KeyHub werkt volgens het principe centrale authenticatie, decentrale autorisatie. Dit houdt in dat iedere gebruiker zich in principe eenmalig authenticeert (centraal) en vervolgens via verschillende groepen toegang krijgt tot alle gegevens die gekoppeld zijn aan die betreffende groepen. Het beheren van groepen wordt door verschillende groepsmanagers gedaan (decentraal).

Dit document is opgedeeld in twee delen: het eerste gedeelte beschrijft het proces voor reguliere gebruikers van KeyHub waarin onder andere het registreren en het dagelijkse gebruik van KeyHub worden toegelicht. Het tweede gedeelte gaat in op de beheerfuncties en het koppelen van nieuwe systemen.

Je account in KeyHub kan je zelf aanmaken. Ga naar het webadres waar KeyHub voor jouw organisatie draait (meestal https://keyhub.<jouw_organisatie>.com), klik op ‘Registreer’ en volg de stappen op het scherm.

KeyHub heeft een eigen browser-extensie. Hiermee wordt het nog eenvoudiger om wachtwoorden uit KeyHub op websites in te vullen. Ga naar www.topicus-keyhub.com/browser-extensions en kies de extensie voor jouw browser. Je wordt vervolgens naar de webpagina geleid waar je de extensie kan installeren.

Na het installeren van de extensie ga je in KeyHub naar “Profiel > instellingen” en klik daar op ‘browser-extensie koppelen’.

Nu zal je rechts bovenaan in je browser een icoon zien staan van KeyHub. Als je daarop klikt, kan je direct je wachtwoorden uit de kluizen van KeyHub halen.

Maakt jouw organisatie gebruik van de 2-factor authenticatie van KeyHub, dan kan je de Topicus KeyHub app gebruiken. Deze is te vinden in de app-stores van Apple en Android en hiermee krijg je een push-notificatie als je in KeyHub een 2FA-code moet invoeren. Je hoeft dan alleen nog maar op ‘Login’ te drukken in plaats van de 6-cijferige code over te tikken.

Een alternatief voor de KeyHub-app is bijvoorbeeld Google Authenticator of Microsoft Authenticator. Deze beide apps werken ook prima, maar dan zal je geen push-notificatie krijgen en moet je de 6-cijferige code zelf overtikken.

Naast TOTP-gebaseerde apps kun je ook elke FIDO2-compatibele security key gebruiken voor 2-factor authenticatie. Topicus KeyHub ondersteunt het WebAuthn-protocol, zodat je elke compatibele hardware security key (soms ook wel een "dongle" genoemd) kunt gebruiken.

Op sommige apparaten kun je zelfs je besturingssysteem koppelen als software-gebaseerde security key, zodat je bijvoorbeeld de ingebouwde vingerafdrukscanner kunt gebruiken als tweede factor.

Kom je in KeyHub zelf iets tegen dat je niet direct begrijpt, kan de handleiding mogelijk hulp bieden. Klik onder PROFIEL op het vraagteken en de handleiding wordt geopend op een nieuw tabblad. Hier vind je uitvoerige informatie over KeyHub.

Als je ingelogd bent in KeyHub kan je naar Kluizen gaan ('Vaults' in het Engels). Hier wordt onder andere je ‘Persoonlijke kluis’ getoond. Deze persoonlijke kluis is bedoeld voor al jouw eigen, zakelijke wachtwoorden. Denk hier bijvoorbeeld aan het systeem voor urenregistratie, verlofaanvragen en andere systemen waar jij persoonlijk op inlogt met een gebruikersnaam en wachtwoord.

In KeyHub wordt alles geregeld via groepen. Iedere groep geeft toegang tot één of meerdere applicaties, servers of wachtwoordkluizen en de verantwoordelijkheid hiervan ligt bij één of meerdere groepsmanagers. Je kan zelf de groepen aanvragen die voor jou specifiek van toepassing zijn. Ga naar Mijn Groepen en klik daar op ‘Aanvragen’. Je ziet vervolgens een lijst met groepen die er al zijn binnen jouw organisatie. Zoek daar de groepen die voor jouw functie of werkzaamheden van toepassing zijn en klik op ‘vraag aan’.

Naast je persoonlijke kluis heeft KeyHub ook groepskluizen. Iedere groep heeft een eigen kluis om wachtwoorden, externe 2FA-codes en bestanden veilig in op te slaan. Als je een wachtwoord hebt dat je wilt opslaan in KeyHub, kies dan de groep waar dit wachtwoord bij hoort en maak een nieuwe kluisregel aan. Hier kan je het wachtwoord in plaatsen. Als je wilt, kan je KeyHub ook een nieuw, sterk wachtwoord laten genereren. Na opslaan zal iedereen die binnen die groep zit direct kunnen beschikken over het wachtwoord.

