Een naadloze migratie naar Microsoft Entra ID uitvoeren

By Mirko Peters · 2026-08-22

Waarom nu migreren naar Microsoft Entra ID? Steeds meer organisaties stappen af van gefragmenteerde identiteitssystemen om het beheer van toegang te vereenvoudigen. Migreren naar …

Automatically translated with AI from the original post. Read the English original

Waarom nu migreren naar Microsoft Entra ID?

Organisaties stappen steeds vaker af van versnipperde identiteitssystemen om het beheer van toegang te vereenvoudigen. Migreren naar Microsoft Entra ID (voorheen Azure Active Directory) biedt een universeel identiteitsplatform dat authenticatie centraliseert voor zowel cloud- als on-premises resources. In tegenstelling tot oudere providers zoals SiteMinder, die op header-gebaseerde authenticatie vertrouwen, ondersteunt Entra ID moderne protocollen zoals SAML, OpenID Connect en OAuth om hybride werkomgevingen te beveiligen.

Door je identiteitsstack te consolideren, kun je phishingbestendige beveiligingsmaatregelen inzetten, iets wat oudere on-premises systemen native nauwelijks ondersteunen. Met de overstap kunnen teams geautomatiseerde governance-functies gebruiken, waaronder tijdgebonden toegang via Privileged Identity Management en gestroomlijnd lifecycle management. Bovendien maakt het platform passwordless aanmelding mogelijk met methoden zoals FIDO2-sleutels en de Microsoft Authenticator-app, wat het risico op diefstal van inloggegevens aanzienlijk verkleint.

De M365 FM Podcast besteedt regelmatig aandacht aan deze overgangen en helpt architecten bij de stap van verouderde Active Directory Federation Services naar cloud-native authenticatie. Volgens een multi-cloudonderzoek uit 2025 beheert inmiddels 75% van de ondernemingen twee of meer identity providers. Eén controlevlak standaardiseren vermindert technische schuld en verbetert je algehele Zero Trust-positie.

Breng je afhankelijkheden in kaart voordat je synchroniseert

Voordat je een synchronisatie start, moet je grondig controleren welke on-premises afhankelijkheden je hebt. Dit omvat het inventariseren van kritieke diensten zoals DNS, Group Policy Objects en legacy-applicaties die afhankelijk kunnen zijn van Kerberos of NTLM. Vergeet ook infrastructuurcomponenten niet, zoals SMTP-relays, RADIUS-servers en printerauthenticatie, want die gaan bij een lift-and-shift vaak stuk. Hoewel platforms zoals de M365 FM Podcast de overgang naar moderne protocollen benadrukken, draaien veel organisaties nog legacy-workloads die specifieke connectiviteitspaden vereisen.

Je doelsituatie bepalen

Bepaal vroeg of je voor een volledig cloud-only model gaat of voor een hybride identiteitsconfiguratie. Een hybride identiteitsmodel laat je gebruikers- en groepsobjecten synchroniseren terwijl je de noodzakelijke on-premises componenten behoudt. Een cloud-only model daarentegen schrapt AD FS volledig, wat je beheerlast verlaagt. Kies je ervoor om hybride componenten te behouden, gebruik dan Microsoft Defender for Identity om kwetsbaarheden proactief te identificeren en gecompromitteerde identiteiten in je resterende on-premises infrastructuur te beheren.

• Controleer legacy-authenticatieprotocollen, waaronder LDAP en Kerberos, die vaak geen directe cloudequivalenten hebben.
• Ruim verouderde accounts op en los UPN-afwijkingen op om synchronisatiefouten te voorkomen.
• Maak geneste groepen waar mogelijk plat, want die kunnen in de cloud complexe en onbedoelde machtigingsstructuren veroorzaken.
• Controleer of third-party MDM-oplossingen of air-gapped netwerkvereisten ertoe leiden dat je AD FS langer moet behouden dan gepland.

