Shadow IT-tenants opsporen en controleren in Microsoft Entra ID

By Mirko Peters · 2026-10-25

Leer hoe je vergeten shadow IT-tenants in Microsoft Entra ID opspoort en controleert, met behulp van geautomatiseerde detectiesignalen en governancestrategieën voor meerdere tenants.

Automatically translated with AI from the original post. Read the English original

Ontdek hoe je vergeten Microsoft Entra shadow IT-tenants die je organisatie onbedoeld heeft aangemaakt, identificeert, in kaart brengt en beveiligt. Deze gids behandelt de geautomatiseerde detectiesignalen, de analyse van verwante tenants en de governancestappen die nodig zijn om niet-beheerde cloudomgevingen in kaart te brengen en onder centrale controle te brengen.

Belangrijkste punten

• Organisaties krijgen vaak meerdere Microsoft Entra-tenants door fusies, dochterondernemingen, testomgevingen en shadow IT binnen afdelingen.
• Niet-beheerde tenants die buiten het toezicht van de centrale IT draaien, vormen kritieke blinde vlekken voor de beveiliging en brengen compliancerisico's met zich mee.
• Microsoft Entra gebruikt business-to-business-activiteit, multi-tenant-app-registraties en gedeelde facturatieaccounts om verwante tenants automatisch zichtbaar te maken.
• Door formele governancerelaties vast te leggen, kunnen moederorganisaties afzonderlijke tenants beveiligen zonder meteen ingewikkelde migraties af te dwingen.
• Configuratiebewaking zorgt ervoor dat je multi-tenant-omgeving de beveiligingsbasislijnen aanhoudt voor meer dan 200 resourcetypen.

Het verborgen risico van shadow IT-tenants

In bijna elke grote Microsoft 365-omgeving schuilt een risico dat tijdens standaard beveiligingsreviews zelden ter sprake komt. Bedrijven gaan er vaak van uit dat hun cloudlandschap netjes binnen één directory valt. In werkelijkheid blijken organisaties stilletjes meerdere Microsoft Entra-tenants te beheren zonder dat ze daar ooit bewust voor hebben gekozen. Wanneer afdelingen, individuele medewerkers of externe projectteams met een bedrijfscreditcard snel een pilot, een productdemo of een testomgeving opzetten, ontstaat er een gloednieuwe tenant.

Microsoft classificeert deze geïsoleerde omgevingen als shadow IT-tenants, omdat de centrale IT ze niet beheert en vaak niet eens weet dat ze bestaan. Terwijl beveiligingsteams miljoenen investeren in de verdediging van de voordeur tegen externe aanvallers, gestolen wachtwoorden en geavanceerde phishingcampagnes, kan er via een vergeten testtenant die twee jaar geleden is aangemaakt een zijingang wagenwijd openstaan. Een aanvaller hoeft zich niet door zwaar bewaakte verdedigingslinies te werken als een niet-gepatchte, onbewaakte shadow-tenant al die tijd op de achtergrond draait zonder enig beheertoezicht.

Het gevaar is niet alleen theoretisch. Een tenant die niemand beheert, kan makkelijk verkeerd worden geconfigureerd, waardoor gevoelige bedrijfsgegevens voor onbevoegden toegankelijk worden. Omdat deze omgevingen buiten de standaard provisioning- en auditprocessen vallen, komen ze nooit voor in je kwartaalse toegangsreviews. Wanneer een externe auditor vraagt wie toegang heeft tot een specifieke set bedrijfsbestanden, is een schouderophalen niet voldoende om aan de wettelijke eisen te voldoen. Je kunt alleen beveiligen wat je ziet, en op dit moment is je asset-inventaris waarschijnlijk incompleet.

Hoe Microsoft Entra vergeten tenants zichtbaar maakt

Gelukkig biedt Microsoft ingebouwde mechanismen om deze verborgen omgevingen op te sporen door de verbindingssignalen te analyseren die je ecosysteem al die tijd heeft gegenereerd. Deze functionaliteit steunt op het ontdekken van verwante tenants, in plaats van beheerders te dwingen handmatig een onmogelijke lijst samen te stellen van elk digitaal object dat ooit door medewerkers is geregistreerd.

Business-to-business-activiteitssignalen

Het eerste belangrijke signaal voor het ontdekken van tenants is business-to-business (B2B)-activiteit. Microsoft Entra scant voortdurend op gastaanmeldingen, externe gastregistraties en administratieve toegangsstromen die heen en weer gaan tussen je primaire directory en externe omgevingen. Als gebruikers in je organisatie actief samenwerken met een onbekende tenant, wordt die kruisbestuiving als een meetbare verbinding geregistreerd.

Multi-tenant app-registraties

Moderne cloudarchitecturen zijn sterk afhankelijk van applicaties die organisatiegrenzen overschrijden. Het tweede ontdekkingssignaal houdt multi-tenant app-registraties bij. Dit omvat maatwerk- of commerciële applicaties die in je primaire tenant zijn geregistreerd en die externe directory's benaderen, evenals apps van derden uit externe tenants die actieve machtigingen en API-tokens hebben binnen je eigen omgeving. Deze programmatische bruggen laten een duidelijk auditspoor achter.

