Gebruikersprovisioning en authenticatie

• Algemeen
• Wat is gebruikersprovisioning?
• Wat is gebruikersauthenticatie?
• Waarom het verschil belangrijk is
• Voorbeeld
• Provisioning en authenticatie in Asset/Workplace
  • Begrippen
  • Asset
  • Workplace Experience
  • Scenario’s

Algemeen

Toegang beheren en identiteit controleren zijn essentieel voor beveiliging en bedrijfsvoering. Provisioning en authenticatie worden vaak samen genoemd, maar hebben verschillende doelen.

Wat is gebruikersprovisioning?

Dit is het aanmaken, beheren en verwijderen van accounts en toegangsrechten in systemen, applicaties en netwerken. Het bepaalt welke toegang en bevoegdheden gebruikers krijgen.

Dit omvat:

• Accounts aanmaken
• Rollen en rechten per functie toewijzen
• Toegang bij functiewijziging aanpassen
• Accounts deactiveren of verwijderen bij vertrek

Zo krijgt iedereen toegang volgens het organisatiebeleid.

Wat is gebruikersauthenticatie?

Dit is het verifiëren van identiteit bij toegang tot een systeem. Het inlogscherm controleert of de gebruiker werkelijk is wie die beweert te zijn.

Voorbeelden:

• Wachtwoorden
• Multifactorauthenticatie zoals sms of authenticatorapps
• Biometrie zoals vingerafdruk of gezichtsherkenning
• Single Sign-On (SSO)

Authenticatie beschermt tegen onbevoegde toegang en datalekken door alleen geverifieerde gebruikers toe te laten.

Waarom het verschil belangrijk is

Ze ondersteunen samen veilige toegang maar lossen verschillende problemen op:

• Provisioning bepaalt wat gebruikers mogen doen
• Authenticatie bepaalt wie binnen mag

Zonder juiste provisioning ontstaan onbedoelde rechten; zonder authenticatie kan iemand een gebruiker nabootsen.

Samen vormen ze de basis van IAM voor veiligheid, compliance en efficiëntie.

Voorbeeld

Een nieuwe medewerker:

Gebruikersprovisioning:

IT doet het volgende:

• Maakt het zakelijke e-mailaccount aan
• Geeft toegang tot Slack, Microsoft 365 of Salesforce
• Wijst Marketing, HR of Finance-groepen toe

Dit geeft de medewerker de benodigde hulpmiddelen voor de functie.

Gebruikersauthenticatie:

Dagelijks inloggen omvat:

• Gebruikersnaam en wachtwoord
• Een telefooncode voor MFA

Dit controleert of de medewerker zelf toegang vraagt.

Provisioning en authenticatie in Asset/Workplace

Begrippen

• JIT: Just-in-Time maakt en beheert accounts automatisch in Workplace Experience en Asset bij aanmelding, zonder voorafgaande handmatige IT-inrichting.
• SCIM: open standaard voor platformoverstijgend identiteitsbeheer. Gebruikers met rechten worden automatisch aangemaakt, gewijzigd en verwijderd in Asset.
• SSO: één set gegevens voor meerdere applicaties zonder telkens een wachtwoord. De identiteitsprovider, zoals Microsoft, handelt authenticatie af.

Asset

Provisioning via SCIM:

Azure, momenteel de enige ondersteunde provider, provisionert groepen en gebruikers met passende Asset-rechten.

Handleidingen: Configuratiehandleidingen voor SCIM

Provisioning via Azure AD:

SCIM gebruikt Integration Platform. Rechtstreekse Azure-provisioning kan ook via baselinescripts in Asset. Klantafwijkingen vereisen maatwerkscripts die complex kunnen worden; alleen ervaren consultants richten dit in.

Handleidingen: Azure AD-provisioning configureren

Gebruikersautorisatie via SSO:

Met SSO log je via bijvoorbeeld e-mail zonder wachtwoord in. De gebruikerstoegang wordt door SSO gevalideerd.

Handleidingen: Configuratiehandleidingen voor SSO

Workplace Experience

JIT: gebruiker in Workplace Experience aanmaken

Bij eerste login wordt WPE automatisch aangemaakt. Asset moet de gebruiker al hebben. Een mappingattribuut, zoals User ID, koppelt beide.

Zie: Workplace-gebruikers automatisch aanmaken, wijzigen en verwijderen

JIT: gebruiker in Asset aanmaken

Bij eerste login worden WPE en Asset aangemaakt op basis van User ID. Voornaam, achternaam en WPM ID worden bij elke login bijgewerkt.

Zie: Workplace-gebruikers automatisch aanmaken, wijzigen en verwijderen

Gebruikersautorisatie via SSO:

App en Go ondersteunen SSO met e-mail zonder wachtwoord. SSO valideert de toegang.

Configureer in Studio; zie: Workplace SSO instellen

Scenario’s

Alleen Asset:

Mogelijkheden:

• Handmatig: Accounts en rechten handmatig, inloggen met wachtwoord.
• Alleen SSO: handmatige aanmaak en rechten, authenticatie via SSO zonder Asset-wachtwoord.
• SSO + SCIM: automatische aanmaak en rechten via SCIM, login via SSO. Configuratie kost tijd maar voorkomt handmatig beheer.
• Alleen SCIM: automatische aanmaak en rechten, login met gebruikersnaam en wachtwoord. Wachtwoorden moeten handmatig worden verstrekt.

Asset en Workplace Experience:

Mogelijkheden:

• Handmatig: Accounts en rechten in beide applicaties handmatig, login met wachtwoord.
• Alleen SSO in WPE: handmatige WPE-aanmaak en rechten, WPE-login via SSO. Asset vereist gebruikersnaam en wachtwoord als daar ook toegang nodig is.
• SSO in WPM en WPE: handmatige aanmaak en rechten in beide, login via SSO.
• SSO + JIT (aanmaak in WPE): bij login wordt de gebruiker met standaard rechten in WPE aangemaakt. Vooraf aanmaken is niet nodig; authenticatie verloopt via SSO.

  • JIT vereist SSO

• SSO + JIT (aanmaak in WPE) + JIT (aanmaak in WPM): Asset wordt bij login aangemaakt met standaardprofiel, zonder voorafgaande handmatige aanmaak. Aanmelden op WPE verloopt via SSO.

  • JIT vereist SSO

  • Asset-JIT vereist ook WPE-JIT.