...

Inleiding

Dit document beschrijft de beheerdersrollen en de daarbij behorende schermen, wat voortgekomen is uit de discussie met het testteam.

Met behulp van verschillende beheerschermen kan VZVZ een flexibele structuur definiëren voor een fijnmazig toegangs- en gebruiksbeheer van Koppeltaal. Één of meer systeembeheerders die tijdens het voorbereidingsproces van Koppeltaal zijn geconfigureerd, bevinden zich bovenaan in de (beheerders)hiërarchie. Deze systeembeheerders kunnen verantwoordelijkheden delegeren aan andere type beheerders, terwijl ze toch de algehele controle behouden.

De verschillende beheerdersrollen bieden Koppeltaal de volgende belangrijke voordelen:

• Gecontroleerde decentralisatie van beheerdersverantwoordelijkheden
• Snel overzicht van product toewijzingen, per gebruiker en per product

tussen testteam en architectuur en aangepast is n.a.v. keuzes gemaakt in het ontwikkelproces met Itzos.

Een beheerder is in deze beschrijving geen beheerder die toegang heeft tot servers of databases, maar iemand die beheertaken uitvoert via de beheerschermen.

Beschrijving

We onderscheiden drie rollen voor gebruikers/beheerders:

• Systeembeheerder

...

• : Dit is de supergebruiker

...

• die alle beheertaken

...

• van de beheerschermen kan uitvoeren.

...

• Dit is de bevoegdheid voor Koppeltaal Support en het Koppeltaal Testteam.
• Domeinbeheerder: Dit is de beheerder van het domein van de zorgaanbieder, die aan hem of haar zijn toegewezen en voert

...

• alle bijbehorende beheertaken uit.
• Applicatiebeheerder

...

• : Dit is de beheerder van de applicatie van de IT deelnemer (applicatie leverancier), die aan hem of haar zijn toegewezen en voert

...

• alle bijbehorende beheertaken uit.

...

1. Voor elke entiteit (record), die onder beheer valt, zoals rollen, domeinen, applicaties, instanties, etc., wordt door het (beheer) systeem een uniek logische id aangemaakt en uitgegeven, om de entiteit uniek te kunnen identificeren
2. Een uitgegeven logische id is NOOIT en te nimmer wijzigbaar
3. Een eenmalig toegewezen beheerdersrol aan een gebruikersaccount mag NOOIT gewijzigd worden
4. Een gebruikersaccount KAN maar 1 rol hebben
5. Autorisatie (toegewezen rechten op beheerdersfunctionaliteit) van gebruikersaccounts is gekoppeld via de beheerdersrol , NOOIT direct op gebruikersaccounts zelf.
6. Andere systeemvelden, die nodig zijn voor werkende beheerschermen (te bepalen door Itzos), worden nooit beheerd (gemuteerd) door de 3 beheerdersrollen.
7. Elke wijziging die via een (beheerder) scherm wordt doorgevoerd moet door het systeem gelogd worden (wie, wanneer, wat).

...

Gebruikers:

Alleen een systeembeheerder kan gebruikers beheren, o.a. nieuwe gebruikers aanmaken, nieuwe wachtwoorden aanmaken, nieuwe QR code instellen, enz.

Na het aanmaken van de gebruiker moet de applicatiebeheerder en domeinbeheerder nog gekoppeld worden aan resp. de applicatie of het domein. Deze actie moet uitgevoerd worden vanuit de applicatie of het domein. Deze actie kan alleen door de systeembeheerder worden uitgevoerd.

Alle beheerders moeten alle beheerders kunnen inzien. Tevens moet een beheerder de eigen email en telefoonnummer kunnen aanpassen.

Gebruiker bevat (minimaal) de volgende gegevens/attributen:

