Het beste technische werk hoort zelden bij één product. Deze geanonimiseerde voorbeelden laten zien hoe ik identiteit, infrastructuur, applicatieoplevering en operationele verantwoordelijkheid aanpak waar ze samenkomen.
01 / DataBalk
Vorige functie · Cloud Service Engineer
Cloud engineering met vangrails.
Geselecteerde patronen uit Microsoft-cloudbeheer, identiteit, applicatiekoppelingen en het ontwerp van deployments. Klantnamen, tenantgegevens en de live topologie zijn bewust weggelaten.
Het meeste begon als interne tooling voor het team, om orde te brengen in een bestaande en complexe Microsoft-cloudomgeving. Toen ik bij DataBalk vertrok, is het werk aan het team overgedragen.
Azure-governance · PowerShell · ARM · Microsoft Graph
Cloudinventaris zonder pad naar geheime waarden
Ontwierp begrensde inventarisatietooling voor meerdere tenants, voor Key Vault-metadata, toegangsmodellen, roltoewijzingen en scandekking. Strikte allowlists voor hosts, limieten op het aantal verzoeken en een expliciete grens van alleen metadata hielden de tool bruikbaar, zonder een nieuwe route naar gevoelige waarden te openen.
Dekking is ook bewijs: een ontoegankelijke subscription blijft zichtbaar onvolledig, in plaats van als leeg resultaat te worden gemeld.
Microsoft Entra · PIM · Minimale rechten
Verhoogde rechten, met de beheerder aan het stuur
Bouwde een beveiligd hulpmiddel om rollen te activeren, met exacte tenantcontrole, een begrensde duur, een verplichte reden, interactieve bevestiging, WhatIf-ondersteuning en het teruglezen van de werkelijke status.
Gemak in beheer moet herhaling verminderen, niet het moment weghalen waarop een beheerder verhoogde toegang begrijpt en goedkeurt.
Entra-applicaties · Service principals · Consent
Identiteitsconfiguratie als vergelijkbaar bewijs
Maakte reproduceerbare exports van app-registraties, enterprise-applicaties, rechten en consent, om onderzoek en afstemming tussen omgevingen te ondersteunen. Inloggegevens en publieke sleutels werden daarbij bewust verwijderd.
Configuraties vergelijken wordt betrouwbaar wanneer het verzamelen exact, herhaalbaar en gescheiden van geheimen is.
Business Central · Azure DevOps · Controles vooraf
Eerst de grens van een deployment vinden, dan pas wijzigen
Bracht de grens in kaart over vaults, toegang, diagnostiek, pipelines en serviceverbindingen, met een alleen-lezen controle vooraf, voordat een bredere wijziging van de deployment-identiteit werd overwogen.
De controle vooraf kon niets wijzigen. Toen de omliggende architectuur geen veilige aanname toeliet, bleef de migratie in de wacht.
OIDC-federatie · Azure RBAC · Cloudflare One
Uitrollen zonder geheimen, en eenvoudigere netwerkpaden
Werkte aan workload-identity-federatie voor deployments en aan gerouteerde Cloudflare-verbindingen voor beheerde werkplekken, met de voorkeur voor kortlevende identiteiten en directe, ondersteunde paden boven opgeslagen geheimen, proxylagen of een gegokte topologie.
Een eenvoudigere architectuur is alleen waardevol als de grenzen voor identiteit, netwerk en controle expliciet zijn.
02 / Visnovo
DevOps Engineer · freelance
Bouwen, beheren, controleren.
Development en oplevering aan klanten gaan samen met de verantwoordelijkheid voor hosting, mail en infrastructuur. Ik werk als freelancer met Visnovo. De voorbeelden hieronder blijven op architectuurniveau om operationele details te beschermen.
Python · DNSSEC · DANE/TLSA · Cloudflare · Plesk
Certificaatstatus afgestemd over systemen heen
Bouwde een platform dat actief de certificaatstatus van maildiensten vergelijkt met de status in DNS en bij de provider, en daarna begrensde, aanvullende wijzigingen doorvoert via gescheiden rechtenlagen.
Bij een rollover wordt eerst toegevoegd. Handmatig beheerde records worden nooit stilletjes overgenomen, een onduidelijke DNSSEC-status leidt tot stoppen en opruimen wacht twee TTL-periodes af.
Linux · systemd · Plesk · Roundcube
Beheerde hosting die afwijkingen veilig herstelt
Combineerde aanpassingen aan de hosting voor klanten met operationele waarborgen: een snapshot maken, hashen, herstellen met ondersteunde tools en controleren dat alles weer klopt wanneer gegenereerde configuratie afwijkt.
Huisstijl blijft decoratief en bouwt voort op de bestanden die de leverancier beheert; hij verandert niets aan de authenticatie en maakt geen kwetsbare afsplitsing van de originele interface.
Registrar · DNS · Mail · Hosting · Accounteigendom
Een dienst overdragen als systeemvraagstuk
Splitste domeinregistratie, DNS, webhosting, mail, DNSSEC/DANE en accounttoegang op in aparte overdrachtssporen, elk met de status toegestaan, geweigerd of onvolledig.
Een nameserverwijziging is geen volledige overdracht, en wordt gevaarlijk wanneer beveiligingsrecords en diensten buiten DNS als bijzaak worden gezien.
03 / Obsite
Oprichter · 2019–2024
Van engineer naar oprichter.
Bij Obsite kwamen infrastructuur, weboplevering en directe verantwoordelijkheid naar klanten samen in één rol. In 2024 nam Visnovo het bureau over, en sindsdien zet ik dat werk voort bij Visnovo.
Richtte van 2019 tot 2024 een technisch digitaal bureau op en leidde het.
Was verantwoordelijk voor Linux- en Proxmox-infrastructuur, naast web- en e-mailhosting voor klanten.
Combineerde development, optimalisatie en SEO met direct advies aan klanten en samenwerking met partners.
Hield naast het bureau een kleine eigen freelancepraktijk aan.
