Toepassing · techteams
De 2FA van infrastructuuraccounts, voor techteams
Root-account in de cloud, registrar, DNS, GitHub-organisatie: maak de 2FA-codes van kritieke accounts beschikbaar voor wie piketdienst heeft, via het web, de API of een agent, met een logboek van elke toegang.
De gevoeligste accounts van een techteam zijn ook de accounts die het minst worden gebruikt: het root-account bij de cloudprovider, de registrar, de DNS, de eigenaar van de GitHub-organisatie. Hun 2FA wordt vaak één keer ingesteld, op de telefoon van één persoon, en daarna vergeten tot er iets misgaat.
Waar het zonder gedeelde kluis vastloopt
- Een incident om 3 uur ’s nachts vraagt om het root-account, en de seed staat op de telefoon van iemand die slaapt.
- Het domein verloopt, en het account bij de registrar is beveiligd met de telefoon van een voormalige vennoot.
- De seed is in een wiki of een omgevingsvariabele geplakt “om uit de brand te helpen”, en niemand weet nog wie hem heeft gekopieerd.
Hoe Share Auth het aanpakt
Piket heeft de code, niet de seed. Wie piketdienst heeft, is lezer: hij haalt de actuele code op zonder te kunnen kopiëren wat die voortbrengt. De seeds blijven versleuteld in de kluis.
Elke toegang laat een spoor na. Het toegangslogboek zegt wie de code van het root-account heeft opgehaald, wanneer en vanaf welk adres. Zo kun je na een incident nagaan wie wat heeft gedaan.
Via het hulpmiddel dat past. De site voor een eenmalige toegang, de API voor een script, de MCP-connector voor een AI-agent, Slack of Discord voor het piketkanaal, door de beperkingen per kanaal begrensd tot alleen de accounts die ertoe doen.
Tokens die alleen daarvoor dienen. Een API-token kan worden beperkt tot het lezen van codes, voor een looptijd van 1 tot 90 dagen, en op elk moment worden ingetrokken.
Verder lezen
Veelgestelde vragen
Ja, via de API, met een token dat beperkt is tot het lezen van codes. Het kan niets wijzigen, verloopt na de gekozen looptijd en elke opgehaalde code staat in het toegangslogboek, op naam van de persoon van wie het token is.
Zo min mogelijk. Maar op de dag dat het nodig is, moet het piketteam het kunnen gebruiken zonder te zoeken wie de telefoon heeft. Share Auth maakt die toegang mogelijk en legt hem vast, zonder kopieën van de seed te vermenigvuldigen.
De MCP-connector geeft ze de code van een account, nooit de seed. Laat de menselijke bevestiging in je client ingeschakeld voor elke gevraagde code.