Je hebt in KeyHub je eigen profiel-pagina. Hierop kan je onder andere de voorkeurstaal veranderen. Ook kan je via deze weg zien welke applicaties over welke data kunnen beschikken en waar je overal bent ingelogd.

Het komt nog wel eens voor dat je een nieuwe telefoon krijgt. In dat geval moet je ook direct je 2FA-code aanpassen zodat je deze op je nieuwe telefoon weer kan genereren. Dit kan direct vanuit KeyHub via de Profiel-pagina. Bedenk je wel dat je hiervoor je oude 2FA-code nodig hebt! Mocht je die kwijt zijn, bijvoorbeeld omdat je oude telefoon kapot gegaan is, dan heb je een 2FA-reset nodig. Deze kan je aanvragen via de login-pagina van KeyHub en zal te allen tijde goedgekeurd dienen te worden door één of meer gebruikers uit je organisatie.

Als je veel gebruik maakt van Unix-based omgevingen, kan je daarop met een SSH-key inloggen. Deze SSH-key kan je in KeyHub opslaan zodat single sign-on naar bijvoorbeeld Linux of Unix-omgevingen nog eenvoudiger wordt.

Iedere groep heeft één of meerdere groepsmanagers. Een groepsmanager is iemand die de verantwoordelijkheid draagt over alles wat er in die groep gebeurt. Een groep kan toegang geven tot bijvoorbeeld applicaties, servers en/of wachtwoorden en de groepsmanager is daarvoor verantwoordelijk. Ook kan een groepsmanager groepsleden uit de groep zetten en andere leden tot manager promoveren.

In de meeste gevallen kan een KeyHub-account handmatig aangemaakt worden. Kies hiervoor de optie Registreer op het loginscherm. Vervolgens kan via een drietal stappen het account worden aangemaakt.

Indien er een activatiecode verstuurd is, kan hiermee ook een nieuw account worden geregistreerd. Kies hiervoor op het loginscherm voor de optie ik heb een activatiecode (of volg de link in de e-mail). Vervolgens kan de activatiecode ingevoerd worden.

Na het invoeren van de activatiecode worden de gegevens van het account getoond.

Indien de gegevens correct zijn, kan er een wachtwoord gekozen worden. Het wachtwoord dient een minimale lengte te hebben die is ingesteld door de organisatie. Indien het gekozen wachtwoord hier niet aan voldoet, wordt hiervan een melding getoond na Volgende.

Vervolgens dient de two-factor-authenticatie ingesteld te worden. Zie hiervoor de betreffende paragraaf two-factor-authenticatie instellen.

Het kan voorkomen dat de two-factor authentication (2FA) opnieuw ingesteld moet worden, bijvoorbeeld indien de security key of de mobiel defect geraakt, gestolen of op een andere manier onbruikbaar geworden is. In dat geval kan op het loginscherm gekozen worden voor de optie Ik kan niet inloggen met two-factor authentication om de 2FA te resetten.

Het volgende scherm wordt dan getoond:

Om de 2FA te resetten kan daarvoor een reden ingevoerd te worden. De aanvraag wordt vervolgens beoordeeld door een andere gebruiker en indien deze goedgekeurd wordt, zal daarvan een email verstuurd worden.

Indien de gebruiker zijn of haar wachtwoord vergeten is, kan via Ik ben mijn wachtwoord vergeten een aanvraag tot herstellen van het wachtwoord ingediend worden. De procedure tot het herstellen van een wachtwoord verschilt per type account en is afhankelijk van de gekozen opties voor het wachtwoord. De verschillende procedures worden hieronder besproken.

Bij het aanmelden op KeyHub kan het voorkomen dat het onderstaande scherm getoond wordt als het wachtwoord van de gebruiker niet (langer) aan de gestelde eisen voldoet. Is het wachtwoord te kort of heeft de gebruiker geen kluis (bijvoorbeeld na het afbreken van de aanmeldwizard) dan zal de gebruiker door een proces van drie stappen geleid worden om een nieuw wachtwoord te kiezen. Dit stappenplan komt grotendeels overeen met de wizard voor wachtwoordgebruik onder het profiel. Raadpleeg daarom hoofdstuk hoofdstuk 8 voor meer uitleg over de mogelijkheden omtrent wachtwoordgebruik en deze wizard.