Gedeelde facturatieaccounts

Misschien is facturatie wel het meest verrassende ontdekkingskanaal. Twee afzonderlijke Microsoft Entra-tenants kunnen structureel met elkaar verbonden zijn, puur vanwege een gedeeld Azure-facturatieaccount of een enterprise-overeenkomst. Niemand hoeft een uitnodiging te versturen en niemand hoeft handmatig over grenzen heen in te loggen. Als een niet-beheerde tenant via je enterprise-facturatieprofiel Azure-diensten betaalt, of andersom, is de verbinding meteen zichtbaar voor het governance-raamwerk.

Niet-beheerde tenants onder centraal beheer brengen

Zodra de ontdekking een lijst met gerelateerde tenants oplevert, moeten beheerders beslissen welke omgevingen ze behouden, welke ze uitfaseren en hoe ze de overgebleven omgevingen gaan beheren. In plaats van een ingrijpend migratieproject van meerdere jaren te starten, kunnen organisaties een formele governance-relatie opzetten.

Een governance-relatie is een gerichte koppeling waarbij één bovenliggende tenant bestuurt en de onderliggende tenant wordt bestuurd. Belangrijk is dat dit geen volledige technische fusie is; de beheerde tenant behoudt zijn eigen gebruikers, data en lokale workloads. Het opzetten hiervan bestaat uit een veilige handshake in drie stappen:

• De tenant die beheerd moet worden, stuurt een administratieve uitnodiging naar de bovenliggende tenant.
• De bovenliggende tenant reageert met een verzoek dat een specifiek beleidssjabloon bevat met de toegestane administratieve machtigingen.
• De onderliggende tenant bekijkt en accepteert het beleidssjabloon, waarna de beveiligde beheerkoppeling actief wordt.

Met deze structuur kunnen IT-beheerders meerdere omgevingen vanuit één venster beheren, met accounts in de bestuurende tenant. Zo verdwijnt het beveiligingsrisico van losse, niet-gekoppelde beheerdersaccounts voor tientallen afzonderlijke tenantportalen.

Je multi-tenant ecosysteem monitoren en beveiligen

Ontdekking en governance-relaties zijn pas het begin. Om te voorkomen dat shadow IT weer je organisatie binnensluipt, moet je actieve configuratiemonitoring en beveiligde aanmaakcontroles inrichten.

Met configuratiemonitoring kunnen beheerders een baseline van verwachte instellingen definiëren en een continu beeld maken van de werkelijke cloudomgeving. Een geautomatiseerde monitor vergelijkt beide om de zes uur, over meer dan 200 resourcetypen in Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview en Microsoft Defender. Bij afwijkingen wordt het beveiligingsteam direct gewaarschuwd.

Daarnaast maken beveiligde tenant-aanmaakcontroles het mogelijk om te beperken wie überhaupt een nieuwe Microsoft Entra-tenant mag aanmaken. Elke nieuw goedgekeurde tenant kan automatisch vanaf het begin aan een governance-relatie worden gekoppeld, zodat geen enkele nieuwe cloudomgeving ooit volledig onbeheerd begint.

Conclusie

Niet-beheerde shadow IT-tenants vormen een stille bedreiging voor de beveiliging van het bedrijf, de privacy van gegevens en de compliancepositie. Door gebruik te maken van de ingebouwde ontdekkingssignalen van Microsoft Entra, formele governance-relaties op te zetten en continue configuratiemonitoring af te dwingen, kunnen IT-leiders eindelijk volledig zicht krijgen op de wijdvertakte cloudfootprint van hun organisatie. Wil je dit onderwerp verder verkennen en expertinzichten horen over modern cloudbeheer? Zorg dan dat je de volledige aflevering beluistert van de M365 FM Podcast.

Veelgestelde vragen

Wat is een shadow IT-tenant in Microsoft Entra?

Een shadow IT-tenant is een onbeheerde Microsoft Entra-omgeving die door medewerkers, afdelingen of projectteams is aangemaakt zonder dat de centrale IT ervan op de hoogte is of toezicht houdt. Deze omgevingen draaien vaak testworkloads, pilots of demo's buiten de corporate beveiligingsbaseline om.

Hoe ontdekt Microsoft Entra onbekende tenants?

Microsoft Entra ontdekt verwante tenants door bestaande verbindingssignalen te analyseren, waaronder gastactiviteit via business-to-business, machtigingen voor multi-tenant-applicaties en gedeelde factuurаccounts of enterprise-overeenkomsten.

Vereist een governancerelatie een volledige tenantmigratie?

Nee. Een governancerelatie legt een veilige, gerichte beheerkoppeling vast tussen een bovenliggende tenant en een onderliggende tenant, zonder dat je gebruikers, mailboxen of gegevens naar één directory hoeft te migreren.

Hoe vaak controleert configuratiemonitoring de tenantinstellingen?

Configuratiemonitoring vergelijkt je werkelijke cloudomgeving automatisch met je gedefinieerde beleidsbaselines elke zes uur, over honderden resourcetypen heen.