Conditional Access: configureren is pas het begin

Conditional Access is voor veel organisaties de belangrijkste beveiligingslaag binnen Microsoft Entra ID. Identiteitsgebaseerde aanvallen zijn inmiddels de meest gebruikte aanvalsvector in bedrijfsomgevingen.De recente reeks datalekken bij Nederlandse organisaties laat zien dat identiteitsbeveiliging steeds vaker het primaire doelwit van aanvallers is. Het is een actieve verdedigingslinie. Microsoft Entra ID met Conditional Access biedt de tools om die linie strak te trekken, maar alleen als je de instellingen ook daadwerkelijk begrijpt en toepast.

De meest effectieve beleidsregels voor identiteitsbescherming

Conditional Access werkt alleen als het beleid aansluit op de werkelijke aanvalspaden. Dit zijn de configuraties die het meeste verschil maken.

Blokkeer verouderde authenticatieprotocollen
Protocollen zoals SMTP AUTH, IMAP en POP3 ondersteunen geen MFA. Aanvallers gebruiken deze protocollen actief om MFA te omzeilen. Maak een beleid dat legacy authentication volledig blokkeert voor alle gebruikers.

Vereis MFA op basis van aanmeldingsrisico
Entra ID Identity Protection kent een risicoscore toe aan elke aanmelding. Stel een Conditional Access-beleid in dat MFA verplicht stelt bij een medium of hoog aanmeldingsrisico. Combineer dit met een apart beleid dat bij hoog gebruikersrisico wachtwoordwijziging verplicht stelt.

Beperk toegang tot compliant devices
Via Microsoft Intune kun je definiëren wat een compliant apparaat is. Een Conditional Access-beleid dat toegang tot gevoelige applicaties beperkt tot compliant of Hybrid Azure AD Joined devices sluit onbeheerde apparaten effectief buiten.

Gebruik named locations voor geografische afbakening
Definieer vertrouwde IP-ranges en locaties als named locations. Aanmeldingen van buiten die ranges kunnen dan automatisch worden geblokkeerd of extra verificatie vereisen. Dit is bijzonder effectief voor accounts die nooit internationaal inloggen.

Activeer continuous access evaluation (CAE)
CAE kan toegang vrijwel direct intrekken wanneer kritieke wijzigingen optreden, zonder te wachten op de standaard tokenvervaldatum. Blokkeer je een gebruiker in Entra ID, dan wordt de sessie vrijwel direct beëindigd in plaats van pas na uren.

Automatisering: beleid schalen zonder handmatig werk

Conditional Access-beleid handmatig beheren schaalt slecht. Zeker in grotere omgevingen loop je dan altijd achter de feiten aan. Microsoft biedt twee manieren om dit te automatiseren.

Microsoft Graph API
Via de Graph API kun je Conditional Access-beleidsregels programmatisch aanmaken, aanpassen en monitoren. Dit is de basis voor elke automation pipeline, of je nu werkt met PowerShell, Azure DevOps of een externe tooling.

Infrastructure as Code via Bicep of Terraform
Voor omgevingen met strikte change management-processen is het declaratief beheren van Conditional Access-beleid via IaC een logische stap. De Terraform AzureAD provider ondersteunt het resource type `azuread_conditional_access_policy`. Wijzigingen gaan dan via pull requests met review en auditlog, niet via de GUI.

Rapportage en monitoring
Gebruik de Entra ID Sign-in logs en koppel ze aan Microsoft Sentinel of een SIEM naar keuze. Filter specifiek op resulterende beleidsacties: welk beleid blokkeerde een aanmelding, welk beleid activeerde MFA? Die data is nodig om beleid iteratief te verbeteren.

Veelgemaakte fouten bij Conditional Access implementaties

Zelfs goed bedoeld beleid gaat regelmatig mis door een aantal terugkerende fouten:

Break-glass accounts uitsluiten vergeten.
Zonder noodaccounts buiten het beleid loop je het risico jezelf buitengesloten te worden tijdens een incident.

Beleid eerst in report-only mode testen.
Sla deze stap niet over. Report-only toont de impact van een beleid zonder het daadwerkelijk toe te passen, wat onverwachte blokkades voorkomt.

Service accounts meenemen in gebruikersscope.
Conditional Access en service principals werken anders. Gebruik workload identity policies voor niet-menselijke identiteiten.

Te veel uitzonderingen opbouwen over tijd.
Uitzonderingen stapelen zich op. Plan periodieke reviews van alle beleidsregels en de bijbehorende exclusions.

Conclusie

Conditional Access is geen set-and-forget configuratie. Het is een actief beheerde laag die meegroeit met dreigingen, gebruikersgedrag en het applicatielandschap. De basis staat snel, maar de echte waarde zit in automatisering, monitoring en regelmatige evaluatie van je beleid.

Op 16 september 2026 organiseert Linden-IT een kennissessie over Microsoft Entra ID, specifiek gericht op beheerders en security engineers die dieper in de materie willen. Schrijf je in en bereid je voor.

Tijdens deze kennissessie laten we zien hoe je Conditional Access inzet zonder gebruikers onnodig te beperken. Je krijgt praktische voorbeelden, veelgemaakte valkuilen en concrete beleidsregels die direct toepasbaar zijn.

Bronnen:

• Block legacy authentication with Conditional Access
• Continuous access evaluation in Microsoft Entra
• azuread_conditional_access_policy – Terraform Registry
• Manage emergency access admin accounts
• Conditional Access for workload identities
• Risk-based user sign-in protection
• conditionalAccessPolicy resource type – Microsoft Graph