Microsoft Entra Administrative Units-gids

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Leer Microsoft Entra administrative units kennen met praktische tips over beveiliging, governance, toegangsbeheer, implementatie en praktijkgebruik.

Automatically translated with AI from the original post. Read the English original

Als je een grote organisatie beheert die Microsoft 365 of Azure gebruikt, kan het er snel rommelig aan toe gaan. Administrative units, kortweg AU’s, in Microsoft Entra ID fungeren als de buurtwachtcoördinatoren voor de digitale straten van je tenant. Ze helpen je om je gebruikersbestand op te splitsen, zodat je lokale beheerders precies genoeg controle kunt geven om hun eigen stuk te beheren, maar niet de hele stad.

Dit is een grote stap vooruit voor organisaties die beveiliging, compliance en efficiëntie met elkaar in balans willen houden. In plaats van één standaardset beheerdersrechten zorgen AU’s ervoor dat de juiste mensen de juiste gebruikers beheren, niet meer en niet minder. Verderop zie je hoe AU’s verschillen van groepen en klassieke OU’s, en hoe ze het werk makkelijker maken zonder de governance los te laten. Of je nu op zoek bent naar betere rolafbakening, tenantsegmentatie of gewoon minder chaos, het begrijpen van administrative units in Entra ID is de moeite waard.

Wat is een administrative unit in Microsoft Entra ID?

Administrative units (AU’s) in Microsoft Entra ID zijn speciale containers, ontworpen om op grote schaal orde op zaken te stellen. Zie ze als digitale grenzen: je kunt beheerders aan die grenzen toewijzen, zodat ze alleen de gebruikers of groepen binnen die specifieke afrastering beheren.

Zodra je een AU hebt ingesteld, kun je beheerdersrechten delegeren, zoals User Administrator of Helpdesk Admin, alleen voor de personen of groepen binnen die unit. Zo blijven lokale IT-teams gericht op hun eigen medewerkers, zonder overal rond te neuzen. Het gaat om het decentraliseren van beheer, zonder alle deuren tegelijk open te zetten.

Dit is vooral handig in grote of complexe organisaties, zoals scholen, multinationals en overheidsinstanties, waar je niet wilt dat een beheerder in New Jersey wachtwoorden reset voor medewerkers in Tokio. Je geeft hen als het ware een duidelijke richting aan, en iedereen blijft in zijn eigen baan.

Anders dan traditionele OU’s in on-premises Active Directory bestaan AU’s alleen in de Microsoft-cloud en draaien ze om het afbakenen van beheerdersrechten. Ze zijn ook niet hetzelfde als beveiligingsgroepen of Microsoft 365-groepen, die vooral worden gebruikt voor toegang tot apps en resources en niet voor beheerdersrechten. De belangrijkste conclusie? AU’s helpen je om “wie wat mag beheren” te regelen, direct binnen je cloudtenant, zodat je beheer zowel scherper als veiliger wordt.

Hoe Azure administrative units verschillen van groepen en OU’s

• Administrative Units (AU’s): Ontworpen voor gedelegeerd beheer. Beperkt beheerdersrollen tot specifieke gebruikers en groepen binnen een AU, maar geeft geen toegangsrechten tot resources zoals bestanden of mailboxen.
• Groepen: Gebruikt om toegang tot apps en resources toe te kennen (bijvoorbeeld Teams, SharePoint, licenties). Groepen beperken of bepalen geen beheergrenzen, ze dienen alleen voor lidmaatschap bij machtigingen of distributie.
• Organizational Units (OU’s): Een concept uit on-premises Active Directory waarmee objecten (gebruikers, computers) hiërarchisch worden georganiseerd voor het toepassen van groepsbeleid. Niet bedoeld voor delegatie in de cloud of in Microsoft 365; er is geen directe equivalent in Entra ID.

Kort samengevat: gebruik AU’s voor het afbakenen van beheer, groepen voor toegang en OU’s voor on-premises organisatie. Kies het juiste hulpmiddel voor de taak.

