BRON PO Gebruikershandleiding aanvraag Mijn DUO en aanvragen OCW Digitaal Onderwijscertificaat BRON PO Versie: 0.25 Datum: 21 november 2017
Inhoudsopgave 1 Inleiding... 3 2. Aanmelden Mijn DUO... 4 2.1 Formulier Aanmelding Mijn DUO... 4 2.2 Tokengenerator en inlogbrief... 4 3. Inloggen Mijn DUO... 5 3.1 Inloggen op Mijn DUO... 5 3.2 Mogelijk problemen bij het inloggen / tokengenerator... 6 3.3 Systeemeisen... 6 4. Verzoek certificaatdeelname... 7 5. Het ODOC-certificaat aanvragen, downloaden en intrekken...11 5.1 De certificaatbeheerder logt in op Mijn DUO...11 5.2 Aanvragen van het certificaat...11 5.3 Downloaden van het certificaat...15 5.4 Het beheren van het certificaat...17 BIJLAGE - Aanvragen nieuwe gebruiker...18 Algemene informatie voor de (po-)beheerder en de certificaatbeheerder...22
1 Inleiding U wilt dat DUO de juiste bekostiging voor uw school berekent. Daarvoor moet u leerlinggegevens uitwisselen met BRON. Dat kan alleen door een beveiligingscertificaat te installeren in uw leerlingenadministratiesysteem (LAS). Dit certificaat is nodig voor een beveiligde verbinding met BRON. Vervangen huidige certificaten DUO gaat de beveiligingscertificaten voor alle scholen vervangen door nieuwe versies, de ODOC-certificaten. ODOC staat voor OCW Digitaal Onderwijscertificaat. Het ODOCcertificaat voldoet aan de Edukoppeling, de digitale berichtenstandaard binnen het onderwijsveld. ODOC via het schoolbestuur Het schoolbestuur vraagt via Mijn DUO een ODOC-certificaat aan. Scholen vragen de certificaten (dus) niet zelf aan. Hiervoor stelt het schoolbestuur via Mijn DUO een certificaatbeheerder aan. De certificaatbeheerder is persoonlijk verantwoordelijk voor het aanvragen en beheren van de certificaten van alle scholen die onder het bestuur vallen. Om deze reden wordt er om de privégegevens van de certificaatbeheerder gevraagd. Welke stappen moeten er worden genomen? 1. Zodra u als schoolbestuurder de e-mail Aanmelden Mijn DUO voor beveiligingscertificaten van DUO heeft ontvangen, meldt u zich hiervoor aan met het formulier Aanmelding Mijn DUO. Vermeld op het formulier wie de beheerder wordt. 2. De beheerder krijgt per koerier een tokengenerator. 3. Via een aparte brief krijgt de beheerder een gebruikersnaam en een wachtwoord. Samen met de tokengenerator kan hij hiermee inloggen op Mijn DUO. 4. Inloggen Mijn DUO 5. Ga naar Downloaden formulieren en download het Deelnameformulier OCW Digitaal Onderwijscertificaat. Print het formulier, vul het in en onderteken het. Op dit formulier geeft u aan wie de certificaatbeheerder wordt. In principe is dit de (po-)beheerder zelf en/of een andere medewerker (let op dat hier de privégegevens van de certificaatbeheerder ingevuld worden). 6. Ga naar Verzoek tot certificaatdeelname. U ziet nu een lijstje met bewijsstukken. Verzamel deze bewijsstukken en upload ze samen met het formulier. 7. Na registratie krijgt de certificaatbeheerder een bevestigingsmail. Hierna kan hij een certificaat aanvragen. In onderstaande hoofdstukken worden bovenstaande stappen verder beschreven. 3
2. Aanmelden Mijn DUO 2.1 Formulier Aanmelding Mijn DUO Zodra u als schoolbestuurder de e-mail Aanmelden Mijn DUO voor beveiligingscertificaten van DUO heeft ontvangen, meldt u zich hiervoor aan via het formulier Aanmelding Mijn DUO (https://www.duo.nl/zakelijk/images/aanmelding-mijn-duo.pdf). U vermeldt onder andere op het formulier wie de (po-)beheerder wordt. De (po-)beheerder wordt binnen uw organisatie verantwoordelijk voor de autorisatie van andere gebruikers van Mijn DUO. De (po-)beheerder bepaalt ook hun bevoegdheden. Verder is hij verantwoordelijk voor het actueel houden van de bij DUO vastgelegde gegevens van het schoolbestuur. Dit formulier kunt u volledig ingevuld en ondertekend terugsturen naar DUO, door een e-mail te sturen naar helpdesk@bron.nl. 2.2 Tokengenerator en inlogbrief Zodra de aanmelding voor Mijn DUO voltooid is, ontvangt de (po-)beheerder per koerier een tokengenerator. Deze tokengenerator maakt een cijferreeks (token) aan. Daarnaast ontvangt de (po-)beheerder een aparte brief met hierin een wachtwoord en een tijdelijke gebruikersnaam. Hiermee kan hij inloggen op Mijn DUO. 4
