Iedereen ziet wat hij mag zien. Niet meer, niet minder.

Dashboard toegang beheren met toegangsprofielen

ENABLE werkt met drie rollen: platformbeheer (Data Analytics), klantbeheerder en gebruiker. Klantbeheerders zien voor beheer altijd alle dashboards van hun organisatie. Voor gewone gebruikers bepalen toegangsprofielen wat ze zien. Eén account kan bij meerdere organisaties horen, met per organisatie een eigen rol.

Dat is role based access op data in de praktijk: je kent rechten toe aan een rol of team, niet aan losse personen. Een nieuwe collega bij sales krijgt het profiel Salesteam en heeft meteen de juiste dashboards.

Power BI row level security in het portaal

Row level security staat in ENABLE standaard uit en gaat per dashboard aan. Er zijn twee manieren om te bepalen welke Power BI-rol iemand krijgt. Via profielen koppel je elk toegangsprofiel aan een rol in het Power BI-model. Via een gebruikerstag geef je een individuele gebruiker een eigen tag, die verwijst naar een rol en optioneel een waarde voor CUSTOMDATA() meegeeft.

Platformbeheer definieert de tags en rollen; klantbeheerders kennen bestaande tags toe aan gebruikers. Een instelling wordt pas actief nadat Power BI de configuratie heeft gevalideerd. Bij het openen vraagt ENABLE dan een embedtoken aan met de juiste rol, zodat Power BI de rijen filtert.

Belangrijk ontwerpprincipe: heeft een gebruiker in de tag-modus geen tag, dan krijgt hij geen toegang. Er is geen terugval naar een gedeeld account met ongefilterde data. Liever een melding dan cijfers die iemand niet had mogen zien.

Inloggen en sessies

Gebruikers loggen in met hun e-mailadres en een eigen wachtwoord. Daaromheen gelden vaste regels:

• Wachtwoorden hebben minimaal 12 tekens, met een hoofdletter, een kleine letter en een cijfer, en worden opgeslagen als scrypt-hash.
• Tweestapsverificatie per e-mail: een code van 6 cijfers, 5 minuten geldig, maximaal 5 pogingen.
• Een sessie duurt maximaal 8 uur; bij inactiviteit volgt eerder automatisch uitloggen (standaard 30 minuten).
• Wie zijn wachtwoord wijzigt, logt automatisch uit op andere apparaten.
• Een link om je wachtwoord te herstellen is één uur geldig.
• Inlogpogingen, codes en wachtwoordherstel hebben een rate limit tegen raden en misbruik.

Techniek achter de schermen

Geheimen, zoals het wachtwoord van de databaseverbinding en het geheim van de Microsoft Entra service principal voor Power BI, worden versleuteld opgeslagen met AES-256-GCM. Per organisatie is een eigen Power BI-koppeling in te stellen. Een embedtoken geeft alleen leesrechten op het ene rapport dat wordt geopend, en wordt automatisch vernieuwd zolang iemand kijkt.

Het portaal stuurt strikte security headers mee, waaronder een Content Security Policy, HSTS en een verbod op inbedden in andere sites. ENABLE draait op Vercel in de regio Frankfurt (fra1). Elke embed-sessie wordt vastgelegd, ook als toegang wordt geweigerd, met de reden erbij.