Deze parameter beschrijft de partij die gebruik zal maken van de geonboardde accounts op PAM. Het beschrijft dus

1. O: gebruikers die eigenaar zijn van de applicatie en zelf het beheer doen

2. D: een gedelegeerde partij die het beheer van een applicatie in opdracht doet

Enkel de applicatie-eigenaar kan bepalen wie een gedelegeerde partij is.

• O

• D

Owner (O): Applicatie-eigenaars hebben toegang tot de accounts in de safe en regelen het gebruikersbeheer.

Delegated (D): Een gedelegeerde partij heeft toegang tot de accounts in de safe en regelt het gebruikersbeheer.

De OVO-code beschrijft aan welke organisatie, entiteit of klant de aangemaakte safe gelinkt wordt. Indien er verder in het integratiedossier geen OVO-codes vermeld worden bij “Safe Toegang”, is het deze organisatie die de controle over de safe heeft. Bijgevolg bepaalt deze organisatie de gebruikers die toegang hebben tot de accounts in de safe (IDM). Deze partij kan enkel geïdentificeerd worden door een OVO-code.

Alle waarden die aanwezig zijn binnen de VO CMDB

Beschrijving van de OVO-codes kan geraadpleegd worden in de VO CMDB.

U kan uw Organisatie code, kortweg OVO-code, opzoeken via https://wegwijs.vlaanderen.be/.

Deze parameter beschrijft tot welk team of welke applicatie de accounts behoren.

De applicatie kan enkel geïdentificeerd worden door het toepassingsnummer in CMDB. Dit is de geprefereerde waarde voor deze kolom.

Indien de applicatie niet over een toepassingsnummer beschikt, kan men hier een Team ID specifiëren. Een Team ID beschrijft tot welk team de accounts behoren. Deze waarde kan vrij gekozen worden door de aanvrager.

Alle waarden die aanwezig zijn binnen de VO CMDB /

Vrije waarde, beperkt tot 5 karakters

Beschrijving van de Applicatie ID's kan geraadpleegd worden in de VO CMDB. /

De aanvrager moet een logische verklaring meedelen voor de teams om de verschillen duidelijk aan te geven. Dit moet eveneens een unieke en specifieke waarde zijn. Deze waarde wordt het best in hoofdletters uitgedrukt.

Het type van de safe beschrijft de oorsprong en de aard van de accounts. Enkel de applicatie eigenaar kan deze parameter bepalen.

• ADM

• TNI

• OPS

• NPA

Administrator account (ADM): Ingebouwde administrator accounts binnen een applicatie. Dit zijn de hoogste geprivilegieerde accounts.

Test account (TNI): Geprivilegieerde accounts in uw Test Omgeving.

Operationeel account (OPS):

• Aangemaakte accounts om de applicatie te beheren en te onderhouden.

• Aangemaakte reconcile accounts die beheerd worden in twee specifieke reconcile safes (zie "Safe design voor een reconcile account").

Non Privileged Accounts (NPA): Aangemaakte accounts die enkel leesrechten hebben op de applicatie.

Deze parameter beschrijft welke technologie de accounts gebruiken om toegang te verkrijgen tot de applicatie. Afhankelijk van welke technologie er gebruikt wordt, zal men in een andere tab van het integratiedossier te werk gaan.

• AD

• WIN

• UX

• AWS

• AZR

AD: Windows domein accounts gedefinieerd in een Active Directory

WIN: Lokale Windows accounts gedefinieerd op Windows systemen

UX: Lokale Linux accounts met wachtwoord

AWS: AWS console of CLI accounts met access keys 

AZR: Azure console accounts

Het toegangsbeleid bepaalt in welke mate toegangscontrole van kracht is en hoe de toegang opgevolgd wordt. Dit kan beslist worden op basis van de informatieclassificatie waarbinnen de applicatie zich bevindt. Enkel de applicatie-eigenaar kan bepalen tot welk toegangsbeleid de accounts behoren.

• AO

• MA

• SA

Access Only (AO): Deze accounts hebben geen restrictief toegangsbeleid. Er dient enkel een reden van toegang ingevuld te worden.

Motivated Access (MA): Deze accounts hebben een toegangsbeleid met volgende maatregelen:

• Reden van toegang dient ingevuld te worden

• Changenummer dient ingevuld te worden

• Audit logging en sessie opname

• Rapporteringsmogelijkheden

Secure Access (SA): Deze accounts hebben een zeer restrictief toegangsbeleid met volgende maatregelen:

• Alle elementen die aanwezig zijn binnen het Motivated Access beleid

• De toegang dient goedgekeurd te worden door een derde (= approver)

• De toegang is beperkt in de tijd

Het type account beschrijft welk soort account er geonboard dient te worden.

Er kan gebruik gemaakt worden van de linked account functionaliteit die het beheer van de eigenlijke accounts mogelijk maakt.

• N

• L

• R

Normaal account (N): Dit is een normaal geprivilegieerd account dat gebruikt kan worden door gebruikers.