Een gebruiker kan kiezen voor wachtwoordsynchronisatie tussen Topicus KeyHub en de gebruikersdirectory. Wanneer het wachtwoord in de directory wordt gewijzigd, detecteert Topicus KeyHub dit bij het aanmelden en vraagt de gebruiker om opnieuw te synchroniseren. Topicus KeyHub heeft het oude en het nieuwe wachtwoord nodig om de sleutels voor kluis bij te werken. Wanneer het nieuwe wachtwoord niet voldoet aan de wachtwoordvereisten voor Topicus KeyHub, wordt de gebruiker gevraagd een nieuw wachtwoord te kiezen.

KeyHub kan ook gebruikt worden als Single Sign-on provider. Indien de gebruiker op een andere applicatie inlogt, zal het inlogscherm de naam van deze applicatie in de aanhef tonen. Bij de eerste keer inloggen op een andere applicatie dient de gebruiker toestemming te geven voor het delen van informatie met deze applicatie. Hiervoor wordt het volgende scherm getoond:

Het kan voorkomen dat de gebruiker geen toegang heeft tot de gevraagde applicatie. Indien dit het geval is, zal onderstaande scherm getoond worden waarin dit aan de gebruiker uitgelegd wordt. Single Sign-on is binnen KeyHub geregeld via de groepen van de gebruiker. Het scherm zal de gebruiker informeren over de groep (of groepen) die vereist zijn om in te loggen op de applicatie.

Sommige applicaties, zoals een command-line-interface (CLI), kunnen geen browser openen om direct in te loggen. Deze applicaties gebruiken een apparaatcode om te authenticeren. De applicatie toont een code en vraagt de gebruiker om Topicus KeyHub in een browser te openen om het apparaat te autoriseren.

Bij het autoriseren van een apparaat voert Topicus KeyHub meerdere verificatiecontroles uit ter bescherming tegen phishing-aanvallen. Het verificatiescherm dat getoond wordt, is afhankelijk van twee factoren: of de applicatie al vertrouwd is en of de locatie van het apparaat overeenkomt met de locatie van de gebruiker.

Indien de gebruiker een los apparaat gebruikt om verificatiecodes te genereren, kan het voorkomen dat de interne klok van dit apparaat gaat achterlopen op de systeemklok van KeyHub. KeyHub detecteert deze tijdverschuiving en past automatisch een compensatie toe. In uitzonderlijke gevallen kan het voorkomen dat de verschuiving te groot is om automatisch te compenseren. KeyHub vraagt de gebruiker dan om twee opéénvolgende codes in te voeren, als verificatie van de tijdverschuiving.

Om toegang te verkrijgen tot een groep, dient een groep geactiveerd te worden. Na het klikken op de gewenste groep wordt deze standaard voor het komende uur geactiveerd.

Om de groep langer of korter te activeren, kan met de schuifbalk de gewenste eindtijd worden ingesteld. De ingestelde activatieduur zal bij de volgende activatie automatisch ingesteld worden. Na het verlopen van de tijdsperiode zal de toegang tot de groep automatisch gedeactiveerd worden. De toegang tot een groep kan ook direct gedeactiveerd worden door nogmaals op de groep te klikken. Bij handmatige deactivatie van een groep wordt de onthouden activatieduur teruggezet op de standaardtijd van één uur.

Indien voor een groep verlengde toegang aangevraagd kan worden, zal na het activeren van de groep een link Verleng toegang zichtbaar zijn. Het klikken op deze link toont het volgende venster:

Hier kan worden aangegeven hoe lang toegang nodig is en waarom. Dit verzoek zal worden voorgelegd aan een manager van de groep. Zodra het verzoek goedgekeurd is, zal de groep als volgt worden weergegeven op het dashboard:

Voor sommige groepen is het verplicht een reden op te geven bij activatie. Deze reden wordt opgenomen in de audit-trail en kan gebruikt worden voor rapportagedoeleinden. Indien deze optie ingeschakeld is voor de groep, zal het onderstaande scherm getoond worden:

Bij een groep kan ingesteld zijn dat autorisatie vereist is bij activatie. In dat geval zal bij activatie het onderstaande scherm getoond worden. Na versturen van het verzoek zal een lid van de autoriserende groep dit verzoek beoordelen. Indien het geaccepteerd wordt, zal de groep geactiveerd worden met een eindtijd van één uur in de toekomst. De gebruiker kan de activatie hierna zelf verlengen gedurende de gegeven periode. Het eind van de periode wordt getoond met een rode driehoek op de tijdbalk. Zodra de groep inactief wordt, kan hij opnieuw geactiveerd worden, zolang dit binnen de toegestane periode valt. Als autorisatie gecombineerd wordt met een reden, zal de reden bij het verzoek verplicht zijn en vastgelegd worden in de audit-trail.

