Een leerling in het voortgezet onderwijs gebruikt op een schooldag al snel een handvol digitale diensten. Een lesmethode, een oefenplatform, een toetsomgeving. Vraagt elke dienst een eigen gebruikersnaam en wachtwoord, dan gaat er veel lestijd op aan inloggen en wachtwoorden herstellen. Entree Federatie is bedoeld om dat op te lossen. In dit artikel lees je wat Entree is, hoe een inlog via Entree werkt en wat een school moet regelen om een dienst te koppelen.
Wat is Entree Federatie?
Entree Federatie is een dienst van Kennisnet, de publieke ICT-organisatie voor het onderwijs. Je kunt het zien als een knooppunt tussen twee groepen. Aan de ene kant staan de scholen, die de accounts van hun leerlingen en medewerkers beheren. Aan de andere kant staan de leveranciers van digitale leermiddelen en andere onderwijsdiensten. Een school sluit zich één keer aan, een leverancier ook. Daarna kan een leerling met zijn schoolaccount inloggen bij de diensten die via Entree aan zijn school zijn gekoppeld.
Entree is dus geen nieuw account. De leerling gebruikt het account dat hij al van school heeft. Het wachtwoord blijft bij de school en komt nooit bij de leverancier terecht.
Wat levert het een school op?
- Eén inlog: leerlingen en docenten onthouden één schoolaccount in plaats van een rij losse wachtwoorden en codes.
- Minder tijdverlies: geen vergeten wachtwoorden aan het begin van de les of de toets.
- Beheer op één plek: verlaat een leerling de school en zet de school zijn account uit, dan werkt de inlog bij gekoppelde diensten ook niet meer.
- Betrouwbare herkenning: de dienst weet dat iemand leerling of medewerker van die school is, omdat de school dat zelf bevestigt.
- Minder gegevens bij de leverancier: een dienst krijgt een vaste, beperkte set gegevens. Meer kan alleen als de school daar toestemming voor geeft.
Hoe werkt een inlog via Entree?
In gewone taal gaat het zo. De leerling klikt bij een dienst op een knop als "Inloggen met schoolaccount". De dienst stuurt hem door naar Entree. Daar kiest hij zijn school en logt hij in op de vertrouwde inlogpagina van die school. De school bevestigt aan Entree wie hij is. Entree stuurt de leerling terug naar de dienst, samen met een kleine set gegevens. De dienst laat hem binnen.
Technisch gebruikt Entree gangbare standaarden voor zo'n gedeelde inlog, zoals SAML en OpenID Connect. Voor de school maakt die keuze weinig uit. Belangrijker is dat de dienst nooit het wachtwoord ziet. Hij krijgt alleen een bevestiging en de gegevens die bij de koppeling zijn afgesproken.
Welke gegevens krijgt een dienst?
Entree werkt met attributen: losse gegevens over de gebruiker. Er is een kleine standaardset die elke gekoppelde dienst ontvangt. Andere attributen gaan alleen mee als de school daar uitdrukkelijk toestemming voor geeft, via Mijn Entree Federatie. Dat past bij het AVG-principe van dataminimalisatie: niet meer gegevens verwerken dan nodig is voor het doel.
| Gegeven | Wanneer de dienst het krijgt | Waarvoor een dienst het gebruikt |
|---|---|---|
| Versleuteld kenmerk (uid) | Standaard | Dezelfde gebruiker bij een volgende login herkennen |
| Voornaam | Standaard | Een herkenbare naam in het overzicht van de docent |
| Rol (leerling of medewerker) | Standaard | Bepalen of iemand een leerling- of docentomgeving krijgt |
| School (BRIN-nummer en naam) | Standaard | De gebruiker aan de juiste school koppelen |
| Achternaam | Alleen met toestemming van de school | Leerlingen met dezelfde voornaam uit elkaar houden |
| Klas of afdeling | Alleen met toestemming van de school | Leerlingen automatisch in de juiste klas zetten |
| E-mailadres | Alleen met toestemming van de school | Berichten sturen of accounts koppelen |
Een belangrijk deel van de privacybescherming zit in pseudoniemen. Het kenmerk waarmee een dienst een gebruiker herkent, is een versleutelde code en geen leerlingnummer of gebruikersnaam. Daarnaast kent het onderwijs de ECK iD: een pseudoniem waarmee leermiddelen en resultaten bij de juiste leerling of docent terechtkomen, zonder dat er een naam of leerlingnummer mee hoeft. Een dienst kan die via Entree ontvangen als aan de voorwaarden is voldaan.
Entree regelt de inlog, niet de afspraken. Ook bij een koppeling via Entree heb je met elke leverancier een verwerkersovereenkomst nodig. Daarin hoort te staan welke gegevens de dienst ontvangt en waarvoor.
Wat moet een school regelen?
Een dienst koppelen via Entree is geen groot project, maar het vraagt wel een paar stappen. Reken op enige doorlooptijd, zeker rond de start van het schooljaar.
- Ga na of je school al bij Entree is aangesloten en waar de accounts vandaan komen. De ICT-afdeling of applicatiebeheerder weet dat.
- Sluit een verwerkersovereenkomst met de leverancier en controleer welke gegevens daarin staan.
- Bekijk welke extra attributen de dienst vraagt en of die passen bij het doel. Geef alleen toestemming voor wat echt nodig is.
- Test met een paar accounts, als docent en als leerling. Kijk of de rol, de school en eventueel de klas goed doorkomen.
- Vertel leerlingen en docenten welke knop ze gebruiken, en houd in de eerste weken een andere inlogroute achter de hand.
Wat lost Entree niet op?
Entree maakt inloggen makkelijker, maar het lost niet alles op. Klopt de accountbron van de school niet, dan komen ook verkeerde klassen of rollen door. Een leerling die zijn schoolwachtwoord kwijt is, kan nergens meer in in plaats van bij één dienst. En niet elke leverancier is aangesloten. Houd de wachtwoordhulp op school dus goed op orde en controleer aan het begin van het schooljaar of klassen en rollen kloppen.
Hoe dit in TestWisely werkt
Docenten en leerlingen kunnen bij TestWisely inloggen met de knop "Inloggen met schoolaccount". Die koppeling met Entree loopt via OpenID Connect. TestWisely leidt de rol af uit het rolgegeven van Entree en herkent de school aan het BRIN-nummer. Niemand hoeft dus zelf een school te kiezen.
Bij de eerste login maakt TestWisely het account automatisch aan. Een leerling wordt gekoppeld aan de klas die de school doorgeeft. In zijn leerlingomgeving ziet hij de onderdelen die de school heeft aangezet, zoals toetsen die voor hem klaarstaan. Voor leerlingen die zo inloggen, kan de schoolbeheerder per leerling voorlezen en extra tijd instellen. Dat geldt dan bij elke toets. TestWisely werkt met de gegevens die de school vrijgeeft: geeft de school geen achternaam door, dan staat alleen de voornaam in TestWisely. Inloggen met een toetscode en naam blijft daarnaast mogelijk.
