Naslag
Begrippen
- ADC (ADC)
Application Delivery Controller: voorziening die verkeer van buiten over toepassingen verdeelt en ze afschermt; in Datacenter 3.0 de externe verkeersverdeling op het basisdienstencluster.
- API (API)
Application Programming Interface: gepubliceerde interface waarmee software een dienst aanroept.
- Applicatie-identiteit
Eigen digitale identiteit van een toepassing, vergelijkbaar met het account van een medewerker; daarmee krijgt de toepassing alleen de toegang die zij nodig heeft (Applicatie-identiteit en geheimenbeheer).
- Applicatieteam
Team dat een toepassing ontwikkelt en beheert en daarvoor het platform afneemt; niet te verwarren met het ontwikkelteam, dat het platform bouwt.
- Attestatie op afstand
Cryptografisch bewijs over de toestand van een uitvoeromgeving en haar software, dat een controlerende dienst toetst aan vooraf gestelde eisen; alleen na een geslaagde toetsing worden sleutels vrijgegeven.
- Back-upvoorziening van RWS
Bestaande RWS-brede voorziening voor back-up en herstel, met eigen beheer buiten het platform en een afgezonderde bewaarplaats buiten de datacenters; zij bewaart de onveranderbare kopie.
- Basisdienst
Gemeenschappelijke dienst op het basisdienstencluster die een cel nodig heeft om zelfstandig te werken en te herstellen, zoals containerregistry, geheimenbeheer, toegang, versiebeheer en automatisering.
- Basisdienstencluster
Compact cluster in iedere cel waarop de basisdiensten van die cel draaien; alle andere clusters van de cel gebruiken zijn diensten.
- Beheercel
Zelfstandig deel van het platform met eigen clusterbeheer, werkervirtualisatie, opslagcluster en basisdiensten, zodat een storing, fout of aanval tot die cel beperkt blijft.
- Beheerd langlevend geheim
Geheim dat niet kortlevend kan zijn omdat de tegenpartij geen identiteit of tijdelijke uitgifte kent.
- Beheerdomein
Werkgebied met een eigen beheerteam, eigen voorzieningen en eigen bevoegdheden, zoals netwerk-, opslag-, identiteits-, beveiligings- en platformbeheer.
- Beheerwerkplek
Afgeschermde werkplek waarlangs beheerders het platform bedienen; iedere bevoorrechte sessie loopt erlangs en wordt opgenomen.
- Beveiligingsbaseline
Genummerde beveiligingsmaatregelen per domein, elk met norm, bewijs en verwijzing naar BIO2.
- Bevoegde verantwoordelijke
Functionaris die volgens het RWS-mandaat een resterend risico of een uitzondering met hoog risico mag accepteren: de diensteigenaar, met advies en medeondertekening van de CISO-functie, of de directie als het restrisico boven de RWS-tolerantie ligt.
- Bijwerken (patchen)
Een nieuwe versie uitrollen langs hetzelfde pad als de eerste levering, in plaats van ter plekke te wijzigen.
- BIO2 (BIO2)
Baseline Informatiebeveiliging Overheid 2: het normenkader voor informatiebeveiliging van de overheid, gebaseerd op ISO/IEC 27002:2022.
- Bouwcluster
Apart applicatiecluster van het platform waarop de toelatingsroute en de bouwpijplijnen van het platform en de teams draaien, met een naamruimte per team.
- Bundel
Twee netwerkpoorten van een server die als één verbinding (LACP) over twee switches werken, zodat een poort, een kabel of een switch kan uitvallen; alle netwerken van de server lopen erover.
- Cbw
Cyberbeveiligingswet: de Nederlandse uitvoering van de Europese NIS2-richtlijn.
- CISO (CISO)
Chief Information Security Officer: stelt de beveiligingskaders vast en bewaakt ze.
- ClaaS, DBaaS, FaaS, VMaaS, WaaS
Clusters (Clusters als dienst), databases (Beheerde databases), functies (Functies op aanvraag), virtuele machines (Virtuele servers als dienst) en werkstromen (Werkstromen als dienst) als dienst.
