Infopagina lokale beheerders en toepassingsbeheerders Vlaamse overheid (Vo-GID)

1. Wat maakt de keuze van de categorie voor verschil in het Gebruikersbeheer?

In het Gebruikersbeheer kan de categorie bepalen welke gebruikersrechten beschikbaar zijn, maar belangrijker, het bepaalt of gebruikersrechten automatisch (DES) worden toegekend of niet.

De Lokale beheerder(s) van elke entiteit kan bepalen welke rechten hij per categorie automatisch toegekend willen hebben aan elke categorie van medewerkers. Hiervoor kan een lijst met automatische rechten gemaakt worden voor de ‘Vlaamse ambtenaar’ en de ‘externe medewerker’.

De categorie bepaald daarnaast of updates vanuit Vlimpers doorkomen, dit enkel het geval als een medewerker in het Gebruikersbeheer de categorie ‘Vlaamse ambtenaar’ heeft

Welke automatische rechten zijn ingesteld per entiteit kan je raadplegen in het maandrapport van het Gebruikersbeheer.

2. Kan ik de categorie van een medewerker in het Gebruikersbeheer zonder problemen wijzigingen?

Nee, je kan het wijzigen van de categorie van een persoon in het Gebruikers niet zonder problemen uitvoeren. De categorie hangt samen met het accounttype (alpa, saaaa, taaaa,..)  en de toegang Activity Directories.

Als je de categorie aanpast, is de kans groot dat de betreffende persoon de toegang tot zijn mailbox verlies en herstel zonder verlies van gegevens zeer moeizaam is. Neem dus altijd contact op met het Gebruikersbeheer als je denk over het wijzigingen van een categorie bij een persoon in het Gebruikersbeheer.

Shared entitlements zijn dezelfde rechten die voorkomen onder verschillende werkrelaties, maar die maar onder een werkrelatie kunnen actief zijn. Dit recht wordt onder meerdere werkrelaties toegekend omdat ze in de DES zitten, of omdat de Hoofd Lokale Beheerder ze manueel heeft toegekend. Bij shared entitlements moet er altijd gekozen worden onder welke werkrelatie het recht als 'master' staat. Enkele voorbeelden van master-rechten:

• AD login (Active Directory)

• LDAP login (Centrale LDAP)

• Facilipunt- en toegangsbadgerecht

• HFB Mobiel printen - Ambtenaren Nieuw

• HFB Mobiel printen - Anderen (niet-ambtenaren) Nieuw

• Digitaal Ondertekenen

Let op: Een gebruiker kan hetzelfde gebruikersrecht op meer dan één werkrelatie hebben, maar slechts één gebruikersrecht wordt effectief gebruikt. Dit gebruikersrecht staat dan op “Master”, zie de check-box op de details van het recht.

Het master-recht kan alleen geactiveerd worden door de lokale beheerder van de betreffende werkrelatie, die via de details van het recht op ‘bewerk’ klikt en de checkbox aanvinkt.

Kun je een lijst met Vo-mailadressen opvragen bij het Gebruikersbeheer?

De verantwoordelijkheid van de gegevens in het gebruikersbeheer ligt bij de lokale beheerder van elke entiteit. Wil je dus gegevens opvragen dan dien je de lokale beheerder van de betreffende entiteit te contacteren met je vraag.

En als het over één specifieke toepassing gaat?

Dan stel je jouw vraag aan de toepassingsverantwoordelijke van de applicatie. Deze heeft in het Gebruikersbeheer een overzicht van iedereen die toegang heeft tot zijn toepassing en kan jouw vraag dus beantwoorden. De contactpersoon van de toepassing vind je vaak op de website van de toepassing zelf. Heeft de toepassingsverantwoordelijke nog geen toegang dan vraag deze dit aan het Gebruikersbeheer eerst zijn toegang via integraties@vlaanderen.be

Wat als je alle mailadressen van de Vlaamse overheid wilt opvragen?

Aangezien de verantwoordelijkheid over de data decentraal ligt bij de entiteiten zelf kan je de entiteiten individueel bevragen. Aangezien dit niet evident is adviseren we dergelijke vragen gemotiveerd te stellen aan de personeelsverantwoordelijke van Vlaamse overheid (AgO). Zij gaan over de gegevens van personeelsleden.

