Dit beschrijft de gebruikers die eigenaar zijn van de applicatie of verwijst naar een gedelegeerde partij. Enkel de applicatie eigenaar kan bepalen wie een gedelegeerde partij is. Deze parameter moet ook verifieerbaar zijn door het PAM team.

• O

• D

Owner (O): Applicatie eigenaars hebben toegang tot de accounts in de safe.

Delegate (D): Een gedelegeerde partij heeft toegang tot de accounts in de safe.

Beschrijft welke organisatie, entiteit of klant toegang krijgt tot accounts in de safe. Deze partij kan enkel geïdentificeerd worden door een OVO code.

Alle waardes die aanwezig zijn binnen de VO CMDB

Beschrijving van de OVO codes kan geraadpleegd worden in de VO CMDB

Beschrijft tot welke applicatie de accounts behoren. De applicatie kan enkel geïdentificeerd worden door de applicatie ID.

Alle waardes die aanwezig zijn binnen de VO CMDB

Beschrijving van de Application IDs kan geraadpleegd worden in de VO CMDB

Beschrijft tot welk team de accounts behoren. Dit kan vrij gekozen worden door de aanvrager, mits een logische verklaring voor de keuze in plaats van een Application ID.

Vrij waarde, beperkt tot 5 karakters

De aanvrager moet een logische verklaring meedelen voor de teams om de verschillen duidelijk aan te geven.

Beschrijft de oorsprong en de aard van de accounts. Enkel de applicatie eigenaar kan deze parameter bepalen.

• ADM

• OPS

• NPA

• LOG

Administrator account (ADM): Ingebouwde administrator accounts binnen een applicatie.

Operational account (OPS):

• Aangemaakte accounts om de applicatie te beheren en te onderhouden.

• Aangemaakte reconcile accounts (zie "4. Platforms") die beheerd worden in twee specifieke reconcile safes (zie "3. Reconcile Safe").

Non-Privileged account (NPA): Aangemaakte accounts die enkel lees rechten hebben op de applicatie.

Logon account (LOG): Aangemaakte accounts die niet rechtstreeks gebruikt worden om aan te melden.

Beschrijft binnen welke CyberArk Policy Manager de accounts zich bevinden. Dit is  een technische parameter die niet beslist wordt door de Responsible maar door het PAM team. Momenteel worden alle accounts centraal beheerd in de "CE" CPM. In de toekomst zal Digitaal Vlaanderen een gedecentraliseerde PAM architectuur aannemen waarbij meerdere CPMs accounts zullen beheren.

• CE

• <TBD>

Centralized (CE): Momenteel worden alle accounts beheerd door beleidsmaatregelen die zich in de gecentraliseerde "CE" CPM bevinden.

Beschrijft welke technologie de accounts gebruiken om toegang te verkrijgen tot de applicatie.

• AD

• WIN

• UX

• UXKEYS

• AWS

• AZR

• CYBR

AD: Windows domein accounts gedefinieerd in een Active Directory

WIN: Lokale Windows accounts gedefinieerd op Windows systemen

UX: Lokale *Nix accounts met wachtwoord

UXKEYS: Lokale *Nix accounts met SSH keys

AWS: AWS console of CLI accounts met access keys 

AZR: Azure console accounts

CYBR: CyberArk accounts

Beschrijft tot welke Master Access Policy (toegangsbeleid) deze accounts behoren, op basis van de informatieclassificatie waarbinnen de applicatie zich bevindt. Hierdoor kan bepaald worden welke toegangscontrole van kracht is en de toegang opgevolgd wordt. Enkel de applicatie eigenaar kan bepalen tot welk toegangsbeleid de accounts behoren. Dit zou 

• AO

• MA

• SA

Access Only (AO): Deze accounts hebben geen restrictief toegangsbeleid

Managed Access (MA): Deze accounts hebben een toegangsbeleid met volgende maatregelen:

• Goedkeuring van aanpassingsbeheer

• Reden van toegang dient ingevuld worden

• Aanpassingsnummer dient ingevuld worden

• Audit logging en sessie opname

• Rapporteringsmogelijkheden

• Sessie wordt opgenomen

Secure access (SA): Deze accounts hebben een zeer restrictief toegangsbeleid met volgende maatregelen:

• Alle elementen die aanwezig zijn binnen het Managed Access beleid.