- Clusterbesturing
De besturing van een cluster (control plane): zij bepaalt wat waar draait en houdt de gewenste toestand in stand.
- Compact cluster
Cluster van drie knooppunten die tegelijk besturingsknooppunt en werkerknooppunt zijn; de vorm van het vlootcluster en het basisdienstencluster.
- Container
Verpakking van een toepassing met alle software die zij nodig heeft, zodat zij overal hetzelfde werkt en snel te starten, te vervangen en te verplaatsen is; een container wordt gestart vanuit een vastgelegd containerbeeld.
- Containerregistry
Eigen opslag van containerbeelden, met hun handtekeningen en onderdelenlijsten; nieuwe software wordt pas na quarantaine, scan en ondertekening vrijgegeven, en clusters halen alleen vrijgegeven software op.
- CSIRT (CSIRT)
Computer Security Incident Response Team: ontvangt onder de Cbw de meldingen van significante incidenten.
- CTO (CTO)
Chief Technology Officer; zijn doelen voor Datacenter 3.0 zijn verwerkt in de ontwerpkeuzes.
- DCIM (DCIM)
Data Centre Infrastructure Management: registratie van ruimte, apparatuur, bekabeling en capaciteit in het datacenter (datacenterregistratie, Fysiek datacenterbeheer).
- Declaratie, declaratief werken
Vastgelegde beschrijving van de gewenste inrichting, met eigenaar en versie.
- Definitie van gereed
Vaste criteria waaraan een onderdeel van de levering moet voldoen voordat het als af geldt.
- Detectieregel
Afgesproken signaal waarop het SOC reageert, vastgelegd met bron, drempel, reactietijd en draaiboek.
- Dienstbeschrijving
Het bestand in de opslagplaats Afnemers waarin een applicatieteam vastlegt wát zijn toepassing nodig heeft, niet hoe; het enige invoerdocument voor een levering, dat bij iedere wijziging opnieuw wordt getoetst.
- Dienstennetwerk (service mesh)
Voorziening die het verkeer tussen toepassingen herkent, versleutelt en aan toegangsregels toetst (Applicatieverkeer en ketenkoppelingen).
- Dienstprofiel
Niveau van gebruik en continuïteit dat een team per dienst kiest: ontwikkelen en beproeven, reguliere productie of bedrijfskritische productie met een tweede exemplaar in de andere cel.
- Digitale assistent
Taalmodelfunctie in het ontwikkelaarsportaal die goedgekeurde documentatie en catalogusinformatie vindt en uitlegt; zij voert zelf geen wijzigingen uit.
- DORA-maatstaven
Vijf maatstaven voor softwarelevering: doorlooptijd van een wijziging, uitrolfrequentie, hersteltijd na een mislukte uitrol, aandeel mislukte uitrollen en ongeplande hersteluitrollen.
- Draaiboek
Vastgelegde en zo veel mogelijk geautomatiseerde procedure voor een beheer-, herstel- of incidenttaak.
- Dreigingsmodel
Gestructureerde beschrijving van de dreigingen per vertrouwensgrens van een cluster of dienst, met de maatregel die iedere dreiging afdekt.
- Edge
Rekenvoorzieningen op de locatie waar het werk plaatsvindt (Voorzieningen op locatie).
- EER (EER)
Europese Economische Ruimte.
- Eigen bewakingsvoorziening
Bewakingsvoorziening op eigen servers buiten de platformclusters, met eigen opslag en toegang, voor logopslag, verkeersstromen, metingen van apparatuur en de langere historie van metingen; zij is zo ontworpen dat zij blijft werken als het platform uitvalt.
- EVPN en VXLAN
Open netwerkstandaarden waarmee segmenten en routeringsdomeinen als virtuele netwerken over het gerouteerde fysieke datacenternetwerk lopen.
- Exporter
Klein programma dat metingen van apparatuur of van een dienst beschikbaar maakt voor de bewaking.
- Externe modus (opslagkoppeling)
Koppeling waarbij een cluster een apart, bestaand opslagcluster gebruikt in plaats van opslagsoftware op zijn eigen knooppunten.
