Onderwerp
Nog niet bevestigd door een mens. Eigenaar: vdo89. Bron in de atlas
De identiteitsketen brengt de identiteit van een persoon van de RWS-bronnen naar het doelsysteem. RWS-HR en de directory voeden het identiteitsbeheer van de cel, dat accounts, rollen en groepen beheert. De toegangsvoorziening verzorgt de aanmelding en geeft de groepen mee, en het doelsysteem handhaaft de rechten. Dit onderwerp legt de keten vast: de bronnen en accounts, de voorzieningen met hun versies, hun plaats in het netwerk en hoe ze zelf worden beheerd.
De exemplaren, databases en back-ups van de voorzieningen horen bij het basisdienstencluster; zie De basisdiensten en hun plaatsing. De directory en RWS-HR zelf vallen buiten het domein.
Wie binnen is in het netwerk, krijgt daarmee geen rechten: identiteit is de grens. Door identiteitsbeheer en aanmelding te scheiden, zijn levenscyclus, herbeoordeling en intrekking aantoonbaar, los van de aanmelding.
Eigen voorzieningen per cel zorgen dat een fout of een gestolen recht in de ene cel de andere niet raakt; alleen de bronnen bij RWS zijn gedeeld.
Identiteit is de belangrijkste grens van het platform. Toegang volgt uit een gecontroleerde identiteit en een expliciete rol, niet uit de plaats in het netwerk; het netwerk beperkt alleen de ingangen. Clusters en platformdiensten ontlenen rechten alleen aan rollen en kennen de persoon alleen voor de audit.
Zo volgt het domein de ontwerpkeuze Toegang op basis van identiteit.
RWS houdt de regie over identiteits- en toegangsbeheer. IAM-beheer, de rol Identiteitsbeheer van RWS, is eindverantwoordelijk voor de identiteitsketen en het rollenmodel, en de identiteiten komen uit de eigen bronnen van RWS: RWS-HR en de directory.
Identiteitsbeheer en aanmelding zijn twee voorzieningen, elk met een eigen database. midPoint is het identiteitsbeheer: levenscyclus, rollen, tijdelijke rechten en herbeoordeling. Red Hat build of Keycloak is de toegangsvoorziening: aanmelding met meerfactoraanmelding, met de groepen in het toegangsbewijs. Beide draaien op het basisdienstencluster van de cel.
Afgewezen alternatief: alleen Keycloak, met groepen uit de directory. Dan zijn intrekking en herbeoordeling niet aantoonbaar.
Iedere cel heeft een eigen toegangsvoorziening en een eigen identiteitsbeheer, gevoed uit de centrale RWS-bronnen. Gedeeld zijn alleen die bronnen, RWS-HR en de directory, niet het identiteitsbeheer. De directory (Active Directory) levert identiteiten, geen autorisaties; autorisaties worden op de doelsystemen afgedwongen.
Afgewezen alternatief: één voorziening voor beide cellen. Eén fout of gestolen recht raakt dan beide cellen. Alleen de vlootbrede rollen reiken over de cellen, met aparte maatregelen. De afdwinging wordt per doelsysteem beproefd met de toets Beheertoegang en noodtoegang.
Het identiteitsbeheer leest RWS-HR voor instroom, wijziging en vertrek en de directory (AD DS) voor bestaande accounts, en correleert ze op personeelsnummer. In de directory schrijft het alleen de groepen voor apparatuur. Onverwachte bronwijzigingen pauzeren de synchronisatie in simulatiemodus; een bevestigd vertrek gaat altijd door.
Een gepauzeerde bronsynchronisatie schort de norm voor intrekking niet op. Grote verschillen na uitval van een bron worden eerst in simulatiemodus verwerkt. Directorybeheer en de eigenaar van RWS-HR leveren de bronnen; de directory en RWS-HR zelf vallen buiten het domein.
Iedere persoon werkt met één persoonlijk account, dat alleen in het identiteitsbeheer ontstaat, vanuit RWS-HR en de directory. Gedeelde persoonsaccounts bestaan niet. De toegangsvoorziening kent geen andere lokale gebruikers dan de noodaccounts, en ieder gebruik daarvan is gekoppeld aan de twee personen van de uitgifte.
Reden: herleidbaarheid. Controle: een geplande vergelijking van de accounts in Keycloak met midPoint en een scan op lokale accounts; beleid meldt iedere extra identiteitsaanbieder in een cluster.
Installatie- en beginaccounts van clusters, Keycloak, midPoint, Guacamole, Forgejo, Quay, Ansible Automation Platform, NetBox en apparatuur zijn verwijderd, vervangen of in de kluis gelegd, pas nadat aanmelding en noodtoegang zijn beproefd; waar verwijderen niet kan, is het account uitgeschakeld. Standaardwachtwoorden, zoals van OneView, NetScaler, iLO en het Ceph-dashboard, zijn vervangen.
Reden: geen bekende wachtwoorden. Controle: een controlelijst per product bij de oplevering en een compliancecontrole op het installatieaccount van ieder cluster.
