Microsoft Entra ID: toegangsbeheer automatiseren met Conditional Access

Toegangsbeheer is in veel organisaties nog steeds handmatig werk. Beheerders voegen gebruikers toe aan groepen, passen rechten aan en verwijderen accounts vaak pas nadat daar een verzoek voor is ingediend. Dat kost tijd en vergroot de kans op fouten. Microsoft Entra ID biedt de mogelijkheden om dit proces grotendeels te automatiseren, maar in de praktijk worden die nog niet altijd volledig benut.

Door Conditional Access te combineren met dynamische groepen maak je toegangsbeheer schaalbaar, consistenter en eenvoudiger te beheren.

Het grote voordeel van deze aanpak is dat toegangsbeheer automatisch meebeweegt met veranderingen binnen de organisatie. Wanneer HR bijvoorbeeld een functiewijziging doorvoert of een medewerker uit dienst gaat, worden groepslidmaatschappen automatisch bijgewerkt. Daardoor neemt de kans op foutief toegewezen rechten af en hoeft IT minder handmatig beheer uit te voeren.

Wat Conditional Access doet en hoe het werkt

Conditional Access is de policy engine van Microsoft Entra ID. Hiermee bepaal je onder welke voorwaarden gebruikers toegang krijgen tot applicaties en data. Je definieert beleid op basis van voorwaarden zoals gebruikersattributen, apparaatstatus, locatie, applicatie en risiconiveau.

Een beleid werkt volgens een eenvoudige logica: als aan bepaalde voorwaarden wordt voldaan, wordt een vooraf ingestelde actie uitgevoerd.

Voorbeelden van voorwaarden zijn:

• Een gebruiker meldt zich aan vanaf een niet-beheerd apparaat.
• De aanmeldlocatie valt buiten een vertrouwd netwerk.
• Het aanmeldrisico is door Microsoft Entra ID Protection als hoog geclassificeerd.
• De gebruiker probeert toegang te krijgen tot een gevoelige applicatie.

Afhankelijk van de situatie kun je vervolgens bijvoorbeeld:

• Multi-Factor Authentication (MFA) vereisen.
• Toegang blokkeren.
• Sessies beperken via app-beheercontroles.
• Een compliant apparaat vereisen via Microsoft Intune.

Conditional Access geldt alleen voor de gebruikers, groepen of rollen waarop het beleid expliciet wordt toegepast. Dynamische groepen maken het mogelijk om dat beheer grotendeels te automatiseren.

Dynamische groepen: automatisch lidmaatschap op basis van attributen

Een dynamische groep in Microsoft Entra ID kent geen handmatig beheer van leden. Het lidmaatschap wordt bepaald door een query op gebruikers- of apparaatattributen. Zodra een attribuut verandert, wordt het groepslidmaatschap automatisch bijgewerkt.

Een praktisch voorbeeld is een dynamische groep voor alle gebruikers met het attribuut `department` gelijk aan `Finance`. Nieuwe medewerkers met dit attribuut worden automatisch toegevoegd. Verlaat iemand de afdeling Finance, dan wordt het groepslidmaatschap automatisch verwijderd.

Een query in de Azure Portal ziet er bijvoorbeeld zo uit:

(user.department -eq "Finance") and (user.accountEnabled -eq True)

Je kunt ook complexere queries bouwen met meerdere attributen, zoals functietitel, locatie of extensie-attributen die vanuit HR-systemen worden gesynchroniseerd via Microsoft Entra Connect Sync of een SCIM-provisioningkoppeling.

Dynamische groepen zijn beschikbaar voor zowel gebruikers als apparaten. Apparaten kunnen bijvoorbeeld worden gegroepeerd op basis van het besturingssysteem, de OS-versie, het eigendomstype of het trust type.

Conditional Access koppelen aan dynamische groepen

De kracht zit in de combinatie. Door Conditional Access-beleid toe te passen op dynamische groepen groeit je toegangsbeleid automatisch mee met veranderingen binnen de organisatie.

Een concreet voorbeeld:

1. Je maakt een dynamische groep aan voor alle gebruikers waarvan `jobTitle` gelijk is aan `Contractor`.
2. Je maakt een Conditional Access-beleid dat voor deze groep altijd Multi-Factor Authentication (MFA) vereist en indien nodig aanvullende sessiecontroles toepast, zoals een aangepaste aanmeldfrequentie.
3. Iedere nieuwe contractor met het juiste attribuut valt automatisch onder dit beleid, zonder handmatige acties van een beheerder.

Dit principe is ook toepasbaar in andere situaties:

• Conditional Access toepassen op Microsoft Entra-beheerdersrollen, eventueel in combinatie met Microsoft Entra Privileged Identity Management (PIM).
• Gebruikers met een hoog aanmeldrisico automatisch onder strengere beveiligingsmaatregelen laten vallen via Microsoft Entra ID Protection.
• Toegang beperken tot apparaten die voldoen aan de compliance-eisen van Microsoft Intune.
• Toegang beperken op basis van Named Locations, zoals vertrouwde IP-ranges of landen en regio’s.

Houd er rekening mee dat wijzigingen in dynamische groepen niet direct worden verwerkt. Meestal worden wijzigingen binnen enkele minuten doorgevoerd, maar afhankelijk van de grootte van de tenant en de belasting kan dit langer duren. Voor zeer tijdkritische wijzigingen blijft directe groepstoewijzing soms de beste keuze.

Wat je nodig hebt en waar je op let

Voor dynamische gebruikersgroepen is minimaal een Microsoft Entra ID P1-licentie vereist. Conditional Access vereist eveneens een P1-licentie. Microsoft Entra ID Protection, waarmee je risicogebaseerd beleid kunt toepassen, vereist een P2-licentie.

Controleer vóór de implementatie de volgende punten:

• HR-attribuutdata wordt consistent en actueel gesynchroniseerd via Microsoft Entra Connect Sync of SCIM.
• Attribuutwaarden en naamconventies zijn gestandaardiseerd in het bronsysteem.
• Er zijn minimaal één, en bij voorkeur twee, break-glass accounts beschikbaar die zijn uitgesloten van Conditional Access-beleid.
• Nieuw beleid wordt eerst getest in de Report-only-modus (rapportagemodus) voordat het wordt afgedwongen.

Met de Report-only-modus (rapportagemodus) zie je welke gebruikers door een beleid geraakt zouden worden, zonder dat het beleid daadwerkelijk actief wordt. Daarmee voorkom je ongewenste verstoringen tijdens de implementatie.

Praktische conclusie

Conditional Access en dynamische groepen vormen samen een krachtige basis voor geautomatiseerd toegangsbeheer. De techniek zelf is niet ingewikkeld, maar een succesvolle implementatie staat of valt met betrouwbare brondata en een doordachte inrichting.

Begin daarom met een afgebakend scenario, zoals contractors of één specifieke afdeling. Test nieuw beleid eerst in de Report-only-modus en breid de inrichting daarna stap voor stap uit. Zo houd je de impact beheersbaar en voorkom je ongewenste toegangsproblemen.

Werk je als IT-professional aan identity, security of cloudbeheer en wil je aan dit soort vraagstukken werken? Bekijk dan de openstaande IT-vacatures of lees meer over werken als IT-professional bij Linden-IT.