässige Wert beträgt 3.652 Tage (zehn Jahre). Geben Sie eine höhere Zahl ein, wird sie stillschweigend auf 3.652 reduziert – überprüfen Sie daher immer das berechnete Ablaufdatum vor dem Speichern.

Das optionale Feld Kommentar lohnt sich auszufüllen, auch wenn es nicht erforderlich ist. Notieren Sie, wer das Token angefordert hat, die zugehörige Ticket- oder Änderungsanforderungsnummer sowie den Zweck. Diese Informationen erscheinen im Detailformular des Tokens und helfen Prüferinnen und Prüfern, die Zugangsdaten-Übersicht zu verstehen.

Wenn alles korrekt aussieht, klicken Sie auf Speichern. Bevor das Token tatsächlich erstellt wird, erscheint am unteren Bildschirmrand ein Bestätigungs-Toast mit einer Warnmeldung. Sie müssen die Schaltfläche zur Bestätigung innerhalb dieses Toasts anklicken. Wenn Sie den Toast verpassen oder er verschwindet, bevor Sie reagieren, klicken Sie erneut auf Speichern – das Token wurde noch nicht erstellt.

Nach der Bestätigung ruft DPMS den Token-Generierungsdienst auf. Bei Erfolg leitet der Browser Sie direkt zur Token-Anzeigeseite weiter.

Token auf der Anzeigeseite kopieren

Die Anzeigeseite erscheint nur einmal, unmittelbar nach der Erstellung eines neuen Tokens. Sie wird bei der späteren Bearbeitung des Tokens nicht mehr angezeigt.

Sie sehen den vollständigen Bearer-Token-String in einem Passwortfeld. Klicken Sie auf das Kopiersymbol daneben – es wechselt kurz zu einem Häkchen zur Bestätigung. Fügen Sie das Token sofort an einem sicheren Ort ein – einem Passwort-Manager, einem Secrets-Vault oder der Konfigurationsoberfläche Ihres Integrations-Tools. Sobald Sie diese Seite verlassen, zeigt DPMS den vollständigen Token nie wieder an. In der Token-Liste ist nur noch eine maskierte Version sichtbar (z. B. eyJhbGci…••••••). Falls Sie das Token verlieren, müssen Sie es löschen und ein neues erstellen.

Nach dem Kopieren navigieren Sie zurück zur Token-Liste. Das neue Token erscheint nun im Reiter Aktiv mit Erstellungsdatum, Ablaufdatum und Typ.

Aktive Tokens prüfen und letzte Nutzung überprüfen

Klicken Sie auf den Reiter Aktiv (die Standardansicht), um alle derzeit gültigen Tokens anzuzeigen. Schauen Sie in die Spalte Zuletzt verwendet, um Zugangsdaten zu erkennen, die noch nie oder seit längerer Zeit nicht verwendet wurden – diese könnten zu Integrationen gehören, die nie vollständig eingerichtet wurden, oder zu Systemen, die nicht mehr im Einsatz sind.

Um Details zu einem bestimmten Token zu sehen, klicken Sie auf eine beliebige Stelle in der entsprechenden Zeile. Dies öffnet das Bearbeitungs-/Detailformular des Tokens. Hier können Sie Name oder Kommentar aktualisieren, das Ablaufdatum bestätigen und den maskierten Token-String einsehen. Das Dropdown Typ ist in diesem Formular ausgegraut – der Typ wird bei der Erstellung dauerhaft festgelegt und kann nicht mehr geändert werden.

Wenn Sie Name oder Kommentar eines Tokens aktualisieren möchten (zum Beispiel weil sich der Teamname oder der Systemname geändert hat), nehmen Sie die Änderungen vor und klicken Sie auf Speichern. Die Änderung wird sofort übernommen, ohne Bestätigungs-Toast.

Abgelaufene Tokens bereinigen

Wechseln Sie zum Reiter Abgelaufen, um Tokens anzuzeigen, deren Gültigkeitsdauer überschritten ist. Abgelaufene Tokens können von Integrationen nicht mehr verwendet werden, bleiben aber zu Revisionszwecken sichtbar – sie werden nicht automatisch gelöscht.