• Gebruikersnaam (verplicht, min. 6 karakters, bestaat uit letters en cijfers). Na aanmaken gebruiker is gebruikersnaam niet meer aan te passen.
• Status gebruiker (actief/ingeschakeld of inactief/uitgeschakeld).
• Tonen van QR code, voor eerste keer aanloggen in een authenticator app (bij aanmaken gebruiker standaard ingeschakeld, maar ook mogelijk op verzoek gebruiker).
• Naam gebruiker (verplicht).
• Email gebruiker (verplicht, hoeft niet uniek te zijn). Nodig voor communicatie wachtwoord en emailnotificaties m.b.t. connectieaanvragen.
• Telefoonnummer (verplicht, alleen nodig voor communicatie).
• Wachtwoord (verplicht, minimaal 12 karakters, zie ook 'BIN Inloggen en wachtwoorden'.
• Verander wachtwoord na aanmelden (standaard ingeschakeld). Deze bij nieuwe gebruiker of bij uitgeven nieuw wachtwoord altijd inschakelen. Deze kan uitgeschakeld worden, maar dat is niet te adviseren.
• Beheerdersrol (te selecteren uit de lijst van rollen). Autorisatieregels van de rollen zijn geen onderdeel van beheerschermen, maar worden beheerd door Itzos. Na aanmaken gebruiker is de rol niet meer aan te passen.
• Deze wordt automatisch uitgegeven bij aanmaken gebruiker, met datum van aanmaken.
• Deze wordt automatisch uitgegeven bij aanmaken gebruiker en krijgt de datum van aanmaken plus 1 jaar (security eis). Jaarlijks moet autorisatie gecontroleerd worden (procedure). Is autorisatie nog actueel, dan moet de datum gewijzigd worden naar weer een jaar verder. Dit is een handmatige actie.
• Two-Factor Authenticatie (2FA) is vereist en mag niet uitgeschakeld kunnen worden.

N.B. Het registreren van het domein of applicatie bij resp. domeinbeheerder of applicatiebeheerder is i.v.m. complexiteit niet gerealiseerd.

Systeembeheerder

De systeembeheerder moet de volgende beheeractiviteiten kunnen uitvoeren:

• Beheren (aanmaken, wijzigen en beëindigen) van applicatie rollen. Applicatie rollen kunnen NIET beëindigd worden als deze aan een applicatie zijn toegekend. (Bevinding: Applicatierol kan niet beëindigd worden.)
• Beheren (aanmaken, wijzigen en beëindigen) van de autorisatieregels behorende bij een applicatierol.

...

1. applicatienaam
2.  startdatum
3.  selecteren van applicatie rollen bij de applicatie.
4. het (beheer)systeem registreert en levert een
   1. logische id
   2. technische naam (wordt uit applicatienaam en logische id samengesteld) en
   3. status 'Aanmaken'
   4. aanmaakdatum

...

1. domeinnaam
2.  startdatum
3. het (beheer)systeem registreert en levert een
   1. logische id
   2. technische naam (wordt uit domeinnaam en logische id samengesteld) en
   3. status 'Aanmaken'
   4. aanmaakdatum

...

1. dit betreft het invullen (of selecteren^[1]) van de gebruikersnaam van de beheerder

2. het e-mailadres van de beheerder

3. mobiele nummer
4. startdatum
5. selecteren van de beheerdersrol
   1. Als beheerdersrol een 'Applicatiebeheerder' is, dan MOETEN de applicaties geselecteerd en gekoppeld worden aan het beheerdersaccount
   2. Als beheerdersrol een 'Domeinbeheerder' is, dan MOETEN de domeinen geselecteerd en gekoppeld worden aan het beheerdersaccount
6. het (beheer)systeem registreert en levert een
   1. status 'Actief'
   2. einddatum van het beheeraccount op precies 1 jaar in de toekomst (Security eisen).
   3. aanmaakdatum
   4. e-mail bericht naar het ingevulde e-mailadres van de (aangemaakte) beheerder om het wachtwoord aan te maken / te laten resetten.
   5. Optioneel: een SMS bericht naar het mobiele nummer om aan te geven dat een account is aangemaakt, maar dat de instructies in de e-mail opgevolgd moeten worden om het account te activeren
      1. Voorkeur heeft overigens een authenticator app zoals Microsoft Authenticator voor 2FA (2 Factor Authentication)

...

1. gebruikersnaam van de beheerder
2. beheerdersrol
3. startdatum/einddatum/aanmaakdatum
4. e-mailadres

...

1. Alle details beheren van zijn/haar applicatie (software product bij Koppeltaal)
   1. Hier bij kan de Applicatiebeheerder NIET de logische id, technische naam, en aanmaakdatum wijzigen van een geregistreerde applicatie
2. Doen van applicatieconnectie aanvraag voor een domein met daarin een geselecteerde applicatie rol voor de applicatie instantie.
   1. De applicatiebeheerder ziet hier een lijst met domeinen (alleen met status 'Actief 'en 'In onderhoud' en moet daar één van kiezen).
   2. Het (beheer) systeem geeft deze applicatieconnectie aanvraag status 'Open'.
3. WORDT VERVOLGD

...

