Zum Hauptinhalt springen

​
FedRAMP Security Admin Guide

Dieser Leitfaden beschreibt, wie Sie Top-Level-Administratorkonten in Windsurf sicher einrichten, konfigurieren, betreiben und außer Betrieb nehmen. Er umfasst Definitionen von Administrationsrollen, Verfahren für den Lebenszyklus von Konten sowie alle administratorgesteuerten Sicherheitseinstellungen mit ihren zugehörigen Funktionen, Sicherheitsauswirkungen und empfohlenen Werten.
Dieser Leitfaden wurde für die Windsurf FedRAMP-Bereitstellung erstellt, die auf AWS GovCloud läuft. Die FedRAMP-Bereitstellung verwendet ein eigenes Enterprise-Portal und SSO-basierte Authentifizierung (OIDC oder SAML 2.0). Einige Funktionen, die in der übrigen Windsurf-Dokumentation für das SaaS-Angebot beschrieben sind, stehen in der FedRAMP-Umgebung nicht zur Verfügung.

​
Definitionen administrativer Rollen

Windsurf verwendet ein System zur rollenbasierten Zugriffskontrolle (RBAC), um administrative Berechtigungen zu verwalten. Rollen werden über das Admin-Portal im Einstellungsbereich „Role Management“ verwaltet und können einzelnen Benutzer:innen zugewiesen werden.

​
Integrierte Rollen

Windsurf stellt zwei integrierte Rollen bereit, die nicht gelöscht werden können.
RolleBeschreibungStandardberechtigungen
AdminVollständiger administrativer Zugriff auf Organisationseinstellungen, Benutzerverwaltung, Analytics und Sicherheitskontrollen. Dies ist das höchste Berechtigungsniveau, das ein Benutzer innerhalb eines Teams haben kann.Alle Berechtigungen aktiviert
UserStandardzugriff für Endbenutzer ohne administrative Berechtigungen. Benutzer können auf die Code-Funktionen von Windsurf zugreifen, aber keine Organisationseinstellungen anzeigen oder ändern.Keine administrativen Berechtigungen

​
Benutzerdefinierte Rollen

Administratoren können benutzerdefinierte Rollen erstellen, um das Prinzip der geringsten Berechtigung umzusetzen. Benutzerdefinierte Rollen bestehen aus granularen Berechtigungen, die aus den folgenden Kategorien ausgewählt werden. Um eine benutzerdefinierte Rolle zu erstellen, navigieren Sie zum Admin-Portal und öffnen Sie im Bereich „Einstellungen“ die Rollenverwaltung.

