Microsoft 365-tenant ontrafeld: architectuur, identiteit en grenzen uitgelegd

By Mirko Peters · 2026-08-27

Welkom terug bij de podcast! Als je ooit naar onze afleveringen over cloudarchitectuur, beveiliging of enterprise-beheer hebt geluisterd, weet je dat we er graag diep in duiken…

Automatically translated with AI from the original post. Read the English original

Welkom terug bij de podcast! Als je ooit naar onze afleveringen over cloudarchitectuur, beveiliging of enterprise-beheer hebt geluisterd, weet je dat we graag diep ingaan op de techniek achter de technologie die we elke dag gebruiken. Vandaag kijken we nauwkeurig naar een van de meest fundamentele, maar ook vaak verkeerd begrepen concepten in het enterprise-cloudecosysteem: de Microsoft 365-tenant. Of je nu IT-beheerder bent die de hele dag in het beheercentrum werkt, een securityprofessional die toegangsbeleid ontwerpt, of een zakelijke leider die zich afvraagt hoe de bedrijfsdata in de cloud van elkaar gescheiden wordt: de tenant begrijpen is cruciaal. In deze blogpost, die bij onze nieuwste podcastaflevering hoort, gaan we dieper in op de kernpijlers van de Microsoft-cloud. We leggen uit wat een M365-tenant precies is, hoe identiteiten daarbinnen werken, hoe abonnementen de licentiëring sturen en waarom administratieve grenzen je beste verdediging zijn tegen datalekken en beveiligingsincidenten.

Introductie tot de Microsoft 365-tenant

Om de Microsoft-cloud echt te begrijpen, moeten we helemaal bij het begin beginnen: de tenant. Maar wat is een Microsoft 365-tenant eigenlijk? In de kern is een tenant de eigen instantie van je organisatie binnen de Microsoft-cloudservices. Zie het als een veilig, geïsoleerd deel van Microsofts enorme wereldwijde datacenterinfrastructuur. Wanneer je bedrijf zich aanmeldt voor Microsoft 365, Azure of Dynamics 365, stelt Microsoft een eigen container voor je in. Deze container bevat je data, je gebruikersidentiteiten, je serviceconfiguraties en je beveiligingsbeleid. Hij staat volledig los van alle andere klanten in de Microsoft-cloud, wat multi-tenant-isolatie oplevert die voldoet aan strenge compliance-eisen.

Veel mensen gebruiken de termen "tenant", "domein" en "abonnement" echter door elkaar. Laten we dat meteen rechtzetten. Een tenant is de overkoepelende container. Een domein is simpelweg de naamruimte, zoals contoso.com, die je gebruikt voor je e-mailadressen en gebruikersaanmeldingen. Een abonnement is de commerciële overeenkomst waarmee je betaalt voor licenties en services. Je kunt meerdere domeinen en meerdere abonnementen aan één tenant koppelen, maar de tenant zelf is de fundamentele grens die alles bij elkaar houdt. Het helpt om de tenant als een huis voor te stellen: de tenant is het gebouw en het stuk grond waarop het staat, de domeinen zijn het adres op de brievenbus, en de abonnementen zijn de rekeningen die je betaalt om de elektriciteit en het water aan de praat te houden.

De rol van Microsoft Entra ID en identiteitsbeheer

Je kunt het niet over een Microsoft 365-tenant hebben zonder het over identiteit te hebben, en dan met name over Microsoft Entra ID, voorheen bekend als Azure Active Directory. Als de tenant het huis is, dan is Microsoft Entra ID het beveiligingssysteem, het slot op de voordeur en de lijst van iedereen die binnen mag. Elke Microsoft 365-tenant komt met een standaard Microsoft Entra ID-directory. Deze directory is de gezaghebbende bron voor al je gebruikersaccounts, groepen, serviceprincipals en app-registraties.

Identiteit is de nieuwe beveiligingsperimeter in moderne clouddesigns. In de tijd van on-premises IT beveiligden we ons bedrijfsnetwerk met een firewall en vertrouwden we alles binnen dat netwerk. In de cloud is de netwerkperimeter verdwenen; je gebruikers werken vanuit koffiezaken, thuiskantoren en op mobiele apparaten over de hele wereld. Daarom heeft identiteit de plaats van de firewall ingenomen. Wanneer een gebruiker probeert toegang te krijgen tot Exchange Online, SharePoint of Microsoft Teams, is Microsoft Entra ID de service die vaststelt wie die persoon is, controleert welke apparaten hij gebruikt, en bepaalt of toegang moet worden verleend op basis van Voorwaardelijke toegang-beleid.