De groepen op het dashboard kunnen gegroepeerd worden in mappen zodat meerdere groepen in één keer geactiveerd kunnen worden. Ook is het mogelijk om groepen die zelden gebruikt worden te verbergen. Klik op Indeling beheren…​ om de dashboard-indeling aan te passen en mappen aan te maken.

Het scherm voor de dashboardindeling toont een overzicht van alle mappen die zijn aangemaakt en welke groepen er binnen die map aanwezig zijn. Elke map wordt apart op het dashboard getoond. Iedere map kan op het dashboard geactiveerd worden waarmee in één keer alle groepen binnen die map geactiveerd worden.

Om groepen toe te voegen aan een map kan de groep naar de gewenste map gesleept worden. Groepen in de onderste map verborgen groepen worden standaard verborgen op het dashboard en kunnen daar tevoorschijn worden gehaald door op het dashboard op Toon alle groepen te klikken.

Klik op de knop Map toevoegen rechtsboven in het scherm om een nieuwe map toe te voegen.

Een map bestaat uit een vrij te kiezen naam. Let er hierbij op dat er voor een beschrijvende naam gekozen wordt zodat duidelijk blijft welke groepen tot deze map behoren. Na Opslaan wordt de map getoond op de pagina Dashboardindeling en kunnen groepen naar deze map gesleept worden. Klik op het icoontje van een pen naast de naam van een map om de naam van de map aan te passen.

Een groepsmanager kan handmatig een tegel toevoegen bij een groep. Bij een handmatig toegevoegde tegel worden de volgende gegevens opgegeven:

Een tegel voor een SSO-applicatie wordt aangemaakt bij de applicatie zelf door de technisch beheerder van de betreffende applicatie. De tegel wordt getoond bij alle groepen en toegangsprofielen die toegang hebben tot de applicatie. Als titel van de tegel wordt de naam van de applicatie gebruikt. Bij een tegel voor een SSO-applicatie worden de volgende gegevens opgegeven:

Een tegel voor een kluisregel wordt aangemaakt bij de kluisregel zelf. Alleen managers van een groep kunnen een kluisregel beschikbaar maken als tegel op het launchpad. Als titel en link van de tegel worden de naam en link van de kluisregel gebruikt. Bij een tegel voor een kluisregel kan dan ook alleen het logo opgegeven worden:

Om toegang te verkrijgen tot een groep zal deze toegang aangevraagd dienen te worden. Klik hiertoe op de knop Aanvragen rechtsboven in het scherm.

Iedere gebruiker kan een aanvraag doen om toegang te krijgen tot een willekeurige groep. Tijdens de aanvraag kan een gebruiker een suggestie meegeven voor een einddatum op het aangevraagde lidmaatschap. Een aanvraag zal goedgekeurd moeten worden door tenminste één groepsmanager. Om dit proces te versnellen, kan er een reden toegevoegd worden bij de aanvraag. Deze reden wordt getoond aan de managers van de groep, die deze reden kunnen gebruiken als basis voor hun beslissing om het verzoek goed of af te keuren. Na het aanvragen van toegang tot een groep wordt deze aanvraag getoond op het Dashboard.

Indien de gewenste groep nog niet bestaat, kan een aanvraag voor een nieuwe groep ingediend worden. Klik hiertoe op de knop Nieuwe groep aanvragen rechtsboven in het scherm.

Iedere gebruiker kan een aanvraag doen om een nieuwe groep aan te maken. Er dient een duidelijke naam gekozen te worden voor de groep die voldoet aan eventuele eisen die getoond worden in het veld. In de selectiebox kan gekozen worden uit voorvoegsels die al gebruikt worden binnen de Topicus KeyHub-installatie. De gebruiker die de aanvraag doet wordt de eerste manager van de nieuwe groep.

Een aanvraag zal goedgekeurd moeten worden door tenminste één centrale beoordelaar. Om dit proces te versnellen, kan er een reden toegevoegd worden bij de aanvraag. Deze reden wordt getoond aan de beoordelaars, die deze reden kunnen gebruiken als basis voor hun beslissing om het verzoek goed of af te keuren. Na het aanvragen van een groep wordt deze aanvraag getoond op het Dashboard.

Na het openen van een groep wordt een detailscherm getoond met daarop de volgende informatie:

Van iedere groep kan er contact opgenomen worden met de managers of alle leden van de groep via mail groep. Ook kan een groep verlaten worden via Verlaat deze groep. Let er hierbij op na het verlaten opnieuw toegang aangevraagd en goedgekeurd zal moeten worden om weer toegang tot de groep te krijgen. Voor een verzoek om de groep te verwijderen gebruik de verwijderen knop. Dit vereist accordering van een KeyHub-administrator.