• De toegang dient goedgekeurd te worden door een derde.

• De toegang is beperkt in tijd.

Beschrijft welk link type de accounts zijn. De linked accounts functionaliteit maakt het mogelijk om extra accounts te definiëren voor het beheer van de eigenlijke accounts, namelijk reconcile en logon accounts. Ze worden gelinkt met het eigenlijke account dat beheerd dient te worden. 

• N

• L

• R

Normal account (N): Dit is een normaal geprivilegieerd account dat gebruikt kan worden door gebruikers.

Logon account (L): Dit wordt voornamelijk gebruikt binnen Linux omgevingen waar een gebruiker niet rechtstreeks als root kan inloggen (en niet mogelijk zou mogen zijn). Een logon account wordt ingeschakeld om een super user verheffing uit te voeren om zo de nodige root user permissies te verkrijgen.

Reconcile account (R): Informatie over reconcile accounts is hier terug te vinden.

Beschrijft binnen welke CyberArk Policy Manager de accounts zich bevinden. Dit is  een technische parameter die niet beslist wordt door de Responsible maar door het PAM team. Momenteel worden alle accounts centraal beheerd in de "CE" CPM. In de toekomst zal Digitaal Vlaanderen een gedecentraliseerde PAM architectuur aannemen waarbij meerdere CPMs accounts zullen beheren.

• CE

• <TBD>

Centralized (CE): Momenteel worden alle accounts beheerd door beleidsmaatregelen die zich in de gecentraliseerde "CE" CPM bevinden.

Beschrijft hoe inloggegevens beheerd worden aan de hand van een beleid (bv. automatische rotatie, etc.). De applicatie eigenaar beslist hoe inloggegevens van een account beheerd moeten worden.

• SO

• AV

• AC

• ACR (Standaard)

• CAU

Store Only (SO): De inloggegevens van de accounts worden opgeslagen in de vault maar de CPM voert geen bijkomende maatregelen uit. (Geen verificatie van de inloggegevens binnen de applicatie en geen rotatie)

Automatic Verify (AV): De inloggegevens van de accounts worden enkel automatisch geverifieerd (kan ook manueel) zonder deze te roteren.

Automatic Change (AC):  De inloggegevens van de accounts worden automatisch geverifieerd en worden geroteerd (kan ook manueel). Hier wordt nog geen gebruik gemaakt van een reconcile account die bij niet-overeenkomstige inloggegevens deze gaat aanpassen in de applicatie en in de vault.

Automatic Change Reconcile (ACR): De inloggegevens van de acounts worden automatisch geverifieerd en worden geroteerd (kan ook manueel). Hier wordt wel gebruik gemaakt van een reconcile account die bij niet-overeenkomstige inloggegevens deze gaat aanpassen in de applicatie en in de vault. Dit is de standaardwaarde.

Change After Use (CAU): Heeft dezelfde mogelijkheden als ACR (Default), waarbij volgende functionaliteiten worden toegevoegd:

• One-Time Password (OTP): Dit zijn aanmeldgegevens die na iedere aanmelding of aanvraag roteren en dus slechts eenmalig gebruikt kunnen worden. 

• Check-Out / Check-In (CO/CI): Hierdoor wordt exclusieve toegang verleend wanneer aanmeldgegevens van een account gebruikt of aangevraagd worden. Wanneer dit gebeurt, wordt het account geblokkeerd (Check-In) tot de gebruiker van het account stopt met de sessie en deze terug handmatig deblokkeert (Check-Out). Indien de gebruiker deze niet deblokkeert gebeurt dit automatisch na 60 minuten.