• Aanmaken/registreren van een nieuwe applicatie.
• Beheren en aanpassen van de applicatierollen bij de applicatie. (Bevinding: Het is niet mogelijk om applicatierol aan te passen of toe te voegen.)
• Aanmaken/registreren van een nieuw domein.
• Aanmaken en beheren van account voor beheerders.
• Het toevoegen van een actieve applicatie-/domeinbeheerder aan resp. een applicatie of een domein, en het verwijderen daarvan.
• Kunnen aanpassen van de status van een applicatieinstantie, een applicatie of van het domein. (Zie DAI - Statussen van domein, applicatie en applicatieinstantie.)
• Als systeembeheerder kun je alle beheertaken op de beheerschermen uitvoeren, ook die in praktijk door domein- of applicatiebeheerder uitgevoerd worden. (Zie beschrijvingen hieronder.)
• Inzien van de loggingview van resource AuditEvents van alle domeinen, per domein.
• Inzien van logging van activiteiten op beheerschermen.

N.B. Het uitschakelen van systeembeheerders zal nooit leiden tot een onbeheersbaar systeem. Itzos Support heeft altijd de mogelijkheid om systeembeheerders in te schakelen.

Domeinbeheerder

De domeinbeheerder moet de volgende beheeractiviteiten kunnen uitvoeren:

• Inzien alle details van zijn/haar domein.
• Beheren van de gegevens van het domein. Niet alle gegevens zijn wijzigbaar. De volgende gegevens zijn aan te passen: De status (zie DAI - Statussen van domein, applicatie en applicatieinstantie) en de gegevens contactpersoon.
• Inzien applicatie connectieaanvragen voor het domein.
• Connectieaanvraag (status 'open') kunnen goedkeuren of weigeren.
• Inzien van applicatieinstanties die in het domein zitten, inclusief de details van die applicatieinstanties.
• Kunnen aanpassen van de status van een applicatieinstantie of van het domein. (Zie ook 'DAI - Statussen van domein, applicatie en applicatieinstantie'.)
• Inzien alle beheerders. (Er wordt nog niet aan deze eis voldaan. Domeinbeheerder kan alleen zien welke domeinbeheerders bij het beheerde domein geregistreerd zijn.)
• Kunnen aanpassen van eigen email en telefoonnummer. (Er wordt nog niet aan deze eis voldaan.)
• Inzien van de loggingview van resource AuditEvents van het domein.

N.B. De wens om resource Subscriptions (applicatieinstantie abonnementen), met o.a. de criteria (trigger condities) en channel.endpoint, in het domein in te zien, wordt nog onderzocht en is (nog) niet gebouwd.

Applicatiebeheerder

De applicatiebeheerder moet de volgende beheeractiviteiten kunnen uitvoeren:

• Inzien alle details van zijn/haar applicatie.
• Doen van een connectieaanvraag voor een domein.
• Inzien applicatie connectieaanvragen voor de applicatie.
• Beheren van de gegevens van de applicatie. Niet alle gegevens zijn wijzigbaar. De volgende gegevens zijn aan te passen: De status (zie DAI - Statussen van domein, applicatie en applicatieinstantie) en de gegevens contactpersoon.
• Inzien domein(en) en details daarvan voor de domein(en) waar de applicatie als applicatieinstantie is gekoppeld. Dus inclusief domeinbeheerders, applicatieinstanties, connectieaanvragen en logging (AuditEvents).
• Kunnen aanpassen van de JWKS uri in de beheerde applicatieinstantie binnen een domein. (Domeinbeheerder mag die NOOIT kunnen aanpassen.)
• Redirect_uri kunnen invoeren, wijzigen of verwijderen bij de ingediende connectieaanvraag of beheerde applicatieinstantie, .
• Kunnen aanpassen van de status van een applicatieinstantie. (Zie ook 'DAI - Statussen van domein, applicatie en applicatieinstantie'.)
• Inzien alle beheerders. (Er wordt nog niet aan deze eis voldaan. Applicatiebeheerder kan alleen zien welke applicatiebeheerders en domeinbeheerders geregistreerd zijn bij die applicatie(s) of domein(en) waar zij toegang toe hebben.)
• Kunnen aanpassen van eigen email en telefoonnummer. (Er wordt nog niet aan deze eis voldaan.)
• Inzien van de loggingview van resource AuditEvents van het domein waarin applicatieinstantie status 'actief' of 'in onderhoud' heeft.

N.B. De wens om resource Subscriptions (applicatieinstantie abonnementen), met o.a. de criteria (trigger condities) en channel.endpoint, in het domein in te zien, wordt nog onderzocht en is (nog) niet gebouwd.

BRL - Eisen (en aanbevelingen) Beheerdersrollen

Zie ook eisen 'BIN - Inloggen en wachtwoorden'.

{}