Gebruikers & identity

Dit blijft bewust op het scherm. Command Center kan vertellen in welke workspaces je mag en je ertussen laten wisselen, maar gebruikers, projectleden, projectrollen en workspace-lidmaatschappen zijn niet via vragen in te stellen.

Wie regelt wat

Het meeste gebruikersbeheer ligt bij je organisatiebeheerder — een gebruiker met de rol Admin in je workspace. Een paar dingen raken meer dan één workspace of het platform zelf; die regelt het FixControl-platformteam (platformbeheerders) op verzoek.

Workspaces en accounts

Elke organisatie is een tenant, in het product een workspace genoemd (niet te verwarren met de chatsessie met een agent die dezelfde naam draagt, zie Workspace). Een workspace bezit zijn eigen issues, agents, kennis, AI-memory, auditlog en inbox. Workspaces kunnen elkaars data niet lezen; zie Security & audit.

Eén account, meerdere workspaces

Een account is globaal: één e-mailadres, één wachtwoord, één 2FA-registratie. Toegang tot een workspace is een lidmaatschap, en één account kan er meerdere hebben.

• Thuis-workspace — waar het account is aangemaakt. Na het inloggen kom je daar uit.
• Lidmaatschap — één per workspace die de gebruiker binnen mag, elk met een eigen rol. Dezelfde persoon kan Admin zijn in de ene workspace en Operator in de andere.
• Actieve workspace — een sessie is op één workspace tegelijk gescopet. Zie Wisselen van workspace.

Een gebruiker die je aanmaakt onder Instellingen → Gebruikers, via single sign-on of via SCIM, krijgt een thuis-lidmaatschap in je workspace. Een lidmaatschap in elke volgende workspace voegt het FixControl-platformteam toe (zie Toegang tot een tweede workspace).

Gebruikers toevoegen

Instellingen → Gebruikers is alleen zichtbaar voor Admins. Er is geen uitnodiging per e-mail: een Admin maakt het account direct aan.

1. Klik op Gebruiker toevoegen.
2. Vul Naam, E-mail, een eerste Wachtwoord (minimaal 8 tekens) en de Rol in:

- Operator — bekijken en werken (standaard) - Manager — bekijken, toewijzen, goedkeuren - Admin — volledige toegang

1. Geef het eerste wachtwoord door via een kanaal dat je vertrouwt. De nieuwe gebruiker kan het wijzigen onder Instellingen → Beveiliging → Mijn beveiliging.

De nieuwe gebruiker komt altijd in de workspace waar je op dat moment in zit; je kunt hier niemand in een andere workspace plaatsen.

Wat de gebruikerslijst toont

De lijst toont de leden van de workspace waar je in zit, inclusief gasten van wie de thuis-workspace een andere is. Kolommen: gebruiker, rol in deze workspace, Laatst gezien (de laatste geslaagde login), status en of 2FA aan staat. Je kunt zoeken op naam of e-mail, filteren op rol en status, weergaven bewaren, en meerdere gebruikers tegelijk selecteren om ze te activeren, deactiveren of exporteren.

Wijzigen, deactiveren en verwijderen

Per gebruiker biedt het actiemenu Bewerken, Wachtwoord resetten, Deactiveren / Activeren en Verwijderen.

• Een rol wijzigen geldt alleen voor je eigen workspace. De rol van een gast in diens thuis-workspace blijft ongemoeid.
• Een rolwijziging, deactivering of verwijdering beëindigt de sessies van de gebruiker, zodat de wijziging direct geldt en niet pas als de sessie verloopt.
• Deactiveren blokkeert het inloggen en bewaart het account, zodat je het later weer kunt activeren.
• Verwijderen haalt het account definitief weg. Issues en geschiedenis blijven; toewijzingen aan die gebruiker blijven als verwijzing staan. Je eigen account kun je niet verwijderen.

Wil je iemand uitloggen zonder verder iets te veranderen, gebruik dan Sessies intrekken onder Instellingen → Beveiliging → Organisatiebeveiliging. Dat logt diegene uit in elke workspace, niet alleen in de jouwe.

Rollen

Rollen zijn hiërarchisch: Admin omvat alles wat een Manager kan, en Manager omvat alles wat een Operator kan.

Rechten voor HR, development-governance en het herstarten van infrastructuur komen alleen uit projectrollen, nooit uit de workspace-rol. Zie Projecttoegang.

Veel gevoelige acties vragen daarnaast een sessie die met tweestapsverificatie is bevestigd; zie Tweestapsverificatie.

Kennis en AI-memory

• Kennisbronnen: elke ingelogde gebruiker ziet de lijst. Bronnen toevoegen, verwijderen en scrapen en suggesties accepteren vraagt Admin of Manager. Zie Kennis.
• AI-memory: elk lid van de workspace kan op dit moment, ongeacht de rol, zowel de globale als de project-memory lezen en bewerken. Verwijderingen worden ge-audit. Houd daar rekening mee als je bepaalt wie een account krijgt. Zie AI-geheugen.

