Infodag MAGDA. De nood aan goed toegangsbeheer en logging 26/09/2017. Pieter Lenaerts Stefanie Kerkhof

Transcriptie

1 Infodag MAGDA De nood aan goed toegangsbeheer en logging Pieter Lenaerts Stefanie Kerkhof 26/09/2017

2 Toegangs- en Gebruikersbeheer van de Vlaamse overheid Wie zijn we en wat doen we?

3 ICT-bouwstenen voor de overheid in brede zin, ook lokale besturen, onderwijsinstellingen, : Toegangsbeheer (ACM) Gebruikersbeheer (IDM) Veiligheidsconsulenten via raamcontract Certificatenbeheer (DCB) Digitaal ondertekenen Digitale formulieren API management Heb je vragen voor het Facilitair Bedrijf: facilitairbedrijf@vlaanderen.be De nood aan goed toegangsbeheer en logging 26/09/2017 3

4 Toegangsbeheer (ACM) Toegang krijgen Makkelijk en veilig aanmelden Herkenbaar, betrouwbaar, single-sign-on Eindgebruiker Gebruikersbeheer

5 Gebruikersbeheer (IDM) Toegang geven Namens een organisatie : - Ondernemingen - Scholen - Andere lokale besturen - Makkelijk en veilig gebruikers en hun gebruikersrechten beheren. Online, op 1 plaats, in real time, gedelegeerd beheer Eindgebruiker Helpdesk Lokale Beheerder Veiligheidsconsulent Applicatie beheerder

6 Gedeelde Veiligheidsconsulent van Vlaanderen connect. Part time terbeschikkingstelling Volgens uw nood Lange termijn Kostenefficiënt Consistent advies De nood aan goed toegangsbeheer en logging 26/09/2017 6

7 Toegangs- en Gebruikersbeheer van de Vlaamse overheid Boodschap van de dag?

8 Logging? Logging! Bewijs van toegang tot gegevens en diensten Zekerheid en controle over vertegenwoordiging van actoren in e-gov processen Primordiaal: sterke authenticatie toegangsbeheer door wettelijke vertegenwoordigers Magda Online Hoedanigheden gelogd bij Kadaster! Kerry and Co. via Tyrrell Photographic Collection, Powerhouse Museum De nood aan goed toegangsbeheer en logging 26/09/2017 8

9 Online aanmelden bij toepassingen van of voor de overheid in brede zin Wat kan Toegangs- en Gebruikersbeheer (ACM/IDM) voor u betekenen? En hoe kunt u een toepassing koppelen aan onze bouwstenen? Het integratieproces aan de hand van een concreet voorbeeld De nood aan goed toegangsbeheer en logging 26/09/2017 9

10 Gemeente Vlavirgem wil vergunningen voor inname openbaar domein online laten aanvragen. Zowel door particulieren als voor bedrijven, scholen, andere lokale overheden, De nood aan goed toegangsbeheer en logging 26/09/

11 Toegangs- en Gebruikersbeheer van de Vlaamse overheid Het integratieproces

12 Integratieproces Onboarding Technische opzet + testing Uitrol Kostprijs integratie? - Standaardintegratie: enkel investering aan toepassingszijde - Projectintegratie: ook projectkost bij ACM/IDM Doorlooptijd integratie? - Standaardintegratie: 6 tot 8 weken vanaf afgerond integratiedossier - Projectintegratie: projectplanning De nood aan goed toegangsbeheer en logging 26/09/

13 Standaard Niet standaard Gedelegeerd beheer van gebruikers en rechten via online toepassing Claims based authenticatie SAML 2.0 OpenID-Connect Enkel transient users (!= persistent users!) Informatie in standaard formaten. HFB draaft kosten bij HFB Alle andere dingen Gebruikers- en rolleninformatie via webservices of exports Nieuw beheersrecht Nieuwe functionaliteit (We moeten ons budget zo efficiënt mogelijk aanwenden ) Zie presentatie standaard integraties! De nood aan goed toegangsbeheer en logging 26/09/

14 Ondersteuning bij uitrol Helpdeskondersteuning van eindgebruikers voor beide diensten Papieren en online informatie Folder digitale sleutels Folder voor de ondernemer Handleiding FAQ Tutorial Ondersteuning bij communicatiecampagnes Ondersteuning bij uitrol naar grote doelgroepen Zie en De nood aan goed toegangsbeheer en logging 26/09/

15 Integratieproces aan de hand van voorbeeld De nood aan goed toegangsbeheer en logging 26/09/

16 Integratieproces Onboarding Voorbereiding Vraag is concreet, stabiel en nabij! LB valideert dossier. ACM valideert metadata test. IDM valideert test resultaten. ACM valideert metadata prod. Kennismaking Business-analyse Functionele analyse Iteraties wenselijk! Vooral lokaal bestuur Iteratief convergeren Integratiedossier Vraag van klant Intakegesprek/ Integratiedossier Iteratie vermijden! Lokaal bestuur én ACM/IDM Integratie test Go van klant Go van ACM/IDM Planning: max 2 weken na validaties. Lokaal bestuur én ACM/IDM Intensief naar het doel! Integratie productie Communicatie! Helpdesk! Planning: max 2 weken na validaties. Lokaal bestuur én ACM/IDM De nood aan goed toegangsbeheer en logging 26/09/

