> ## Documentation Index > Fetch the complete documentation index at: https://docs.windsurf.com/llms.txt > Use this file to discover all available pages before exploring further. # FedRAMP-Sicherheits-Admin-Handbuch > FedRAMP-Sicherheits-Admin-Handbuch für Windsurf zur sicheren Einrichtung, Konfiguration, Nutzung und Außerbetriebnahme von Administratorkonten auf höchster Ebene. Enthält Rollendefinitionen, Verfahren für den Kontolebenszyklus und eine Referenztabelle aller von Administratoren verwalteten Sicherheitseinstellungen.
# FedRAMP Security Admin Guide
Dieser Leitfaden beschreibt, wie Sie Top-Level-Administratorkonten in Windsurf sicher einrichten, konfigurieren, betreiben und außer Betrieb nehmen. Er umfasst Definitionen von Administrationsrollen, Verfahren für den Lebenszyklus von Konten sowie alle administratorgesteuerten Sicherheitseinstellungen mit ihren zugehörigen Funktionen, Sicherheitsauswirkungen und empfohlenen Werten. Dieser Leitfaden wurde für die Windsurf FedRAMP-Bereitstellung erstellt, die auf AWS GovCloud läuft. Die FedRAMP-Bereitstellung verwendet ein eigenes Enterprise-Portal und SSO-basierte Authentifizierung (OIDC oder SAML 2.0). Einige Funktionen, die in der übrigen Windsurf-Dokumentation für das SaaS-Angebot beschrieben sind, stehen in der FedRAMP-Umgebung nicht zur Verfügung. ***
## Definitionen administrativer Rollen
Windsurf verwendet ein System zur rollenbasierten Zugriffskontrolle (RBAC), um administrative Berechtigungen zu verwalten. Rollen werden über das Admin-Portal im Einstellungsbereich „Role Management“ verwaltet und können einzelnen Benutzer:innen zugewiesen werden.
### Integrierte Rollen
Windsurf stellt zwei integrierte Rollen bereit, die nicht gelöscht werden können. | Rolle | Beschreibung | Standardberechtigungen | | --------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------ | | **Admin** | Vollständiger administrativer Zugriff auf Organisationseinstellungen, Benutzerverwaltung, Analytics und Sicherheitskontrollen. Dies ist das höchste Berechtigungsniveau, das ein Benutzer innerhalb eines Teams haben kann. | Alle Berechtigungen aktiviert | | **User** | Standardzugriff für Endbenutzer ohne administrative Berechtigungen. Benutzer können auf die Code-Funktionen von Windsurf zugreifen, aber keine Organisationseinstellungen anzeigen oder ändern. | Keine administrativen Berechtigungen |
### Benutzerdefinierte Rollen
Administratoren können benutzerdefinierte Rollen erstellen, um das Prinzip der geringsten Berechtigung umzusetzen. Benutzerdefinierte Rollen bestehen aus granularen Berechtigungen, die aus den folgenden Kategorien ausgewählt werden. Um eine benutzerdefinierte Rolle zu erstellen, navigieren Sie zum Admin-Portal und öffnen Sie im Bereich „Einstellungen“ die Rollenverwaltung.
