Toepassing krijgt alleen benodigde toegang

De situatie

Naarmate meer leveringen en wijzigingen automatisch verlopen, moet de toegang tot gegevens meegaan, zonder gedeelde accounts en langdurig opgeslagen wachtwoorden. Iedere toepassing krijgt daarom een applicatie-identiteit, met toegangsrechten gekoppeld aan de dienst die zij uitvoert.

Een toepassing voor onderhoudsplanning krijgt bijvoorbeeld alleen leesrecht op een bestaande gegevensdienst. Het platform controleert in welke omgeving en met welke geregistreerde kenmerken de toepassing draait en geeft haar dan een kort geldig certificaat. Daaraan herkent de bron de toepassing en past zij de door haar eigenaar afgesproken rechten toe: een schrijfpoging weigert zij (Toegang op applicatie-identiteit, Zonecontrole en netwerkbeleid). Zo is toegang herleidbaar tot de juiste toepassing, voor zover de bron dit pad ondersteunt. Het domein Netwerk, ingang & zones beschrijft de vier lagen die het leesrecht begrenzen.

Ook bestaande gegevensdiensten sluiten aan

De applicatie-identiteit volgt open standaarden zoals SPIFFE en is daardoor ook bruikbaar bij diensten buiten het platform. Voor bestaande databases kiezen we per aansluiting een ondersteunde vorm van aanmelding en leggen we de koppeling met databaserollen vast. Verlangt een database nog inloggegevens, dan geeft een ondersteunde koppeling tijdelijke inloggegevens uit voor de applicatierol; kan dat niet, dan worden de geheimen centraal beheerd en vervangen.

Dezelfde werkwijze helpt bij onderhoud: een automatische taak die bijvoorbeeld een databasestructuur aanpast, krijgt onder een eigen identiteit tijdelijk de extra rechten die zij nodig heeft, gebonden aan die taak, database en duur; de toepassing zelf houdt haar beperktere toegang. Uitgifte en intrekking, ook van een lopende sessie, beproeven we met de betrokken dienst, zodat beheer niet afhangt van een breed inzetbaar onderhoudsaccount.

De werking tijdens storingen hoort bij het ontwerp

Kort geldige toegang maakt gestolen inloggegevens minder bruikbaar, maar vraagt tijdige vernieuwing. Voor een locatie met plaatsingsoptie zelfstandig op locatie richten we die vernieuwing in voor de afgesproken duur van het zelfstandig werken, of leggen we vast dat het werk daarna veilig stopt; anders eindigt de zelfstandigheid zodra een toegangsbewijs verloopt (Doorwerken op locatie zonder centrale verbinding).

Intrekking geldt ook voor lopende sessies, maar een ingetrokken wachtwoord beëindigt een al geopende databaseverbinding niet vanzelf; daarom controleren we ook bestaande sessies. Is een database onbereikbaar, dan blijft de openstaande intrekking zichtbaar voor beheer en wordt zij herhaald tot zij is bevestigd. Medewerkers houden eigen accounts en afzonderlijke bevoegdheden voor onderhoud.

De dienstverantwoordelijkheid omvat ook certificaatvernieuwing, sleutels en noodtoegang, met bewaking van vervaldata en het beproeven en weer intrekken van de noodtoegang.