3. Inloggen Mijn DUO 3.1 Inloggen op Mijn DUO Om toegang tot Mijn DUO, moet u beschikken over een: gebruikersnaam wachtwoord tokengenerator De startpagina is de site: www.duo.nl/zakelijk/primair-onderwijs Om naar de inlogpagina te gaan, kiest u de optie (rechtsboven in het scherm) Vervolgens gaat u naar het kopje Mijn DUO om in te loggen: Hierna verschijnt het volgende (inlog)scherm: Vul uw gebruikersnaam, wachtwoord en token in. Het token krijgt u door op het knopje van de tokengenerator te drukken. De cijferreeks die daarna in het display verschijnt, is het token. Als u voor de eerste keer inlogt, verschijnt het scherm Wachtwoord verlopen. U moet uw wachtwoord wijzigen. In het scherm staat aan welke eisen het nieuwe wachtwoord moet voldoen. Hierna klikt u op wijzig wachtwoord. Nadat u bent ingelogd, heeft u toegang tot die diensten waarvoor u binnen Mijn DUO geautoriseerd bent. 5
3.2 Mogelijk problemen bij het inloggen / tokengenerator Mogelijke problemen bij het inloggen Na vijf keer verkeerd inloggen wordt uw account vijftien minuten geblokkeerd. Daarna kunt u het opnieuw proberen. Wachtwoord vergeten: De (po-)beheerder is het wachtwoord vergeten: stuur een e-mail naar helpdesk@bron.nl met het verzoek voor een nieuw wachtwoord. Het nieuwe wachtwoord sturen wij u per brief toe. Uw account wordt geblokkeerd totdat u zich opnieuw heeft geregistreerd. De nieuwe registratie is pas afgerond als u uw nieuwe wachtwoord heeft gewijzigd. De certificaatbeheerder is het wachtwoord vergeten: laat het wachtwoord resetten door uw (po-)beheerder. Als de door u ingevoerde autorisatiegegevens onjuist zijn, ziet u nadat u op Inloggen heeft geklikt een leeg scherm. Neem contact op met helpdesk BRON PO als de inlogproblemen aanhouden. De helpdesk is bereikbaar op werkdagen van 9.00-13.00 uur, telefoonnummer (050) 599 7766 (optie 1). Mogelijke problemen met de tokengenerator Het eigendom van de tokengenerator gaat vanaf de uitreiking ervan op u over. Mocht de tokengenerator zijn gedeactiveerd, dan moet u deze terugsturen naar DUO. Als uw tokengenerator kwijt of defect is, moet u dit direct melden. De helpdesk BRON PO is bereikbaar op werkdagen van 9.00-13.00 uur, telefoonnummer (050) 599 7766 (optie 1). DUO deactiveert de tokengenerator zo snel mogelijk en stuurt u per aangetekende post een vervangend exemplaar toe. Als u de tokengenerator niet meer gebruikt, moet u deze terugsturen naar DUO. 3.3 Systeemeisen Als u een recente versie van de browsers Internet Explorer of Mozilla Firefox gebruikt, zijn er geen verdere systeemeisen. Als uw internetbrowser cookies blokkeert, kunt u niet inloggen. Raadpleeg dan de helpfunctie van uw browser om de instellingen voor het toestaan van cookies te wijzigen. Als het beveiligingsniveau binnen uw netwerk op een te hoog niveau is ingesteld, kunt u mogelijk ook niet inloggen. Neem in dat geval contact op met uw systeembeheerder. 6
4. Verzoek certificaatdeelname Na het inloggen op Mijn DUO verzoekt de (po-)beheerder via de optie Downloaden formulieren om het deelnameformulier OCW digitaal onderwijs certificaat. 7
