Vertrouwd datadelen tussen verschillende netwerken komt dichterbij
Organisaties moeten veilig data kunnen delen, ook met partners in andere netwerken. Maar hoe regel je toegang als ieder netwerk zijn eigen identiteitssystemen en afspraken heeft? Voor de Basis Data Infrastructuur (BDI) is dit een belangrijke vraag. Daarom is onderzocht of organisaties via OAuth 2.0 Token Exchange digitale toegangsbewijzen kunnen uitwisselen om gegevens op te vragen bij deelnemers van een andere associatie. De eerste experimenten laten zien dat dit in de geteste omgevingen mogelijk is.
Binnen de BDI werken organisaties samen in netwerken, ook wel associaties genoemd. Iedere associatie heeft eigen afspraken over het beheer van de digitale identiteiten en toegangsrechten van haar deelnemers. Dat helpt organisaties om binnen hun eigen netwerk gegevens te delen. Maar wat gebeurt er als een deelnemer gegevens wil opvragen bij een organisatie in een andere associatie?
De organisatie die de gegevens beschikbaar stelt, moet kunnen controleren wie de aanvrager is en of toegang is toegestaan. Daarvoor zijn vertrouwensafspraken tussen associaties nodig, zodat digitale toegangsbewijzen uit de ene omgeving in een andere omgeving kunnen worden gecontroleerd en gebruikt.
Een digitaal toegangsbewijs omwisselen
Een mogelijke oplossing is OAuth 2.0 Token Exchange. Een token is een digitaal bewijs waarmee toegang kan worden aangevraagd. Met token exchange kan een organisatie een bestaand token omwisselen voor een token dat in een ander netwerk bruikbaar is. De toegangsregels van de data-eigenaar blijven daarbij bepalend.
Organisaties kunnen zo aangesloten blijven bij hun eigen associatie, zonder dat één centrale Identity Provider (IdP) de digitale identiteiten van alle deelnemers hoeft te beheren.
Resultaten van de experimenten
De eerste proef vond plaats tussen twee afzonderlijke Keycloak-omgevingen van dezelfde leverancier. Keycloak is software voor identiteits- en toegangsbeheer. Een token uit de ene omgeving werd succesvol omgewisseld voor een token dat in de andere omgeving bruikbaar was. Daarvoor was nog een extra technische tussenlaag nodig: een exchange proxy of Security Token Service (STS).
In het tweede experiment zijn omgevingen van twee verschillende leveranciers met elkaar verbonden: Intension en Cloud-IAM. De resultaten wijzen erop dat token exchange ook mogelijk is als de inrichting, het beheer en de infrastructuur verschillen.
Daarmee is een stap gezet richting samenwerking tussen omgevingen die onafhankelijk van elkaar worden beheerd. Beide omgevingen waren nog gebaseerd op Keycloak en ook hier was een technische tussenlaag nodig. Of de aanpak met andere software even goed werkt, moet verder worden onderzocht.
Verder onderzoek nodig
In beide proeven lukte de uitwisseling van toegangsbewijzen met behulp van een extra technische tussenlaag. Ook is onderzocht of de omgevingen die uitwisseling rechtstreeks kunnen afhandelen. Dan zouden minder aanvullende componenten nodig zijn om de netwerken met elkaar te verbinden. De eerste bevindingen wijzen erop dat dit mogelijk is, maar definitieve bevestiging ontbreekt nog.
Volgende stap: organisatorische afspraken
De experimenten laten zien dat federatieve tokenuitwisseling tussen associaties technisch haalbaar is in de onderzochte opstellingen. Een volgende stap is testen met andere platformen voor identiteits- en toegangsbeheer, ook wel IAM-platformen genoemd, zoals Okta en Microsoft Entra ID.
Tegelijk verschuift de aandacht naar governance, trustbeheer en operationele beveiliging. Onder welke voorwaarden vertrouwen associaties elkaar? Wie mag dat vertrouwen toekennen of intrekken? En hoe blijven toegangsbewijzen en de achterliggende systemen veilig?
De eerste technische resultaten bieden een basis om op voort te bouwen. Nu is het van belang om ook de organisatorische afspraken voor een schaalbaar en betrouwbaar BDI-ecosysteem verder uit te werken. De opgedane kennis en ervaringen worden verwerkt in de BDI-referentiearchitectuur en het BDI Developer Portal.