### Berechtigungsreferenz
Die Tabelle unten listet alle Berechtigungen auf, die für die Rollenvergabe in der FedRAMP-Bereitstellung verfügbar sind. Jede Berechtigung steuert den Zugriff auf eine bestimmte administrative Funktion. | Kategorie | Berechtigung | Beschreibung | | --------------------- | ------------------------ | ------------------------------------------------------------------------ | | **Teams** | Teams Nur-Lesen | Nur-Lesezugriff auf die Teamverwaltungsseite | | **Teams** | Teams Update | Berechtigung zum Aktualisieren von Benutzerrollen auf der Teamseite | | **Teams** | Teams Delete | Berechtigung zum Entfernen von Benutzern von der Teamseite | | **Analytics** | Analytics Read | Lesezugriff auf die Analytics-Seite und Dashboards | | **Attribution** | Attribution Read | Lesezugriff auf die Attribution-Seite | | **License** | License Read | Lesezugriff auf die Lizenzseite | | **SSO** | SSO Read | Lesezugriff auf die SSO-Konfigurationsseite | | **SSO** | SSO Write | Berechtigung zum Konfigurieren und Ändern der SSO-Anbieter-Einstellungen | | **Service-Schlüssel** | Service-Schlüssel Read | Lesezugriff auf die Seite mit den Service-Schlüsseln | | **Service-Schlüssel** | Service-Schlüssel Create | Berechtigung zum Erstellen neuer Service-Schlüssel für den API-Zugriff | | **Service-Schlüssel** | Service-Schlüssel Update | Berechtigung zum Ändern bestehender Service-Schlüssel | | **Service-Schlüssel** | Service-Schlüssel Delete | Berechtigung zum Widerrufen und Löschen von Service-Schlüsseln | | **Role Management** | Role Read | Lesezugriff auf den Tab „Roles“ in den Einstellungen | | **Role Management** | Role Create | Berechtigung zum Erstellen neuer Rollen | | **Role Management** | Role Update | Berechtigung zum Ändern bestehender Rollendefinitionen | | **Role Management** | Role Delete | Berechtigung zum Löschen von Rollen | | **External Chat** | External Chat Management | Berechtigung zum Ändern der Konfigurationen externer Chat-AI-Modelle | | **Indexing** | Indexing Read | Lesezugriff auf die Seite zur Indexierungskonfiguration | | **Indexing** | Indexing Create | Berechtigung zum Erstellen neuer Indizes | | **Indexing** | Indexing Update | Berechtigung zum Aktualisieren bestehender indizierter Repositories | | **Indexing** | Indexing Delete | Berechtigung zum Löschen von Indizes | | **Indexing** | Indexing Management | Berechtigung zur Verwaltung und Bereinigung der Indexdatenbank | | **Fine-Tuning** | Fine-Tuning Read | Lesezugriff auf die Fine-Tuning-Seite | | **Fine-Tuning** | Fine-Tuning Create | Berechtigung zum Erstellen von Fine-Tuning-Jobs | | **Fine-Tuning** | Fine-Tuning Update | Berechtigung zum Aktualisieren von Fine-Tuning-Jobs | | **Fine-Tuning** | Fine-Tuning Delete | Berechtigung zum Löschen von Fine-Tuning-Jobs | Einige dieser Berechtigungen (wie Attribution, License, SSO, Indexing, Fine-Tuning) existieren im RBAC-System, aber die zugehörigen Portalseiten sind in der FedRAMP-Mandantenbereitstellung (Multi-Tenant) nicht verfügbar. Diese Berechtigungen sind in der Rollenverwaltungs-UI der Vollständigkeit halber enthalten, gewähren jedoch keinen Zugriff auf aktive Funktionen in dieser Umgebung. ***
## Lebenszyklusverfahren für Admin-Konten
In diesem Abschnitt wird der vollständige Lebenszyklus eines Top-Level-Administratorkontos beschrieben – von der anfänglichen Einrichtung bis zur Außerbetriebnahme.
### Kontoeinrichtung
**SSO-basiertes Onboarding** ist die primäre Provisionierungsmethode in der FedRAMP-Umgebung. Die Plattform unterstützt sowohl OIDC als auch SAML 2.0 für die Integration von SSO (Single Sign-On). Benutzer authentifizieren sich über den konfigurierten Identitätsanbieter (IdP), und nachdem bei der ersten Anmeldung des Benutzers dessen Konto erstellt wurde, weist ein Administrator über das Admin-Portal die entsprechende Rolle zu. Beachten Sie, dass die SSO-Integration in der FedRAMP-Umgebung eine Abstimmung mit dem Windsurf-FedRAMP-Team erfordert und nicht im Self-Service konfiguriert werden kann. Jedes neue Admin-Konto sollte nach dem Prinzip der geringstmöglichen Berechtigungen konfiguriert werden. Verwenden Sie bevorzugt benutzerdefinierte Rollen mit nur den Berechtigungen, die für die Aufgaben des Administrators erforderlich sind, anstatt die vollständige Admin-Rolle zuzuweisen, es sei denn, der Benutzer benötigt vollständigen Systemzugriff.