17 Opbouw van het integratiedossier Algemene informatie over de toepassing Achtergrond van de toepassing Gebruikers van de toepassing Organisaties in scope van de toepassing Helpdesk informatie over de toepassing Gewenste timing Contactinformatie Opzet ACM Overzicht architectuur integratie Authenticatiemiddelen en -regels URL s voor de toepassing Inhoud SAML attributen Opzet in Gebruikersbeheer Gebruikersrechten Welke informatie heeft de toepassing nodig?

18 Achtergrond van de toepassing Aanvragen vergunning voor inname openbaar domein Bij gemeente Vlavirgem, met bevraging van diensten via Magda Door Particulieren Bedrijven Scholen Met sterke authenticatie De nood aan goed toegangsbeheer en logging 26/09/

19 Hoe mogen mensen aanmelden? Welk authenticatieniveau is nodig voor uw toepassing? High Medium Low Afhankelijk van: Gevoeligheid van data in de toepassing Risico op misbruik Nood aan sterk authenticatie In samenspraak met veiligheidsconsulent De nood aan goed toegangsbeheer en logging 26/09/

20 Gebruikers van en organisaties in de toepassing? Elke particulier die in Vlavirgem woont Via Magda persoonsdiensten Magda IDM Magda Elke onderneming of school die in Vlavirgem gevestigd is: Via Magda ondernemingsdiensten Iemand met het juiste toegangsrecht namens de onderneming of de school Bv. boekhouder van een onderneming Bv. secretaresse van de directeur Elke wettelijk vertegenwoordiger van een onderneming gevestigd in Vlavirgem Via Magda naar KBO diensten De nood aan goed toegangsbeheer en logging 26/09/

21 Toegang voor wettelijk vertegenwoordiger NIEUW! Via Magda! Toegang namens ondernemingen: Een wettelijk vertegenwoordiger gekend in het KBO? Bv. zaakvoerder van een onderneming Bij aanmelden: Toegangsbeheer controleert KBO Wettelijk vertegenwoordiger mag door naar toepassing Geen gebruikersrecht meer nodig Optioneel De nood aan goed toegangsbeheer en logging 26/09/

22 Welke rollen nodig in de toepassing? Welke verschillende rollen moeten beheerders kunnen toekennen aan mensen die wil aanmelden namens een onderneming of een school? Algemene richtlijnen voor rechtenmodellen en streven best een eenvoudig, statisch rechtenmodel na Good practice: 1 recht voor toegang tot toepassing, indien nodig verfijning via bijkomende keuze tijdens toekenning van het recht De nood aan goed toegangsbeheer en logging 26/09/

23 Welke rollen nodig in de toepassing? Veelgebruikte verfijningen in rechtenmodellen van toepassingen zijn: Rol: verwijst meestal naar de actor binnen het businessproces. Voorbeelden zijn aanvrager, indiener, goedkeurder, Documenttypes: Voorbeelden zijn types aanvragen, facturen, orders, Geografisch gebied: Voorbeelden zijn provincies, regio s, districten, (In ons jargon heet dit contexten ) De nood aan goed toegangsbeheer en logging 26/09/

24 Welke rollen in de toepassing nodig? Recht Container.Vlavirgem.be in Gebruikersbeheer toekennen om aan te melden namens onderneming Gunst, Klaas bij de toepassing om er een vergunning te kunnen aanvragen. 27/09/ De nood aan goed toegangsbeheer en logging 26/09/2017

25 Voorbeeld VlavirgemBijkomende verfijning: - Aanvrager: mag een vergunning aanvragen voor de onderneming - Verzender: mag een aanvraag effectief versturen namens de onderneming De nood aan goed toegangsbeheer 26/09/2017 en logging

26 Voorbeeld MAGDA Online Opgepast! Zeer belangrijk de juiste keuzes te maken bij het toekennen en bij het aanmelden! Logging bij Magda en Kadaster!

27 Algemene informatieflow naar de toepassing Gebruikersbeheer Toegangsbeheer Toekenning van rechten Omzetting naar attributen Uitlevering bij authenticatie Opstarten van een sessie Rechten worden toegekend in het Gebruikersbeheer. Het Gebruikersbeheer schrijft op basis van die toekenningen gebruikers- en rolleninformatie weg naar gebruikersattributen in een databank van het Toegangsbeheer. Het Toegangsbeheer voert een grofmazige autorisatiecontrole uit en levert bij authenticatie gebruikers- en rolleninformatie aan de toepassing. Sleutelinzicht: transient users als de gebruiker niet langskomt bij de toepassing heeft de toepassing geen informatie over het bestaan van die gebruiker. Verliest een gebruiker de rol, dan komt die nooit meer langs en komt er nooit een update! De nood aan goed toegangsbeheer en logging 26/09/