Voor een manager van een groep is het mogelijk om de eigenschappen van een groep te bewerken. Hier zijn de volgende eigenschappen te vinden:

Het beheer van de leden van de groep valt ook onder de verantwoordelijkheid van een groepsmanager. Bestaande leden zijn te bewerken of verwijderen door er op te klikken. Klik op toevoegen om een nieuwe gebruiker direct aan de groep toe te voegen. In de popup dient naast de gebruiker ook gekozen te worden of deze nieuwe gebruiker manager wordt of een standaardgebruiker. Wanneer aan een groepslidmaatschap een einddatum wordt toegekend, wordt de gebruiker automatisch uit de groep verwijderd wanneer deze datum verloopt.

Groepen kunnen geaudit worden. Dit betekent dat een groepsmanager de groepsleden controleert en deze controle vastlegt in Topicus KeyHub. Het auditen van een groep kan op ieder moment plaatsvinden en iedere audit wordt ook in de audit trail opgeslagen.

Audits kunnen worden bekeken bij de details van een groep. Voor managers biedt deze pagina ook de mogelijkheid om een nieuwe audit te start met de knop toevoegen.

Bij een audit kan een algemene opmerking vastgelegd worden in het veld bovenaan het scherm. Daarnaast kan van ieder groepslid vastgelegd worden of deze inderdaad in de groep behoort en over de juiste rol beschikt.

Het vinkje links geeft aan dat het groepslid correct is. Indien het groepslid niet (meer) in de groep behoort, kan deze middels het kruisje rechts verwijderd worden. In het geval dat een groepslid nu de rol groepsmanager heeft, kan deze rol aangepast worden naar een normaal groepslid middels het middelste icoon. Nieuwe leden (of managers) kunnen aan de groep toegevoegd worden als onderdeel van de audit via de toevoegen-knop.

Per groepslid kan er tevens een opmerking geplaatst worden door de regel van het groepslid open te klappen.

Alle ingevoerde opties worden pas doorgevoerd op het moment dat een audit wordt opgeslagen via de knop onderaan het scherm. Als een audit als concept opgeslagen wordt, kan deze later verder bewerkt en opgeslagen worden. Er kan slechts één conceptaudit bestaan per groep. Een concept is alleen zichtbaar voor managers van de groep en telt niet mee voor het auditschema.

Bij een groep kan ingesteld worden dat audits reviewed moeten worden. Indien dit ingesteld staat, zal een audit bij opslaan in review komen te staan. Er wordt automatisch een bericht uitgestuurd aan de leden van de reviewende groep. De audit in review zal terug in concept gezet worden als er een wijziging plaatsvindt in het lidmaatschap van de groep. Een manager van de groep zal de audit moeten herzien en opnieuw indienen ter review.

Bij het uitvoeren van een review van een audit worden alle gekozen acties en notities getoond. Deze acties dienen gecontroleerd te worden en vervolgens kan worden gekozen om de audit goed of af te keuren. Bij het reviewen van de audit kan een reactie gegeven worden aan de manager van de groep.

Een groep kan genest worden binnen een andere groep. De geneste groep zal automatisch de groepslidmaatschappen van de bovenliggende groep overnemen. Wijzigingen aan lidmaatschappen bij de bovenliggende groep werken direct door op de geneste groep. Bij een geneste groep blijft het mogelijk dat een gebruiker direct lid is van de groep. In het geval dat de gebruiker direct lid is van zowel de geneste als de bovenliggende groep, zullen de eigenschappen van het directe lidmaatschap van de geneste groep voorrang hebben boven die van de bovenliggende groep. Op deze manier kan een gebruiker bijvoorbeeld manager gemaakt worden van de geneste groep, terwijl deze normaal lid is van de bovenliggende groep. Indien een einddatum wordt ingesteld op het directe lidmaatschap van een geneste, zal het lidmaatschap worden omgezet in een geneste lidmaatschap bij het bereiken van die datum.