Logon account (L): Een logon account wordt voornamelijk gebruikt binnen AWS/Linux omgevingen waar een gebruiker niet rechtstreeks als root kan inloggen (dit zou niet mogelijk mogen zijn). Een logon account wordt ingeschakeld om een super user verheffing uit te voeren om zo de nodige root user permissies te verkrijgen.

Reconcile account (R): Dit is een reconciliatie account dat dient voor het wachtwoordbeheer en -rotatie van de andere normale accounts. Informatie over reconcile accounts is hier terug te vinden. Eén reconcile account per domein volstaat.

Het gegevensbeheer geeft weer hoe inloggegevens beheerd worden aan de hand van een beleid (bv. automatische rotatie, etc.). De applicatie-eigenaar beslist hoe inloggegevens van een account beheerd moeten worden.

• ACR (Standaard)

• AC (bij AWS)

Automatic Change Reconcile (ACR): De inloggegevens van de acounts worden automatisch geverifieerd en geroteerd. Er wordt gebruik gemaakt van een reconcile account dat wachtwoorden gaat roteren in de applicatie en in de vault bij niet-overeenkomstige inloggegevens.

Automatic Change (AC): De inloggegevens van de acounts worden automatisch geverifieerd en aangepast.

Gebruiksvriendelijke naam van het Windows domein account.

DomainAdmin

Fully Qualified Domain Name (FQDN) van het Windows domain.

windowsdomeinnaam.vlaanderen.be 

Naam van het domain object.

windowsdomeinnaam\DomainAdmin

Lijst met servers waartoe het account toegang heeft.

server 1 ; server 2 ; server 3 ; …

Optionele beschrijving.

Voorbeeld Domain account

Verwijst naar het account (in het integratiedossier) dat als reconcile account gebruikt wordt voor de wachtwoordrotatie van het desbetreffend domeinaccount.

AD-0

Gebruiksvriendelijke naam van het Windows local account.

Administrator

Fully Qualified Domain Name (FQDN) van de Windows server.

servernaam.vlaanderen.be 

Optionele beschrijving.

Voorbeeld local account

Verwijst naar het account (in het integratiedossier) dat als reconcile account gebruikt wordt voor de wachtwoordrotatie van het desbetreffend domeinaccount.

WIN-0

Gebruiksvriendelijke naam van het Linux account.

Root

Fully Qualified Domain Name (FQDN) van de Linux server.

servernaam.vlaanderen.be

Optionele beschrijving.

Voorbeeld Domain account

Verwijst naar het account (in het integratiedossier) dat als logon account gebruikt wordt. Er wordt ofwel gebruik gemaakt van een logon account ofwel van een reconcile account.

UX-0

Verwijst naar het account (in het integratiedossier) dat als reconcile account gebruikt wordt. Er wordt ofwel gebruik gemaakt van een logon account ofwel van een reconcile account.

UX-1

Gebruiksvriendelijke naam van het AWS account.

Administrator

Een uniek identificatienummer van de AWS Access Key dat gebruikt wordt door APIs tot de AWS console.

AKIAJIPU0000L5LB7OIB

De account-specifieke URL die gebruikt wordt door IAM users om aan te melden.

https://[UwAWSAccountID].signin.aws.amazon.com/console

De gebruiker die veilige toegang heeft tot de AWS Console. 

arn:aws:iam::123456789012:user/division_abc/subdivision_xyz/JaneDoe

Optionele beschrijving.

Voorbeeld Administrator account

Verwijst naar het account (in het integratiedossier) dat als logon account gebruikt wordt.

AWS-0

Gebruiksvriendelijke naam van het Azure account. Deze naam wordt gebruikt om het account aan te maken en wordt gelinkt aan de nodige subscriptie(s).

GlobalAdmin

Deze naam vindt u terug bij inloggen op het Azure portaal.

GlobalAdmin@81039.vlaanderen.be

Wanneer er gebruik gemaakt wordt van de VO tenant dient dit veld niet ingevuld te worden door de klant. De object ID wordt door het PAM-team aangemaakt bij het creëren van de accounts.

Wanneer er gebruik gemaakt wordt van een eigen tenant dient die veld wel ingevuld te worden door de klant.

xcxd001-00x0-0x01-0xxx-x0x0x01xx100

Gebruiksvriendelijke naam van uw subscriptie.

Subscriptie PRD

Technische naam van uw subscriptie.

xcxd001-00x0-0x01-0xxx-x0x0x01xx100

Optionele beschrijving.

Voorbeeld Administrator account

Beschrijft de rol die een gebruiker krijgt binnen een safe.

• %user

• %approver

• %auditor

%user: De gebruiker met deze rol heeft toegang tot alle accounts binnen de safe en kan deze gebruiken om in te loggen op de applicatie.

%approver: De gebruiker met deze rol kan alle toegangsaanvragen tot de safe valideren. Dit is enkel van toepassing voor accounts met toegangsbeleid SA.

%auditor: De gebruiker met deze rol kan alle activiteit van de accounts in de safe live of achteraf bekijken (bv. opnames raadplegen). De auditor rol die aangemaakt wordt voor de account safe wordt eveneens gebruikt in de opname safe om toegang te verlenen tot de opgenomen sessies.