Er zijn verschillende manieren of werkstromen waarop gebruikersgegevens kunnen toegevoegd of gewijzigd worden. Iedere wijziging van deze gegevens (onderworpen aan informatieklasse 3 - GDPR) moet in het systeem verantwoord worden. Afhankelijk van wie de gegevens toevoegt of wijzigt, ziet die verantwoording er anders uit.

Er zijn 3 werkstromen binnen het Gebruikersbeheer om gebruikersgegevens toe te voegen of te wijzigen:

A. Via de User Interface van het Gebruikersbeheer (Lokale Beheerders)

Dit is de meest gekende manier. Lokale Beheerders kunnen via het Gebruikersbeheer (gebruikersbeheer.vlaanderen.be) nieuwe gebruikers toevoegen, werkrelaties aanmaken en rechten toekennen.
Ze doen dit op basis van het Belgisch identificatienummer van de gebruiker. Hierop worden zijn of haar gegevens opgeladen uit de Verrijkte Kruispuntbank voor personen. Lees hier meer over de procedure voor het toevoegen van gebruikers.

Bij het toevoegen van een gebruiker is het veld ‘Reden’ verplicht. Zonder verantwoording is het niet mogelijk een nieuwe gebruiker toe te voegen. Hetzelfde geldt voor het aanpassen van de gebruikersgegevens via de webtoepassing van het Gebruikersbeheer.

B. Via de Synctool na een integratieproject (Drop File)

Informatie wordt uitgewisseld door middel van CSV-bestanden, die geüpload worden naar de dropserver door:

• een applicatie-eigenaar van een entiteit op een geautomatiseerde wijze door een applicatie

• door systeembeheerders IDM op vraag van een lokale beheerder of toepassingsmanager (Bulk-upload)

In het eerste geval, waarbij de applicatie-eigenaar de Synctool gebruikt, volstaat het dat de naam van de erkende partner wordt opgenomen in de historiek als verantwoording voor het toevoegen of aanpassen van gebruikersgegevens. Dat is een naam die per dropserver locatie geconfigureerd wordt, en tevens bepaalt wat mag gedropt worden en wat niet. Als iets gedropt wordt wat niet mag, zal dat niet verwerkt worden.

Voor bulkuploads via Synctool door de systeembeheerders van het Gebruikersbeheer op vraag van lokale beheerders of toepassingsbeheerders is wel een verantwoording nodig. Het veld ‘Reden’ is verplicht.

C. Invoer of wijziging rechten via DES (automatische toekenning)

De Default Entitlement Scanner is een service waarvan een organisatie kan gebruik maken, die bij een nieuwe werkrelatie voor die organisatie automatisch bepaalde rechten zal toekennen.

Vanuit het Gebruikersbeheer wordt het afgeraden om gebruikersnamen aan te passen. De reden hiervoor is dat de gebruikersnaam binnen de Vlaamse overheid (Vo) nauw verweven is met verschillende onderliggende en afhankelijke systemen die gebruikmaken van de AD-login identificatie. Een wijziging impliceert dus de nodige onbeschikbaarheden voor de gebruiker en de nodige wijzigingen in de geïmpacteerde systemen voordat de gebruiker weer terug al zijn toegangen heeft.

Welke systemen geïmpacteerd zijn en wie dus gecontacteerd dienen te worden om de toegangen terug recht te krijgen verschillen per gebruiker.

Het kan een goed moment zijn om de wijziging uit te voeren als de gebruiker op verlof is alleen dien je er wel rekening mee te houden dat de gebruikers soms dient te testen of toegangen terug in orde zijn en/of de content terug geladen is.

Wat wordt er van mij als lokale beheerder verwacht?

Als lokale beheerder dien je vooraf goed na te gaan welke systemen de gebruiker allemaal gebruikt en bij wie je terecht kan om de wijzigingen doorgevoerd te krijgen. Daarnaast dien je de gebruiker en zijn leidinggevende voor te lichten over de impact en het risico van de wijziging die gedurende een langere periode toegangsproblemen kan veroorzaken voor de gebruiker. Als lokale beheerder ben je als laatste de centrale verantwoordelijke om alle toegangen weer terug actief te krijgen voor de gebruiker. Indien de gebruiker voor meerdere organisaties werkt, dien je af te stemmen met de lokale beheerder(s) van de andere organisaties.