​
Berechtigungsreferenz

Die Tabelle unten listet alle Berechtigungen auf, die für die Rollenvergabe in der FedRAMP-Bereitstellung verfügbar sind. Jede Berechtigung steuert den Zugriff auf eine bestimmte administrative Funktion.
KategorieBerechtigungBeschreibung
TeamsTeams Nur-LesenNur-Lesezugriff auf die Teamverwaltungsseite
TeamsTeams UpdateBerechtigung zum Aktualisieren von Benutzerrollen auf der Teamseite
TeamsTeams DeleteBerechtigung zum Entfernen von Benutzern von der Teamseite
AnalyticsAnalytics ReadLesezugriff auf die Analytics-Seite und Dashboards
AttributionAttribution ReadLesezugriff auf die Attribution-Seite
LicenseLicense ReadLesezugriff auf die Lizenzseite
SSOSSO ReadLesezugriff auf die SSO-Konfigurationsseite
SSOSSO WriteBerechtigung zum Konfigurieren und Ändern der SSO-Anbieter-Einstellungen
Service-SchlüsselService-Schlüssel ReadLesezugriff auf die Seite mit den Service-Schlüsseln
Service-SchlüsselService-Schlüssel CreateBerechtigung zum Erstellen neuer Service-Schlüssel für den API-Zugriff
Service-SchlüsselService-Schlüssel UpdateBerechtigung zum Ändern bestehender Service-Schlüssel
Service-SchlüsselService-Schlüssel DeleteBerechtigung zum Widerrufen und Löschen von Service-Schlüsseln
Role ManagementRole ReadLesezugriff auf den Tab „Roles“ in den Einstellungen
Role ManagementRole CreateBerechtigung zum Erstellen neuer Rollen
Role ManagementRole UpdateBerechtigung zum Ändern bestehender Rollendefinitionen
Role ManagementRole DeleteBerechtigung zum Löschen von Rollen
External ChatExternal Chat ManagementBerechtigung zum Ändern der Konfigurationen externer Chat-AI-Modelle
IndexingIndexing ReadLesezugriff auf die Seite zur Indexierungskonfiguration
IndexingIndexing CreateBerechtigung zum Erstellen neuer Indizes
IndexingIndexing UpdateBerechtigung zum Aktualisieren bestehender indizierter Repositories
IndexingIndexing DeleteBerechtigung zum Löschen von Indizes
IndexingIndexing ManagementBerechtigung zur Verwaltung und Bereinigung der Indexdatenbank
Fine-TuningFine-Tuning ReadLesezugriff auf die Fine-Tuning-Seite
Fine-TuningFine-Tuning CreateBerechtigung zum Erstellen von Fine-Tuning-Jobs
Fine-TuningFine-Tuning UpdateBerechtigung zum Aktualisieren von Fine-Tuning-Jobs
Fine-TuningFine-Tuning DeleteBerechtigung zum Löschen von Fine-Tuning-Jobs
Einige dieser Berechtigungen (wie Attribution, License, SSO, Indexing, Fine-Tuning) existieren im RBAC-System, aber die zugehörigen Portalseiten sind in der FedRAMP-Mandantenbereitstellung (Multi-Tenant) nicht verfügbar. Diese Berechtigungen sind in der Rollenverwaltungs-UI der Vollständigkeit halber enthalten, gewähren jedoch keinen Zugriff auf aktive Funktionen in dieser Umgebung.

​
Lebenszyklusverfahren für Admin-Konten

In diesem Abschnitt wird der vollständige Lebenszyklus eines Top-Level-Administratorkontos beschrieben – von der anfänglichen Einrichtung bis zur Außerbetriebnahme.

​
Kontoeinrichtung

SSO-basiertes Onboarding ist die primäre Provisionierungsmethode in der FedRAMP-Umgebung. Die Plattform unterstützt sowohl OIDC als auch SAML 2.0 für die Integration von SSO (Single Sign-On). Benutzer authentifizieren sich über den konfigurierten Identitätsanbieter (IdP), und nachdem bei der ersten Anmeldung des Benutzers dessen Konto erstellt wurde, weist ein Administrator über das Admin-Portal die entsprechende Rolle zu. Beachten Sie, dass die SSO-Integration in der FedRAMP-Umgebung eine Abstimmung mit dem Windsurf-FedRAMP-Team erfordert und nicht im Self-Service konfiguriert werden kann. Jedes neue Admin-Konto sollte nach dem Prinzip der geringstmöglichen Berechtigungen konfiguriert werden. Verwenden Sie bevorzugt benutzerdefinierte Rollen mit nur den Berechtigungen, die für die Aufgaben des Administrators erforderlich sind, anstatt die vollständige Admin-Rolle zuzuweisen, es sei denn, der Benutzer benötigt vollständigen Systemzugriff.

