Het gedeelde admin-account
Bij een netwerkscan komen we het bijna altijd tegen: één beheerdersaccount met een wachtwoord dat op een post-it in de serverkast staat, en dat de vorige IT-leverancier, een oud-medewerker en de neef van de directeur ook kennen. Niemand weet meer wie er precies bij kan. Dat is geen theoretisch risico: wie toegang heeft tot de UniFi-console kan firewallregels uitzetten, de VPN openzetten of camerabeelden bekijken.
Eigenaar, beheerder, beperkte beheerder
UniFi kent grofweg drie niveaus van toegang:
- Eigenaar (Owner) — Het UI-account dat de console heeft geadopteerd. Er is er maar één, en het is het enige account dat alles kan, inclusief het verwijderen van andere beheerders. Dit account moet van de organisatie zijn, niet van de installateur of een individuele medewerker.
- Beheerder (Admin) — Volledige rechten op de console. Gebruik dit spaarzaam.
- Beperkte beheerder — Per applicatie (Network, Protect, Access, Talk) in te stellen: volledig beheer of alleen bekijken. Zo geef je de receptie inzage in de camera's zonder dat ze bij de netwerkinstellingen kunnen, en de facilitair manager beheer over deuren maar niet over de firewall.
Los daarvan heeft elke console nog een lokaal apparaatwachtwoord (voor SSH en noodtoegang). Ook dat hoort uniek te zijn en in een wachtwoordkluis te staan, niet in een gedeeld document.
MFA is geen optie, maar een vereiste
Een UI-account ondersteunt tweestapsverificatie via de UniFi Verify-app, een authenticator-app, e-mail of een passkey. Ubiquiti dwingt dit inmiddels bij vrijwel alle accounts af. Controleer dat het bij álle beheerders aan staat, en bewaar de herstelcodes van het eigenaarsaccount op een veilige plek buiten het netwerk — bijvoorbeeld in de wachtwoordkluis van de directie.
Regels voor gezond beheer
- Persoonlijke accounts — Iedere beheerder een eigen account. Zo zie je in het activiteitenlogboek wie wat heeft gewijzigd.
- Minimale rechten — Geef alleen wat iemand nodig heeft. Alleen-bekijken is vaak voldoende.
- Leveranciers uitnodigen, niet laten bezitten — Ook wij werken als uitgenodigde beheerder op jouw console. Jij kunt die toegang op elk moment intrekken.
- Bedrijfsadres als eigenaar — Koppel het eigenaarsaccount aan een algemeen bedrijfsadres (bijvoorbeeld beheer@jouwbedrijf.nl) dat niet verdwijnt als iemand uit dienst gaat.
- Periodieke controle — Loop elk half jaar de lijst met beheerders na. Wie herken je niet meer?
Checklist: medewerker of leverancier vertrekt
- UI-account verwijderen van alle consoles en uit de organisatie op unifi.ui.com
- Lokaal apparaatwachtwoord van de consoles wijzigen
- VPN-clientconfiguraties van de persoon intrekken
- WiFi-wachtwoord wijzigen als de persoon de gedeelde PSK kende — of beter: stap over op RADIUS of PPSK, zodat je alleen de toegang van die ene persoon hoeft in te trekken
- Gebruikers en passen in UniFi Access deactiveren, Protect-toegang verwijderen
- Externe koppelingen controleren: DDNS-accounts, cloudback-ups, meldingsadressen
- Wijzigingen vastleggen in de netwerkdocumentatie
En als de eigenaar zelf de toegang verliest?
Het komt voor: de eigenaar is uit dienst, het e-mailadres is opgeheven en niemand kan meer bij het account. Herstel is dan tijdrovend en soms onmogelijk zonder de console te resetten. Voorkom het: bewaar herstelcodes, houd een lokaal beheerdersaccount als terugvaloptie en zorg dat configuratieback-ups buiten de console zijn opgeslagen.
Wil je zeker weten wie er bij je netwerk kan? Vraag een netwerkscan aan — wij brengen alle accounts en rechten in kaart en ruimen op wat niet meer hoort.