Het volgende scherm verschijnt: Om het Deelnameformulier OCW Digitaal Onderwijs Certificaat te downloaden volgt u de instructie op het scherm. 1. U downloadt het formulier. Met dit formulier geeft u namens het bestuur aan dat u gebruik wilt maken van de ODOC-certificaten. Daarnaast geeft u aan wie certificaatbeheerder wordt. 2. U print het formulier en vult het in. 3. U scant het formulier. 4. U dient het verzoek tot certificaatdeelname in. Aangezien u meerdere bewijsstukken moet uploaden, raden wij u aan om onderstaande stukken klaar te leggen: Het deelnameformulier OCW Digitaal Onderwijs Certificaat (het bovengenoemde formulier) Kopie identiteitsbewijs van de abonnee (= tekenbevoegde namens het bestuur) (BSN onleesbaar maken). Kopie identiteitsbewijs van de beoogde certificaatbeheerder (het burgerservicenummer onleesbaar maken). 8
De (po-)beheerder is ook certificaatbeheerder Als u als (po-)beheerder zelf certificaatbeheerder wordt, kiest u voor de optie Certificaatbeheerder worden. Een andere certificaatbeheerder/nieuwe gebruiker Als u als (po-)beheerder geen certificaatbeheerder wilt worden moet u een andere gebruiker autoriseren. Als de gebruiker nog niet bekend is op Mijn DUO moet u de gebruiker voor de rol van certificaatbeheerder opvoeren. Ga voor meer informatie naar bijlage 1 van deze handleiding. 9
U kiest in het onderstaande menu de certificaatbeheerder. Als u als (po-)beheerder zelf certificaatbeheerder wordt, selecteert u uzelf via het uitrolmenu in het volgende scherm. Uploaden bewijsstukken U kunt nu alle stukken uploaden. Onder in het scherm ziet u wat u uploadt. Het uploaden van de bewijsstukken vergt enige tijd. Wacht tot alle documenten zichtbaar zijn onder in het scherm. Nadat alle stukken zijn geüpload klikt u op Aanvraag correct verzonden Als uw aanvraag correct is verzonden verschijnt hiervan een melding op uw scherm. Controle bewijsstukken Na handmatige controle en acceptatie van uw aanvraag ontvangt de certificaatbeheerder per e-mail een bevestiging. De certificaatbeheerder kan vervolgens de certificaten aanvragen. 10
5. Het ODOC-certificaat aanvragen, downloaden en intrekken (Alleen) de certificaatbeheerder heeft de mogelijkheid een certificaat aan te vragen. Voor het aanvragen van het certificaat moet onderstaande digitale aanvraagformulier ingevuld worden en dit moet samen met de eerder gevraagde stukken geüpload worden. Na de aanvraag van het certificaat krijgt de certificaatbeheerder automatisch per e- mail de bevestiging dat het certificaat is klaar is gezet en dat het beschikbaar is om te downloaden. Het certificaat moet geïnstalleerd worden in het LAS. 5.1 De certificaatbeheerder logt in op Mijn DUO Als certificaatbeheerder logt u in op Mijn DUO (zie hoofdstuk 3). 5.2 Aanvragen van het certificaat U klikt op PKI-certificaat aanvragen PO. 11
Aanvragen van het certificaat Het onderstaande scherm/formulier wordt getoond (zie ook de volgende pagina voor meer uitleg). Op basis van het ingevoerde BRIN-nummer haalt DUO de schoolgegevens (naam van de instelling, vestigingsplaats en provincie) uit het BRIN-register. Na het ophalen van de gegevens verschijnt het volgende scherm: 12
Let op: Het gekozen wachtwoord moet u goed onthouden, deze kunnen wij niet voor u achterhalen. U heeft dit wachtwoord opnieuw nodig om het certificaat later in uw LAS te installeren. Bent u het wachtwoord kwijt, dan zult u een nieuw certificaat moeten aanvragen. Als u de aanvraag correct heeft aangevraagd verschijnt de melding dat uw aanvraag correct is ontvangen. Bij de aanvraag van het certificaat zijn extra gegevens nodig: BRIN-nummer: Dit is voor het primair onderwijs (po) een verplicht veld. Vul hier het BRIN-nummer in van de school waarvoor het certificaat gebruikt gaat worden. BRIN-aanleverpuntnummer: Dit is voor po een verplicht veld. Vul hier het BRIN-aanleverpuntnummer in van het aanleverpunt waarvoor het certificaat gebruikt gaat worden. U kunt het aanleverpunt vinden in Mijn BRON van de school, via het tabblad Mijn Gegevens in de tegel Aanleverpunten. Door hierop te klikken ziet u in de eerste kolom de aanleverpunten. Let op: het aanleverpunt moet uit 2 cijfers bestaan. Aanleverpunten t/m 9 moet beginnen met een 0, dus 01. Als u een onjuist of niet bestaand aanleverpunt opgeeft kunt u niet uitwisselen met DUO. 13