​
Anforderungen an Authentifizierung und MFA

Die FedRAMP-Bereitstellung verwendet ausschließlich Single Sign-On und unterstützt sowohl OIDC- als auch SAML-2.0-Protokolle. Eine Authentifizierung mittels E-Mail-Adresse und Passwort ist nicht verfügbar. Alle Benutzer müssen sich über den konfigurierten Identitätsanbieter authentifizieren. Multi-Faktor-Authentifizierung (MFA) wird über den Identitätsanbieter der Organisation erzwungen. Windsurf übernimmt die im verbundenen IdP konfigurierten MFA-Richtlinien, was bedeutet, dass alle Anforderungen an die Authentifizierungsstärke (wie etwa die Anforderung eines zweiten Faktors, phishingresistenter Authentifikatoren oder Richtlinien für bedingten Zugriff) auf IdP-Ebene festgelegt werden. Organisationen sollten ihren IdP so konfigurieren, dass MFA für alle Benutzer verlangt wird, die auf die Windsurf-Anwendung zugreifen, insbesondere für Konten mit administrativen Rollen.
Windsurf empfiehlt nachdrücklich, MFA für alle administrativen Konten zu verlangen. Konfigurieren Sie Ihren Identitätsanbieter so, dass MFA als Bedingung für den Zugriff auf die Windsurf-Anwendung durchgesetzt wird.

​
Kontokonfiguration

Nachdem ein Administratorkonto erstellt wurde, sollten die folgenden Konfigurationsschritte abgeschlossen werden. Die Rollenzuweisung bestimmt den Umfang der administrativen Zugriffsrechte des Kontos. Weisen Sie Rollen über das Admin-Portal zu, indem Sie zum Tab „Manage Team“ wechseln, den Benutzer suchen, auf „Edit“ klicken und die passende Rolle im Dropdown-Menü auswählen. Änderungen werden sofort wirksam. Die Verwaltung von Service Keys ist erforderlich, wenn Administratoren API-Zugriff für Automatisierung oder Analytics benötigen. Service Keys werden unter „Settings“ mit Berechtigungen im passenden Umfang erstellt, die dem vorgesehenen Verwendungszweck des Keys entsprechen. Jeder Service Key sollte aussagekräftig benannt werden (zum Beispiel „Analytics Dashboard“) und einer Rolle mit den minimal erforderlichen Berechtigungen zugewiesen werden.

​
Kontobetrieb

Laufende Betriebsabläufe für Administratorkonten umfassen Folgendes. Regelmäßige Zugriffsüberprüfungen sollten durchgeführt werden, um sicherzustellen, dass Administratorkonten weiterhin ihre aktuelle Zugriffsebene benötigen. Überprüfen Sie die Liste der Benutzer mit der Admin-Rolle regelmäßig über die Registerkarte „Manage Team“ und passen Sie Rollen an, wenn sich Verantwortlichkeiten ändern. Aktivitätsüberwachung ist über die integrierten Analytics-Dashboards verfügbar. Administratoren mit der Berechtigung „Analytics Read“ können Benutzeraktivitäten, Engagement-Metriken und Funktionsnutzung nachverfolgen. Die Analytics-API bietet programmgesteuerten Zugriff auf diese Daten zur Integration in externe Überwachungssysteme. Service-Schlüssel-Rotation sollte in einem regelmäßigen Rhythmus durchgeführt werden. Um einen Schlüssel zu rotieren, erstellen Sie einen neuen Service-Schlüssel mit denselben Berechtigungen, aktualisieren Sie das System, das diesen Schlüssel verwendet, auf den neuen Schlüssel und löschen Sie anschließend den alten Schlüssel.

​
Stilllegung von Konten

Wenn ein Administrator keinen Zugriff mehr benötigt, sollte das Konto umgehend mithilfe des folgenden Verfahrens stillgelegt werden.
1

Administrative Rolle entziehen

Navigieren Sie zum Admin-Portal, öffnen Sie die Registerkarte „Manage Team“, suchen Sie den Benutzer, klicken Sie auf „Edit“ und ändern Sie seine Rolle von „Admin“ zu „User“ (oder zu einer benutzerdefinierten Rolle ohne administrative Berechtigungen).
2

Service Keys widerrufen

Löschen Sie alle Service Keys, die von dem ausscheidenden Administrator erstellt oder ausschließlich von ihm verwendet wurden. Navigieren Sie zu „Settings“, dann „Service-Schlüssel“, und löschen Sie die betreffenden Schlüssel.
3