We kunnen zeker al meegeven dat bij het wijzigingen van de gebruikersnaam de onderstaande diensten zeker geïmpacteerd zullen zijn en hiervoor neem je best vooraf contact op met HB-Plus. Manuele acties kunnen nodig zijn en let op behouden van de content.

• O365 diensten, waaronder internet telefonie en E-mail (wat gebeurt er met de content?)

• Werkplekdiensten

• CMDB

• Sharepoint

• Shared drives

• Bestelportaal

Wat doet het Gebruikersbeheer om de gebruikersnaam aan te passen?

Het wijzigen van de gebruikersnaam zelf in het Gebruikersbeheer (IDM) vereist een aantal manuele acties die tot op dit moment nog niet werden uitgevoerd, maar wel als haalbaar worden gezien. Het wijzigen van gebruikersnaam is echter geen standaard use case, waarvoor geen kant-en-klare impact analyse of procedure voor beschikbaar is. Indien de wijziging gevraagd wordt zal het operationeel team contact zoeken met de lokale beheerder om een tijdstip in te plannen en de hernoeming van de gebruikersnaam te bespreken.

Wat gebeurt er met de oude gebruikersnaam en -account?

De reeds bestaande gebruikersnaam wordt gedeactiveerd in de AD, maar zal altijd aanwezig blijven. Het account wordt dan buiten de beheergroep van Gebruikersbeheer geplaatst.
In het Gebruikersbeheer wordt vervolgens het AD-account helemaal losgekoppeld en zal voor het nieuwe account ook een nieuwe gebruikersnaam/account aangemaakt worden en doorstromen naar de AD.  

Voor LDAP is dit niet het geval en kan het account direct verwijderd worden en helemaal vanaf nieuw gestart worden met de nieuwe gebruikersnaam/account.

1. Jouw entiteit heeft niet de juiste typering.

Het instellen of een gebruikersrecht wel of niet zichtbaar is, wordt in het Gebruikersbeheer typering genoemd en wordt vastgelegd in het integratiedossier van de toepassing.

In het Gebruikersbeheer kan er onderscheid gemaakt worden op doelgroepniveau (GID, EA, LB of VO) of op organisatie- entiteitsniveau.

Wanneer je voor 2 entiteiten hoofd lokale beheerder bent, kan het zijn dat je voor entiteit 1 andere rechten beschikbaar hebt, dan voor entiteit 2.

Als het recht voor jouw entiteit niet beschikbaar is en je bent van mening dat het van belang is dat jullie entiteit ook toegang moet hebben tot de toepassing of platform, dan kan je dit aanvragen.

Indien je de toepassingseigenaar kent, kan je rechtstreeks contact opnemen, zo niet, kan de vraag steeds via integraties@vlaanderen.be gesteld worden.

2. Het recht is nog niet actief.

Het is mogelijk dat je een recht wil toekennen dat nog niet actief is in productie. Een recht wordt steeds eerst uitgebreid getest in de testomgeving. Pas daarna zal het naar de productieomgeving opengezet worden.

Twijfel je of dit het geval is? Neem dan contact op met de toepassingseigenaar of contacteer ons op integraties@vlaanderen.be.

3. De gebruiker heeft het recht al.

Wanneer je via tab 'snel recht toekennen' een recht en/of een context wil toekennen/toevoegen aan een gebruiker, dan zie je hier enkel de rechten die je nog kan toekennen. Indien de gebruiker het recht reeds heeft, zal het niet in de lijst te vinden zijn. 

Zoek in deze situatie de gebruiker op en controleer of het recht met de eventuele contexten toegekend is. Indien je enkel een context wil toevoegen, dan klik je achter het recht op 'bewerken'. Nu krijg je alle beschikbare contexten te zien..

Organisaties hebben toegang via hun ondernemingsnummer, waarmee de wettelijke vertegenwoordig de (hoofd)toegangsbeheerders kan aanstellen. Het beheer van deze toegangsbeheerders wordt geregeld in het rollensysteem van de Sociale Zekerheid.