Bij aanvragen van het nesten van een groep kan gekozen worden hoe omgegaan moet worden met bestaande lidmaatschappen:

Een groep kan een uitsluitende relatie hebben met een andere groep. Leden van uitgesloten groepen mogen geen lid zijn van de andere groep en vice versa. Dit voorkomt dat gebruikers worden toegevoegd aan de uitgesloten groep of dat ze toegang tot deze groepen kunnen aanvragen. De uitsluitende relatie bestaat alleen tussen deze groepen; als een lid de groep verlaat kan deze lid worden van een voorheen uitgesloten groep. In het geval dat een gebruiker lid is van beide groepen wanneer het verzoek tot groepsuitsluiting wordt geaccepteerd, wordt het conflicterende groepsaccount verwijderd uit de uitgesloten groep van het verzoek. Bij het instellen van een nieuwe groepsuitsluiting krijgt de manager van de uitgesloten groep eerst een reviewpagina te zien met de accounts die uit de groep verwijderd zouden worden. Als de uitsluiting ertoe zou leiden dat de groep geen manager meer heeft of geen lid met kluistoegang, wordt dit als fout gerapporteerd. Het verwijderen van een bestaande uitsluiting vereist geen reviewstap.

Groepsuitsluitingen zijn niet gebonden aan organisatie-eenheden en kunnen bestaan tussen groepen die zich in verschillende organisatie-eenheden bevinden. Houd er rekening mee dat, wanneer een groepsuitsluiting tussen verschillende organisatie-eenheden wordt ingesteld, deze verzoeken alleen zichtbaar zijn voor managers van de uitgesloten groep als zij ook lid zijn van de organisatie-eenheid van de aanvragende groep.

Als een groep genest is onder een andere groep, zullen de accounts die overgenomen zijn uit de bovenliggende groep standaard verborgen worden. Het is mogelijk om deze accounts open te klikken en als onderdeel van de audit om te zetten naar een direct lidmaatschap.

Als een groep één of meer geneste groepen onder zich heeft (direct of genest onder een geneste groep), kunnen deze geneste groepen onder voorwaarden direct mee-geaudit worden. Alle leden van de geneste groep dienen voort te komen uit de nesting, en dus niet direct te zijn. Als de geneste groep een autoriserende groep voor audits ingesteld heeft staan, dient deze gelijk te zijn aan wat is ingesteld op de groep die geaudit wordt. Alle geneste groepen worden getoond, en per groep kan gekozen worden of deze direct meegenomen wordt in de audit of niet.

Bij een groep kan een andere groep aangewezen worden voor delegatie van managerrechten. Alle leden van de aangewezen groep krijgen deze gedelegeerde rechten. De leden van deze groep kunnen hiermee management uitvoeren voor de groep zonder zelf lid te zijn van de groep. Hiermee kunnen ze de volgende bewerkingen uitvoeren:

Aangezien ze niet lid zijn van de groep zelf, hebben ze geen toegang tot o.a.:

Om te voorkomen dat de groep met gedelegeerde rechten een te grote concentratie van rechten wordt, is het verplicht om een autoriserende groep voor lidmaatschap in te stellen voordat gedelegeerde managerrechten uitgegeven kunnen worden. Elke toevoeging of wijziging aan de leden van de groep moet daarbij extra goedgekeurd worden. Het is ook niet mogelijk voor gebruikers om zichzelf toe te voegen aan de groep.

Een groep die de managerrechten delegeert naar een andere groep, kan niet genest worden of zelf geneste groepen bevatten.

Het verwijderen van een groep vereist accordering door een manager van de aangewezen groep. Standaard is dit de KeyHub-administrators groep, maar er kan worden gekozen voor een andere accorderende groep bij een organisatie-eenheid. Tot dit verzoek geaccordeerd is, blijft de groep gewoon bruikbaar.

Als een groep verwijderd wordt, worden alle onderdelen die aan de groep hangen ook verwijderd. Onderdelen die verwijderd worden, zijn:

In sommige gevallen kan een groep niet verwijderd worden omdat er onderdelen aan hangen die niet (direct) verwijderbaar zijn. De niet verwijderbare onderdelen worden rood getoond op de pagina en de normale aanpassingen in zwart. Onderdelen die niet verwijderd kunnen worden, zijn:

Een kluis kan vele verschillende regels bevatten. Het toevoegen van een regel aan een kluis gaat via de Regel toevoegen-knop die rechtsboven getoond wordt.

Een regel uit de kluis bestaat uit verschillende gegevens.

De volgende gegevens van een regel worden versleuteld opgeslagen en zijn dus beveiligd tegen misbruik:

Een regel kan op een later moment aangepast of ingezien worden door op de regel te klikken in de kluis.

Een kluisregel kan worden voorzien van een einddatum waarop de inhoud van de regel verloopt. Dit kan bijvoorbeeld de einddatum van een certificaat zijn of de datum waarop een wachtwoord moet worden vernieuwd. Op de overzichtspagina van de kluizen wordt een waarschuwing getoond bij elke verlopen kluisregel.

