In veel teams is "het dashboard" de inlog van degene die het contract tekende, met het wachtwoord in een gedeelde kluis. Dat werkt tot er iets misgaat: je kunt niet zien wie wat heeft gedaan, bij een vertrek moet iedereen een nieuw wachtwoord, en de engineer die alleen naar een DDoS-aanval wil kijken, ziet ook alle facturen. Ons klantdashboard werkt daarom met een eigen inlog per persoon en rechten per onderdeel. Dit artikel laat zien hoe je dat inricht.
Contactpersoon en gebruiker zijn twee dingen
Onder Account → Contactpersonen staat wie wij bereiken. Elke contactpersoon heeft een of meer rollen:
- Algemeen — het aanspreekpunt voor je account.
- Facturatie — ontvangt facturen en betalingsherinneringen.
- NOC / technisch — ontvangt meldingen over onderhoud en storingen, en de meldingen bij een DDoS-aanval. Geef hier bij voorkeur een nummer op dat 24/7 bereikbaar is; dit is wie we bellen als er direct iets moet gebeuren.
Ontbreekt er voor een rol nog iemand, dan zegt de lijst dat. Een contactpersoon hoeft niet te kunnen inloggen. De boekhouder die facturen ontvangt, heeft misschien nooit een reden om het dashboard te openen; de netwerkbeheerder die 's nachts gebeld wordt, wel.
Een collega uitnodigen
Naast elke contactpersoon staat een knop om hem als gebruiker uit te nodigen. Je kiest daarbij een rol:
- Gebruiker — mag alleen wat je aanvinkt.
- Mede-eigenaar — mag alles, ook andere gebruikers uitnodigen en betaalgegevens wijzigen.
De collega krijgt een e-mail met een link om een wachtwoord te kiezen. Die link is zeven dagen geldig en werkt één keer. In de lijst met contactpersonen zie je per persoon of het Geen gebruiker, Uitgenodigd of een Actieve gebruiker is. Na het inloggen kan iedereen in zijn profiel een passkeyPasskey Inloggen met een cryptografische sleutel op je apparaat in plaats van een wachtwoord. Bestand tegen phishing, omdat de sleutel alleen bij de echte website werkt. toevoegen, zodat er geen wachtwoord meer nodig is.
Welke rechten er zijn
De rechten volgen het menu van het dashboard:
- Facturatie — facturen bekijken en betalen, factuurinstellingen en creditcards.
- Netwerk bekijken — netwerkkoppelingen, verkeer, DDoS, subnetten, IP-adressen en prefixlijsten.
- Netwerk beheren — prefixlijsten goedkeuren, IP-adressen en blackholes beheren, subnetten opgeven en DDoS-meldingen instellen.
- Colocation — racks, shared colocation en datacenteraanmeldingen.
- Backups en Object storage — snapshots, buckets en toegangsgegevens.
- Contactpersonen — contactpersonen toevoegen en wijzigen.
Het onderscheid dat er het meest toe doet, is dat tussen netwerk bekijken en beheren. Je NOC-collega moet tijdens een aanval kunnen zien wat er gebeurt; dat hij ook een prefixlijst kan goedkeuren of een adres kan blackholen, is een andere beslissing. Een blackhole maakt een adres onbereikbaar, en een goedgekeurde prefixlijst komt op onze routers. Die rechten geef je aan de mensen die daar ook verantwoordelijk voor zijn.
Wat iemand niet mag, ziet hij ook niet: het menu toont alleen de onderdelen die voor die gebruiker openen. Niemand klikt op een link die op een foutmelding uitkomt.
Waarom alleen de eigenaar uitnodigt
Het recht Contactpersonen laat iemand contactpersonen beheren, maar niet uitnodigen als gebruiker. Dat lijkt streng, maar het voorkomt een klassiek lek: wie gebruikers mag aanmaken en daarbij rechten mag kiezen, kan zichzelf of een ander meer geven dan hij zelf heeft. Gebruikers uitnodigen is daarom voorbehouden aan de eigenaar en mede-eigenaren.
Dat is ook wat de Cyberbeveiligingswet onder toegangsbeheer verstaat: iedereen een eigen account, rechten naar wat iemand nodig heeft, en een duidelijk antwoord op de vraag wie die rechten heeft gegeven.
Als een collega vertrekt
Een eigen inlog per persoon maakt een vertrek eenvoudig: alleen die ene toegang gaat dicht, en niemand anders hoeft een nieuw wachtwoord. Vertrekt er iemand, laat het ons dan weten; wij zetten de gebruiker uit en hij kan direct niet meer inloggen. Haal hem ook weg als contactpersoon als hij nog meldingen ontvangt, zodat er bij een storing niet gebeld wordt naar iemand die er niet meer werkt.
Het dashboard bij Xyphen IT
Elke klant met IP-transit, colocatie of andere diensten op ons netwerk krijgt toegang tot het dashboard. Wat je er per onderdeel mee doet, lees je in de artikelen over het volgen van een DDoS-aanval en over je rack op afstand. Vragen over toegang voor je team? Neem contact op.