Het effectief beheren van identiteiten binnen je tenant vraagt om een duidelijke strategie. De meeste organisaties gebruiken een hybride identiteitsmodel: ze synchroniseren hun on-premises Active Directory Domain Services met Microsoft Entra ID via een tool die Microsoft Entra Connect of Microsoft Entra Cloud Sync heet. Zo kunnen gebruikers één set inloggegevens gebruiken voor zowel hun lokale netwerkbronnen als hun cloudgebaseerde Microsoft 365-services. Of je identiteiten nu alleen in de cloud bestaan of gesynchroniseerd zijn vanuit een on-premises omgeving, het beheren van de levenscyclus van deze identiteiten (aanmaken, roltoewijzing, beheer van inloggegevens en het verwijderen van accounts) is een van de belangrijkste taken van een Microsoft 365-beheerder.

Abonnementen, licenties en facturatie beheren

Nu je tenant en identiteiten zijn ingericht, moet je het hebben over hoe je betaalt voor de diensten die je gebruikt. Dat brengt ons bij abonnementen en licenties. In het Microsoft 365-ecosysteem is een abonnement een commerciële overeenkomst die je organisatie voor een bepaalde periode toegang geeft tot een specifieke set cloudservices, meestal op basis van een prijsmodel per gebruiker per maand.

Het is belangrijk om te begrijpen dat abonnementen aan de tenant gekoppeld zijn. Je kunt geen Microsoft 365 Business Premium- of Enterprise E5-abonnement kopen en toewijzen aan een gebruiker in een totaal andere tenant. Alle licenties moeten binnen de beheergrenzen van die specifieke tenant worden aangeschaft en toegewezen. Bovendien beheren organisaties vaak meerdere abonnementen binnen één tenant. Je kunt bijvoorbeeld één abonnement hebben voor Microsoft 365 E5-licenties, een ander abonnement voor op verbruik gebaseerde Azure-diensten en een derde abonnement voor speciale add-onproducten zoals Power BI Premium of Microsoft Copilot.

Licentiebeheer kan snel een administratieve hoofdpijn worden als je er niet proactief mee omgaat. Beheerders moeten licenties toewijzen aan gebruikers of groepen, zodat gebruikers toegang hebben tot precies de tools die ze nodig hebben, of dat nu Exchange voor e-mail is, SharePoint voor documentsamenwerking of de volledige suite met desktopapplicaties. Geautomatiseerd licentiebeheer, vaak aangestuurd via op groepen gebaseerde licentietoewijzing in Microsoft Entra ID, is een best practice voor groeiende organisaties. Wanneer een nieuwe gebruiker aan de groep "Sales" wordt toegevoegd, wijst het systeem automatisch de juiste licenties toe. En wanneer die gebruiker de organisatie verlaat en uit de groep wordt verwijderd, worden die licenties teruggevorderd en beschikbaar gesteld aan andere gebruikers.

Aangepaste domeinen en DNS configureren

Wanneer je een Microsoft 365-tenant voor het eerst aanmaakt, geeft Microsoft je een standaarddomeinnaam die eindigt op onmicrosoft.com, bijvoorbeeld contoso.onmicrosoft.com. Dit domein werkt prima, maar je wilt zeker niet dat je zakelijke e-mails verstuurd worden als gebruiker@contoso.onmicrosoft.com. Om een professionele merkuitstraling te krijgen en een soepele mailstroom en goede integratie van diensten te garanderen, moet je aangepaste domeinen in je tenant configureren.

Een aangepast domein configureren betekent dat je Microsoft moet aantonen dat je daadwerkelijk eigenaar bent van de domeinnaam die je wilt gebruiken. Dat doe je door specifieke TXT- of MX-records toe te voegen bij je DNS-hostingprovider, zoals GoDaddy, Cloudflare of Route 53. Zodra Microsoft het eigendom van je domein heeft geverifieerd, zoals contoso.com, kun je het instellen als primair domein, de user principal names (UPN's) van gebruikers bijwerken zodat ze inloggen met hun zakelijke e-mailadressen, en de benodigde DNS-records voor e-maillevering (MX-records), automatische detectie (CNAME-records) en beveiligingsprotocollen zoals SPF, DKIM en DMARC configureren.

Een goede DNS-configuratie is niet alleen belangrijk om professioneel over te komen, het is ook een essentiële beveiligingseis. Zonder correct geconfigureerde SPF-, DKIM- en DMARC-records voor je aangepaste domein in je M365-tenant kunnen kwaadwillenden je e-maildomein eenvoudig vervalsen, wat kan leiden tot phishingaanvallen op je klanten en partners. Neem de tijd om je DNS-instellingen correct te configureren en te verifiëren; dit is een essentiële mijlpaal in elk Microsoft 365-implementatieproject.

Kerncloudservices en resourceinrichting

Nu je tenant, identiteitssysteem, abonnementen en aangepaste domeinen op orde zijn, is je Microsoft 365-omgeving eindelijk klaar om workloads te hosten. Een Microsoft 365-tenant is geen monoliet, maar een rijk ecosysteem van geïntegreerde software-as-a-service (SaaS)-toepassingen, ontworpen om productiviteit, samenwerking en communicatie te versterken. Begrijpen hoe deze kernclouddiensten binnen de grens van de tenant worden ingericht en met elkaar samenwerken, is voor elke beheerder essentieel.