### Anforderungen an Authentifizierung und MFA
Die FedRAMP-Bereitstellung verwendet ausschließlich Single Sign-On und unterstützt sowohl OIDC- als auch SAML-2.0-Protokolle. Eine Authentifizierung mittels E-Mail-Adresse und Passwort ist nicht verfügbar. Alle Benutzer müssen sich über den konfigurierten Identitätsanbieter authentifizieren. Multi-Faktor-Authentifizierung (MFA) wird über den Identitätsanbieter der Organisation erzwungen. Windsurf übernimmt die im verbundenen IdP konfigurierten MFA-Richtlinien, was bedeutet, dass alle Anforderungen an die Authentifizierungsstärke (wie etwa die Anforderung eines zweiten Faktors, phishingresistenter Authentifikatoren oder Richtlinien für bedingten Zugriff) auf IdP-Ebene festgelegt werden. Organisationen sollten ihren IdP so konfigurieren, dass MFA für alle Benutzer verlangt wird, die auf die Windsurf-Anwendung zugreifen, insbesondere für Konten mit administrativen Rollen. Windsurf empfiehlt nachdrücklich, MFA für alle administrativen Konten zu verlangen. Konfigurieren Sie Ihren Identitätsanbieter so, dass MFA als Bedingung für den Zugriff auf die Windsurf-Anwendung durchgesetzt wird.
### Kontokonfiguration
Nachdem ein Administratorkonto erstellt wurde, sollten die folgenden Konfigurationsschritte abgeschlossen werden. Die **Rollenzuweisung** bestimmt den Umfang der administrativen Zugriffsrechte des Kontos. Weisen Sie Rollen über das Admin-Portal zu, indem Sie zum Tab „Manage Team“ wechseln, den Benutzer suchen, auf „Edit“ klicken und die passende Rolle im Dropdown-Menü auswählen. Änderungen werden sofort wirksam. Die **Verwaltung von Service Keys** ist erforderlich, wenn Administratoren API-Zugriff für Automatisierung oder Analytics benötigen. Service Keys werden unter „Settings“ mit Berechtigungen im passenden Umfang erstellt, die dem vorgesehenen Verwendungszweck des Keys entsprechen. Jeder Service Key sollte aussagekräftig benannt werden (zum Beispiel „Analytics Dashboard“) und einer Rolle mit den minimal erforderlichen Berechtigungen zugewiesen werden.
### Kontobetrieb
Laufende Betriebsabläufe für Administratorkonten umfassen Folgendes. **Regelmäßige Zugriffsüberprüfungen** sollten durchgeführt werden, um sicherzustellen, dass Administratorkonten weiterhin ihre aktuelle Zugriffsebene benötigen. Überprüfen Sie die Liste der Benutzer mit der Admin-Rolle regelmäßig über die Registerkarte „Manage Team“ und passen Sie Rollen an, wenn sich Verantwortlichkeiten ändern. **Aktivitätsüberwachung** ist über die integrierten Analytics-Dashboards verfügbar. Administratoren mit der Berechtigung „Analytics Read“ können Benutzeraktivitäten, Engagement-Metriken und Funktionsnutzung nachverfolgen. Die Analytics-API bietet programmgesteuerten Zugriff auf diese Daten zur Integration in externe Überwachungssysteme. **Service-Schlüssel-Rotation** sollte in einem regelmäßigen Rhythmus durchgeführt werden. Um einen Schlüssel zu rotieren, erstellen Sie einen neuen Service-Schlüssel mit denselben Berechtigungen, aktualisieren Sie das System, das diesen Schlüssel verwendet, auf den neuen Schlüssel und löschen Sie anschließend den alten Schlüssel.