Per hoedanigheid ook wel domein genoemd kan een (co-)lokale beheerder aangesteld worden. Deze beheerders kunnen vervolgens in het eGov-rollenbeheer aan medewerkers rechten toekennen die onder deze hoedanigheid vallen. 

Naast de hoedanigheden voor het eGov-rollenbeheer kunnen er in het rollensysteem van de Sociale Zekerheid ook direct rechten toegekend worden. Deze rechten geven medewerkers toegang tot toepassingen van de Sociale Zekerheid zelf met de rol ‘User’.  

Let op: binnen de Vlaamse overheid is dit anders geregeld (zie onderstaand)!

De Vlaamse overheid of beter gezegd de Ministeries van de Vlaamse Gemeenschap hebben als geheel één ondernemingsnummer (KBO-nummer) en dus één wettelijke vertegenwoordiger, die geregistreerd staat in de Kruispuntbank van Ondernemingen (KBO). Aangezien de toegang tot de Sociale Zekerheid hiermee wordt geregeld, is het Agentschap Overheidspersoneel (in zijn rol als werkgever) aangeduid als wettelijk vertegenwoordiger. 

De coördinatie is daarentegen overgedragen aan het team Veiligheidsbouwstenen van de Vlaamse overheid.

Lokale beheerders van Vlaamse overheid kunnen federale rechten aanvragen voor de medewerkers van hun entiteit door hier een melding te registreren.

• Stuur steeds de naam, voornaam, werkmailadres, naamdetails van de gevraagde rol en reden van aanvraag van de medewerker mee als je een federaal recht wilt aanvragen.  

• Tip: de meeste informatie over de federale rollen is online terug te vinden op de toepassingswebsite, daarnaast kan het interne rechtenoverzicht ondersteuning geven. 

• De medewerker die de rechten moet krijgen, dient in het Gebruikersbeheer geregistreerd te zijn op de entiteit. 

• De federale systemen laten het niet toe om de rechtentoekenning in te richten per entiteit. Wel bestaat er een systeem van domeindelegatie (genaamd (co)-lokale beheerder van X-domein). Binnen de Vlaamse overheid wordt deze enkel ingezet als een bepaalde entiteit veelvuldig voor zijn entiteit een bepaald recht moet toekennen.

• Lokale beheerders van het Gebruikersbeheer die dit ondervinden, kunnen hiervoor met een aanvraag registreren.

• In het rechtenoverzicht zie je dat enkele rechten zowel beschikbaar zijn in het Vlaams Gebruikersbeheer als in het federaal eGov-rollenbeheer. Deze werden destijds extra opgezet in het Vlaams Gebruikersbeheer omdat de rechten veelvuldig nodig zijn voor de verschillende entiteiten en is gekozen om hierin extra te investeren, zodat lokale beheerders Vlaamse overheid dit zelf kunnen toekennen in het Gebruikersbeheer. 

• Als een federaal recht ook beschikbaar is in het Vlaams Gebruikersbeheer dan dient het altijd toe te kennen op Vlaams niveau.

De toegangen tot e-procurement binnen de Vlaamse overheid zijn gedelegeerd naar de organisaties zelf. Zij hebben direct toegang om hun rol op te nemen in het e-procurementproces.

• Aanpassingen aan je eigen organisatie kunnen deze gebruikers (superusers) direct zelf doen, zie ook handleiding ‘Gebruikersbeheer voor Superusers’.

• Wil je weten wie er voor je organisatie is aangesteld dan kan je dit opvragen via e.proc@publicprocurement.be

• Vanuit de centrale werking rond aanbestedingen treedt het Facilitair Bedrijf op als hoofdverantwoordelijke voor de federale toegang tot e-procurement vanuit haar rol in overheidsopdrachten. Info via: overheidsopdrachten@vlaanderen.be.  

• Heb je zelf een apart KBO-nummer voor de organisatie dan kunnen de verantwoordelijken binnen je organisatie zelf de aanpassingen doen als ze beschikken over de superuser rechten. Heeft je organisatie nog geen superusers dan dient de wettelijke vertegenwoordiger zich aan te melden op de sociale zekerheid en daar in het domein ‘overheidsopdrachten’ een gebruiker aan te maken die daarmee de toegang krijgt in e-procurement als superuser, zie ook handleiding.

