Azure-rollen versus Entra ID-rollen: wat cloudbeheerders verkeerd doen

By Mirko Peters · 2026-10-29

Stop met het door elkaar halen van Azure RBAC en Microsoft Entra-rollen. Ontdek de cruciale verschillen in scope, machtigingen en beheer om je cloud te beveiligen.

Automatically translated with AI from the original post. Read the English original

Azure-rollen en Microsoft Entra-rollen vormen twee afzonderlijke autorisatiegrenzen, en ze leiden vaak tot verwarring bij cloudbeheerders. Als je begrijpt hoe deze twee aparte machtigingssystemen werken, kun je zorgen dat je de juiste rechten aan de juiste identiteiten toekent, zonder per ongeluk te veel controle over je infrastructuur of directoryservices weg te geven.

Belangrijkste punten

• Azure-rollen bepalen de toegang tot cloudresources, zoals virtuele machines, opslagaccounts en virtuele netwerken.
• Microsoft Entra ID-rollen regelen machtigingen op directoryniveau, zoals het aanmaken van gebruikers, het maken van groepen en het toewijzen van licenties.
• Global Administrators krijgen zonder expliciete configuratie niet automatisch volledige controle over Azure-abonnementen.
• Als je de verschillende scopes kent, voorkom je catastrofale privilege-escalatie en beveiligingslekken tijdens compliance-audits.

De fundamentele scheiding: resources versus directory

Wanneer je machtigingen begint te beheren binnen het Microsoft-cloudecosysteem, komt het woord "rol" in meerdere beheercentra voor. Deze overlap in terminologie is de meest voorkomende bron van verwarring voor engineers, architecten en supportteams. De eenvoudigste manier om overzicht te houden is door te bepalen wat je wilt wijzigen.

Azure-rollen bepalen de toegang tot Azure-resources. Als je taak erin bestaat een virtuele machine op te zetten, een virtueel netwerk te configureren, een firewallregel aan te passen of bestanden in een opslagcontainer te lezen, werk je binnen Azure Role-Based Access Control (RBAC). Deze machtigingen gelden rechtstreeks voor de infrastructuur- en datalaag binnen je cloudabonnementen.

Microsoft Entra-rollen daarentegen bepalen de toegang tot directoryresources. Als je taak bestaat uit het aanmaken van nieuwe gebruikersaccounts, het wijzigen van groepslidmaatschappen, het toewijzen van Microsoft 365-licenties of het resetten van wachtwoorden, werk je binnen Microsoft Entra ID. Deze acties raken de identiteitslaag van je organisatie en niet de compute- of opslaglaag.

Het door elkaar halen van deze twee systemen leidt tot gevaarlijke beheersnelkoppelingen. Een engineer die denkt dat directoryrechten infrastructuurtoegang geven, of omgekeerd, vraagt vaak onnodig brede machtigingen aan om zijn dagelijkse werk af te ronden. Het in kaart brengen van je taken op het juiste autorisatievlak is de basis van een veilige cloudarchitectuur.

Scopes en grenzen vergelijken

De grenzen van je machtigingen verschillen sterk, afhankelijk van of je met een Azure-rol of een Entra ID-rol werkt. De scope bepaalt de impact van elke menselijke of geautomatiseerde fout, dus het is essentieel om de hiërarchie van beide systemen te beheersen.

Azure-rolscopes

Azure RBAC werkt met een strikt hiërarchisch scopemodel. Wanneer je een rol in Azure toekent, pas je die toe op een van vier niveaus:

• Beheergroep: het breedste containerniveau, dat machtigingen over meerdere abonnementen heen toepast.
• Abonnement: de grens voor facturatie, governance en een verzameling van gerelateerde services.
• Resourcegroep: een logische map met specifieke resources voor een project of omgeving.
• Resource: het smalste niveau, gericht op één virtuele machine, één opslagaccount of één database.

Machtigingen die op een hoger niveau worden toegekend, erven naar beneden. Als je de rol Lezer op beheergroepniveau toekent, kan die identiteit alle resources zien in elk abonnement dat eronder valt.

