Rollen en governance
Rollen en RBAC: toegang die de functie volgt
Met rolgebaseerde toegang (RBAC) leg je één keer vast welke groepen, licenties en applicaties bij een functie horen, en krijgt iedereen met die functie automatisch die toegang. KoppelHet regelt dat met Joinly, dat de rollen toewijst op basis van afdeling, functie en locatie uit het HR-systeem en ze in Microsoft Entra ID intrekt zodra die gegevens veranderen.
Wat het is
In veel organisaties groeit toegang via kopiëren: iemand krijgt de rechten van een collega, en die had er al te veel. Niemand ruimt het op. Het gevolg is toegang die niemand meer kan uitleggen.
Een rol is een bundel toegang die bij een functie hoort. Een autorisatiematrix in Excel beschrijft die rollen. RBAC voert ze ook uit en houdt ze actueel.
Hoe Joinly het regelt
- Een rol bundelt Entra-groepen (security en Microsoft 365), Enterprise Applications met app-rollen, Microsoft-licenties en plugin-applicaties zoals Bitwarden.
- Voorwaardelijke rollen worden automatisch toegewezen op afdeling, functie, locatie of elk ander veld, ook gecombineerd.
- Handmatige rollen zijn er voor uitzonderingen. Rollen en groepslidmaatschappen kunnen een einddatum krijgen.
- De rol-evaluatie zet naast elkaar wie een rol hoort te hebben en wie hem heeft, en past het verschil met één klik toe.
- Het claims-model laat toegang staan die een andere legitieme bron nog dekt, zodat intrekken niets stukmaakt.
- Bestaande lidmaatschappen importeer je eerst als claim-bron, zodat je gecontroleerd opruimt in plaats van in één keer.
- Aan het toewijzen of intrekken van een rol koppel je een workflow, bijvoorbeeld een servicedesk-ticket.
Wat KoppelHet doet
Rollen staan of vallen met functie, afdeling en locatie in het HR-systeem. Die velden zijn vaak niet zo netjes als een rolmodel vraagt: vrije tekst in plaats van een codelijst, of afdelingen die per vestiging anders heten. KoppelHet kent die velden per HR-systeem en helpt ze bruikbaar te maken voordat de eerste rol live gaat.
Joinly
Verder bij Joinly
Joinly is de IAM-software van KoppelHet. Op joinly.app staat hoe het product dit onderdeel regelt, met schermen, prijzen en een demo.
Veelvoorkomende koppelingen
AFAS Profit → Microsoft Entra ID
AFAS koppelen met Microsoft Entra ID
Visma Raet YouForce → Microsoft Entra ID
YouForce Entra ID koppeling: Microsoft-accounts en leidinggevenden uit Visma Raet
Workday → Microsoft Entra ID
Workday Entra ID koppeling: Microsoft-accounts voor Nederland vanuit globaal HR
HiBob → Active Directory
HiBob Active Directory koppeling: accounts automatisch, ook in je eigen netwerk
Veelgestelde vragen
Wat zit er in een rol?
Toegangsitems: Entra-groepen, Enterprise Applications met app-rollen, Microsoft-licenties en plugin-applicaties. Wie de rol krijgt, krijgt het hele pakket en verliest het weer bij intrekken, tenzij een andere bron de toegang nog dekt.
Op welke gegevens wordt een rol automatisch toegewezen?
Op elk veld van de identiteit: afdeling, functie, locatie en eigen velden. Condities zijn combineerbaar, bijvoorbeeld afdeling Zorg én locatie Utrecht.
Hoe stap je over van een handmatige situatie naar RBAC?
Met de rol-evaluatie. Die laat per rol zien wie hem hoort te hebben en wie hem feitelijk heeft. Je past het verschil rol voor rol toe.
Wat is het verschil tussen RBAC en ABAC?
Bij RBAC krijgt iemand toegang via een rol. Bij ABAC bepalen attributen zoals afdeling of locatie de toegang. Voorwaardelijke rollen in Joinly combineren beide: attributen uit HR bepalen wie de rol krijgt.
Verder lezen
Meer over Identity en access management
Identity en access management: het overzicht
Lifecycle
Rollen en governance
- Rollen en RBACToegang op basis van functie, afdeling en locatie uit HR.
- Functiescheiding (SoD)Gevaarlijke rechtencombinaties tegenhouden voordat ze ontstaan.
- Toegangsevaluatie en auditlogFeitelijke naast bedoelde toegang, en elke wijziging gelogd.
Koppelingen
- HR als bronHet HR-systeem bepaalt wie een account krijgt, met welke gegevens.
- Microsoft Entra IDAccounts, groepen en licenties in Entra ID vanuit HR.
- Active DirectoryOn-premise AD en hybride Exchange via een agent zonder open poort.
- Applicatie-provisioningAccounts en rollen in je bedrijfsapplicaties, vanuit HR.
- SCIM en SCIM GatewayDe standaard voor provisioning, ook voor applicaties zonder SCIM.
Compliance en sectoren
- NIS2 en de CyberbeveiligingswetWat de zorgplicht vraagt van toegangsbeheer, en wat niet.
- IAM in het onderwijsMedewerkers van schoolbesturen, klaar voor het Normenkader IBP.
- IAM bij de overheidGemeenten, provincies en waterschappen, met de BIO en ENSIA.
- IAM in de zorgFlexkrachten, meerdere dienstverbanden en NEN 7510.