AU’s implementeren: belangrijke scenario’s voor Microsoft 365

Wanneer je Microsoft 365-omgeving zich uitstrekt over meerdere landen, afdelingen of compliancezones, redt één centraal beheerteam het niet meer. Hier komen administrative units om de hoek kijken. Ze helpen je om complexe omgevingen te beheren zonder de controle, of je overzicht, kwijt te raken.

Met administrative units deel je precies het juiste niveau van bevoegdheden uit, zodat lokale teams of afdelingshoofden wachtwoorden kunnen resetten of groepslidmaatschappen kunnen beheren op de plek waar dat nodig is. Door je tenant op deze manier te segmenteren, verhoog je de productiviteit en verklein je het risico, want niemand heeft meer beheerrechten dan hij nodig heeft.

In de praktijk duiken er constant uitdagingen op: misschien heb je een universiteit met verschillende faculteiten, een retailer met winkels in verschillende staten of een wereldwijd bedrijf met regionale IT-teams. Administrative units zijn dan dé manier om vast te leggen wie verantwoordelijk is voor welk deel van de organisatie, en om ervoor te zorgen dat interne beleidsregels ook echt worden nageleefd.

Hieronder bespreken we een aantal van de meest voorkomende scenario’s en beslismomenten bij het uitrollen van deze units. Je ziet niet alleen waarom ze belangrijk zijn, maar ook hoe ze helpen bij veelvoorkomende hoofdpijndossiers, zoals compliance, toegang met minimale rechten en regionale autonomie.

Wanneer je administratieve eenheden inzet in complexe beheerscenario's

• Geografisch verspreide organisaties: Wijs regionale IT-teams toe die alleen gebruikers in hun eigen regio beheren (bijvoorbeeld Europa of Azië), zonder toegang tot de globale tenant.
• Segmentatie per afdeling: Delegeer beheerrechten aan HR, Financiën of academische faculteiten, zodat de beheermachtigingen van elk team beperkt blijven tot de eigen afdeling.
• Compliance- en privacygrenzen: Splits gebruikers die onder verschillende regelgeving vallen (zoals AVG of HIPAA) onder in aparte AE's, zodat je beveiligingsgrenzen afdwingt.
• Fusies en overnames: Neem nieuwe business units of overgenomen bedrijven op en laat ze zichzelf beheren, zonder dat ze toegang krijgen tot je hele omgeving.
• Onderwijs en schoolbesturen: Geef schoolbeheerders alleen controle over leerlingen en medewerkers op hun eigen campus, zodat de gegevens van andere scholen buiten bereik blijven.

Azure-administratieve eenheden gebruiken om tenantsegmentatie in Microsoft 365 te beheren

• Gedecentraliseerd beheer: Met AE's wijs je lokale beheerders alleen toe aan de personen of groepen die zij kennen. Je hebt geen globale beheerder meer nodig voor dagelijkse taken. Zo voorkom je dat er te veel koks in de keuken zijn.
• Duidelijke beveiligingsgrenzen: Door je tenant met AE's te segmenteren, kun je grenzen aanbrengen die aansluiten op afdelingen, regio's of juridische entiteiten, elk met op maat gemaakte beheerrechten.
• Compliance eenvoudiger gemaakt: Omdat IT-teams alleen de gebruikers in hun eigen scope zien, is het veel eenvoudiger om audits te doorstaan, het principe van least privilege af te dwingen en de risico's van blootstelling aan gegevens te beperken.
• Eenvoudiger probleemoplossing: Lokale beheerders kunnen wachtwoorden resetten, licenties beheren of lidmaatschappen aanpassen zonder in de gegevens van andere teams terecht te komen. Zo verloopt het dagelijks beheer soepeler.
• Ondersteuning voor governancestrategieën: Voor geavanceerde strategieën rond RBAC, PIM en handhaving kun je deze blik op Azure-governance en best practices voor RBAC bekijken voor praktische tips.