Scopes van Entra ID-rollen

Microsoft Entra-rollen volgen de Azure-resourcehiërarchie niet. Ze worden toegekend op tenantniveau, over administratieve eenheden heen, of gericht op één object, zoals een geregistreerde bedrijfsapplicatie. Een Entra ID-rol kun je niet toewijzen aan een resourcegroep of een virtuele machine, omdat die objecten op dezelfde manier niet bestaan in de directorystructuur.

De mythe en de realiteit van de globale beheerder

Een van de hardnekkigste misverstanden in cloudbeheer is dat de rol Globale beheerder in Microsoft Entra je onbeperkte controle geeft over elk abonnement en elke resource in je Azure-omgeving. Dat is niet zo.

Omdat Azure-resources en Entra-directoryobjecten door afzonderlijke autorisatiesystemen worden beheerd, kan een nieuwe globale beheerder niet automatisch virtuele machines in een abonnement bekijken of beheren zolang er geen expliciete actie is ondernomen. Een globale beheerder heeft echter wel de unieke bevoegdheid om zijn eigen rechten te verhogen. Door een specifieke schakelaar voor toegangsbeheer in de Azure-portal om te zetten, kan een globale beheerder zichzelf de rol Gebruikerstoegangsbeheerder geven in elk abonnement van de tenant.

Dit mechanisme voorkomt dat beheerders per ongeluk infrastructuur verwijderen waarvan ze niet wisten dat die bestond. Het creëert echter een blinde vlek voor audits als organisaties niet bijhouden wie die verhogingsschakelaar heeft omgezet. Directoriebeheer en beheer van Azure-resources als twee volledig gescheiden disciplines zien, is essentieel voor een sterke beveiligingspositie.

Conclusie

Wie de nuances van cloudmachtigingen wil begrijpen, moet beseffen dat Azure-rollen en Microsoft Entra-rollen totaal verschillende doelen dienen. Door infrastructuurwijzigingen te verankeren in Azure RBAC en identiteitsbeheer te koppelen aan Entra ID, voorkom je onduidelijkheid, beperk je de impact van incidenten en slaag je met vertrouwen door compliance-audits.

Wil je dieper ingaan op hoe toegangsbeheer werkt binnen de Microsoft-cloud, bekijk dan zeker ook de gerelateerde discussie in de podcast. Beluister de volledige aflevering voor heldere uitleg zonder jargon, die je helpt om cloudarchitectuur en beveiligingspraktijken onder de knie te krijgen.

Veelgestelde vragen

Heeft een globale beheerder automatisch toegang tot Azure-opslag en virtuele machines?

Nee. Een globale beheerder beheert het directoryniveau (Entra ID) en heeft niet automatisch toegang tot Azure-resources, tenzij hij zijn toegang expliciet verhoogt via de portalschakelaar voor gebruikerstoegangsbeheer over alle abonnementen heen.

Wat is het verschil in scope tussen een Azure-rol en een Entra ID-rol?

Azure-rollen hebben een scope op beheergroepen, abonnementen, resourcegroepen of afzonderlijke resources. Entra ID-rollen hebben een scope op de hele tenant, administratieve eenheden of specifieke applicatieobjecten.

Kan ik een Entra ID-rol gebruiken om machtigingen toe te kennen op een specifieke Azure-virtuele machine?

Nee. Entra ID-rollen beheren directoryobjecten zoals gebruikers en applicaties. Om machtigingen voor een virtuele machine of resourcegroep te beheren, moet je Azure Role-Based Access Control (RBAC) gebruiken.

Wat gebeurt er met de klassieke abonnementsbeheerdersrollen in Azure?

Klassieke beheerdersrollen zoals Accountbeheerder, Servicebeheerder en Medebeheerder zijn door Microsoft volledig uitgefaseerd. Al het moderne toegangsbeheer verloopt uitsluitend via Azure RBAC.