Hoe je service principals in Entra ID effectief beheert

By Mirko Peters · 2026-03-22 · Updated 2026-03-24

Beveilig service principals in Microsoft Entra ID voor een beter identiteitsbeheer. Leer meer over app-objecten en service principal-objecten binnen je tenant.

Automatically translated with AI from the original post. Read the English original

Het beheren van service principals en app-registraties in Entra ID is cruciaal voor het behoud van beveiliging en toegangsbeheer. Goed beheer helpt je om ernstige beveiligingsincidenten te voorkomen, zoals privilege escalation en het compromitteren van een tenant. Aanvallers kunnen slecht beheerde service principals bijvoorbeeld misbruiken om beheerderswachtwoorden te resetten en zich ongeautoriseerde toegang tot kritieke systemen te verschaffen. Door sterke beheerpraktijken toe te passen, beperk je deze risico's en blijft je omgeving veilig. Belangrijke stappen zijn het begrijpen van service principals, het toewijzen van de juiste machtigingen en het regelmatig controleren van toegangsbeleid.

Als je leert hoe je service principals in Entra ID effectief beheert, dan kunnen deze minder bekende feiten veranderen hoe je geautomatiseerde identiteiten beveiligt en beheert.

1. Service principals zijn iets anders dan app-objecten: Een app-object is de globale definitie van een applicatie; een service principal is de lokale identiteit binnen een tenant. Je kunt één app-object hebben met meerdere service principals in verschillende tenants.
2. Ze kunnen credentials hebben die nooit verlopen: Entra ID staat toe dat clientgeheimen of certificaten zonder vervaldatum worden aangemaakt, door ontwerp of door een verkeerde configuratie. Dit vergroot het risico op de lange termijn als ze niet handmatig worden vervangen.
3. Managed identities gebruiken onder de motorkap service principals: Zowel system-assigned als user-assigned managed identities worden in de directory weergegeven als service principals. Daardoor kunnen RBAC- en voorwaardelijke toegangsbeleidsregels erop worden toegepast.
4. Service principals kunnen worden gebruikt in Conditional Access: Hoewel Conditional Access vooral op gebruikers is gericht, kan het de applicatiecontext evalueren, en sommige beleidsregels kunnen invloed hebben op service principals, vooral in combinatie met de authenticatiecontext van de applicatie.
5. Ze ondersteunen gedelegeerde en applicatiemachtigingen tegelijk: Eén service principal kan zowel gedelegeerde machtigingen (namens een gebruiker) als applicatiemachtigingen (alleen app) hebben. Dat maakt het afdwingen van least privilege complexer.
6. Aanmeldingslogboeken bevatten non-interactieve app-authenticaties: Entra ID registreert aanmeldingen van service principals, waardoor afwijkende app-activiteit kan worden opgespoord. Deze logboeken worden echter vaak over het hoofd gezien in vergelijking met gebruikersaanmeldingen.
7. Toestemmings- en entitlementbeheer kan verborgen toegangspaden achterlaten: Enterprise-applicaties en service principals die via beheerderstoestemming of entitlementbeheer zijn toegekend, kunnen indirecte toegangspaden creëren. Die zijn zonder grondige controle van entitlements en machtigingen moeilijk te ontdekken.

Belangrijkste punten

• Begrijp het verschil tussen app-registraties en service principals in Entra ID.
• Zorg dat je de juiste machtigingen hebt voordat je service principals beheert, zodat je geen vertraging oploopt.
• Volg een duidelijk proces om applicaties in Entra ID te registreren, inclusief het invullen van de benodigde gegevens.
• Gebruik meerdere authenticatiemethoden om de beveiliging van je applicaties te versterken.
• Implementeer Role-Based Access Control (RBAC) om service principals de juiste machtigingen toe te kennen.
• Controleer regelmatig of het toegangsbeleid in lijn is met best practices op het gebied van beveiliging.
• Voer audits uit om wijzigingen te volgen en ongeautoriseerde toegang of activiteiten te signaleren.
• Hanteer het principe van least privilege door service principals alleen de noodzakelijke machtigingen te geven.