Fully Qualified Domain Name (FQDN): De FQDN wordt als gegeven toegevoegd aan het te verstrekken certificaat en wordt gebruikt om retourberichtverkeer van DUO naar de instelling/instantie goed te laten verlopen. Voor de FQDN moet er een domeinnaam aanwezig zijn. Voorbeeld van de domeinnaam van de school is www.school.nl. Het is belangrijk dat uw domeinnaam op naam staat van uw school of bestuur. Via instellingsinformatie op de website kunt u controleren of de domeinnaam van uw school of bestuur goed geregistreerd staat. Wijzigingen kunt u doorgeven via Entree of het BRINmutatieformulier. Raadpleeg hiervoor https://www.duo.nl/zakelijk/contact/contactinstellingsgegevens.jsp Tip: domeinnaam bij meerdere aanleverpunten Moet u voor meerdere aanleverpunten een PKI-ODOC certificaat aanvragen? Gebruik dan bij voorkeur bij het aanvragen de domeinnaam van het bestuur, met daaraan voorafgaand het BRIN-nummer en aanleverpuntnummer van de betreffende school, bijvoorbeeld 12AB00.bestuur.nl Voordeel is dat u alleen de domeinnaam van het bestuur hoeft te controleren of deze op naam staat, daarnaast zijn de certificaten voor u duidelijker van elkaar te onderscheiden. Als de domeinnaam geldig is en op naam van uw school of uw bestuur staat, dan neemt u deze domeinnaam over op het formulier. 14
5.3 Downloaden van het certificaat Na aanvraag van het certificaat krijgt de certificaatbeheerder automatisch per e-mail de bevestiging dat het certificaat klaar staat. Door in te loggen op Mijn DUO kunt u het certificaat ophalen. Doe dit binnen 14 dagen! Hierna verloopt het certificaat. Na het inloggen op Mijn DUO kiest u voor de optie PKI-certificaat downloaden. Het onderstaande scherm verschijnt: 15
Let op: Een certificaat moet binnen 14 dagen worden gedownload anders wordt het weer ingetrokken. Na uw eerste downloadpoging, heeft u nog 2 pogingen om het certificaat binnen 24 uur te downloaden. Neem contact met ons op als u het certificaat niet (meer) kunt downloaden. Installeren Na het downloaden moet u het certificaat installeren in het leerlingenadministratiesysteem (LAS). Installeer het certificaat voor het juiste aanleverpunt in het LAS. Test of de installatie gelukt is door vanuit uw LAS een bericht naar BRON te sturen of een registratieoverzicht op te vragen. Wij adviseren de certificaatbeheerder in te loggen op Mijn DUO op de locatie waar het certificaat geïnstalleerd moet worden. Tip: Afhankelijk van uw browser/instellingen wordt het certificaat in een standaard downloadmap gezet zonder dat u hiervan een melding ontvangt. Aangezien deze map vaak automatisch geschoond wordt, adviseren wij u het certificaat direct uit deze map te halen en te installeren in het LAS. Belangrijk: - Het is absoluut niet toegestaan het PKCS#12 certificaat via e-mail te versturen. Gevolg is dat het certificaat dan gecompromitteerd is en het ingetrokken moet worden door de certificaatbeheerder. - Voor het installeren van het certificaat gebruikt u het wachtwoord dat u heeft gekozen voor het aanvragen van het certificaat. DUO kan dit wachtwoord niet voor u achterhalen. Als u het wachtwoord kwijt bent dan moet u een nieuw certificaat aanvragen en het oude certificaat intrekken. 16