Een overstap naar een cloud-native identiteitsmodel begint met een grondige inventarisatie van je bestaande omgeving. Zodra je weet wat je allemaal hebt, zet je een hybride identiteitsfundament op met Microsoft Entra Connect om je directory te synchroniseren. Een belangrijke volgende stap is weg te migreren van AD FS door over te stappen op cloud-native authenticatiemethoden, zoals Password Hash Sync of Pass-Through Authentication. Gebruik daarbij de AD FS Application Migration Wizard om relying party-apps opnieuw in te stellen voor Microsoft Entra ID. Gebruik gedurende dit hele proces beveiligingstools om je infrastructuur te beschermen. Zodra je applicaties en gebruikers volledig zijn overgezet, kun je tot slot je verouderde on-premises domeincontrollers gestructureerd uitfaseren.

Cloudauthenticatie testen met gefaseerde uitrol

De overstap van Active Directory Federation Services (AD FS) naar cloud-native authenticatie vraagt om een betrouwbare validatiestrategie. Staged Rollout fungeert als brug voor deze overgang: je kunt selectief groepen gebruikers naar cloudgebaseerde validatie migreren, terwijl je bestaande federatie-infrastructuur beschikbaar blijft als terugvaloptie. Zo beperk je het risico, omdat mogelijke problemen beperkt blijven tot kleine delen van je gebruikersbestand.

Je pilotfase configureren

Controleer voordat je begint welke synchronisatiemethode je gebruikt. Je moet Password Hash Synchronization of Pass-through Authentication instellen naast je actieve AD FS-omgeving. Zodra de cloudidentiteiten zijn gesynchroniseerd, ga je naar het Microsoft Entra-beheercentrum om de functie in te schakelen voor specifieke beveiligingsgroepen. Om prestatieproblemen of time-outs in de gebruikerservaring te voorkomen, beperk je je initiële pilotgroep tot maximaal 200 gebruikers.

• Houd je federatieve identity provider gedurende de hele uitrol online, zodat je altijd terug kunt vallen op een soepele route.
• Houd authenticatiepatronen en de voortgang van de overstap in de Entra-beheercentrum in de gaten.
• Onthoud dat staged rollout een tijdelijk mechanisme is en geen langetermijnconfiguratie. Bereid na afloop van de tests een volledige domeinomschakeling voor.

Je gefedereerde domein omzetten naar beheerd

De overstap van een gefedereerd model naar beheerde authenticatie is een belangrijke mijlpaal. Je omgeving wordt er eenvoudiger van en je hoeft niet meer te vertrouwen op verouderde infrastructuur zoals AD FS. Zorg voordat je aan deze overstap begint dat je synchronisatiestrategie solide is. De M365 FM Podcast benadrukt regelmatig dat organisaties die hun synchronisatiestatus niet controleren voordat ze overschakelen, het risico lopen op grootschalige gebruikersuitsluiting.

Wat zijn de essentiële stappen om een gefedereerd domein om te zetten naar een beheerd domein in Entra ID? Om een gefedereerd domein om te zetten naar een beheerd domein, moet je eerst controleren of Password Hash Synchronization (PHS) of Pass-through Authentication (PTA) volledig is ingesteld en geverifieerd.

1. Maak verbinding met de Microsoft Graph PowerShell SDK met het commando Connect-MgGraph -Scopes "Domain.ReadWrite.All".
2. Zorg dat je de rol Domain Name Administrator of Global Administrator hebt, omdat deze machtigingen vereist zijn om domeininstellingen te wijzigen.
3. Voer Update-MgDomain -DomainId <your-domain.com> -AuthenticationType "Managed" uit om de conversie te starten.
4. Controleer de domeinstatus in het Microsoft Entra-beheercentrum en test meteen met een pilotgroep gebruikers om te bevestigen dat de authenticatie tegen de cloud slaagt.

Houd er rekening mee dat het doorvoeren van de domeinconversie tot 60 minuten kan duren. Tijdens dit venster blijven bestaande browsersessies doorgaans actief, maar nieuwe authenticatieaanvragen gaan via de beheerde stroom lopen. Loop je tegen problemen aan, dan blijft Staged Rollout je beste vangnet voor gedetailleerde validatie.

