Die 5 Schritte
Die UI zeigt zusätzlich einen expliziten Access Decision-Status mit vier Werten: ALLOWED, DENIED, NOT_REQUIRED, MISSING_REQUIRED.
1) Login erfolgreich
Es wurde mindestens ein erfolgreiches Auth-Event gefunden, z. B. LOGIN_SUCCESS, MFA_SUCCESS oder CLIENT_LOGIN.
Fehlt dieser Schritt, ist die Identitätskette nicht belastbar.
2) Consent verarbeitet
Consent wird semantisch ausgewertet, nicht nur als binares Flag.
GRANTED_IN_TRACE: neu in diesem Flow erteiltALREADY_VALID: zuvor erteilt und weiterhin gueltigNOT_REQUIRED: Consent ist aktuell nicht erforderlichMISSING_REQUIRED: Consent ist erforderlich, fehlt aber
Ein fehlendes neues Consent-Event kann korrekt sein, wenn
ALREADY_VALID oder NOT_REQUIRED gilt.3) Sensitiver Zugriff
Der Trace enthält Zugriff auf sensible Bereiche (z. B. Vault/Admin Vault).
Das ist ein Priorisierungssignal, kein automatischer Fehler.
4) Administrative Änderung
Persistierte Admin-Änderungen wurden erkannt (z. B. USER_*, ROLE_*, TENANT_*, CLIENT_*, IDP_*).
Eine Änderung ist nachvollziehbar, wenn Correlation-ID und persistierte Events zusammenpassen.
5) Vollständig oder unvollständig
Die Kette ist vollständig, wenn alle erforderlichen Signale vorhanden sind. Fehlende Signale werden explizit gelistet.
missing_auth_successmissing_access_decisionmissing_audit_persisted
Beispiel: "Unvollständig (missing access decision)" bedeutet, dass der Entscheidungsweg nicht vollständig belegt werden konnte.
Interpretation für Nicht-Dev-Teams
- Gruen bedeutet: Für diesen Schritt liegt Evidenz vor.
- Orange bedeutet: Sicherheitsrelevanter Schritt oder unvollständige Kette.
- Unvollständig ist nicht automatisch ein Incident, erfordert aber forensisches Follow-up.
- Correlation ID ist die Verbindung zwischen UI, API und Audit-Nachweisen.
Schnellcheck für Support-Fragen
- Correlation-ID aus dem Trace kopieren.
- Timeline auf fehlende Pflichtsignale prüfen.
- Consent-Status semantisch lesen (nicht nur Events zaehlen).
- Sensitive/Admin-Flags zur Priorisierung nutzen.