...
- Gebruikersnaam (verplicht, min. 6 karakters, bestaat uit letters en cijfers). Na aanmaken gebruiker is gebruikersnaam niet meer aan te passen.
- Status gebruiker (actief/ingeschakeld of inactief/uitgeschakeld).
- Tonen van QR code, voor eerste keer aanloggen in een authenticator app (bij aanmaken gebruiker standaard ingeschakeld, maar ook mogelijk op verzoek gebruiker).
- Naam gebruiker (verplicht).
- Email gebruiker (verplicht, hoeft niet uniek te zijn). Nodig voor communicatie wachtwoord en emailnotificaties m.b.t. connectieaanvragen.
- Telefoonnummer (verplicht, alleen nodig voor communicatie).
- Wachtwoord (verplicht, minimaal 12 karakters, zie ook 'BIN Inloggen en wachtwoorden'.
- Verander wachtwoord na aanmelden (standaard ingeschakeld). Deze bij nieuwe gebruiker of bij uitgeven nieuw wachtwoord altijd inschakelen. Deze kan uitgeschakeld worden, maar dat is niet te adviseren.
- Beheerdersrol (te selecteren uit de lijst van rollen). Autorisatieregels van de rollen zijn geen onderdeel van beheerschermen, maar worden beheerd door Itzos. Na aanmaken gebruiker is de rol niet meer aan te passen.
- Deze wordt automatisch uitgegeven bij aanmaken gebruiker, met datum van aanmaken.
- Deze wordt automatisch uitgegeven bij aanmaken gebruiker en krijgt de datum van aanmaken plus 1 jaar (security eis). Jaarlijks moet autorisatie gecontroleerd worden (procedure). Is autorisatie nog actueel, dan moet de datum gewijzigd worden naar weer een jaar verder. Dit is een handmatige actie. (Aan deze eis wordt nog niet voldaan. Einddatum is niet wijzigbaar.)
- Two-Factor Authenticatie (2FA) is vereist en mag niet uitgeschakeld kunnen worden.
...
BRL - Eisen (en aanbevelingen) Beheerdersrollen
# | Eis |
|---|---|
001 | De beheerders moeten hun beheerderstaken uit kunnen voeren zoals beschreven. |
002 | Strikte functiescheiding volgens beschrijving bij proces connectieaanvraag, om ongeautoriseerde toegang te voorkomen. |
003 | Aanpassen JWKS uri is mogelijk voor applicatiebeheerder en systeembeheerder. Niet voor domeinbeheerder. |
004 | Redirect_uri moet door applicatiebeheerder en systeembeheerder ingevoerd, gewijzigd, verwijderd kunnen worden. |
005 | Systeembeheerder kan gebruikers beheren, en deze koppelen aan domein/applicatie. |
006 | Alle beheerders moeten alle beheerders kunnen inzien. (Er wordt nog niet aan deze eis voldaan. Domein- en applicatiebeheerders zien alleen de beheerder die geregistreerd zijn bij de applicatie of het domein waar men toegang toe heeft.) |
007 | Een beheerder moet de eigen email en telefoonnummer kunnen aanpassen. (Er wordt nog niet aan deze eis voldaan.) |
008 | Een eenmalig toegewezen beheerdersrol aan een gebruikersaccount mag NOOIT gewijzigd worden. |
009 | Een gebruikersaccount KAN maar 1 rol hebben. |
010 | Autorisatie (toegewezen rechten op beheerdersfunctionaliteit) van gebruikersaccounts is gekoppeld via de beheerdersrol , NOOIT direct op gebruikersaccounts zelf. |
Zie ook eisen 'BIN - Inloggen en wachtwoorden'.
...