Houd rekening met veelvoorkomende migratievalkuilen

Waar moeten cloudarchitecten zich voorbereiden bij een overstap naar Entra ID? De grootste risico's ontstaan wanneer teams migratie zien als een simpele platformwissel in plaats van een volledige herarchitectuur van endpointbeheer. De focus ligt vaak op gebruikersaccounts, maar je infrastructuur steunt op diepgewortelde protocollen zoals RADIUS voor netwerktoegang, SMTP-relays voor berichtenverkeer en legacy-printerauthenticatie. Die kun je niet zomaar naar de cloud verplaatsen zonder plan.

Een migratie die halverwege vastloopt, komt vaak doordat er vooraf geen grondige afhankelijkheidsinventarisatie is gedaan voordat je objecten synchroniseert. Bij het in kaart brengen van deze werkstromen moet je kiezen tussen een permanente hybride configuratie of een echt cloud-only model. Blijven hangen in een onbepaalde, onbeheerde tussenfase leidt vaak tot beveiligingslekken en operationele frictie. Luisteraars merken vaak dat het vroeg vastleggen van de doelsituatie de complexiteit van het beheren van twee omgevingen flink vermindert.

Technische schuld uit zich vaak in verouderde accounts, diep geneste groepsstructuren en UPN-afwijkingen. Die nemen je mee naar de nieuwe omgeving en vervuilen die. In plaats van oude rommel mee te migreren, moet je de attributen in Active Directory opschonen zodat de overstap naar Microsoft Entra ID soepel verloopt. Wie tegen deze hindernissen aanloopt, vindt in de documentatie over applicatiemigratie naar Microsoft Entra een gestructureerde aanpak voor het classificeren van apps. Die helpt om eenvoudige integraties voorrang te geven vóórdat je complexe legacy-afhankelijkheden aanpakt.

Gebruik de AD FS Application Migration Wizard en tools

Legacy-applicaties weghalen van Active Directory Federation Services (AD FS) voelt vaak als het meest intimiderende deel van een identiteitsmodernisering. Om dit te vereenvoudigen fungeert de AD FS Application Migration Wizard als gespecialiseerde tool om relying party-applicaties te ontdekken, te beoordelen en te configureren. Door automatisering kunnen architecten bestaande configuraties scannen en rapporten krijgen over de migratiegeschiktheid van applicaties. Zo zie je welke services direct kunnen verhuizen en welke op technische blokkades stuiten.

Bij deze overstap is het zinvol een gestructureerde migratiecyclus te volgen. Begin met Discovery en Scope om elke applicatie te catalogiseren, ook de applicaties in ontwikkeling. Geef in de classificatiefase voorrang aan eenvoudige, galerij-gebaseerde SaaS-applicaties die meerdere identity providers ondersteunen, voordat je complexe maatwerkapplicaties uit het verleden aanpakt. Voor webapplicaties die niet volledig gemoderniseerd kunnen worden, overbruggen Microsoft Entra application proxy en Secure Hybrid Access (SHA) de kloof. Zo krijgt je veilige externe toegang zonder traditionele VPN.

Kies je cloudauthenticatiemethode: PHS, PTA of CBA

De juiste authenticatieroute bepaalt je beveiligingsniveau en de gebruikerservaring. Microsoft raadt wachtwoordhashsynchronisatie (PHS) aan als voorkeursoptie voor de meeste organisaties. Door wachtwoordhashes naar de cloud te synchroniseren, krijg je toegang tot essentiële beveiligingsfuncties zoals detectie van gelekte referenties en Identity Protection. Tegelijk maakt het de overstap mogelijk naar moderne wachtwoordloze aanmeldmethoden, zoals FIDO2-sleutels.

Voor omgevingen waarin regelgeving verbiedt dat wachtwoord-hashes in de cloud worden opgeslagen, is Pass-through Authentication (PTA) een werkbaar alternatief. Deze methode valideert gebruikersreferenties rechtstreeks tegen je on-premises Active Directory. Als je PTA uitrolt, zorg dan dat je meerdere lichtgewicht authenticatie-agents installeert om hoge beschikbaarheid te waarborgen, want deze servers worden de belangrijkste poortwachters voor je cloudgebaseerde aanmeldingen.

