In FortiCloud gibt es zwei Wege, Endkundenkonten an dein Partnerkonto anzubinden: Partner Roles (IAM-basiert) und FortiCloud Organizations (OU-basiert). Beide kommen ohne geteilte Zugangsdaten aus. Sie unterscheiden sich aber darin, wer die Verbindung startet, wer die Rechte festlegt und wer sie wieder lösen kann.
Wer mehrere Kunden betreut, braucht Zugriff auf deren registrierte Geräte, Lizenzen und Supportfälle – und zwar klar geregelt. Das frühere Sub-User-Modell, bei dem Kunden Unterbenutzer anlegten und Zugangsdaten weitergaben, ist durch Partner Roles abgelöst worden.
In diesem Beitrag erfährst du, wie beide Wege funktionieren, worin sie sich unterscheiden und welcher zu deinem Betreuungsmodell passt.
Architektur-Check: 2 Verschiedene Ansätze – Welcher ist besser?
Der wichtigste Unterschied: Bei Partner Roles lädt der Kunde dich ein, bei Organizations lädst du den Kunden ein.
| Konzept | FortiCloud Partner Roles (IAM-based) | FortiCloud Organizations (OUs) |
| Zweck | Verbindung zwischen zwei voneinander unabhängigen FortiCloud-Accounts (Partner ⟷ Kunde). | Interne hierarchische Strukturierung einer Organisation (bis zu 3 Ebenen tief). |
| Eigentum / Ownership | Kunde bleibt zu 100 % Eigentümer seines Accounts, seiner Lizenzen und Assets. Der Kunde bestimmt über Permission Profiles, welche Rechte der Partner erhält. | Alle Member-Accounts unterstehen der zentralen Root-Organisation des Partners. |
| Verbindung lösen | Beidseitig möglich | Eine Entfernung ist nur durch das Löschen der OU in der Root-Organisation möglich. |
Weg 1: Partner Roles (IAM-basiert)
Mit einer Partner Role gibt dir der Endkunde über FortiCloud IAM Zugriff auf sein Konto und zwar mit genau den Rechten, die er festlegt. Dein Partneraccount kann mit vielen Kundenkonten verbunden sein, ein Kundenkonto aber nur mit einem Partner.
Schritt für Schritt
Endkunde: Berechtigungsprofil anlegen
- Melden Sie sich auf support.fortinet.com an.
- Navigieren Sie zu Services > IAM > Permission Profiles. Dies ist ebenfalls auf Abbildung 2 ersichtlich.
- Erstellen Sie ein neues Profil mit Berechtigungen für Asset Management und FortiCare.
- Optional: Alternativ gibt es das Standardprofil SysAdmin mit Vollzugriff auf Asset Management, FortiCare und IAM.
Endkunde: Partner Role erstellen
- Navigieren Sie zu Users > Add New > Partner Role.
- Vergeben Sie Name und Beschreibung.
- Wählen Sie den gewünschten Permission Scope sowie das zuvor erstellte Permission Profile aus.
- Schliessen Sie den Vorgang mit einem Klick auf Add Role ab.
Endkunde: Token weitergeben
Nach Add Role erscheint ein Einladungstoken, der fünf Tage gültig ist. Ist er abgelaufen, erzeugt der Kunde unter Users mit Regenerate Token einen neuen.
Partner: Konto verbinden
- Melden Sie sich mit Ihrer Partner-E-Mail-Adresse auf support.fortinet.com und navigieren Sie im Kontomenü zu Partner Account > Connected Accounts (siehe Abbildung 4).
- Klicken Sie auf Connect Account, fügen Sie den Token ein und bestätigen Sie mit Go.
- Geben Sie eine Notification Email an (an diese Adresse werden zukünftige Verlängerungsbenachrichtigungen gesendet).
- Setzen Sie das Häkchen bei der Bestätigung und schliessen Sie den Vorgang mit Accept ab.
Von dort aus kann, wie in den Abbildungen 5 und 6 dargestellt, direkt in den Kontext des Endkunden-Accounts gewechselt werden. Öffnen Sie dafür das Kontomenü und klicken Sie auf Switch Accounts > Partner Connected Accounts > [Ihr Partner].