Exchange Online biedt e-mail, agenda's en contactbeheer op enterprisekwaliteit. SharePoint Online vormt de ruggengraat voor documentopslag, intranetsites en enterprise content management. Microsoft Teams brengt chat, vergaderingen, bellen en samenwerking samen in één hub die diep geïntegreerd is met SharePoint, Exchange en diverse apps van derden. Naast deze zwaargewichten zijn er diensten als OneDrive for Business, Planner, Stream en het Power Platform (Power Apps, Power Automate en Power BI).

Wanneer gebruikers in Microsoft Teams een team aanmaken, richt de tenant achter de schermen automatisch een complex netwerk van onderling verbonden resources in: een SharePoint-sitecollectie voor bestandsopslag, een Microsoft 365-groep voor ledenbeheer, een gedeelde Exchange-postbus en -agenda, en een OneNote-notitieblok. Deze geautomatiseerde provisioningmotor laat zien hoe krachtig de M365-architectuur is. Het maakt ook duidelijk hoe belangrijk governance is. Zonder proactief governancebeleid, zoals het beperken van wie Microsoft 365-groepen mag aanmaken, of het instellen van automatisch verlooptbeleid voor inactieve teams, kan je tenant snel ontaarden in een chaotische wildgroei van ongebruikte resources en overbodige data.

Administratieve grenzen en beveiligingsbest practices

Nu we onze diepe duik in de Microsoft 365-tenant afronden, moeten we het belangrijkste onderwerp van allemaal aansnijden: administratieve grenzen en beveiligingsbest practices. De tenant is je primaire beveiligingsgrens. Data binnen je tenant wordt versleuteld in rust en tijdens transport, en standaard is die volledig ontoegankelijk voor iedereen buiten je organisatie, inclusief andere Microsoft-klanten en zelfs Microsoft-supportmedewerkers (tenzij je hen uitdrukkelijk tijdelijke toegang geeft via Customer Lockbox).

Beveiliging stopt echter niet bij de perimeter van de tenant; je moet ook machtigingen *binnen* de tenant beheren. Hier komt het principe van least privilege om de hoek kijken. Microsoft Entra ID biedt een breed scala aan ingebouwde beheerdersrollen, zoals Global Administrator, Exchange Administrator, Helpdesk Administrator en User Administrator. Een van de meest voorkomende fouten die organisaties maken, is de rol Global Administrator toekennen aan te veel mensen. Die rol heeft godmode-toegang tot elke instelling en elk stuk data in de tenant. Best practices schrijven voor dat je het aantal Global Administrators tot een absoluut minimum beperkt (meestal twee tot vier personen voor redundantie) en voor het dagelijkse beheer meer granulaire, taakgerichte rollen toekent.

Daarnaast is het beschermen van je beheerdersaccounts met multifactorauthenticatie (MFA) onontbeerlijk. Phishingbestendige MFA implementeren, zoals FIDO2-beveiligingssleutels of cijfermatching in Microsoft Authenticator, is de meest effectieve stap die je kunt zetten om ongeautoriseerde toegang tot je tenant te voorkomen. Combineer dit met robuust Conditional Access-beleid dat risiconiveaus, apparaatcompliance en locatie evalueert voordat toegang wordt verleend, en je creëert een indrukwekkende defense-in-depth-verdediging.

Tot slot mag governance en monitoring nooit een bijzaak zijn. Tools als Microsoft Purview voor compliance, preventie van gegevensverlies (DLP) en informatiebescherming zorgen ervoor dat gevoelige data gedurende de hele levenscyclus wordt gelabeld, gevolgd en beschermd. Regelmatig controleren van je beheerdersrolopdrachten, het bekijken van aanmeldingslogboeken en het monitoren van waarschuwingen in het Microsoft Defender-portaal zorgen ervoor dat je tenant veilig, compliant en geoptimaliseerd blijft voor je bedrijfsbehoeften.

Bedankt dat je deze blogpost bij onze podcast hebt gelezen! We hopen dat deze diepgaande blik op de tenantarchitectuur van Microsoft 365, identiteitsbeheer, abonnementen, aangepaste domeinen en beveiligingsgrenzen je een helderder beeld heeft gegeven van hoe de cloud onder de motorkap werkt. Vond je dit artikel leuk? Abonneer je dan zeker op de podcast, deel dit artikel met je IT-team en luister volgende week mee, wanneer we weer een spannend onderwerp uit de wereld van enterprise-technologie behandelen. Tot dan: houd je tenants veilig en je cloudarchitecturen veerkrachtig!