Wanneer je aan strikte phishing-resistente eisen moet voldoen, zoals die in EO 14028, is de overstap naar Microsoft Entra Certificate-based Authentication (CBA) de logische keuze. Met deze aanpak kunnen gebruikers zich authenticeren met smartcards of certificaten. Dat biedt een zeer betrouwbare identiteitsverificatie die losstaat van je on-premises federatieserver.

Om de gebruikerservaring tijdens de overstap soepel te houden, implementeer je Seamless SSO naast de methode die je hebt gekozen. Als je personeel macOS- of iOS-apparaten gebruikt, rol je de Microsoft Enterprise SSO-plug-in voor Apple-apparaten uit. Zo verlopen aanmeldingen vlot en blijvend, zonder dat gebruikers steeds om authenticatie worden gevraagd. Wij zien dat het combineren van deze methoden met robuuste Conditional Access-beleidsregels de beste balans geeft tussen zakelijke beveiliging en productiviteit van eindgebruikers.

Plan de buitengebruikstelling van AD FS

Het buiten gebruik stellen van je verouderde federatie-infrastructuur is de laatste stap naar een moderne identiteitsopzet. Voordat je permanente acties uitvoert, moet je controleren of er nog verkeer loopt via je AD FS-farm. Gebruik het rapport Connect Health Usage Analytics om te bevestigen dat alle authenticatieaanvragen succesvol zijn overgezet naar Microsoft Entra ID.

Zodra je zeker weet dat je cloudbeheerde authenticatie stabiel is en er geen gebruikers meer naar de federatieservers gaan, maak je een volledige back-up van de hele omgeving. Deze voorzorgsmaatregel is essentieel voor het geval je de verbinding moet herstellen tijdens de definitieve opschoning.

1. Verwijder alle vermeldingen uit je lokale load balancer om het binnenkomende verkeer te stoppen.
2. Werk de DNS-records die bij je federatiediensten horen bij of verwijder ze, zodat aanvragen worden omgeleid.
3. Verwijder de serverrollen Web Application Proxy en AD FS systematisch.
4. Ruim overgebleven configuratiegegevens op door de certificaatcontainers via ADSI Edit leeg te maken, zodat de omgeving volledig is opgeschoond.

Het verwijderen van deze verouderde componenten verkleint je aanvalsoppervlak en beheerlast. Door deze lagen systematisch te verwijderen, verstevig je de overstap naar een cloudnative identiteitsmodel.

Migreer authenticatiebeleid vóór de deadline

Microsoft consolideert zijn verouderde identiteitsbesturing in één geünificeerd beleid voor authenticatiemethoden om het beheer granularer en gecentraliseerder te maken. Deze wijziging vervangt de oudere, losse MFA- en SSPR-interfaces door één gestroomlijnde beleidsengine in het Microsoft Entra-beheercentrum. Uiterlijk op de deadline van 30 september 2025 moeten alle organisaties deze overstap hebben voltooid, omdat de oude beheerportalen niet langer configuratie of probleemoplossing voor authenticatie-instellingen ondersteunen.

Om te beginnen ga je in het Entra-portaal naar Beveiliging > Authenticatiemethoden > Beleid. Gebruik de ingebouwde migratiewizard om je huidige omgeving te controleren en conflicten tussen bestaande oude instellingen en het nieuwe raamwerk op te sporen. Het is aan te raden je migratiestatus in te stellen op 'Migratie bezig'. Zo kun je het nieuwe beleid testen terwijl de oude instellingen voor je bestaande gebruikers actief blijven.

• Geavanceerde authenticatiemethoden zoals FIDO2-beveiligingssleutels, Temporary Access Pass (TAP) en certificaatgebaseerde authenticatie worden uitsluitend via het nieuwe beleid beheerd.
• Het migratieproces is omkeerbaar, waardoor je tussen de statussen kunt schakelen als je tijdens je testfase het oude gedrag wilt herstellen.
• De geautomatiseerde tool migreert instellingen die voor de hele tenant gelden, maar handmatige controle is nodig om ervoor te zorgen dat groepsspecifieke configuraties correct worden overgenomen.
• Door over te stappen op dit uniforme beleid sluit je beter aan bij moderne beveiligingsnormen, zoals phishing-resistente MFA.