Ook op de detail pagina van de kluisregel wordt een waarschuwing getoond. Op het dashboard worden notificaties getoond van alle verlopen kluisregels voor de ingelogde gebruiker.

Bij de kluisregel kan naast de einddatum ook worden opgegeven hoe lang van te voren KeyHub moet beginnen met waarschuwen over het bijna verlopen van de kluisregel.

Van elk wachtwoord in de kluis wordt een schatting gemaakt van de sterkte. Indien het wachtwoord niet als zeer sterk wordt beoordeeld, wordt deze sterkte achter de naam van de kluisregel weergeven. Afhankelijk van de sterkte wordt de gebruiker in meer of mindere mate aangespoord om het wachtwoord te wijzigen:

Bij een wachtwoord kan ook een indicatie staan voor een duplicaat-wachtwoord. Hergebruik van hetzelfde wachtwoord voor verschillende diensten is onverstandig. Indien de wachtwoorden bij verschillende diensten horen, dienen deze beiden veranderd te worden.

De knop achter de naam van de kluis dient om de regel naar een andere kluis te verplaatsen, kopiëren of delen. Deze acties zijn alleen uit te voeren door de manager van de groep of de eigenaar van de persoonlijke kluis. Als een regel gedeeld wordt met één of meer andere kluizen, zal elke wijziging op het origineel direct doorgevoerd worden in alle andere kluizen. Indien de naam van een gedeelde kopie is gewijzigd in de kluis waarin deze zich bevind, wordt deze niet overschreven. De gedeelde kopieën kunnen wel verwijderd worden, waarbij het origineel zal blijven bestaan. Als het origineel verwijderd wordt, zullen alle gedeelde kopieën ook verwijderd worden. Ook is het mogelijk een tijdsduur op te geven voor het delen door een periode of een specifieke einddatum te selecteren, zodat de gedeelde kopie automatisch verwijderd wordt na het verstrijken van deze tijdsduur.

Het beheer van een groepskluis valt onder de verantwoordelijkheid van de managers van de groep. Bij het toevoegen van een lid aan een groep krijgt dit lid automatisch toegang tot een eventueel aanwezige kluis. Echter, bijvoorbeeld bij een wachtwoordreset zal toegang tot kluizen verloren gaan. Indien een lid van de groep geen toegang meer heeft tot de kluis, zal deze gebruiker de volgende melding getoond krijgen bij het openen van een regel:

Hier kan de gebruiker een verzoek indienen bij de managers van de groep om weer toegang te krijgen tot de kluis.

Elke gebruiker kan wachtwoorden en bestanden opslaan in een persoonlijke kluis. Deze kluis is enkel benaderbaar voor deze gebruiker. Het is niet mogelijk om andere gebruikers toegang te geven tot een persoonlijke kluis. Wel is het mogelijk om regels te verplaatsen van de persoonlijke kluis naar een groepskluis.

Met de knop 'Exporteren' kan de inhoud van een kluis geëxporteerd worden als CSV-bestand. Enkel de persoonlijke kluis of een kluis van een groep waar de gebruiker manager van is kan geëxporteerd worden.

Bij groepen waarbij Applicatiebeheer is ingeschakeld kunnen applicaties en gekoppelde systemen aangemaakt en bewerkt worden. Het beheer van een applicatie en koppelingen omvat de technische configuratie van de applicatie of koppeling inclusief eventuele webhooks. De technisch beheerder kan groepen toevoegen aan een gekoppeld systeem of applicatie, waarbij die groep toegang krijgt. Dit verzoek moet geaccordeerd worden door een verantwoordelijke voor de applicatie of koppelgroep (zie hieronder). Voor meer uitleg over deze onderwerpen zie het hoofdstuk over applicaties of het hoofdstuk over gekoppelde systemen.

Verantwoordelijkheid over applicaties en groepen op een gekoppeld systeem wordt gedragen door managers van een aangewezen groep. De beslissing over het verlenen van toegang tot een applicatie of koppelgroep valt onder deze verantwoordelijkheid. Ook kan de verantwoordelijke het technisch beheer en/of de verantwoordelijkheid overdragen aan een andere groep. Dit verzoek moet geaccordeerd worden door een manager uit de andere groep.

Toegang tot een applicatie kan twee betekenissen hebben, afhankelijk van het type applicatie en de configuratie. De meest voorkomende relatie is SSO: de gebruikers van de groep kunnen d.m.v. SSO inloggen op de applicatie. De uitzondering is de OAuth2-client, waarbij de applicatie zelf toegang heeft tot de gegevens van de groep in Topicus KeyHub, zoals de kluis. Ook is het mogelijk dat een OAuth2-client rechten krijgt toegewezen die normaal bij de leden van de groep liggen.