5.4 Het beheren van het certificaat Na het inloggen op Mijn DUO, kiest u voor de optie PKI-certificaat beheren. Via onderstaande scherm kunt u het door DUO aangemaakte certificaat inzien of intrekken. Certificaat intrekken: 1. Kies taak PKI-Certificaat beheren onderdeel van Certificaten. 2. Voor een certificaat, kies Intrekken. 3. Kies de reden van intrekking (deze is verplicht). 4. Licht de reden van de intrekking nader toe. 5. Klik intrekken om het certificaat daadwerkelijk in te trekken. 6. Om het certificaat niet in te trekken, kies Annuleren. 17
BIJLAGE - Aanvragen nieuwe gebruiker Als een (po-)beheerder een (nieuwe) gebruiker opvoert (bijvoorbeeld een certificaatbeheerder) moet hij deze gebruiker opvoeren. NB: Wanneer u een nieuwe gebruiker opvoert, dan moet u deze nieuwe gebruiker wél voor Mijn DUO autoriseren. Dit kunt u doen door met de transactie gebruikers autoriseren de rol Mijn-DUO-toegang toe te kennen. Dit geldt voor alle nieuwe gebruikers die u opvoert. Het koppelen van een kenmerk bij deze rol is niet nodig. Daarnaast moet u natuurlijk deze nieuwe gebruikers op de gebruikelijke manier autoriseren voor de verschillende diensten. Klik in het menu Snel naar op Gebruikers autoriseren. Vervolgens wordt het scherm Selecteren gebruiker getoond. Als u in dit scherm op de knop Zoeken klikt, wordt een lijst getoond met alle gebruikers van de organisatie(s) waarvoor u de autorisaties mag beheren. Controleer of de gebruiker in de lijst voorkomt. Als dit het geval is, kunt u het proces beëindigen, een andere gebruiker opvoeren of bij een bestaande gebruiker rollen en selectiekenmerken toevoegen en/of verwijderen. Controleer eerst of de gebruiker al is geregistreerd. U kiest voor de optie Gebruikers autoriseren Volg de hieronder beschreven stappen om een nieuwe gebruiker (certificaatbeheerder) op te voeren. 18
Opvoeren van een nieuwe gebruiker (certificaatbeheerder) Voor het opvoeren van een nieuwe gebruiker klikt u op de knop 1. Opvoeren gegevens van de nieuwe gebruiker Door het op knop te klikken, verschijnt het onderstaande scherm. 19
2. Het koppelen van rollen Selecteer de rol certificaatbeheerder in het selectie vak Te koppelen rollen. Verplaats deze rol met de knop naar het vak Gekoppelde rollen. (U kunt ook met deze knop een rol bij een gebruiker weer verwijderen.) Klik op de knop. Het onderstaande scherm verschijnt. 3. Het koppelen van kenmerken 20
Selecteer de kenmerken die u wilt toevoegen bij de nieuwe gebruiker. U kunt vervolgens op de knop > klikken om die kenmerken aan de nieuwe gebruiker te koppelen. (U gebruikt de knop < als u kenmerken bij de gebruiker wilt verwijderen.) Klik op de knop. Het onderstaande scherm verschijnt. 4. Overzicht van de opgevoerde gebruiker Controleer de ingevulde gegevens en corrigeer dit eventueel. Klik hierna op de knop Onderstaand bericht verschijnt. 21
Algemene informatie voor de (po-)beheerder en de certificaatbeheerder Tokengenerator certificaatbeheerder De opgevoerde nieuwe gebruiker (certificaatbeheerder) heeft na het versturen van de autorisatie nog geen toegang tot Mijn DUO. Hiervoor heeft de certificaatbeheerder eerst een wachtwoord en een tokengenerator van DUO nodig. De (po-)beheerder ontvangt van DUO de (persoonsgebonden) tokengenerator voor de nieuwe gebruiker (certificaatbeheerder), die hij vervolgens verstrekt aan de certificaatbeheerder. De inloggegevens worden afzonderlijk naar de certificaatbeheerder gestuurd. Resetten wachtwoord certificaatbeheerder door de (po-)beheerder De (po-)beheerder kan het wachtwoord van een gebruiker resetten, dus ook voor de certificaatbeheerder. 22