Domein · Vertrouwen
Geheimen, sleutels & certificaten
Rust op Veertien domeinen met hun ontwerp op hoofdlijnen. Bevestigd door vdo89 op 28 september 2026. Eigenaar: vdo89. Bron in de atlas
Grens. Vernieuwen en intrekken moeten ook werken bij lopende verbindingen. Het materiaal om het geheimenbeheer te herstellen staat niet alleen in dat geheimenbeheer zelf, maar ook buiten de cel.
Eigen geheimenbeheer per cel; herstelvertrouwen buiten de cel
Werklasten krijgen beperkte, tijdelijke toegang. Certificaten en inloggegevens worden tijdens gebruik vernieuwd.
Onderwerpen
3 onderwerpen6 vastgesteld2 in besluitvorming40 voorstellen
- Geheimenbeheer
Hoe toepassingen en beheerders aan geheimen komen. Eén geheimenbeheer per cel, kort geldige inloggegevens op de eigen identiteit, en vervanging zonder onderbreking waar de koppeling dat toelaat.
4 vastgesteld2 in besluitvorming18 voorstellen
- Sleutels, ontgrendeling en versleuteling
Welke sleutels er zijn en waar ze liggen, hoe het geheimenbeheer van buiten de cel wordt ontgrendeld, en wat er in rust en tijdens transport versleuteld is.
0 vastgesteld14 voorstellen
- Certificaten en PKI
Waar certificaten vandaan komen en hoe lang ze gelden. De interne RWS-PKI is de wortel, iedere cel heeft een eigen tussen-CA, certificaten zijn kortlevend en worden automatisch vernieuwd, en publieke namen hebben een gescheiden keten.
2 vastgesteld8 voorstellen
Onderdelen
Toepassingsidentiteit
Verbindt de werklast aan zijn naamruimte en serviceaccount en levert een kort geldig bewijs.
Geheimenbeheer
Bewaart en verstrekt geheimen en beheert tijdelijke toegang volgens de toegestane rol.
Afnemende dienst
Accepteert de identiteit of tijdelijke gegevens en handhaaft de rechten van de toepassing.
Vertrouwensbasis
Levert de wortel voor de certificaten van het platform en de uitgevende instantie per cel.
Uitgifte en verversing
Beheert certificaten en stelt geheimen beschikbaar volgens het vastgelegde patroon.
Herstel buiten de cel
Maakt herstel mogelijk zonder afhankelijk te blijven van het getroffen geheimenbeheer.
Samenhang
- Toepassingsidentiteit → Geheimenbeheerherkent werklast
- Geheimenbeheer → Afnemende diensttijdelijke toegang
- Vertrouwensbasis → Geheimenbeheervertrouwensketen
- Geheimenbeheer → Uitgifte en verversinguitgifte & vernieuwing
- Herstel buiten de cel → Geheimenbeheerontgrendelen bij herstel
Wat het domein moet bereiken
- Beperkte blootstelling
- Geen vaste geheimen in broncode; toepassingen krijgen kortlevende toegang op basis van een eigen identiteit.
- Herstel buiten de cel
- Ontgrendel- en herstelsleutels blijven bruikbaar als de cel of de kluisdienst zelf is getroffen.
- Werkelijke intrekking
- Rotatie is pas af als de afnemer de nieuwe waarde gebruikt en de oude nergens meer werkt.
Belanghebbenden
- PKI-beheer
- Levert de uitgevende instantie per cel, de naambeperkingen en de onafhankelijke vertrouwensbasis.
- Platformbeheer en sleutelhouders
- Beheren het geheimenbeheer, de rollen, het vervangen en het herstel.
- Applicatieteams
- Ondersteunen herladen, vernieuwen en opnieuw verbinden.
Samenwerking met andere domeinen
- Werklasten
- Krijgt: Cluster, naamruimte en serviceaccount als identiteit. Levert: Geheim, kort certificaat of tijdelijke databasegegevens.
- Doelsystemen
- Krijgt: Uitgifte en intrekking. Levert: Tijdelijke rollen, certificaten en vervanging.
- Externe vertrouwensbasis
- Krijgt: Uitgevende instantie, certificaat en ontgrendelmateriaal. Levert: Aanvraag, ketencontrole en audit.
- Herstel en SOC
- Krijgt: Gecontroleerd herstelverzoek en detectie. Levert: Kopieën, audit en verslag van de sleutelceremonie.
- Clusters
- Volgt uit
Opbouw
Iedere cel heeft een eigen geheimenbeheer op lokale opslag, zodat herstel van de gedeelde opslag niet afhangt van een geheimenbeheer dat op die opslag zou staan. Rollen per cluster en toepassing begrenzen de toegang. Tijdelijke gegevens vernieuwen automatisch; langlevende gegevens hebben een vast vervangproces. De vertrouwensbasis voor certificaten en het herstelmateriaal liggen buiten de cel.