Toegang tot een tweede workspace

Een bestaande gebruiker toegang geven tot een andere workspace doet alleen het FixControl-platformteam. Er is geen scherm voor in je instellingen en geen uitnodigingsflow; vraag het aan FixControl en noem de gebruiker, de workspace en de rol.

• De gebruiker moet bestaan en actief zijn, en de doel-workspace moet actief zijn en niet ingepland staan voor verwijdering.
• Een rolwijziging of intrekking logt de gebruiker uit in alle sessies. Diegene logt opnieuw in en krijgt de nieuwe situatie.
• Een thuis-lidmaatschap kan niet worden ingetrokken. Deactiveer of verwijder de gebruiker in plaats daarvan.
• Elke toekenning, rolwijziging en intrekking wordt ge-audit.

Een extra workspace aanmaken

Een Admin van een bestaande workspace kan een nieuwe workspace aanmaken via de workspace-switcher (Workspaces beheren):

• Alleen een naam. Abonnement, omgeving en domein kies je hier niet; die regelt FixControl.
• Jij wordt de Admin, en je hebt een met 2FA bevestigde sessie nodig om hem aan te maken.
• Namen zijn uniek; een naam die al bestaat wordt geweigerd.
• Er geldt een limiet per gebruiker op hoeveel workspaces je op deze manier kunt aanmaken.
• Het aanmaken wordt ge-audit. Je blijft in de workspace waar je begon; wissel naar de nieuwe zodra je zover bent.

Projecttoegang

Binnen een workspace kunnen mensen ook lid zijn van afzonderlijke projecten, met een projectrol.

Projectrollen

Er zijn twee ingebouwde rollen:

• Project Admin — getoond als Projectbeheerder. Beheert de leden van het project en de inrichting op projectniveau, binnen de grenzen onder Wat een Projectbeheerder mag instellen.
• Project Member — getoond als Medewerker. Leest projectdata en doet het werk: communicatie opstellen en om verzending vragen, workflows uitvoeren, de koppelingen van het project gebruiken.

Eigen rollen worden samengesteld uit een vaste catalogus van rechten; vrije rechten bestaan niet. Het product beschrijft een eigen rol naar wat die kan: een rol die mag goedkeuren maar geen leden beheert heet Goedkeurder, een rol die alleen mag lezen Kijker.

Projectleden toevoegen

Open het project en ga naar Leden:

• Iemand toevoegen — kies een bestaande gebruiker op e-mailadres, kies een rol en eventueel een einddatum voor tijdelijke toegang.
• Iemand nieuw uitnodigen — alleen voor Admins. Dit maakt een workspace-account met een wachtwoord aan en voegt het in één stap toe aan het project (Account maken en toevoegen). Er gaat geen uitnodiging per e-mail uit.

Regels die altijd gelden:

• Je kunt je eigen lidmaatschap niet wijzigen.
• Een project houdt altijd minstens één actief lid dat leden mag beheren; een wijziging die de laatste weghaalt, wordt geweigerd.
• Een lidmaatschap dat voorbij de einddatum is, of dat is opgeschort of ingetrokken, geeft geen rechten.

Als projectautorisatie aan staat

Projectautorisatie staat standaard uit. In die stand bepalen de workspace-rollen hierboven de toegang en voegen projectrollen projectspecifieke rechten toe. Het FixControl-platformteam kan het op verzoek voor je workspace aanzetten; het is geen schakelaar die je zelf omzet.

Als het aan staat:

• Werken met projectdata vraagt een actief lidmaatschap met een projectrol die het recht geeft. Zonder lidmaatschap is het project verborgen — een geraden link geeft "niet gevonden".
• Admins en Managers houden hun workspace-brede bereik; elke keer dat ze die uitzondering bij een actie gebruiken, wordt dat ge-audit.
• Operators krijgen geen uitzondering: hun toegang loopt volledig via projectlidmaatschappen.
• Een paar gevoelige acties, zoals externe klantcommunicatie goedkeuren, vragen een echt projectlidmaatschap, ook van een Admin.

Wat een Projectbeheerder mag instellen

• Mag: een bestaande bedrijfsmailbox, chatkanaal (Slack, Teams) of supportwachtrij (Freshdesk, Odoo, TOPdesk, Jira, Linear) aan het project koppelen of ontkoppelen, achter dezelfde 2FA-controle als een Admin; de koppelingen testen die het project gebruikt; de leden van het project beheren.
• Mag niet: nieuwe bedrijfskoppelingen aanmaken of hun inloggegevens wijzigen, het project hernoemen, de goedkeuringsregels wijzigen, of code- en deploykoppelingen beheren. Dat blijft bij de Admins en Managers van de organisatie.

Zie Projecten → Een project inrichten.

Connectorbeleid

Er is een strenger connectorbeleid beschikbaar: externe schrijfacties alleen via koppelingen die aan het project hangen, plus dataclassificatie en limieten op aantallen en kosten. Het staat standaard uit en het FixControl-platformteam zet het per workspace aan. Staat het aan, dan wordt een actie waarvan de autorisatiecontrole niet kan worden afgerond, geweigerd in plaats van toegestaan.