Weg 2: FortiCloud Organizations (OU-basiert)
Mit FortiCloud Organizations bauen Sie eine eigene Hierarchie auf: Ihr Konto wird zum Root Account, während Kundenkonten als Member Accounts in Organizational Units (OUs) beitreten. Den Zugriff steuern Sie über IAM-User vom Typ Organization.
Die Begriffe und Limitierungen
- Organization: Hierarchie aus OUs und Member Accounts, mit maximal drei OU-Ebenen.
- Organizational Unit (OU): Ein Knoten in der Hierarchie, etwa eine Region oder ein Kundensegment. Im Portal erscheinen OUs als Ordner.
- Root Account: Das Konto, das die Organisation erstellt. Es gibt genau einen, er lädt Mitglieder ein und kann nicht zum Member Account werden.
- Member Account: Ein FortiCloud-Konto, das der Organisation beitritt. Es kann nur in einer Organisation gleichzeitig sein.
Voraussetzungen
- Ein FortiCloud-Konto, das als Root Account dient.
- Für den vollen Funktionsumfang benötigt der Root Account eine Fortinet KYC-Registrierung (früher FNDN) mit derselben E-Mail-Domain. Allen weiteren Nutzern mit einem FortiCloud-Konto steht das Organisationsportal in eingeschränktem Umfang zur Verfügung.
Für Standard-Zugangskonten gelten folgende Einschränkungen:- Maximal 10 Mitgliederkonten pro Organisation.
- Keine Erstellung von Member Accounts mit echten E-Mail-Adressen möglich.
Um sich bei Fortinet KYC zu registrieren, folge der Anleitung in der Fortinet-Dokumentation.
Schritt für Schritt
Partner (Root): Organisation aktivieren
- Navigieren Sie zu My Account > My Account (IAM version) > Account Preferences (siehe Abbildung 7) und klicken Sie auf Enable Organization Feature (alternativ direkt support.fortinet.com/organizations aufrufen).
- Wählen Sie Create Organization.
- Legen Sie die gewünschte OU-Struktur an.
Partner (Root): Einladungstoken erzeugen
Auf der Seite Invitation Token erzeugen Sie pro OU einen Token. Sie senden diesen zusammen mit dem Link zum Organization-Portal an den Kunden.
- Alternativ legen Sie neue Member Accounts direkt im Portal über New Member Account an.
- Erzeugen Sie auf der Seite Invitation Token einen Token pro OU (siehe Abbildung 8).
- Senden Sie diesen Token zusammen mit dem Link zum Organization-Portal (https://support.fortinet.com/organizations) an den Kunden.
Endkunde: Beitritt anfragen
Der Kunde öffnet das Organization-Portal, wählt Join Organization und gibt den Token ein (siehe Abbildung 9).
Partner (Root): Anfrage genehmigen
Auf der Seite Invitation Approval bestätigen Sie die Beitrittsanfrage (siehe Abbildung 10).
Partner (Root): Admin-IAM-User anlegen
- Navigieren Sie im IAM-Portal zu Services > IAM > Permission Profile.
- Erstellen Sie ein neues Profil vom Typ Organization mit Admin-Rechten für die Portale Organization, IAM und Asset Management.
- Legen Sie anschliessend über Services > IAM > User > Add New einen IAM-User vom Typ Organization an und setzen Sie dessen Permission Scope auf die entsprechende Organisation (siehe Abbildung 11, 12).
Partner (Root): Zugriffe verteilen
Mit diesem IAM-User melden Sie sich an, wählen die Organisation und legen pro OU eigene Profile sowie IAM-User an – etwa für verschiedene Teams oder Support-Stufen.
Wichtig: Der Root Account selbst greift nicht direkt auf OU-Konten zu. Die tägliche Arbeit läuft über IAM-User mit Organization-Scope.
Empfehlung
Für die Anbindung von Endkundenkonten empfehlen wir in den meisten Fällen die Partner Role. Sie deckt genau das ab, was bei der Kundenbetreuung gebraucht wird: Zugriff auf Assets, Lizenzen und Supportfälle, ohne dass Zugangsdaten geteilt werden und ohne zusätzliche Verwaltungsstruktur.
Der Einrichtungsaufwand ist gering: Es braucht weder Root Account noch OU-Hierarchie, und die Verbindung steht nach vier Schritten.
Quellen
https://docs.fortinet.com/document/forticloud/26.3.0/partner-administration-guide/600414
https://docs.fortinet.com/document/forticloud/26.3.0/organization-portal/829537/introduction