De omvang van identiteit en toegang bij de eerste levering en de beoogde groei.
| Kenmerk | Eerste levering | Groei |
|---|---|---|
| Exemplaren per cel | Toegangsvoorziening 3; identiteitsbeheer 2; gateway met beheeringang en teamingang, elk 2 webtoepassingen en 2 × guacd; platformpool en teampool van elk 2 beheerservers | Dezelfde opbouw in cel 2, in groeipadstap 2 |
| Aangesloten clusters | vl-01, c1-bd-01, c1-cb-01 en c1-vw-01; op de tien plaatsen van het clusterbeheer het bouwcluster, het portaalcluster en ten hoogste zeven applicatieclusters van teams, en één plaats voor de herstelomgeving | 24 applicatieclusters; per cluster één client |
| Aangesloten diensten | Basisdiensten, Argo CD, Advanced Cluster Security, Developer Hub, Ceph-dashboard, iLO en OneView | Eigen bewakingsvoorziening in groeipadstap 2; diensten van groeipadstap 3 en 4 |
| Rollen en niveaus | Tien rollen en zes niveaus van rechten | Per nieuw team dezelfde groepen; teamrollen per naamruimte in de applicatieomgeving voor containers |
| Noodtoegang | Per cel 2 noodaccounts; per platformcluster een certificaat-kubeconfig; per apparaat een lokale beheerder; één noodwerkplek | Dezelfde set voor cel 2 |
De installatie, opslag en back-up van de voorzieningen staan bij De basisdiensten en hun plaatsing.
De softwarestapel van identiteit en toegang. De leveranciers bevestigen de stapel en de tussenliggende upgradecombinaties bij de acceptatie, voor midPoint en de connector Evolveum of een partner; anders geldt voor de connector de terugvaloptie en voor de rest de vorige ondersteunde versie.
| Product | Versie | Rol | Ondersteuningsvoorwaarde |
|---|---|---|---|
| Red Hat build of Keycloak | 26.6, operator met Keycloak-CR v2beta1 | Toegangsvoorziening | Red Hat; een realmimport alleen voor een nieuwe realm, wijzigingen via de beheer-API |
| midPoint | 4.10, ondersteund tot 26 november 2027; PostgreSQL 17 op CloudNativePG 1.30.1 | Identiteitsbeheer | Abonnement bij Evolveum of een partner; overstap naar de volgende versie met lange ondersteuning vóór 26 november 2027 |
| Connector voor de beheer-API van Keycloak | Vastgezette versie | Accounts en groepen naar Keycloak | Onder het abonnement van midPoint; voorwaarde bij de acceptatie, met terugvaloptie |
| Apache Guacamole | 1.6.0 | Toegangsgateway met sessieopname | Voorwaarden bij de acceptatie, met terugvalopties voor de opname en voor de sleutel in de sessie |
| Red Hat Enterprise Linux | 10 | Beheerservers met de vaste beheerhulpmiddelen | Bijwerken door vervanging uit code |
| OpenShift Container Platform | 4.22 | Ingebouwde OAuth-server met Keycloak als OpenID-aanbieder | Niet de rechtstreekse externe OIDC, die de OAuth-server en het installatieaccount uitschakelt |
| Red Hat Zero Trust Workload Identity Manager | 1.1.1 | Applicatie-identiteit (SPIFFE en SPIRE) | 1.1 volledig ondersteund tot 16 november 2026; een ondersteunde opvolger is een voorwaarde bij de acceptatie van clusters als dienst, met terugvaloptie |
| OpenBao | 2.7.0 | OIDC voor beheerders; Kubernetes-authenticatie per cluster; SSH- en database-engine voor tijdelijke bewijzen | 2.7 verwijdert de aanmeldmethoden LDAP, Kerberos en RADIUS, die niet worden gebruikt |
| AD DS en RWS-HR | Bestaande RWS-voorzieningen | Bronnen; eerste factor; aanmelding van apparatuur zonder OIDC | Koppelvlak, bronaccounts en organisatie-eenheid voor apparatuur in de dienstafspraak |
Voor OpenBao stond eerst 2.6.3; het domein geheimen en het basisdienstencluster gaan uit van 2.7.0, de nieuwste minorversie. Die tegenspraak vraagt een besluit. Voor de actuele versies en ondersteuningstermijnen gelden de feiten uit de publieke documentatie.
midPoint zet accounts en groepen in Keycloak met de connector voor de beheer-API van Keycloak, in een vastgezette versie onder het abonnement van midPoint. De connector wordt bij iedere upgrade van Keycloak beproefd.
De ondersteuning van de connector is een voorwaarde bij de acceptatie. Terugvaloptie: een draaiboek van de automatisering tegen de beheer-API, gestart door midPoint en ieder uur.
De voorzieningen gaan mee in de upgradestap van het basisdienstencluster, na het vlootcluster en vóór het clusterbeheer, één basisdienst per venster. Daarbinnen gaan de connector en midPoint eerst in de leeromgeving tegen de nieuwe Keycloak-versie, daarna Keycloak, midPoint en de gateway. Een back-up van de database van Keycloak is de terugweg. Nieuwe instellingen van clients of van de groepsafbeelding gaan na de leeromgeving eerst naar de clients van de proefgroep, dan per uitrolgolf.