Konto entfernen oder deaktivieren

Entfernen Sie den Benutzer über die Registerkarte „Manage Team“, indem Sie neben seinem Namen auf „Delete“ klicken. Dadurch wird das Windsurf-Konto des Benutzers deaktiviert und sein Lizenzplatz freigegeben.
4

Verbleibende Zugriffe prüfen

Vergewissern Sie sich, dass das stillgelegte Konto nicht mehr in einer administrativen Rolle erscheint, indem Sie die Benutzerliste in „Manage Team“ nach der Rolle „Admin“ filtern. Bestätigen Sie, dass alle mit dem Konto verknüpften Service Keys gelöscht wurden.
Stellen Sie administrative Konten sofort still, wenn ein Administrator die Rolle wechselt oder die Organisation verlässt. Verzögerte Stilllegung erzeugt unnötige Sicherheitsrisiken.

​
Referenz der Sicherheitseinstellungen

Die folgende Tabelle dokumentiert alle durch Administratoren gesteuerten Sicherheitseinstellungen, die im Admin-Portal der FedRAMP-Bereitstellung verfügbar sind. Jeder Eintrag beschreibt die Funktion der Einstellung, ihre Sicherheitsauswirkungen und die empfohlene Konfiguration für eine sicherheitsbewusste Bereitstellung.
EinstellungFunktionSicherheitsauswirkungEmpfohlener Wert
Role-Based Access Control (RBAC)Steuert, welche administrativen Aktionen jeder Benutzer basierend auf seiner zugewiesenen Rolle und seinen Berechtigungen ausführen kann. Verwaltung im Abschnitt Role Management in den Einstellungen.Begrenzt den Schadensumfang kompromittierter Konten, indem Berechtigungen auf das beschränkt werden, was jeder Benutzer benötigt. Zu weit gefasste Rollenzuweisungen erhöhen die potenziellen Auswirkungen der Kompromittierung eines einzelnen Kontos.Nach dem Prinzip der geringsten Privilegien konfigurieren. Erstellen Sie benutzerdefinierte Rollen mit nur den Berechtigungen, die jeder Administrator benötigt. Reservieren Sie die integrierte Admin-Rolle für eine kleine Anzahl von Administratoren.
Service-Key-BerechtigungenBeschränkt API-Zugriffstoken auf spezifische Berechtigungssätze und steuert, welche Aktionen automatisierte Systeme ausführen können. Verwaltung im Abschnitt Service Key in den Einstellungen.Service Keys mit übermäßigen Berechtigungen können bei einem Leak ausgenutzt werden und unbefugten Zugriff auf Benutzerverwaltung, Analytics oder andere Funktionen gewähren.Auf die minimal erforderlichen Berechtigungen beschränken. Erstellen Sie dedizierte Service Keys für jede Integration mit nur den Berechtigungen, die diese Integration benötigt. Rotieren Sie die Schlüssel regelmäßig.
SSO-Provider-KonfigurationKonfiguriert den Identitätsanbieter, der für die gesamte Benutzerauthentifizierung verwendet wird, und unterstützt sowohl OIDC- als auch SAML-2.0-Protokolle. E-Mail/Passwort-Authentifizierung ist nicht verfügbar. Das Einrichten von SSO erfordert Abstimmung mit dem Windsurf-FedRAMP-Team. Verwaltung im Abschnitt SSO in den Einstellungen.Zentralisiert die Authentifizierung über den IdP der Organisation und ermöglicht die Durchsetzung von MFA, bedingtem Zugriff und Sitzungsrichtlinien. Eine Fehlkonfiguration kann alle Benutzer aussperren oder unbefugten Zugriff ermöglichen.Mit dem genehmigten Identitätsanbieter Ihrer Organisation (OIDC oder SAML 2.0) konfigurieren. Überprüfen Sie die Konfiguration, indem Sie die Anmeldung mit einem Nicht-Admin-Konto testen, bevor Sie sie breit ausrollen.
Zuletzt aktualisiert: 28. Januar 2026