Administratieve eenheden instellen in Microsoft Entra ID

Administratieve eenheden uitrollen in Microsoft Entra ID begint met een duidelijk idee: wie wil je beheren, en wie vertrouw je om dat te doen? Als je dat in kaart hebt gebracht, bestaat het instellen van een AE eerst uit het aanmaken van de eenheid zelf, daarna het toevoegen van de juiste gebruikers of groepen en tot slot het toewijzen van beheerrollen met het juiste niveau van controle.

Je kunt AE's rechtstreeks in de Azure-portal bouwen, die een intuïtieve stapsgewijze procedure biedt. Voor grotere of dynamischere organisaties kun je je automatiseringskennis inzetten met de Microsoft Graph API, zodat scripts het zware werk doen.

Daarna gaat het erom de juiste mensen in de juiste AE's te krijgen, een voor een als dat nodig is, of in bulk als je op schaal werkt. Groepslidmaatschap kun je direct of dynamisch beheren, maar voor apparaten en resources (zoals SharePoint-sites) gelden enkele beperkingen waar we straks op wijzen.

Tot slot wil je beheerrollen toewijzen, via het klassieke Azure AD-model of via Privileged Identity Management (PIM) voor just-in-time toegang en controleerbaarheid. In de volgende secties werken we elke stap uit, zodat je met vertrouwen kunt bouwen, beveiligen en delegeren.

AE's maken en configureren in Microsoft 365

• Open de Azure-portal: Ga naar Microsoft Entra ID, kies Administratieve eenheden en klik op "+ Nieuwe administratieve eenheid" om de installatie te starten.
• Naam, beschrijving en scope kiezen: Geef je AE een duidelijke, beschrijvende naam (zoals "APAC Sales Admins"). Voeg optioneel een beschrijving toe voor toekomstige beheerders.
• Leden toevoegen: Je kunt gebruikers of groepen direct als leden toevoegen. Bepaal wie binnen deze AE wordt beheerd; beheerders hebben alleen invloed op deze personen.
• Optie voor automatisering: Hou je van code? Gebruik de Microsoft Graph API om AE's aan te maken, bij te werken en te beheren voor bulk- of geautomatiseerde workflows. Scripting maakt grote wijzigingen eenvoudiger en voorkomt fouten.
• Controleer op overlappende lidmaatschappen: Vermijd overlappende lidmaatschappen tussen AE's als je strakke afbakening wilt. Een gebruiker kan binnen een specifieke rolcontext maar in één AE worden beheerd.

Gebruikers en groepen toewijzen aan administratieve eenheden

• Directe toewijzing: Voeg gebruikers of groepen handmatig toe via de Azure-portal (Gebruikers > Lid toevoegen), zodat ze beheerde objecten worden in je AE.
• Dynamische groepen (met beperkingen): Je kunt dynamische groepen toevoegen als leden van een AU, maar AU's zelf kunnen dynamische regels momenteel niet native afdwingen. Dynamische groepsregels staan in de groep, niet in de AU.
• Bulkimports: Gebruik voor grote organisaties PowerShell of de Graph API om efficiënt meerdere gebruikers en groepen toe te wijzen. Dat scheelt tijd en zorgt voor consistentie.
• Controleer het lidmaatschap regelmatig: Stel periodieke controles in om verweesde accounts te verwijderen en te controleren of gebruikers nog steeds de juiste reikwijdte hebben. Er verandert van alles—houd je grenzen actueel.
• Apparaten zijn niet opgenomen: Op dit moment kunnen apparaten (zoals laptops en mobiele telefoons) geen leden van AU's zijn. Beheer gaat uitsluitend over personen en groepen, niet over hardware of resources.