- Fabric
Het nieuwe datacenternetwerk van een cel, waarin segmenten en routeringsdomeinen met EVPN en VXLAN over een gerouteerd fysiek netwerk lopen.
- Firmwarebasislijn
Set firmwareversies en beveiligingsinstellingen voor alle servers van een cel, vastgelegd in versiebeheer; afwijkingen worden gemeld en hersteld.
- Foutdomein
Eenheid waarvan de uitval bij het spreiden van kopieën en diensten als één gebeurtenis geldt; in het opslagcluster is dat het rek.
- Functie (architectuurbouwsteen)
Architecture Building Block: een functie die het platform moet bieden, los van het product dat haar invult.
- Fysiek cluster
Cluster waarvan de werkers fysieke servers zijn in plaats van virtuele machines; variant voor aantoonbare eisen aan prestaties of scheiding.
- Gebruikssituatie
Uitgewerkt voorbeeld van levering en beheer.
- Gedeclareerd netwerk
Netwerk dat in de dienstbeschrijving of de clusterdefinitie is beschreven en dat het cluster zelf aanlegt, afgeschermd van andere netwerken; de vorm waarin applicatienetwerken en de werkernetwerken van clusters worden geleverd.
- Geheimenkoppeling
Onderdeel van het platform dat een geheim uit het geheimenbeheer naast de container beschikbaar maakt en het vóór verloop vernieuwt, zodat een toepassing over tijdelijke inloggegevens beschikt.
- Gehoste besturing
Clusterbesturing (control plane) van een applicatiecluster die als containers op het clusterbeheer draait, gescheiden van de werkers van dat cluster op de werkervirtualisatie; het platform onderhoudt en herstelt haar.
- GitOps
Werkwijze waarbij de gewenste inrichting declaratief, versiebeheerd en onveranderbaar is vastgelegd, automatisch wordt opgehaald en doorlopend met de werkelijkheid wordt vergeleken.
- Groeipad
De invoering in vier groeipadstappen: eerste levering; werking bij uitval en aanval; AI-capaciteit en herhaling van de standaard; gespecialiseerde clusterdiensten.
- Herstelomgeving
Afgeschermde omgeving zonder route naar productie, op vaste stromen naar haar besturing en de basisdiensten na, die bij een herstel op afroep wordt opgebouwd en waarin kopieën eerst worden gecontroleerd voordat productie wordt hersteld.
- IA (IA)
Industriële automatisering: bediening, besturing en bewaking van infrastructurele objecten; valt buiten deze architectuur.
- IAM (IAM)
Identity and Access Management: beheer van identiteiten en toegang.
- IGA (IGA)
Identity Governance and Administration: identiteitsbeheer dat de levenscyclus van identiteiten, rollen en rechten en de periodieke herbeoordeling verzorgt.
- Inhoudskenmerk
Cryptografische vingerafdruk (digest) van een containerbeeld of artefact, die alleen verandert als de inhoud verandert; herkomst en vrijgave blijken niet uit het kenmerk, maar uit handtekening en attestatie.
- IV (IV)
Informatievoorziening.
- Kluis
Fysieke kluis buiten het platform met de noodaccounts, de herstelsleutels, de noodwerkplek, de sleutels van herstelkopieën en de offline media van de herstelkern.
- Knooppunt
Server of virtuele machine die deel uitmaakt van een cluster (node).
- Koppelvlak
Vastgelegd aansluitpunt tussen twee netwerken of zones waar alleen vooraf toegestane stromen door mogen, zoals het koppelvlak met een missiekritiek netwerk of met het RWS-netwerk.
- Kubernetes
Opensourcesoftware, de de-factostandaard voor het uitvoeren en beheren van containers in een cluster: de besturing verdeelt het werk over de werkers en houdt de gewenste toestand in stand.
- Leeromgeving
Afgescheiden omgeving zonder RWS-gegevens waarin het ontwikkelteam installatie, updates en herstel oefent en nieuwe instellingen eerst beproeft.
