Inleiding

Dit document beschrijft de beheerdersrollen en de daarbij behorende schermen, wat voortgekomen is uit de discussie tussen testteam en architectuur en aangepast is n.a.v. keuzes gemaakt in het ontwikkelproces met Itzos.

Een beheerder is in deze beschrijving geen beheerder die toegang heeft tot servers of databases, maar iemand die beheertaken uitvoert via de beheerschermen.

Beschrijving

We onderscheiden drie rollen voor gebruikers/beheerders:

• Systeembeheerder: Dit is de supergebruiker die alle beheertaken van de beheerschermen kan uitvoeren. Dit is de bevoegdheid voor Koppeltaal Support en het Koppeltaal Testteam.
• Domeinbeheerder: Dit is de beheerder van het domein van de zorgaanbieder, die aan hem of haar zijn toegewezen en voert alle bijbehorende beheertaken uit.
• Applicatiebeheerder: Dit is de beheerder van de applicatie van de IT deelnemer (applicatie leverancier), die aan hem of haar zijn toegewezen en voert alle bijbehorende beheertaken uit.

Gebruikers:

Alleen een systeembeheerder kan gebruikers beheren, o.a. nieuwe gebruikers aanmaken, nieuwe wachtwoorden aanmaken, nieuwe QR code instellen, enz.

Na het aanmaken van de gebruiker moet de applicatiebeheerder en domeinbeheerder nog gekoppeld worden aan resp. de applicatie of het domein. Deze actie moet uitgevoerd worden vanuit de applicatie of het domein. Deze actie kan alleen door de systeembeheerder worden uitgevoerd.

Alle beheerders moeten alle beheerders kunnen inzien. Tevens moet een beheerder de eigen email en telefoonnummer kunnen aanpassen.

Gebruiker bevat (minimaal) de volgende gegevens/attributen:

• Gebruikersnaam (verplicht, min. 6 karakters, bestaat uit letters en cijfers). Na aanmaken gebruiker is gebruikersnaam niet meer aan te passen.
• Status gebruiker (actief/ingeschakeld of inactief/uitgeschakeld).
• Tonen van QR code, voor eerste keer aanloggen in een authenticator app (bij aanmaken gebruiker standaard ingeschakeld, maar ook mogelijk op verzoek gebruiker).
• Naam gebruiker (verplicht).
• Email gebruiker (verplicht, hoeft niet uniek te zijn). Nodig voor communicatie wachtwoord en emailnotificaties m.b.t. connectieaanvragen.
• Telefoonnummer (verplicht, alleen nodig voor communicatie).
• Wachtwoord (verplicht, minimaal 12 karakters, zie ook 'BIN Inloggen en wachtwoorden'.
• Verander wachtwoord na aanmelden (standaard ingeschakeld). Deze bij nieuwe gebruiker of bij uitgeven nieuw wachtwoord altijd inschakelen. Deze kan uitgeschakeld worden, maar dat is niet te adviseren.
• Beheerdersrol (te selecteren uit de lijst van rollen). Autorisatieregels van de rollen zijn geen onderdeel van beheerschermen, maar worden beheerd door Itzos. Na aanmaken gebruiker is de rol niet meer aan te passen.
• Deze wordt automatisch uitgegeven bij aanmaken gebruiker, met datum van aanmaken.
• Deze wordt automatisch uitgegeven bij aanmaken gebruiker en krijgt de datum van aanmaken plus 1 jaar (security eis). Jaarlijks moet autorisatie gecontroleerd worden (procedure). Is autorisatie nog actueel, dan moet de datum gewijzigd worden naar weer een jaar verder. Dit is een handmatige actie. (Aan deze eis wordt nog niet voldaan. Einddatum is niet wijzigbaar.)
• Two-Factor Authenticatie (2FA) is vereist en mag niet uitgeschakeld kunnen worden.

N.B. Het registreren van het domein of applicatie bij resp. domeinbeheerder of applicatiebeheerder is i.v.m. complexiteit niet gerealiseerd.