Beheerders rollen toewijzen met Privileged Identity Management

• Roltoewijzing per AU: Wijs vanuit de AU rollen toe zoals User Administrator, Groups Administrator of Helpdesk Admin, zodat gedelegeerde beheerders alleen binnen die AU bevoegdheden hebben.
• Gebruik PIM voor JIT-toegang: Gebruik Privileged Identity Management (PIM) van Azure AD om just-in-time (JIT) beheerderstoegang te verlenen. Rollen kunnen dan tijdelijk worden geactiveerd, wat het risico van ‘altijd actieve’ rechten verkleint.
• Voer goedkeuringsworkflows uit: Stel PIM-goedkeuringen in zodat beheerderstoegang extra akkoord vereist. Dat is een redding voor compliance of omgevingen met hoge beveiligingseisen.
• Monitor en controleer toegang: Houd bij wie wat activeert en wanneer. Koppel auditlogs aan Microsoft Sentinel of gebruik Purview Audit voor forensische tracering van gebruikersactiviteit binnen M365. Dat versterkt governance en je beveiligingsverhaal.
• Controleer toegewezen privilegies: Bekijk toegekende rollen regelmatig. Verwijder verouderde of onnodige privilegies om privilege creep te voorkomen en het least-privilege-principe te versterken.

Administratieve vereisten, licenties en beperkingen

Voordat je je tenant met AU's in stukken gaat opdelen, zijn er enkele voorwaarden en beperkingen om rekening mee te houden. Niet alle Microsoft 365-abonnementen zijn gelijk: AU's vereisen doorgaans minimaal Azure AD Premium P1-licenties, zowel voor de beoogde gebruikers als voor de toegewezen beheerders.

De functionaliteit is robuust als het gaat om gebruikers en groepen, maar begint scheuren te vertonen bij apparaten, SharePoint-sites of andere resources. AU's zijn momenteel niet ontworpen voor het beheer van hardware of het toewijzen van granulaire resourcetoegang. Licentietoewijzingen en sommige functies voor eigenschappenbeheer kennen ook beperkingen, die in grote of snel veranderende omgevingen creatieve oplossingen kunnen vereisen.

Hiërarchie is een ander knelpunt. In tegenstelling tot OU's in klassieke Active Directory zijn AU's plat: er is geen nesting of ouder-kindrelatie. Je moet je segmentatie dus ontwerpen zonder die extra laag van complexiteit (of flexibiliteit, afhankelijk van hoe je het bekijkt).

Zoals we hieronder zullen zien, worden de functionele grenzen van AU's duidelijk. Zo kun je realistische verwachtingen scheppen bij zowel je IT-medewerkers als bij de business.

Belangrijkste administratieve beperkingen: hiërarchie, apparaten en SharePoint

• Geen hiërarchische structuur: AU's zijn plat: er bestaat geen concept van nesting of ouder-kindorganisatie. Je kunt bijvoorbeeld geen AU ‘Noord-Amerika’ maken met onderliggende AU's per staat of provincie. Elke AU staat op zichzelf.
• Hiaten in apparaatbeheer: Apparaten zoals laptops, telefoons of printers kunnen niet rechtstreeks met AU's worden beheerd. Als je scoping op apparaatniveau nodig hebt, zijn andere oplossingen of Intune-beleidsregels mogelijk vereist.
• Beperkingen voor SharePoint/OneDrive: AU's bepalen niet de beheerrechten voor SharePoint-sites of OneDrive. Governance van gegevens in die apps vraagt om aparte strategieën of alternatieven, zoals Microsoft Dataverse voor complexe datavereisten.
• Uitdagingen bij licentietoewijzing: Je kunt licenties toewijzen aan gebruikers binnen AU's, maar er is geen ingebouwde automatisering op AU-niveau. Dat maakt schalen lastiger.
• Eigenschappenbeheer: Bulkupdates of rapportages over gebruikerseigenschappen binnen AU's zijn beperkt. Voor die hiaten heb je vaak externe tools, PowerShell of de Graph API nodig.