28 Welke info heeft de toepassing nodig bij aanmelden? Burger: Naam, voornaam, rijksregisternummer Namens onderneming: Naam, voornaam, rijksregisternummer KBOnummer en rechteninformatie De nood aan goed toegangsbeheer en logging 26/09/

29 Toegangs- en Gebruikersbeheer van de Vlaamse overheid Boodschap aan de techneuten

30 Overzicht ontsluiting d.m.v. SAML 2.0 en OpenID Connect Nieuw OpenID- Connect Gebruiker Contacteer applicatie Meld aan 2 4 Vraag en Geef identiteits- en rollen informatie via SAML 2 of OpenID Connect Protocol 3 Toegangs -beheer Applicatie 5 Als OIDC: haal en valideer identity ticket Lees uit IDM Gebruikersbeheer Externe Hosting VO Netwerk 1 Beheer gebruikers voor organisatie Lokale Beheerder De nood aan goed toegangsbeheer en logging 26/09/

31 Overzicht ontsluiting d.m.v. SAML 2.0 of OIDC 1. Een lokale beheerder zal in het gebruikersbeheer gebruikersrechten kunnen beheren. 2. Een gebruiker wil gebruik maken van Container.Vlavirgem.be maar Container.Vlavirgem.be leidt de gebruiker met een SAML 2.0 of OIDC authentication request om naar de ACM identity provider voor authenticatie. 3. Na succesvolle authenticatie controleert ACM of de gebruiker toegang mag krijgen tot de toepassing. Dit is een grofmazige autorisatiecontrole. 4. Bij succesvolle grofmazige autorisatiecontrole haalt ACM identiteitsen rolleninformatie op uit IDM en leidt de gebruiker terug naar Container.Vlavirgem.be met deze informatie in een SAML 2.0 authentication response of met een OIDC authorization code waarmee de toepassing een Idenitty Ticket ophaalt bij ACM. De nood aan goed toegangsbeheer en logging 26/09/

32 SAML Profile specs OpenID Connect flows SAML 2.0 Web Browser SSO Profile Post / post of redirect / post bindings Geen andere profiles of bindings! OpenID-Connect authorization code flow Geen implicit flow! Voorlopig geen refresh tokens voor de identity tickets! Altijd: Transport kanaal beveiligd via https. De nood aan goed toegangsbeheer en logging 26/09/

33 SAML Ondertekenen en versleutelen De Service Provider moet de Authentication Request ondertekenen. De ACM3 Identity Provider zal de Authentication Response ondertekenen en versleutelen voor de Service Provider. Zorg ruim op voorhand voor één of twee afzonderlijke certificaten Voor ondertekenen van berichten naar ACM. Voor ontsleutelen van berichten van ACM. De nood aan goed toegangsbeheer en logging 26/09/

34 OpenID Connect key rotatie ACM ondertekent identity tokens via roterende keys. Bij validatie van een ticket moet de toepassing de gebruikte key ophalen bij ACM. Zie JWKS endpoint in OpenID Connect core specs De nood aan goed toegangsbeheer en logging 26/09/

35 Hou rekening met Zorg voor een goeie voorbereiding Zorg voor de juiste profielen Ondersteuning van normale integratieproblemen is onderdeel van dienstverlening Geen training van (onderaannemers van) klanten die niet over de nodige ervaring met federation/saml2.0/oidc of certificaten beschikken Onze platformen up houden krijgt steeds voorrang De nood aan goed toegangsbeheer en logging 26/09/

36 Symptomen van staffing issues Ontbreken van https op de endpoints Self-signed certificaten Metadata is onvolledig of valideert niet Ontbreken van certificaten in metadata Ontbreken van handtekeningen of encryptie op responses De nood aan goed toegangsbeheer en logging 26/09/

37 Testing! Testing! Testing! ACM/IDM test opzet van eigen dienstverlening Klant test end-to-end opzet Authenticatie Gebruikersbeheer Gedrag in de toepassing In testomgeving In productieomgeving De nood aan goed toegangsbeheer en logging 26/09/

38 Sterke authenticatie Gebruikersbeheer Magda Logging op diensten Veiligheidsconsulent

39 Contactinfo veiligheidsconsulenten Contactpersoon: Stephan Coppens Algemeen Beheerder Vlaanderen Connect. Er volgt een intake om de nood te bespreken en het juiste profiel te vinden. De nood aan goed toegangsbeheer en logging 26/09/

40 Contactinfo Toegangs- en Gebruikersbeheer Online: Mailtje sturen? Ondersteuning via gratis nummer 1700 Bekijk ook onze online filmpjes!! De nood aan goed toegangsbeheer en logging 26/09/

41 Tips, vragen, opmerkingen, feedback, kleine en grote problemen, Contacteer ons!!! Wat we niet weten, daar kunnen we geen rekening mee houden! Wat jullie ons niet vertellen, daar kunnen we niets mee doen! De nood aan goed toegangsbeheer en logging 26/09/