### Stilllegung von Konten
Wenn ein Administrator keinen Zugriff mehr benötigt, sollte das Konto umgehend mithilfe des folgenden Verfahrens stillgelegt werden. Navigieren Sie zum Admin-Portal, öffnen Sie die Registerkarte „Manage Team“, suchen Sie den Benutzer, klicken Sie auf „Edit“ und ändern Sie seine Rolle von „Admin“ zu „User“ (oder zu einer benutzerdefinierten Rolle ohne administrative Berechtigungen). Löschen Sie alle Service Keys, die von dem ausscheidenden Administrator erstellt oder ausschließlich von ihm verwendet wurden. Navigieren Sie zu „Settings“, dann „Service-Schlüssel“, und löschen Sie die betreffenden Schlüssel. Entfernen Sie den Benutzer über die Registerkarte „Manage Team“, indem Sie neben seinem Namen auf „Delete“ klicken. Dadurch wird das Windsurf-Konto des Benutzers deaktiviert und sein Lizenzplatz freigegeben. Vergewissern Sie sich, dass das stillgelegte Konto nicht mehr in einer administrativen Rolle erscheint, indem Sie die Benutzerliste in „Manage Team“ nach der Rolle „Admin“ filtern. Bestätigen Sie, dass alle mit dem Konto verknüpften Service Keys gelöscht wurden. Stellen Sie administrative Konten sofort still, wenn ein Administrator die Rolle wechselt oder die Organisation verlässt. Verzögerte Stilllegung erzeugt unnötige Sicherheitsrisiken. ***
## Referenz der Sicherheitseinstellungen
Die folgende Tabelle dokumentiert alle durch Administratoren gesteuerten Sicherheitseinstellungen, die im Admin-Portal der FedRAMP-Bereitstellung verfügbar sind. Jeder Eintrag beschreibt die Funktion der Einstellung, ihre Sicherheitsauswirkungen und die empfohlene Konfiguration für eine sicherheitsbewusste Bereitstellung. | Einstellung | Funktion | Sicherheitsauswirkung | Empfohlener Wert | | ------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | **Role-Based Access Control (RBAC)** | Steuert, welche administrativen Aktionen jeder Benutzer basierend auf seiner zugewiesenen Rolle und seinen Berechtigungen ausführen kann. Verwaltung im Abschnitt Role Management in den Einstellungen. | Begrenzt den Schadensumfang kompromittierter Konten, indem Berechtigungen auf das beschränkt werden, was jeder Benutzer benötigt. Zu weit gefasste Rollenzuweisungen erhöhen die potenziellen Auswirkungen der Kompromittierung eines einzelnen Kontos. | **Nach dem Prinzip der geringsten Privilegien konfigurieren.** Erstellen Sie benutzerdefinierte Rollen mit nur den Berechtigungen, die jeder Administrator benötigt. Reservieren Sie die integrierte Admin-Rolle für eine kleine Anzahl von Administratoren. | | **Service-Key-Berechtigungen** | Beschränkt API-Zugriffstoken auf spezifische Berechtigungssätze und steuert, welche Aktionen automatisierte Systeme ausführen können. Verwaltung im Abschnitt Service Key in den Einstellungen. | Service Keys mit übermäßigen Berechtigungen können bei einem Leak ausgenutzt werden und unbefugten Zugriff auf Benutzerverwaltung, Analytics oder andere Funktionen gewähren. | **Auf die minimal erforderlichen Berechtigungen beschränken.** Erstellen Sie dedizierte Service Keys für jede Integration mit nur den Berechtigungen, die diese Integration benötigt. Rotieren Sie die Schlüssel regelmäßig. | | **SSO-Provider-Konfiguration** | Konfiguriert den Identitätsanbieter, der für die gesamte Benutzerauthentifizierung verwendet wird, und unterstützt sowohl OIDC- als auch SAML-2.0-Protokolle. E-Mail/Passwort-Authentifizierung ist nicht verfügbar. Das Einrichten von SSO erfordert Abstimmung mit dem Windsurf-FedRAMP-Team. Verwaltung im Abschnitt SSO in den Einstellungen. | Zentralisiert die Authentifizierung über den IdP der Organisation und ermöglicht die Durchsetzung von MFA, bedingtem Zugriff und Sitzungsrichtlinien. Eine Fehlkonfiguration kann alle Benutzer aussperren oder unbefugten Zugriff ermöglichen. | **Mit dem genehmigten Identitätsanbieter Ihrer Organisation (OIDC oder SAML 2.0) konfigurieren.** Überprüfen Sie die Konfiguration, indem Sie die Anmeldung mit einem Nicht-Admin-Konto testen, bevor Sie sie breit ausrollen. | *Zuletzt aktualisiert: 28. Januar 2026*