Na een upgrade worden aanmelding, verhoging en intrekking gecontroleerd.
De voorzieningen groeien per cel, niet per cluster: een nieuw applicatiecluster krijgt één client en rolbindingen naar bestaande groepen, een nieuw team zijn groepen. Twee van de drie exemplaren van de toegangsvoorziening dragen de piek van een cel. De normen gelden voor alle afnemers, los van het dienstprofiel.
Aangetoond met de belastingsproef bij de acceptatie. De reserve van het basisdienstencluster voor uitval van één server wordt niet uitgegeven; processor of geheugen boven 85 procent gedurende 15 minuten is een melding en leidt tot uitbreiding.
Toegangsvoorziening, identiteitsbeheer en de webtoepassing en guacd van de gateway draaien als containers op het basisdienstencluster, in het routeringsdomein platform (VLAN 610). De platformpool, de beheerapparaten en, alleen bij gebruik, de noodwerkplek staan in VLAN 600 in het routeringsdomein beheer; de teampool staat op het podnetwerk. De guacd van de beheeringang bereikt de platformpool via de firewall.
De toegangsvoorziening heet toegang.<cel>.dc3.internal. De beheerconsole en de ingangen hebben eigen hostnamen, clients vaste terugverwijsadressen. Servercertificaten komen via cert-manager uit de PKI van het geheimenbeheer, onder de tussen-CA van de cel, en gelden ten hoogste 90 dagen. Alleen de dienstnamen van diensten met het profiel bedrijfskritische productie krijgen een certificaat uit de tussen-CA ‘vloot’, met een rol per dienst.
Zie ook Certificaten en PKI.
De verbindingen van identiteit en toegang, met poort en doel.
| Van | Naar | Poort en protocol | Doel |
|---|---|---|---|
| Beheerapparaten (VLAN 600) | Beheeringang; toegangsvoorziening | TCP 443 | Aanmelding en sessies; van beheer naar platform |
| Externe verkeersverdeling | Eigen doeladressen op het basisdienstencluster, zonder beheerconsole | TCP 443, doorgifte | Aanmelding en teamsessies vanaf kantoor; TLS eindigt bij de dienst; beheeringang en andere basisdiensten onbereikbaar |
| guacd van de beheeringang | Platformpool (VLAN 600) | TCP 22 (SSH), TCP 3389 (RDP, grafische sessie) | Opgenomen sessies; van platform naar beheer, vanaf een eigen bronadres |
| guacd van de teamingang | Teampool | TCP 22, TCP 3389 | Opgenomen sessies; binnen het basisdienstencluster |
| guacd | Objecttoegang (VLAN 622) | TCP 443 | Opnames; binnen het routeringsdomein platform |
| Platformpool | API’s, consoles en dashboards | TCP 6443, 443, 8443 | Beheer |
| Teampool | API’s van applicatieclusters op het clusterbeheer; toegangsvoorziening | TCP 6443, 443 | Verhoogde teamsessies; binnen het routeringsdomein platform, met netwerkbeleid |
| OAuth-servers en werkers van clusters | Toegangsvoorziening | TCP 443 | OIDC |
| Identiteitsbeheer | AD DS en RWS-HR | TCP 636 (LDAPS); RWS-HR volgens het detailontwerp | Identiteiten lezen, groepen voor apparatuur schrijven |
| Toegangsvoorziening | AD DS | TCP 636 (LDAPS) | Eerste factor |
| iLO en firmwarebeheer (VLAN 600) | AD DS | TCP 636 (LDAPS) | Aanmelding via de directory; van beheer naar extern |
| Toegangsvoorziening van de eigen bewakingsvoorziening | AD DS | TCP 636 (LDAPS) | Eerste factor, vanaf groeipadstap 2 |
| Voorzieningen en beheerservers | SIEM | Volgens de logaansluiting van het SOC | Audit- en beveiligingslogboeken |
De stromen tussen routeringsdomeinen staan ook in de zonematrix van Netwerk, ingang & zones.
Rollenmodel, koppelingen, realminstellingen en clients staan één keer als code vast, in de opslagplaats Platform; exemplaren en gegevens zijn per cel. Zij wijzigen alleen via die opslagplaats, eerst in de leeromgeving, en een noodwijziging staat binnen 1 werkdag in code. Het vlootbeheer rolt de rolbindingen uit vanuit basis/.
Een wijziging van het rollenmodel raakt beide cellen en vraagt daarom twee beoordelaars naast de auteur; een fout in gegevens blijft in één cel. Controle: een export van de realm, vergeleken met versiebeheer, en een melding van het SOC bij wijzigingen buiten versiebeheer.
Keycloak en midPoint wijzigen via code en automatisering tegen hun beheer-API. Rechtstreeks ingrijpen vraagt een platformbrede verhoging in de groep <cel>-iam-verhoogd, vanuit de platformpool, met de beheerrollen van de realm platform. De master-realm dient alleen de eerste inrichting en heeft geen persoonlijke accounts. De beheerconsole van Keycloak heeft een eigen hostnaam en is alleen vanuit de platformpool bereikbaar.