EAMP · Beveiliging en data
Hoe EAMP is gebouwd, en wat er met je gegevens gebeurt.
Een platform dat bepaalt welke software in je organisatie mag draaien, moet zelf aantoonbaar betrouwbaar zijn. Hier staat hoe het werkt.
Architectuur
Jouw tenant, ons platform, en wat ertussen loopt.
Beheerders werken in de portal; apparaten praten met de API via de EAMP-agent. Alles wat EAMP naar een apparaat stuurt, is ondertekend. Intune blijft optioneel het uitrolkanaal.
Jouw Microsoft-tenant
Wat er loopt
- Portal en API: HTTPS met een Entra-token van de beheerder
- Agent: ondertekende policies naar het apparaat, attestaties terug
- Microsoft Graph: apparaten en groepslidmaatschap lezen
- Optioneel: uitrol van policies en apps via Intune
EAMP · Azure West-Europa
Data
Welke gegevens, waar, en hoe lang.
- Locatie
- Microsoft Azure, regio West-Europa (Nederland).
- Policies en templates
- Concepten, goedkeuringen en ondertekende versies, per tenant gescheiden opgeslagen.
- Apparaatgegevens
- Apparaat-ID uit Entra ID, toegepaste policyversies, attestaties en gegevens over geblokkeerde bestanden (zoals naam, hash en ondertekenaar), ontdubbeld per apparaat. Geen bestandsinhoud en geen procescontext.
- Installers
- Geüploade installers worden na 2 dagen verwijderd, conversieresultaten en logs na 14 dagen.
- Wachtwoorden en sleutels
- EAMP ziet geen wachtwoorden en bewaart geen inloggegevens van je tenant. Ondertekeningssleutels staan in Azure Key Vault.
Tenant-isolatie
Gescheiden per klant, tot in het pakket.
- Elke klant heeft eigen opslagcontainers, en elke tabelpartitie begint met de tenant-ID.
- Tenant en apparaat worden altijd bepaald uit gevalideerde tokens, nooit uit wat een verzoek zelf beweert.
- Een pakket dat aan tenant A is gekoppeld, weigert de policies van tenant B.
- Toegang loopt via drie Entra-app-registraties waar je beheerder zelf toestemming voor geeft, en rollen die je zelf toewijst.
Beheer
Hoe we het platform beheren.
- Agent-updates via een ondertekend updatekanaal; de policy-runtime wordt per versie vastgepind en op hash gecontroleerd.
- Elke policy die een apparaat bereikt, is ondertekend en wordt geverifieerd voordat hij wordt gelezen.
- Automatische tests en contracttests bij elke wijziging, en een vier-ogen-proces voor publicatie.
- Bekende beperkingen documenteren we openlijk, en delen we bij onboarding.
Integraties
Werkt met wat je al hebt.
Microsoft Entra ID
Aanmelding voor beheerders, apparaatidentiteit en groepslidmaatschap voor het richten van policies.
Microsoft Intune
Optioneel uitrolkanaal voor App Control-policies en MSIX-apps.
Azure Artifact Signing
Ondertekening van policies en pakketten, via ons platform of met je eigen account.
Windows
App Control for Business (CiTool), MSIX en App Attach, op Windows 10, Windows 11 en Windows Server.
Onboarding
In ongeveer een halfuur aangesloten.
Toestemming
Een Global Administrator geeft eenmalig toestemming voor de drie EAMP-app-registraties.
Rollen
Je wijst de rollen toe: Author maakt, Approver keurt goed (vier ogen), Admin beheert de instellingen.
Tenant registreren
Je registreert je tenant in de portal en kiest het uitrolkanaal.
Starten in audit
De eerste apparaten krijgen de agent en draaien in audit-modus: eerst kijken, dan pas afdwingen.
Vragen over beveiliging of data?
We lopen de architectuur graag met je securityteam door, met de documentatie erbij.