Om een bisnummer aan te vragen, dien je een overeenkomst af te sluiten met Digitaal Vlaanderen. Vervolgens kunnen medewerkers binnen jullie organisatie gedelegeerd worden om fysieke face-to-face (niet online) identificaties uit te voeren en te registreren. Hierna kan de geïdentificeerde medewerker zijn digitale sleutels activeren en aanmelden op een applicatie. 

• Raadpleeg voor meer informatie de productpagina en neem contact met ons op als je wilt aansluiten.

Elke organisatie die een Bis-overeenkomst afsluit, bepaalt zelf welke eigen medewerker men verantwoordelijk maakt voor de functie van Bisdesk eindgebruikers op te nemen. Wat betekent het uitvoeren van zowel de identificatie op locatie ter plaatse als het invoeren online van de gegevens in de aanvraagmodule.

De medewerker dient het proces en de werking te onderschrijven via de verklaring aanstelling eindgebruiker (in NL/EN). Hierna kan de medewerker/eindgebruiker in naam de organisatie de bisregistraties uitvoeren voor collega’s medewerkers.

Het maakt daarbij niet uit welke nationaliteit de collega medewerker heeft, zolang alle identiteitsdocumenten leesbaar zijn vanuit de Europese standaard (PRADO). Indien niet het geval is, wordt de aanvraag afgewezen.

Net als op de productieomgeving kan je een bisnummer ingeven bij het toevoegen van een nieuwe gebruiker alleen zijn niet alle bisnummers direct beschikbaar op de testomgeving.

Krijg je een foutmelding over de verbinding met het Rijkregisternummer dan mag je die negeren en vul je zelf de vereiste datavelden in. Kijk deze wel goed na op fouten, zodat je een juiste registratie van de identiteit laat opslaan.

• Medewerkers met een vast contract(EMP) stromen door (en ontvangen updates) vanuit Vlimpers naar het Gebruikersbeheer (IDM) en worden in IDM geregistreerd met de categorie 'Vlaamse Overheid Ambtenaar'. De medewerkers met een ander contract (CWR*) of medewerkers die niet in Vlimpers zitten stromen niet door en ontvangen ook geen updates

  • *Uitzonderlijk kan de HR-verantwoordelijke overeenkomen dat sommige personen met een CWR wel doorstromen vanuit Vlimpers naar het Gebruikersbeheer alleen krijgen die dan ook de categorie 'Vlaamse Overheid Ambtenaar'

• De lokale beheerder dient dus zelf voor de overige medewerkers de gegevens registeren en updates in het Gebruikersbeheer

In Vlimpers dienen telefoonnummers ingegeven te worden volgens de standaard 0032-(0) die vervolgens in IDM wordt vertaald naar volgende opmaak: +3225532407.

• Als de medewerker in Vlimpers onder (details)-contactgegevens afwijkt van standaard dan stroomt het telefoonnummer niet door. De meeste gebruikte telefoonnummer die doorstromen vanuit Vlimpers zijn 'Zakelijk GSM' en 'Zakelijk Vast 1', die in IDM respectievelijke vertaald worden naar 'GSM-nummer' en 'Telefoonnummer'.

Om de gegevens van de medewerker te laten doorstromen naar de Alfa Active Directory dient de medewerker in het Gebruikersbeheer te beschikken over het recht 'AD login (Active Directory)' en dient de checkbox-optie 'master' aangevinkt te zijn. De Alfa AD wordt beheerd door het team werkplekken en voor vragen zijn zij beschikbaar via servicedesk@vlaanderen.be.

Controleer hiervoor het volgende:

• Werd het recht 'AD login (Active Directory) in IDM toegekend aan de medewerker met  de checkbox-optie 'master' aangevinkt?

  • Staat dit correct neem dan contact op met servicedesk@vlaanderen.be.

• Let op: de synchronisatie van gegevens duurt enige tijd, wacht eerst de volgende dat af om te zien of de gegevens zijn doorgestroomd

  • Deze gegevens worden in principe automatisch bijgewerkt of kunnen handmatig gedownload worden in outlook: