Voor toegang tot een aantal SURF diensten zoals SURFdomeinen en SURFdashboard is SURFsecureID, de 2e factor dienstverlening van SURF nodig. De 1e factor login (gebruikersnaam/wachtwoord van de eigen instelling via SURFconext) verandert niet.
Het gaat om instellingsbeheerders van SURF diensten waarvoor een login met een 2e factor nodig is. Dat zijn mensen die rechten hebben op deze diensten:
In de toekomst verwachten we meer SURF diensten te beveiligen met een SURFsecureID token. Denk dan aan diensten zoals SURFmailfilter, SURFsoc en SURFdrive beheer.
Alle beheerders die een autorisatie rol hebben waarvoor een 2e factor noodzakelijk is moeten een SURFsecureID token registreren en activeren. SURFsecureID ondersteunt verschillende token types waaruit een beheerder kan kiezen (behalve sms). Nadat de beheerder zelf een token heeft geregistreerd moet deze nog geactiveerd worden door zichzelf te identificeren bij de eigen instelling of bij SURF.
Let op: voor het SURFconext IdP dashboard zijn tokens van LoA2 of LoA3 nodig, afhankelijk van de actie die je wilt uitvoeren. Als je een token op LoA3 niveau nodig hebt, zorg dan dat je een Yubikey of FIDO2 token registreert. |
De beheerder moet de volgende stappen uitvoeren om een token te registreren:
Zorg bij de token activatiestap (4) voor het volgende:
NB: beheerders die al een SURFsecureID token hebben, gebruiken dit al voor SURF diensten en hoeven bovenstaande stappen niet te doorlopen.
Voor nieuwe beheerders, of een bestaande beheerder die een autorisatie krijgt voor een SURF dienst waarvoor een 2e factor login nodig is, zal in het koppelverzoek gevraagd worden een SURFsecureID token te registreren.
Eén van de token types die SURFsecureID ondersteunt is Microsoft Azure MFA. Als een instelling al Azure MFA als 2e factor gebruikt, dan kan deze gekoppeld worden aan SURFsecureID en kan de beheerder van die instelling haar bestaande Azure MFA token (meestal de MS Authenticator app) registreren bij SURFsecureID. Voordeel hiervan is dat de beheerder het token dat ze al binnen de instelling gebruikt, nu ook voor SURF diensten kan gebruiken.
Gebruikt jouw instelling Azure MFA en wil je deze ook inzetten voor beheerders van SURF diensten? Doe dan het volgende:
| SURFsecureID is een optionele dienst binnen het SURF dienstenportfolio. Als een instelling SURFsecureID wil gaan gebruiken voor de extra beveiliging van haar eigen diensten kan SURFsecureID afgenomen worden en wordt er een additioneel tarief in rekening gebracht. Echter, voor deze wijziging gaat SURF de toegang tot de beheersinterfaces van SURF's eigen diensten extra beveiligen. Hiertoe gaan instellingen SURFsecureID wel gebruiken, maar enkel voor deze toegang en hoeft de instelling SURFsecureID niet af te nemen. Er zijn voor de instelling dan ook geen extra kosten aan verbonden. |
| Nee, voor deze toepassing van SURFsecureID hoeft de instelling geen additioneel tarief te betalen. Als de instelling SURFsecureID breder wil inzetten en er eigen diensten mee wil beveiligen, dan zal er wel een additioneel tarief in rekening gebracht worden. |
Nee. Sommige instellingen hebben hun eigen MFA systeem (vaak Azure MFA) gekoppeld aan SURFconext zodat diensten achter SURFconext extra beveiligd kunnen worden (meer informatie). Deze koppeling staat volledig los van de invoering van SURFsecureID voor de beheerstoegang tot SURF diensten en kunnen naast elkaar blijven werken. |
In het SURFdashboard bestaan een reeks autorisatierollen die uitgedeeld kunnen worden aan personen binnen een instelling. Met deze autorisatierollen krijgen ze toegang tot specifieke SURF diensten. Sommige van deze autorisatierollen geven toegang tot extra gevoelige gegevens of maken het mogelijk belangrijke wijzigingen in de betreffende SURF dienst uit te voeren. Voor toegang is dan een 2e factor nodig. Voor de volgende autorisatierollen is een 2e factor noodzakelijk:
|
Indien je token door SURF (en niet je eigen instelling) geactiveerd moet worden en je kunt niet wachten op de afspraak met de SURF supportdesk, neem dan contact op met support@surfconext.nl. |
SURF wil zeker weten dat cruciale diensten en gegevens veilig en alleen toegankelijk zijn voor geautoriseerde personen. Voor toegang tot extra gevoelige diensten of gegevens wil SURF zekerder weten dat degene die toegang heeft ook is wie hij zegt dat hij is. Een deel van de oplossing is om dan een 2e factor te gebruiken om mee in te loggen. Maar alleen een 2e factor zorgt niet voor meer zekerheid over de identiteit van de persoon; als ik bijvoorbeeld bij Google een account aanmaak als Pietje Puk, dan kan ik daar ook prima een 2e factor bij activeren, maar dat maakt nog niet dat ik ook echt Pietje Puk ben. Daarom wordt, voordat de 2e factor wordt geactiveerd, gevraagd je te identificeren. Zo staat met een hogere mate van betrouwbaarheid vast dat jij ook bent wie je zegt dat je bent, en dat kun je in het vervolg aantonen met je SURFsecureID token. |
Eén van de token types die SURFsecureID ondersteunt is Microsoft Azure MFA. Als jouw instelling al Azure MFA als 2e factor gebruikt, dan kan deze gekoppeld worden aan SURFsecureID en kan je je bestaande Azure MFA token (meestal de MS Authenticator app) registreren bij SURFsecureID. Voordeel hiervan is dat je het token wat je al binnen de instelling gebruikt, nu ook voor deze SURF diensten kunt gebruiken en zelfs single sign-on kunt ervaren. Activatie van dit token via de SURF supportdesk is dan overigens nog wel nodig. |
Als je een nieuwe telefoon in gebruik neemt kan (afhankelijk van het besturingssysteem en instellingen van de telefoon) de Tiqr registratie vanzelf worden hersteld op het nieuwe toestel. Als dat niet is gelukt, dan is het nodig om de oude registratie te verwijderen op https://sa.surfsecureid.nl en een nieuwe registratie te doen zoals hierboven beschreven. |
Voor vragen kunt u terecht bij support@surfconext.nl.