Inlogmethoden

Tijdens een migratie kunnen beide naast elkaar draaien.

Tweestapsverificatie

FixControl heeft ingebouwde tweestapsverificatie: een authenticator-app (TOTP) plus 10 herstelcodes voor eenmalig gebruik.

• Je eigen 2FA: Instellingen → Beveiliging → Mijn beveiliging.
• Voor iedereen verplichten: een Admin die zelf 2FA heeft, zet 2FA verplicht voor alle leden aan onder Instellingen → Beveiliging → Organisatiebeveiliging, kaart 2FA-beleid voor deze workspace. Leden zonder 2FA komen bij hun volgende login in de setup terecht. Wijzigingen in het beleid worden ge-audit.
• Admins zijn niet verplicht 2FA te gebruiken tenzij dat beleid aan staat. Het FixControl-platformteam heeft altijd 2FA nodig.
• Gevoelige acties — gebruikersbeheer, instellingen, agents, codebases, integratie- en intakebeheer, een patch terugdraaien, bewaartermijnen, een verificatie-oordeel kwijtschelden, governance-data definitief wissen — vragen een met 2FA bevestigde sessie zodra de gebruiker 2FA heeft ingesteld of het beleid het vereist.
• Authenticator kwijt: gebruik een herstelcode, of vraag het FixControl-platformteam de registratie te resetten.
• Gebruikers met single sign-on krijgen hun MFA van de identity provider.

SSO met OIDC

Single sign-on wordt op verzoek ingesteld door het FixControl-platformteam; er is geen self-service-scherm. Stuur FixControl de issuer, client-id en het secret van je identity provider, en geef aan:

• welke e-maildomeinen mogen inloggen;
• of nieuwe gebruikers bij hun eerste login moeten worden aangemaakt (just-in-time provisioning) en met welke standaardrol.

Bij het inloggen controleert FixControl de issuer, audience, nonce, vervaltijd en handtekening, gebruikt eenmalige state met PKCE, en toetst het e-maildomein aan je lijst. Een login waarvan het e-mailadres bij een bestaande gebruiker hoort, wordt aan die gebruiker gekoppeld; anders wordt er alleen een nieuwe gebruiker aangemaakt als just-in-time provisioning aan staat en het domein is toegestaan.

MFA voor deze gebruikers komt van je identity provider en vervangt voor logins via die provider de 2FA van FixControl. SAML staat op de roadmap en is nu niet beschikbaar.

SCIM 2.0-provisioning

Kan je identity provider gebruikers doorzetten (Okta, Microsoft Entra ID, Google Workspace en andere), dan geeft het FixControl-platformteam op verzoek een SCIM-token voor je workspace uit en geeft je het endpoint. Jij stelt de SCIM-connector in je identity provider in met dat endpoint en het token als bearer-token, en kiest welke gebruikers en groepen worden doorgezet.

• Gebruikers en groepen kunnen worden opgevraagd, aangemaakt, bijgewerkt en verwijderd; de standaard discovery-endpoints zijn beschikbaar.
• Een gebruiker die zo wordt aangemaakt, krijgt een thuis-lidmaatschap in je workspace.
• SCIM kan een bestaande gebruiker niet aan een tweede workspace toevoegen.
• Groepen worden opgeslagen maar niet aan rollen gekoppeld. Stel rollen per gebruiker in onder Instellingen → Gebruikers.

Afvoeren van gebruikers

Als je identity provider een gebruiker verwijdert of op inactief zet:

• wordt de gebruiker gedeactiveerd (niet definitief verwijderd);
• worden al diens sessies ingetrokken;
• wordt het event ge-audit.

Deactiveren onder Instellingen → Gebruikers heeft hetzelfde effect, en de gebruiker kan weer worden geactiveerd.

Veelgestelde vragen

Kan een gebruiker bij twee workspaces horen? Ja, met een andere rol in elk. Extra lidmaatschappen kent het FixControl-platformteam toe — zie Toegang tot een tweede workspace.

Kan ik iemand per e-mail uitnodigen? Nee. Een Admin maakt het account aan met een eerste wachtwoord, onder Instellingen → Gebruikers of vanaf de Leden-pagina van een project.

Wat gebeurt er met issues als ik een gebruiker verwijder? Die blijven. Toewijzingen aan die gebruiker blijven als verwijzing staan.

Hoe maak ik iemand FixControl-platformbeheerder? Dat kan niet — die vlag is alleen voor FixControl-medewerkers en is niet vanuit je workspace in te stellen.

Kan mijn identity provider een gebruiker van een andere organisatie aan mijn workspace toevoegen? Nee. SCIM-verzoeken zijn beperkt tot je eigen workspace.

Kan ik inloggen met wachtwoord houden na het aanzetten van SSO? Ja, tijdens een migratie. Geef geen wachtwoorden meer uit zodra SSO volledig is uitgerold.