- Legacy
Status van een oplossingsbouwsteen die wordt afgebouwd en geen plaats heeft in het doelbeeld; de opvolger staat.
- Leidende ontwerpkeuze
Een van de vier ontwerpkeuzes die de SOLL-architectuur voor Datacenter 3.0 dragen: identiteit als basis voor toegang, zelfservice binnen vooraf afgesproken kaders, geen vanzelfsprekend vertrouwen in netwerk- en dienstverkeer, en een opbouw uit gescheiden clusters voor kerntaken.
- Leverpad
Het vaste pad van aanvraag tot werkende omgeving in acht stappen: beschrijven, voorstellen, toetsen, goedkeuren, uitvoeren, standaardinrichting toepassen, status tonen, en controleren en overdragen.
- Materieel cloudgebruik
Gebruik van publieke clouddiensten voor de primaire taak of kerntaak van een organisatie, of voor grootschalige verwerking van persoonsgegevens.
- MK (MK)
Missiekritiek.
- Naamruimte
Afgebakend deel van een cluster (namespace) met eigen rechten, quota en netwerkbeleid; een team werkt alleen in zijn eigen naamruimten.
- Nazorgperiode
Periode van drie maanden na de overdracht waarin het ontwikkelteam platformbeheer ondersteunt.
- Niveaus van rechten
De zes niveaus: lezen, schrijven in eigen naamruimten in het ontwikkelprofiel, wijzigen in productie via versiebeheer, verhoging binnen de eigen dienst, platformbrede verhoging en de noodroute.
- Noodaccount en noodwerkplek
Account met volledige rechten binnen één cel en een beheerapparaat buiten het platform, beide in de kluis en alleen voor herstel als de gewone toegang niet werkt of is aangetast; ieder gebruik wordt gemeld.
- Noodroute
Vooraf ingerichte beheerroute voor urgente wijzigingen buiten het gewone leverpad, met dezelfde begrenzing van rechten; iedere noodwijziging wordt alsnog in code vastgelegd of ongedaan gemaakt en achteraf beoordeeld.
- NORA (NORA)
Nederlandse Overheid Referentie Architectuur.
- Nulmeting
Meting van de huidige levertijd, wachttijd en overdrachten als vergelijkingsbasis voor de eerste levering.
- Ontwerpbesluit
Vastgelegde en onderbouwde keuze van de architect, bijvoorbeeld bij een afwijking van de standaard of.
- Ontwikkelprofiel
Het dienstprofiel ontwikkelen en beproeven: begrensde capaciteit, een einddatum en opnieuw opbouwen als uitgangspunt.
- Ontwikkelteam
Team van interne en externe medewerkers dat het platform bouwt, beproeft en aan platformbeheer overdraagt; niet te verwarren met de applicatieteams, die het platform afnemen.
- Onveranderbare kopie
Herstelkopie buiten de cel, in de back-upvoorziening van RWS en buiten de beheerrechten van het platform, die binnen haar bewaartermijn niemand kan wijzigen of wissen, ook geen beheerder.
- OpenBao
Opensourcevoorziening voor geheimenbeheer die RWS al gebruikt (Applicatie-identiteit en geheimenbeheer).
- Opslagbeheer
RWS-team dat het opslagcluster van iedere cel bouwt en beheert; platformbeheer verzorgt de koppeling en het gebruik.
- Opslagcluster
Apart cluster in iedere cel dat blok-, bestands- en objectopslag levert aan alle clusters van die cel, ieder in een eigen afgeschermde ruimte.
- Opslagplaatsen van het platform
De vijf opslagplaatsen in het versiebeheer van het platform: Platform (inrichting van cellen en platformclusters), Beleid (beleid, varianten, normen en uitzonderingen), Catalogus (sjablonen, standaardinrichting, register van toegelaten software van derden en documentatie), Afnemers (dienstbeschrijvingen) en Draaiboeken (procedures en ontwerpbesluiten).
- Platformbeheer
Het RWS-team dat het platform na de overdracht beheert en vanaf het begin van de eerste levering meeloopt.