Zoals bij elke identiteitsovergang moet je letten op de gevolgen voor de registratie van gebruikers. Als je een methode uitschakelt waar gebruikers nu op vertrouwen, moeten ze zich mogelijk opnieuw registreren voordat ze toegang krijgen tot bedrijfsbronnen. Door de aanmeldingslogboeken te monitoren via het Microsoft Entra-beheercentrum zorg je ervoor dat deze beleidswijziging de bedrijfsvoering niet verstoort terwijl je toewerkt naar een uniforme en veiligere authenticatiestrategie.

Beveiligen met Conditional Access en monitoring

Overstappen naar cloud-native beveiliging vereist een zorgvuldige validatie om te voorkomen dat gebruikers buitengesloten raken. Test je Conditional Access-beleid altijd eerst in de modus Alleen rapportage voordat je nieuwe beveiligingsnormen afdwingt. Gebruik de tool Wat-als in het Microsoft Entra-beheercentrum om te simuleren hoe specifiek beleid de toegang van gebruikers beïnvloedt op basis van locatie, apparaatstatus of gevoeligheid van de applicatie. Met deze proactieve stap zorg je ervoor dat je beveiligingsregels zowel effectief als niet-verstorend zijn.

Naast testen moet je ook je vergrendelingsdrempels bijwerken. Configureer tijdens de migratie slimme vergrendeling in Microsoft Entra ID met een kortere interval dan je on-premises Active Directory-instellingen, zodat je sneller kunt ingrijpen tegen brute-force-aanvallen. Gebruik om het overzicht tijdens de overgang te behouden de Hybrid Auth-werkmappen om authenticatiestromen te monitoren en mogelijke afwijkingen op te sporen. Houd de aanmeldingslogboeken twee tot vier weken na de migratie nauwlettend in de gaten om te controleren of gebruikers succesvol authenticeren en om snel terug te kunnen draaien als er problemen ontstaan.

Voor bescherming op lange termijn kun je Microsoft Entra Backup and Recovery gebruiken, dat inmiddels algemeen beschikbaar is. Deze functie maakt automatisch een back-up van belangrijke directoryobjecten, waaronder gebruikers, groepen en je nieuw geconfigureerde Conditional Access-beleid. Met deze ingebouwde tools kun je je tenant terugzetten naar een bekende, goede staat als er per ongeluk of met opzet wijzigingen worden aangebracht.

Documentatie en bronnen over Microsoft Entra ID onder de knie krijgen

Waar vind ik de nieuwste documentatie en bronnen om Microsoft Entra ID onder de knie te krijgen? Je belangrijkste startpunt is het officiële Microsoft Learn-portaal, met gestructureerde leertrajecten die alles behandelen, van kernconcepten rond identiteit tot geavanceerd governance en Conditional Access-beleid.

Voor dagelijks beheer en technische diepgang biedt de Entra ID-documentatie uitgebreide handleidingen over app-integratie, hybride identiteit en beveiligingsmonitoring. Heb je een voorkeur voor training onder leiding van een instructeur, bekijk dan de Microsoft Virtual Training Days. Dat zijn gratis live sessies die je helpen voorbereiden op certificeringsexamens.

Daarnaast is het regelmatig volgen van de sectie 'What's New' in de Entra-documentatie essentieel om gelijke tred te houden met de snelle productupdates.

Toegang beheren met PIM en identity lifecycle management

Overstappen naar een cloud-native identiteitsmodel vereist dat je afstapt van permanente beheertoegang. Microsoft Entra ID Privileged Identity Management (PIM) pakt dit aan door activering van rollen op basis van tijd en goedkeuring mogelijk te maken. In tegenstelling tot oudere systemen die permanente machtigingen toekennen, dwingt PIM just-in-time toegang af, wat het aanvalsoppervlak voor geprivilegieerde accounts aanzienlijk verkleint.

Het effectief beheren van identiteitslevenscycli begint vaak met HR-gestuurde provisioning. Door bronnen zoals Workday of SuccessFactors te integreren, automatiseren organisaties het aanmaken, bijwerken en deprovisionen van gebruikers, zodat toegangsrechten altijd overeenkomen met de daadwerkelijke status van de medewerker. Zo voorkom je het risico op verweesde accounts die zich in handmatige omgevingen doorgaans opstapelen.