{Optioneel}

Beschrijft welk protocol gebruikt wordt om te verbinden met de applicatie en is afhankelijk van de technologie die gebruikt wordt door het account.

• <leeg>

• RDP

• SSH

• WEB

• PAC

<leeg>: Er wordt geen sessie aangemaakt (er wordt geen connectie gemaakt met het geassocieerde account, bijvoorbeeld reconciliation accounts)

RDP: Lokale of AD accounts (WIN, AD) gebruiken RDP om te connecteren met de applicatie

SSH: Linux of Unix account (UX, UXKEYS) gebruiken SSH om te connecteren met de applicatie

WEB: Microsoft Azure of AWS accounts (AZR, AWSKA,AWSSTS) gebruiken HTTPS om te connecteren met de applicatie

PAC: CyberArk's PrivateArk Client

Beschrijft de rol die een gebruiker krijgt binnen een safe.

%user

%validator

%auditor

%user: De gebruiker met deze rol heeft toegang tot alle accounts binnen de safe en kan deze gebruiken om in te loggen tot de verschillende applicaties die waarop de accounts aanwezig zijn.

%validator: De gebruiker met deze rol kan alle toegangsaanvragen valideren binnen de safe. Dit is enkel van toepassing op accounts die gekoppeld zijn met een platform die de Managed Access en Secure Access Access Policy.

%auditor: De gebruiker met deze rol kan alle activiteit van de accounts gaan bekijken en controleren. (bv. Opnames raadplegen). De auditor rol die aangemaakt wordt voor de Account Safe wordt ook gebruikt in de Opname Safe om toegang te verlenen tot de opgenomen sessies. Als we naar het voorbeeld kijken van de Account Safe "D-048644-20109-OPS-CE" wordt de context "D-048644-20109-OPS-CE%auditor" aangemaakt en verkrijgt deze toegang tot de Account Safe "D-048644-20109-OPS-CE" om toegang te monitoren en binnen de Opname Safe "R-D-048644-20109-OPS-CE" om de opgenomen sessies te bekijken.

Fully Qualified Domain Name (FQDN) van het Windows domain.

windowsdomeinnaam.vlaanderen.be 

Naam van het Windows domain account.

DomainAdmin

Naam van het domain waar het account zal op aanmelden.

windowsdomeinnaam

Naam van het domain object.

windowsdomeinnaam\DomainAdmin

Optionele beschrijving.

Fully Qualified Domain Name (FQDN) van de Windows server.

servernaam.vlaanderen.be 

Naam van het Windows local account.

Administrator

Optionele beschrijving.

Fully Qualified Domain Name (FQDN) van de Linux server.

servernaam.vlaanderen.be

Naam van het Linux account.

root

Optionele beschrijving.

Een uniek identificatienummer van de AWS Access Key dat gebruikt wordt door APIs tot de AWS console.

AKIAJIPU0000L5LB7OIB

Naam van het AWS account.

Administrator

De account-specifieke URL die gebruikt door IAM users om aan te melden.

https://[UwAWSAccountID].signin.aws.amazon.com/console

De rol die veilige toegang heeft tot de AWS Console. 

arn:aws:iam::123456789012:user/division_abc/subdivision_xyz/JaneDoe

Optionele beschrijving.

Naam van het AWS IAM Account.

StorageAdministrator

Een uniek identificatienummer van de AWS Access Key dat gebruikt wordt door APIs tot de AWS console.

AKIAJIPU0000L5LB7OIB

De account-specifieke URL die gebruikt door IAM users om aan te melden.

123456789012

Optionele beschrijving.

Naam van de AWS IAM Role.

S3AccessRole

De rol die veilige toegang heeft tot de AWS Console. 

arn:aws:iam::123456789012:role/S3Access

De account-specifieke URL die gebruikt door IAM users om aan te melden.

123456789012

Optionele beschrijving.

Hier moet het Account ID (beschikbaar in de onboardingsexcel kolom A) toegevoegd worden van het AWS IAM Account die deze rol kan opvragen. 

AWS-Console-L1