Um ein bestimmtes abgelaufenes Token zu entfernen, fahren Sie mit der Maus über die entsprechende Zeile, bis rechts ein Drei-Punkte-Menü erscheint. Klicken Sie auf das Symbol und wählen Sie Löschen. Ein Bestätigungsschritt wird ausgelöst, bevor der Datensatz dauerhaft entfernt wird. Wiederholen Sie den Vorgang für weitere veraltete Tokens.

Eine aufgeräumte Registerkarte „Abgelaufen" ist wichtig, weil Sie bei einer Prüfung möglicherweise nachweisen müssen, dass jedes Zugangsdaten-Set bewusst angelegt wurde. Eine lange Liste alter, nicht gelöschter Tokens kann unnötige Fragen aufwerfen.

Aktives Token sofort widerrufen

Wenn eine Integration außer Betrieb genommen wird, ein Teammitglied mit Zugriff auf ein Token die Organisation verlassen hat oder Sie vermuten, dass ein Token kompromittiert wurde, sollten Sie es umgehend löschen. Fahren Sie mit der Maus über die Zeile im Reiter Aktiv, klicken Sie das Drei-Punkte-Menü an und wählen Sie Löschen. Nach der Bestätigung wird das Token dauerhaft aus dem Backend entfernt. Jedes System, das dieses Token verwendet hat, erhält sofort Authentifizierungsfehler – es gibt keine Übergangsfrist. Stimmen Sie sich vor dem Widerruf eines aktiv genutzten Tokens mit dem zuständigen Team ab.

Feldbeschreibungen

Name — Eine lesbare Bezeichnung für das Token. Wird in der Liste und im Detailformular zur Identifikation verwendet. Pflichtfeld. Keine Längenbegrenzung. Darf nicht leer bleiben.

Typ — Der Integrationskontext des Tokens. Muss entweder SCIM (für Benutzerbereitstellung über SCIM 2.0) oder MCP (für KI-Assistent und Model Context Protocol) sein. Pflichtfeld. Nach dem ersten Speichern dauerhaft gesperrt – der Typ kann später nicht mehr geändert werden.

Gültigkeitsdauer — Anzahl der Tage ab heute bis zum Ablauf des Tokens. Wählen Sie eine der Voreinstellungen (182, 365, 548 oder 731 Tage) oder wählen Sie Benutzerdefiniert und geben eine eigene Zahl ein. Pflichtfeld. Benutzerdefinierte Werte über 3.652 Tage werden stillschweigend auf 3.652 begrenzt. Das Ablaufdatum wird bei jeder Änderung dieses Feldes sofort neu berechnet.

Benutzerdefinierte Gültigkeitsdauer — Erscheint nur, wenn im Dropdown Gültigkeitsdauer die Option Benutzerdefiniert ausgewählt ist. Geben Sie eine positive ganze Zahl für die Anzahl der Tage ein. Nicht numerische Zeichen werden ignoriert. Null oder leer verhindert das Absenden des Formulars.

Ablaufdatum — Wird automatisch aus dem heutigen Datum plus der gewählten Gültigkeitsdauer berechnet. Schreibgeschützt. Angezeigt im UTC-Format.

Kommentar — Freitext-Notizen zum Zweck des Tokens, dem System, das es nutzt, der anfragenden Person oder einer Änderungsanforderungs-Referenz. Optional. Keine Längenbegrenzung. Wird im Detailformular des Tokens angezeigt und ist für Prüfer einsehbar.

URL (nur für MCP-Tokens) — Der MCP-Server-Endpunkt, zu dem der KI-Client eine Verbindung herstellen muss. Schreibgeschützt und automatisch berechnet. Erscheint nur, wenn der Token-Typ auf MCP gesetzt ist. Ein Kopiersymbol ermöglicht das Kopieren mit einem Klick.