Toegang en naleving automatiseren

Voor het doorlopend beheren van resources automatiseert Entitlement Management toegangsaanvragen, toewijzingen en verlopingen voor applicaties en groepen. Om een Zero Trust-houding te behouden, moeten beheerders regelmatig toegangsreviews uitvoeren om te controleren of machtigingen nog nodig zijn. Die reviews helpen bij naleving, doordat ze bevestigen dat alleen geautoriseerde gebruikers toegang houden tot gevoelige groepen of rollen.

• Gebruik dynamische groepen als geautomatiseerde bron van autoriteit voor on-premises groepen.
• Gebruik cross-tenant groepssynchronisatie om het groepslidmaatschap consistent te houden over meerdere omgevingen.
• Laat teams sessies intrekken of gebruikers uitschakelen zonder dat ze overmatige directory-rechten nodig hebben.

Voorbereiden op externe identiteiten en toekomstbestendigheid

Het beheren van externe identiteiten vraagt om een proactieve aanpak, nu Microsoft zijn serviceaanbod verschuift. Organisaties die gebruikmaken van Azure AD B2C moeten zich voorbereiden op een handmatige overstap naar Microsoft Entra External ID, omdat er momenteel geen native, volledig geautomatiseerd pad tussen deze platformen bestaat. Je moet gebruikersgegevens exporteren uit je bestaande directory en importeren in je nieuwe tenant. Hoewel er op GitHub een door de community ondersteunde migratietoolkit beschikbaar is om het proces te ondersteunen, kun je het best gebruikmaken van de Just-In-Time (JIT) wachtwoordmigratie om de eerste aanmelding van gebruikers soepeler te laten verlopen.

Naast het beheren van externe identiteiten vraagt ook je kernarchitectuur voor synchronisatie om aandacht. Microsoft start een overgang van Microsoft Entra Connect Sync naar de cloudnatieve Microsoft Entra Cloud Sync, met officiële migratiemeldingen die gepland staan voor juli 2026. Deze verandering verkleint de complexiteit on-premises, doordat de synchronisatielogica naar de cloud verschuift.

Veiligheid blijft prioriteit tijdens deze wijzigingen. Vanaf 1 juni 2026 blokkeert Microsoft 'hard-match'-bewerkingen die nieuwe on-premises Active Directory-gebruikers koppelen aan bestaande cloudbeheerde accounts die al beheerrollen hebben. Deze beveiligingsmaatregel is bedoeld om attribuutmanipulatie te voorkomen en je meest bevoorrechte identiteiten te beschermen tegen ongeautoriseerde overname. Controleer nu al je bestaande cross-tenantverbindingen en beheertoewijzingen, zodat je bij het ingaan van deze beveiligingsmaatregelen geen verstoringen van de dienstverlening krijgt.

Het pad naar naadloze identiteit in de cloud

Je reis naar gemoderniseerde identiteit is een proces in meerdere fasen, van de eerste verkenning en afbakening tot een volledig beheerde cloudomgeving. Door een solide hybride basis te leggen, laat je oude knelpunten achter je en stap je over naar de mogelijkheden van Microsoft Entra ID. Succesvolle overgangen steunen op grondige validatie, met name via Staged Rollout, waarmee je authenticatiemethoden kunt testen met geselecteerde gebruikersgroepen voordat de volledige overstap plaatsvindt.

Na de migratie verschuift je werk naar actief monitoren van aanmeldingslogboeken en configuraties van het Beleid voor verificatiemethoden. Consistentie is essentieel, en je moet altijd controleren of legacy federatieactiviteit is gestopt voordat je definitief uitschakelt. Om bij te blijven met deze veranderingen, luister je naar de M365 FM Podcast voor dagelijkse inzichten over deze updates.

Wacht niet tot de laatste deadline om je technische schuld aan te pakken. Begin vandaag nog met het controleren van je afhankelijkheden om wachtwoordloze aanmelding en geavanceerde beveiligingsfuncties mogelijk te maken. Of je nu legacy apps refactort of beleidsregels consolideert, de roadmap naar de cloud is duidelijker dan ooit als je de officiële documentatie gebruikt.