Beveiliging, governance en alternatieven voor administratieve units

Beveiliging en governance stoppen niet bij het instellen van AU's. Het is pas het begin. Om je tenant (en je reputatie) te beschermen, moet je nadenken over hoe AU's worden beheerd, wie delegatierechten krijgt en hoe bevoorrechte toegang na verloop van tijd wordt gecontroleerd, beoordeeld en ingetrokken.

Best practices zijn onder meer het toepassen van least-privilege-principes, het gebruik van goedkeuringsworkflows met PIM en het controleren van elke roltoewijzing. Verwaarloos continue monitoring niet: periodieke beoordelingen van bevoorrechte toegang, waarschuwingen bij afwijkende activiteit en periodieke rapportages zorgen ervoor dat je beter zicht krijgt op wie je omgeving echt beheert.

Voor sommige organisaties is zelfs het scherpste AU-ontwerp niet voldoende. Misschien heb je segmentatie op meerdere niveaus nodig, strengere compliancecontroles of geavanceerde automatisering. Dan komen alternatieve oplossingen, zoals virtuele tenants van CoreView, in beeld. Daarmee kun je je tenant op manieren opdelen waar AU's (nog) niet aan toekomen.

Wil je dieper ingaan op het afdwingen van waterdichte governance, inclusief beleidshandhaving, RBAC en geautomatiseerde waarborgen? Bekijk dan deze uiteenzetting over Azure-governancestrategieën. En als je worstelt met AI of automatisering is het beveiligen van Copilot- en Graph-machtigingen een must-read om in het tijdperk van copilots en bots compliant te blijven.

Blijvende beveiligingsrisico's en alternatieven met virtuele tenants

• Privilege creep: Als beheerdersrechten niet worden gecontroleerd, kunnen voormalige beheerders of mensen die vaak van baan wisselen "zombie"-privileges opbouwen. Dat is een van de belangrijkste insiderrisico's. Regelmatige controles en het verwijderen van die rechten zijn essentieel.
• Hiaten in audit en zichtbaarheid: Native auditlogs laten niet altijd eenvoudig zien wie wat heeft gewijzigd binnen welke AU. Voor toezicht op enterprise-niveau koppel je Entra-logs aan SIEM-tools, of gebruik je Microsoft Purview of Sentinel voor robuuste monitoring en compliancerapportages. Afleveringen zoals Agentageddon leggen uit welke risico's er ontstaan als je achterloopt met het auditen van AI en governance in Microsoft 365.
• Beperkingen van scope: AU's kunnen cross-cloud- of hybride omgevingen niet native segmenteren. Voor hybride of multi-cloud-opstellingen kun je terecht bij tools van derden of oplossingen met virtuele tenants voor diepere grenzen en gecentraliseerde governance.
• Wanneer je alternatieven moet overwegen: Overweeg oplossingen zoals virtuele tenants van CoreView als je segmentatie op meerdere niveaus, compliancemapping of geavanceerde workflowautomatisering nodig hebt die verder gaat dan wat AU's kunnen bieden. Shadow IT en AI vragen om geavanceerde monitoring. Bekijk deze analyse van Microsoft Foundry en de essentials van Purview voor meer ideeën.

Luister ook naar deze afleveringen

Als je onderzoek doet naar Microsoft Entra administrative units, geven deze afleveringen praktische context over identiteitsbeveiliging, governance, bevoorrechte toegang en implementatie:

• Microsoft Defender XDR – Simply Explained — Koppel identiteitsgovernance aan beveiligingssignalen, onderzoek en respons.
• Conditional Access – Simply Explained — Ontdek hoe op beleid gebaseerde toegangscontroles identiteitsbeslissingen afdwingen.
• Privileged Identity Management – Simply Explained — Begrijp just-in-time privileges, goedkeuringen en toegangscontroles.
• Microsoft Teams Governance – The Illusion of Control — Ontdek hoe governance machtigingen en eigenaarschap omzet in herhaalbare processen.