- Platformcluster en applicatiecluster
De platformclusters A tot en met E dragen het platform zelf: vlootbeheer, clusterbeheer, werkervirtualisatie, opslagcluster en basisdienstencluster.
- Pod
Kleinste eenheid die een cluster plant en bewaakt: één of enkele containers die samen op een knooppunt draaien.
- Portaalcluster
Apart applicatiecluster voor het ontwikkelaarsportaal en de ontwikkelomgeving, gescheiden van bouwtaken en platformdiensten.
- PQC (PQC)
Post-quantumcryptografie: cryptografie die is ontworpen om ook aanvallen met een quantumcomputer te weerstaan.
- Prestatielaag
Groep opslag met dezelfde hardware en plaatsing: normaal, snel of bulk; nieuwe hardware komt in een eigen laag.
- Product (oplossingsbouwsteen)
Product of voorziening waarmee RWS een functie invult, ook wel oplossingsbouwsteen genoemd.
- Productverantwoordelijke
De RWS-rol die prioriteit, volgorde en acceptatie van het werk aan het platform bepaalt.
- Proef langs het gebruikerspad
Test die het werkelijke gebruik door de afnemer nabootst, van aanmelding tot het opslaan en lezen van gegevens, in plaats van losse technische controles.
- Proefgroep
Beperkte, representatieve groep clusters die een update of beleidswijziging als eerste ontvangt.
- REA 2025
De enterprise-architectuur van Rijkswaterstaat, met als ondertitel ‘buitenste-binnen’: ontwerpen vanuit de keten naar binnen.
- Referentieset securityeisen
Eisenkader van RWS met 53 toetsbare eisen in acht onderwerpen, afgeleid van NIST SP 800-53 en gekoppeld aan ISO/IEC 27002:2022.
- Routeringsdomein (VRF)
Afzonderlijke routeringstabel in de fabric waarin de segmenten van één zone worden gerouteerd; de fabric routeert niet tussen routeringsdomeinen, zodat verkeer tussen zones alleen via de firewalls loopt.
- SaaS
Software as a Service: software die als dienst van een leverancier wordt afgenomen.
- SAK (SAK)
Security-architectuurkader: RWS-kader voor één afzonderlijk beveiligingsonderwerp, zoals cryptografie of isolatie.
- Samengevatte metingen (rollup)
Vaste selectie van metingen die het vlootbeheer van alle clusters ophaalt en samenvoegt tot één overzicht van beschikbaarheid, capaciteit en gezondheid.
- SBOM (SBOM)
Software Bill of Materials: onderdelenlijst van een softwarelevering, in een open formaat zoals SPDX of CycloneDX (Gecontroleerde softwarelevering).
- Segment
Virtueel laag-2-netwerk in de fabric, bijvoorbeeld het werkernetwerk van één applicatiecluster.
- SIEM (SIEM)
Security Information and Event Management: voorziening van het SOC die beveiligingslogboeken verzamelt en analyseert.
- Sleutelceremonie
Vastgelegde bijeenkomst waarin sleutelmateriaal wordt aangemaakt en over houders wordt verdeeld.
- SLSA (SLSA)
Supply-chain Levels for Software Artifacts: open specificatie voor de herkomst en het bouwproces van software.
- SOC (SOC)
Security Operations Centre: onderzoekt beveiligingssignalen en coördineert de opvolging.
- SOLL-architectuur
De beoogde architectuur: hoe het moet worden.
- Spiegel (spiegelregistry)
Gecontroleerde kopie van leverancierssoftware, zoals containerbeelden en installatiebestanden, die buiten het platform wordt opgehaald en gecontroleerd en pas daarna in de containerregistry wordt vrijgegeven; clusters hebben zelf geen internettoegang.
- SPIFFE (SPIFFE)
Open standaard voor de identiteit van draaiende software.
- Standaardinrichting
Het vaste pakket beleid en voorzieningen dat het vlootbeheer op ieder applicatiecluster afdwingt en dat een team niet kan wijzigen, zoals netwerkbeleid, toelatingscontrole, geheimenbeheer, applicatie-identiteit, bewaking en back-up.
