Wat onze consultants doen voor uw AWS IAM strategie
Wij leveren senior AWS consultants die uw identiteits- en toegangsmodel ontwerpen, vastleggen en implementeren over uw hele multi-accountlandschap. Dat begint bij een nuchtere inventarisatie van wat u nu heeft staan: losse IAM-users in productie, federatie via een ouder SSO-product, accounts die buiten Control Tower zijn aangemaakt, of een Organizations-structuur waar de SCPs lang niet meer aan de huidige werkelijkheid voldoen. Vanuit dat beeld bouwen wij een doelarchitectuur die uitlegbaar is aan uw security officer en werkbaar voor uw engineers.
Concreet betekent dat een blauwdruk voor IAM Identity Center als enige federatiepunt, een set permission sets per rol, een SCP-laag die guardrails afdwingt op OU-niveau, en permissions boundaries die ontwikkelaars ruimte geven binnen veilige grenzen. Wij rollen dit gefaseerd uit, schrijven het mee in uw Terraform of CloudFormation, en zorgen dat Access Analyzer en CloudTrail vanaf dag een meekijken zodat u niet pas bij een audit ontdekt waar het rammelt.
Voor welke vraagstukken huurt u dit in
U zit met een AWS-omgeving die organisch is gegroeid en u merkt dat niemand meer durft te zeggen wie waar bij kan. Of u staat aan de start van een migratie naar AWS Organizations en u wilt het deze keer netjes inrichten, met een landingszone die over vijf jaar nog logisch is. Soms is de aanleiding een audit die opmerkingen plaatste bij brede AdministratorAccess-rollen, soms een incident waar een gelekte access key dagen heeft kunnen rondsnuffelen voor iemand het zag.
Ook typisch: u wilt overstappen van handmatig aangemaakte IAM-users naar federated access vanuit Entra ID of Okta, u wilt cross-accounttoegang opschonen omdat trust policies inmiddels naar accounts wijzen die niemand meer kent, of u wilt least privilege serieus invoeren maar weet niet hoe u dat doet zonder uw ontwikkelteams te frustreren. Voor al deze situaties zetten wij een senior in die het tempo bepaalt in overleg met uw eigen mensen.
Wat u terugkrijgt bij Consultant.nl
Binnen een werkdag na uw aanvraag heeft u een shortlist van twee tot drie senior profielen op uw bureau, met een korte motivatie waarom juist deze mensen bij uw vraag passen. U spreekt ze zelf, u kiest zelf, en u bepaalt zelf de scope. Wij bemoeien ons niet met de inhoud van het traject zelf, maar zorgen dat de contractlaag, de aansprakelijkheid en de tarieven netjes geregeld zijn zodat u snel kunt starten.
U krijgt geen verkoper aan tafel die u een vaste teamsamenstelling probeert te verkopen. Als één senior consultant uw vraag dekt, leveren wij één senior consultant. Loopt het traject langer, dan kunt u in dezelfde flow opschalen of juist afschalen zonder dat u opnieuw door een inkoopproces moet.
Tarief, beschikbaarheid en vorm
Voor een senior AWS consultant op IAM- en identityvraagstukken rekent u met €120 tot €180 per uur, of €960 tot €1.440 per dag. Voor lead-architect profielen die een volledige landingszone neerzetten en de governance over meerdere accounts moeten dragen, ligt het tarief tussen €140 en €200 per uur. Beschikbaarheid is doorgaans binnen 1 tot 2 weken, soms sneller als de scope helder is.
De vorm is flexibel: zzp of interim, fulltime of in dagdelen, hybride werken met aanwezigheid op uw locatie voor de werkplaatssessies en de afstemming met uw eigen platformteam. Wij regelen NDA, verwerkersovereenkomst en doorbelasting in één keer, zodat u niet weken bezig bent met inkoopformaliteiten voor iemand vrijdag kan aanschuiven.
Welke type specialisten leveren wij
Voor AWS IAM-strategie zetten wij verschillende profielen in, afhankelijk van waar u staat. Een cloud security architect voor het ontwerp van het identiteitsmodel, de SCP-laag en de relatie met uw bredere zero trust ambitie. Een platform engineer voor de daadwerkelijke uitrol in Terraform, de pipelines en het integreren van permission sets met uw CI/CD. Een identity specialist voor de federatie vanuit Entra ID, Okta of een andere IdP naar IAM Identity Center, inclusief het rollenmodel en de attribute-based access controls.
Voor grotere migraties of opschoonprojecten leveren wij een lead die de regie pakt over een klein team, met dagelijkse aansturing en een wekelijkse stuurgroep richting uw CIO of CISO. Voor kleine, scherp afgebakende vragen volstaat één senior die twee dagen per week meekijkt en uw eigen mensen begeleidt.
Hoe wij ons onderscheiden van een AWS-partner
Een AWS-partner verkoopt u doorgaans een vast pakket, een vast team, en een traject waar de scope deels door hun delivery-model wordt bepaald. Dat werkt prima als u een green field bouwt, maar het past slecht bij een organisatie die al jaren op AWS draait en gewoon een goede senior wil naast haar eigen platformteam.
Wij leveren losse senioren, geen pakket. U houdt regie op de oplossing, op het tempo en op de afhechting. Als blijkt dat u na drie maanden alleen nog twee uur per week sparring nodig heeft, schaalt u terug zonder gedoe. Tegelijk is het kwaliteitsniveau van de mensen die wij sturen vergelijkbaar met de senior architecten bij de grotere partners, alleen dan zonder de overhead.
Cross-account access, least privilege en Access Analyzer in de praktijk
De meeste organisaties lopen op dezelfde drie punten vast. Cross-accounttoegang is in het verleden geregeld via assumeRole-constructies waar de trust policy inmiddels te breed staat, of waar de externe ID ontbreekt. Least privilege is in theorie het uitgangspunt maar in de praktijk staan er nog steeds policies met Action wildcard en Resource wildcard op productieaccounts. En Access Analyzer staat aan, maar de findings worden niet opgevolgd omdat niemand verantwoordelijk is gemaakt.
Wij pakken dit pragmatisch aan. Eerst een inventarisatie van alle trust relationships en alle policies die meer dan een afgebakende lijst services aanraken. Daarna een prioritering op risico: welke policies geven toegang tot productiedata, welke tot KMS-keys, welke tot CloudTrail zelf. Vervolgens een opschoning waarbij wij permissions boundaries inzetten zodat ontwikkelteams hun eigen rollen mogen aanmaken binnen veilige grenzen. Access Analyzer wordt onderdeel van uw weekritme, niet een dashboard dat niemand opent. En de SCPs leggen op OU-niveau de niet-onderhandelbare regels vast, zoals het verbieden van root-key creatie of het uitschakelen van CloudTrail.
Hoe wij dit voor u regelen
U stuurt een korte aanvraag met uw situatie: hoeveel AWS-accounts, welke IdP, welk volwassenheidsniveau, en wat de directe aanleiding is. Wij bellen u dezelfde dag terug voor vijftien minuten verdieping. Binnen een werkdag staan twee of drie senior profielen klaar, met beschikbaarheid en tarief erbij. U voert de gesprekken, u kiest, en wij regelen het contract zodat de start binnen 1 tot 2 weken rond is. Daarna heeft u één vast aanspreekpunt bij ons voor de looptijd, maar inhoudelijk werkt u direct met de consultant.
Verwant: aws zero trust architectuur. Twee zinnen over uw situatie is genoeg, dan komen wij binnen 1 werkdag terug met een passende senior consultant.