Systeembeheerder

De systeembeheerder moet de volgende beheeractiviteiten kunnen uitvoeren:

• Beheren (aanmaken, wijzigen en beëindigen) van applicatie rollen. Applicatie rollen kunnen NIET beëindigd worden als deze aan een applicatie zijn toegekend. (Bevinding: Applicatierol kan niet beëindigd worden.)
• Beheren (aanmaken, wijzigen en beëindigen) van de autorisatieregels behorende bij een applicatierol.
• Aanmaken/registreren van een nieuwe applicatie.
• Beheren en aanpassen van de applicatierollen bij de applicatie. (Bevinding: Het is niet mogelijk om applicatierol aan te passen of toe te voegen.)
• Aanmaken/registreren van een nieuw domein.
• Aanmaken en beheren van account voor beheerders.
• Het toevoegen van een actieve applicatie-/domeinbeheerder aan resp. een applicatie of een domein, en het verwijderen daarvan.
• Kunnen aanpassen van de status van een applicatieinstantie, een applicatie of van het domein. (Zie DAI - Statussen van domein, applicatie en applicatieinstantie.)
• Als systeembeheerder kun je alle beheertaken op de beheerschermen uitvoeren, ook die in praktijk door domein- of applicatiebeheerder uitgevoerd worden. (Zie beschrijvingen hieronder.)
• Inzien van de loggingview van resource AuditEvents van alle domeinen, per domein.
• Inzien van logging van activiteiten op beheerschermen.

N.B. Het uitschakelen van systeembeheerders zal nooit leiden tot een onbeheersbaar systeem. Itzos Support heeft altijd de mogelijkheid om systeembeheerders in te schakelen.

Domeinbeheerder

De domeinbeheerder moet de volgende beheeractiviteiten kunnen uitvoeren:

• Inzien alle details van zijn/haar domein.
• Beheren van de gegevens van het domein. Niet alle gegevens zijn wijzigbaar. De volgende gegevens zijn aan te passen: De status (zie DAI - Statussen van domein, applicatie en applicatieinstantie) en de gegevens contactpersoon.
• Inzien applicatie connectieaanvragen voor het domein.
• Connectieaanvraag (status 'open') kunnen goedkeuren of weigeren.
• Inzien van applicatieinstanties die in het domein zitten, inclusief de details van die applicatieinstanties.
• Kunnen aanpassen van de status van een applicatieinstantie of van het domein. (Zie ook 'DAI - Statussen van domein, applicatie en applicatieinstantie'.)
• Inzien alle beheerders. (Er wordt nog niet aan deze eis voldaan. Domeinbeheerder kan alleen zien welke domeinbeheerders bij het beheerde domein geregistreerd zijn.)
• Kunnen aanpassen van eigen email en telefoonnummer. (Er wordt nog niet aan deze eis voldaan.)
• Inzien van de loggingview van resource AuditEvents van het domein.

N.B. De wens om resource Subscriptions (applicatieinstantie abonnementen), met o.a. de criteria (trigger condities) en channel.endpoint, in het domein in te zien, wordt nog onderzocht en is (nog) niet gebouwd.

Applicatiebeheerder

De applicatiebeheerder moet de volgende beheeractiviteiten kunnen uitvoeren:

• Inzien alle details van zijn/haar applicatie.
• Doen van een connectieaanvraag voor een domein.
• Inzien applicatie connectieaanvragen voor de applicatie.
• Beheren van de gegevens van de applicatie. Niet alle gegevens zijn wijzigbaar. De volgende gegevens zijn aan te passen: De status (zie DAI - Statussen van domein, applicatie en applicatieinstantie) en de gegevens contactpersoon.
• Inzien domein(en) en details daarvan voor de domein(en) waar de applicatie als applicatieinstantie is gekoppeld. Dus inclusief domeinbeheerders, applicatieinstanties, connectieaanvragen en logging (AuditEvents).
• Kunnen aanpassen van de JWKS uri in de beheerde applicatieinstantie binnen een domein. (Domeinbeheerder mag die NOOIT kunnen aanpassen.)
• Redirect_uri kunnen invoeren, wijzigen of verwijderen bij de ingediende connectieaanvraag of beheerde applicatieinstantie, .
• Kunnen aanpassen van de status van een applicatieinstantie. (Zie ook 'DAI - Statussen van domein, applicatie en applicatieinstantie'.)
• Inzien alle beheerders. (Er wordt nog niet aan deze eis voldaan. Applicatiebeheerder kan alleen zien welke applicatiebeheerders en domeinbeheerders geregistreerd zijn bij die applicatie(s) of domein(en) waar zij toegang toe hebben.)
• Kunnen aanpassen van eigen email en telefoonnummer. (Er wordt nog niet aan deze eis voldaan.)
• Inzien van de loggingview van resource AuditEvents van het domein waarin applicatieinstantie status 'actief' of 'in onderhoud' heeft.

N.B. De wens om resource Subscriptions (applicatieinstantie abonnementen), met o.a. de criteria (trigger condities) en channel.endpoint, in het domein in te zien, wordt nog onderzocht en is (nog) niet gebouwd.

BRL - Eisen (en aanbevelingen) Beheerdersrollen

Zie ook eisen 'BIN - Inloggen en wachtwoorden'.

{}