De volgende eigenschap kan worden ingesteld bij een SSO-applicatie:

Bij een OAuth2-client worden de toegekende rechten getoond. Deze rechten kunnen desgewenst ingetrokken worden. Zie het hoofdstuk over rechten voor OAuth 2.0 clients voor meer details over deze rechten.

De volgende eigenschap kan worden gekozen bij een groep op een gekoppeld systeem:

Managers van de verantwoordelijk groep van een interne directory kunnen via Beheer toegang de accounts van de directory inzien en beheren. Dit kunnen ze doen door de interne directory te openen en te navigeren naar accounts.

Na het openen van een toegangsprofiel wordt een detailscherm getoond met daarop de volgende informatie:

Met het Nu synchroniseren knopje kunnen de regels voor automatisch toekennen en activeren worden doorgerekend. Dit gebeurt automatisch elk uur voor alle profielen, maar kan hier voor een enkel profiel handmatig gestart worden.

Via Bewerken kunnen een aantal eigenschappen van het toegangsprofiel bewerkt worden:

Door middel van een toegangsprofiel kunnen attributen van Topicus KeyHub-accounts beheerd worden. Hiervoor dient het toegangsprofiel eerst gekoppeld te worden aan een directory. Bij een toegangsprofiel dat gekoppeld is aan een directory kunnen alleen gebruikers uit die directory lid zijn. Topicus KeyHub kent een aantal standaardattributen, zoals gebruikersnaam, primair e-mailadres, voornaam, etc. Hiernaast is het mogelijk om eigen attributen te definiëren. Deze attributen kunnen vervolgens gebruikt worden om accounts op gekoppelde systemen aan te maken.

Toegangsprofielen hebben net als groepen leden. De attribuutregels van het toegangsprofiel zijn van toepassing op deze leden. Ook krijgen de leden toegang tot de gekoppelde systemen en applicaties van het toegangsprofiel. Anders dan bij groepen, wordt het ledenbeheer van een toegangsprofiel niet gedaan door de andere leden maar door een aangewezen groep. Alle leden van de verantwoordelijke groep kunnen gebruikers toevoegen aan en verwijderen uit het toegangsprofiel, ook als zij zelf niet lid zijn van het toegangsprofiel.

Een eigenaar kan levenscyclusacties op een toegangsprofiel definiëren zodat Topicus KeyHub automatisch handelt rond de lidmaatschaps- en activeringsovergangen van de leden.

Elke levenscyclusactie deelt dezelfde planningseigenschappen; wat ze daadwerkelijk doet wanneer ze wordt uitgevoerd, wordt bepaald door haar type. De mailactie is op dit moment het enige type, maar het mechanisme is generiek en er kunnen in de toekomst meer types bijkomen.

Elke levenscyclusactie heeft, ongeacht het type, de volgende eigenschappen:

Wanneer een actie wordt aangemaakt of de overgang of het tijdstip ervan wordt gewijzigd, wordt deze met terugwerkende kracht toegepast op de reeds bekende voorspellingen, maar alleen voor momenten die nog in de toekomst liggen — het definiëren van een actie veroorzaakt nooit een golf van acties met terugwerkende kracht. Omdat alleen recente overgangen hiervoor worden bewaard, geldt een actie op of na de overgang bij het aanmaken voor overgangen van ongeveer de laatste maand.

Aan een toegangsprofiel kunnen groepen gekoppeld worden. Gebruikers die lid worden van het toegangsprofiel, worden automatisch uitgenodigd om lid te worden van deze groepen. Deze verzoeken moeten wel eerst goedgekeurd worden door managers van de groepen, net zoals bij normale lidmaatschapsverzoeken voor groepen.

Een toegangsprofiel kan, zoals de naam al impliceert, toegang geven tot bepaalde applicaties of systemen. Toegang via een toegangsprofiel is altijd beschikbaar voor een gebruiker. In tegenstelling tot toegang via groepen is er geen mogelijkheid tot dynamische activatie. Activatie van de accounts wordt bepaald via een business rule of kan handmatig overschreven worden. Als het lidmaatschap de status actief heeft, worden eventuele accounts op gekoppelde systemen direct geactiveerd en kan de gebruiker inloggen op gekoppelde applicaties.

Onder het tabje Attribuutdefinities kunnen eigen attributen gedefinieerd worden. Deze attributen kunnen vervolgens gebruikt worden bij toegangsprofielen. Een attribuutdefinitie heeft de volgende eigenschappen:

Een attribuutdefinitie heeft één van de volgende formaten: