Beheerder / Accountbeheer
Dit subdomein beschrijft hoe een beheerder OefenHub-accounts raadpleegt, rollen beheert, accounts tijdelijk uitschakelt of heractiveert, accountanonimisering uitvoert, online-status raadpleegt, gebruikersinstellingen corrigeert en accountgeschiedenis bekijkt.
Accountbeheer blijft strikt gescheiden van de identity provider. OefenHub beheert interne applicatieaccounts, rollen, gebruikersinstellingen en lifecycle-acties; wachtwoorden, tokens, secrets, credentialstatus en primaire identity-provider-sessies blijven buiten dit subdomein.
Usecases
Relevante schermdocumentatie
| Scherm | Relevantie |
|---|
| Accounts beheren | Hoofdingang voor accountoverzicht, accountdetail en accountbeheeracties. |
| Accountdetail | Contextscherm voor rollen, status, instellingen, geschiedenis en lifecycle-acties. |
| Profiel en voorkeuren | Bron voor normale gebruikersselfservice; beheerdercorrecties blijven hiervan afgebakend. |
Domeinafbakening
- Login, provisioning, logout en selfservice-accountverwijdering blijven bronhoudend in
generiek/account.
- Eigen profiel-, voorkeuren- en toegankelijkheidsbeheer blijft bronhoudend in
generiek/profiel.
- Normaal relatiebeheer blijft bronhoudend in
generiek/relaties.
- Docentstructuur, leerlingtoegang, niveau-eigenaarschap en collaborators worden supportmatig beheerd in
beheerder/docentondersteuning of in de docentusecases waar die bronhoudend zijn.
- Credentials, wachtwoorden, verificatie, tokens en primaire sessies blijven bronhoudend bij de identity provider en worden niet via OefenHub-accountbeheer beheerd.
- Accountbeheer mag afhankelijke toegang beëindigen of niet langer autoriserend maken bij lifecycle-acties, maar creëert geen nieuwe leerling-, docent-, relatie- of oefenresultaatcontext.
Bijzondere regels
| Onderwerp | Regel |
|---|
| Server-side autorisatie | Iedere accountbeheeractie wordt server-side opnieuw gecontroleerd; clientstate bepaalt nooit welk account gewijzigd mag worden. |
| Rolcombinaties | Leerling mag niet worden gecombineerd met Ouder/voogd, Docent, Beheerder of TestDocent. Ouder/voogd, Docent en Beheerder mogen wel gecombineerd voorkomen. |
| Niet-publieke rollen | Rollen zoals Beheerder en TestDocent kunnen alleen via beheer worden toegekend of ingetrokken en vereisen auditbare reden. |
| Laatste beheerder | Het systeem mag niet toestaan dat het laatste actieve beheerdersaccount zichzelf of via een andere beheeractie buitensluit. |
| Identity-providergrens | OefenHub-accountbeheer wijzigt geen Keycloak-/identity-providercredentials, tokens, wachtwoorden of externe sessiestatus. |
| Anonimisering | Beheerderanonimisering is een definitieve interne OefenHub-lifecycleactie en is niet hetzelfde als het verwijderen van het identity-provideraccount. |
| Online-status | Online-status is informatief, afgeleid en niet autoriserend; beheerders mogen geen live-oefendata bekijken. |
| Audit | Muterende accountbeheeracties leggen actor, tijdstip, oude/nieuwe waarde en reden vast waar de actie dat vereist. |
Diagramgebruik
- Read-only usecases gebruiken geen persistent state diagram wanneer er geen domeinstatus wijzigt.
- Muterende usecases gebruiken state-, decision-, lifecycle- en sequence-diagrammen om validatie, bevestiging, datamutatie en logging te tonen.
- Diagrammen tonen geen identity-providerinterne credentialflows; die blijven buiten OefenHub-accountbeheer.