- Tijdelijke registry en tijdelijk versiebeheer
Containerregistry en versiebeheer op de voorlopige beheerwerkplek tijdens de voorbereiding en de bouw van het opslagcluster, totdat het basisdienstencluster die diensten levert; daarna uitgeschakeld.
- Toelatingscontrole
Controle op ieder cluster die alleen ondertekende, vrijgegeven software uit de eigen containerregistry laat starten.
- Toelatingsroute
Route waarlangs software van derden die RWS niet herbouwt, wordt vrijgegeven in de containerregistry: eerst quarantaine, dan controle van herkomst en handtekening van de leverancier, scan en onderdelenlijst, en ten slotte ondertekening door het platform.
- Toets
Situatie waarin wordt beproefd of een keuze werkt, met slaagcriterium, eigenaar en bewaard resultaat.
- TPM (TPM)
Trusted Platform Module: beveiligingschip in een server voor sleutels en controle van de opstart, volgens ISO/IEC 11889.
- Transparantielogboek
Controleerbaar logboek waarin handtekeningen op software worden vastgelegd, zodat misbruik van een ondertekeningssleutel zichtbaar wordt.
- Uitrolgolf
Groep clusters die een update of beleidswijziging in dezelfde ronde ontvangt: eerst de proefgroep, daarna golf 1 en golf 2.
- Variant (dienstvariant)
Vooraf door de beheerdomeinen goedgekeurde keuze binnen een dienst, zoals een netwerkvariant of een werkermaat; een aanvraag binnen de varianten wordt automatisch goedgekeurd als alle geautomatiseerde controles slagen, daarbuiten volgt beoordeling.
- Vastlegging
Ondertekende wijziging (commit) die in versiebeheer is vastgelegd.
- Verhoging (van rechten)
Tijdelijke, taakgebonden toekenning van extra rechten binnen de eigen dienst of platformbreed, met vastgelegde reden en goedkeuring door een ander dan de aanvrager.
- Versiebeheer van het platform
Basisdienst met de vijf opslagplaatsen van het platform zelf; het is de bron voor vlootbeheer en automatisering.
- Versielabel
Leesbare naam (tag) voor een versie in de containerregistry, die naar een inhoudskenmerk verwijst en na vrijgave niet meer kan worden gewijzigd.
- Vlootbeheer
Gezamenlijk beheer van alle clusters in alle cellen vanaf het vlootcluster (A in figuur 2): één beleid, één overzicht van versies en een vaste volgorde van uitrol.
- Werker
Virtuele of fysieke machine die in een applicatiecluster het werk uitvoert en de toepassingen draagt; standaard een virtuele werker, als variant een fysieke werker.
- Werkvoorraad
Lijst van bevindingen, afwijkingen en wijzigingen, met eigenaar en termijn, die beheer en ontwikkelteam afwerken.
- Wijzigingsvoorstel
Voorstel tot wijziging van een opslagplaats dat wordt beoordeeld voordat het wordt samengevoegd (merge request); buiten de noodroute de enige manier om inrichting, beleid of een dienstbeschrijving te wijzigen.
- Zelfstandig op locatie
Plaatsingsoptie bij een dienstprofiel voor zelfstandig werken op locatie bij verbindingsverlies: welke taken doorgaan en hoelang.
- Zero trust
Beveiligingsbenadering waarin geen netwerk of onderdeel als vertrouwd geldt omdat het binnen staat; iedere toegang wordt per verzoek op identiteit en beleid gecontroleerd.
- Zone
Afgeschermd deel van het datacenternetwerk, zoals beheer, platform, ingang of herstel, met een eigen vertrouwensniveau en eigen toegangsregels; iedere zone heeft in de fabric een eigen routeringsdomein, zodat verkeer tussen zones alleen via de firewalls loopt.
- Zonecontrole
Automatische toets of een gevraagde verbinding tussen zones op de lijst van toegestane stromen staat; zo niet, dan beoordeelt netwerkbeheer haar.