Verbindung zu anderen Bereichen von DPMS

Die auf dieser Seite erstellten Tokens sind die Authentifizierungsschlüssel für zwei der wichtigsten automatisierten Workflows in DPMS:

• SCIM-Benutzerbereitstellung — Der SCIM-Übersichtsbildschirm (ebenfalls unter IAM) zeigt die SCIM-Basis-URL und die Bereitstellungsendpunkte. Diese Endpunkte akzeptieren ausschließlich Anfragen mit einem gültigen SCIM-Bearer-Token, das hier erstellt wurde. Ohne ein solches Token kann Ihr Identitätsanbieter DPMS-Konten nicht automatisch anlegen, aktualisieren oder deaktivieren – jede Benutzeränderung muss dann manuell vorgenommen werden.
• KI-Assistent und MCP-basierte Funktionen — Die KI-Hilfsschaltflächen, die automatische Übersetzung und die KI-gestützte Risikobewertung in DPMS setzen voraus, dass der MCP-Server mit einem gültigen MCP-Token erreichbar ist. Solange kein solches Token vorhanden ist, erzeugen diese Funktionen Authentifizierungsfehler oder sind schlicht nicht verfügbar. Die im Erstellungsformular angezeigte MCP-Server-URL ist der direkte Endpunkt, den Ihre KI-Konfiguration benötigt.

Nachdem Sie ein SCIM-Token erstellt haben, ist der nächste Schritt in der Regel die SCIM-Übersicht, wo Sie die Bereitstellungs-Basis-URL kopieren und Ihren Identitätsanbieter konfigurieren. Nach der Erstellung eines MCP-Tokens ist der nächste Schritt der KI-Einstellungsbereich (oder die Konfiguration Ihres externen MCP-Clients), wo Sie URL und Token eingeben.

Der Benachrichtigungen-Unterbereich unter IAM erlaubt Ihnen, E-Mail-Benachrichtigungen einzurichten, die eine bestimmte Anzahl von Tagen vor dem Ablauf eines Tokens ausgesendet werden. Das Einrichten dieser Benachrichtigungen direkt nach der Token-Erstellung wird ausdrücklich empfohlen, damit Sie nie von einem unerwarteten Bereitstellungs- oder KI-Ausfall durch einen unbemerkt abgelaufenen Token überrascht werden.

Tipps und häufige Fallstricke

Achtung: Der vollständige Token-String wird nur einmal angezeigt – auf der Anzeigeseite unmittelbar nach der Erstellung. Kopieren Sie ihn, bevor Sie die Seite verlassen. Falls Sie ihn verlieren, müssen Sie das Token löschen und ein neues erstellen – eine nachträgliche Anzeige ist nicht möglich.

Achtung: Der Bestätigungs-Toast, der beim Klicken auf Speichern für ein neues Token erscheint, schließt sich von selbst, wenn Sie nicht reagieren. In diesem Fall wurde das Token nicht erstellt. Klicken Sie erneut auf Speichern, um den Toast ein zweites Mal auszulösen.

• Der Token-Typ kann nach der Erstellung nicht mehr geändert werden. Wenn Sie versehentlich ein SCIM-Token erstellt haben, aber eigentlich ein MCP-Token benötigten (oder umgekehrt), löschen Sie das Original und beginnen Sie mit dem richtigen Typ von vorn.
• Benutzerdefinierte Gültigkeitswerte über 3.652 Tage werden stillschweigend reduziert. Wenn Sie 5000 eingeben, speichert das Formular 3.652, ohne Sie zu warnen. Überprüfen Sie immer das berechnete Feld Ablaufdatum, bevor Sie auf Speichern klicken.
• Abgelaufene Tokens verschwinden nicht automatisch. Sie sammeln sich im Reiter „Abgelaufen" an, bis ein Admin sie explizit löscht. Etablieren Sie eine regelmäßige Überprüfungsroutine – vierteljährlich ist für die meisten Teams ausreichend –, um Ihre Token-Übersicht sauber und revisionssicher zu halten.
• Das Löschen eines aktiven Tokens hat sofortige Wirkung. Es gibt keine Abklingzeit. Jede laufende Integration, die auf das gelöschte Token angewiesen ist, schlägt sofort fehl. Stimmen Sie sich mit den Systembetreibern ab, bevor Sie aktive Zugangsdaten widerrufen.
• Die MCP-Server-URL kann auch später noch abgerufen werden, selbst wenn Sie sie bei der Erstellung nicht kopiert haben. Öffnen Sie das Detailformular des Tokens durch Klicken auf die entsprechende Zeile – das URL-Feld wird dort für MCP-Tokens angezeigt. Anders als der Token-String selbst ist die URL keine einmalige Anzeige.