Vereisten voor Entra ID-beheer

Begrip van service principals

Voordat je service principals in Entra ID beheert, moet je enkele basisconcepten begrijpen. Dit zijn de belangrijkste punten:

• Een app-registratie (App) is een wereldwijd uniek object dat een applicatie in Entra ID vertegenwoordigt.
• Een service principal (SP) is een specifieke instantie van dat app-object binnen één tenant.
• Wanneer je een app-registratie aanmaakt, wordt automatisch een service principal in dezelfde tenant gegenereerd.
• Service principals hebben hun eigen referenties en machtigingen, die los staan van het applicatieobject.
• Acties die in een tenant worden uitgevoerd, zoals het aanmaken van een gebruiker, worden uitgevoerd door de service principal.

Het Entra ID-portaal kan verwarrend zijn. Service principals verschijnen onder 'Enterprise-applicaties', en de term 'Service Principal' wordt zelden gebruikt. Dit kan leiden tot misverstanden over de relatie tussen app-registraties en service principals.

Vereiste machtigingen

Om service principals effectief te beheren, heb je de juiste machtigingen nodig. Hier is een overzicht van de essentiële voorwaarden:

Met deze machtigingen kun je de noodzakelijke acties uitvoeren zonder obstakels. Controleer altijd of je account de vereiste machtigingen heeft voordat je app-registraties of roltoewijzingen uitvoert.

Door deze voorwaarden te begrijpen, leg je een solide basis voor het beheren van service principals in Entra ID. Deze kennis helpt je om de complexiteit van toegangsbeheer te doorgronden en de beveiliging van je organisatie te versterken.

Applicatieregistratie in Entra ID

Stappen om een applicatie te registreren

Een applicatie registreren in Entra ID is eenvoudig. Volg deze stappen om te beginnen:

1. Meld je aan bij het Entra ID-portaal: gebruik je Microsoft Entra-account om toegang te krijgen tot het portaal.
2. Ga naar App-registraties: selecteer in het linkermenu "App-registraties."
3. Klik op Nieuwe registratie: met deze optie maak je een nieuwe applicatie aan.
4. Vul de applicatiegegevens in:
   • Naam: kies een unieke naam voor je applicatie.
   • Ondersteunde accounttypen: selecteer wie de applicatie mag gebruiken (bijvoorbeeld accounts in alleen deze organisatiedirectory).
   • Redirect-URI: geef de URI op waarnaar gebruikers worden doorgestuurd na authenticatie. Dit is cruciaal voor webapplicaties.
5. Controleer en registreer: klik na het invullen van de benodigde gegevens op "Registreren" om de applicatie aan te maken.

Na registratie kun je met de Free-editie maximaal 50.000 Microsoft Entra-resources aanmaken in één tenant. Als je je domein verifieert, kan deze limiet oplopen tot 300.000 resources. Je kunt ook referenties configureren voor maximaal 48 apps met wachtwoordgebaseerde single sign-on.

Applicatie-instellingen configureren

Nadat je je applicatie hebt geregistreerd, moet je de instellingen configureren voor optimale beveiliging en functionaliteit. Hier zijn enkele best practices die je kunt volgen:

1. Configureer meerdere Entra ID-authenticatiemethoden: gebruik verschillende authenticatiemethoden, zoals multifactorauthenticatie (MFA) en wachtwoordloze authenticatie, om de beveiliging te versterken.
2. Gebruik Entra ID-groepen om machtigingen toe te wijzen: maak gebruikersgroepen aan om toegangsbeheer effectief in te richten. Zo krijgen gebruikers alleen de machtigingen die ze nodig hebben.
3. Gebruik voorwaardelijke toegangsbeleidsregels (CAP): implementeer CAP's om voorwaarden voor resourcetoegang te definiëren. Dit voegt een extra beveiligingslaag toe via granulaire controle.

Overweeg daarnaast ook een app-inventarisatie uit te voeren. Identificeer en catalogiseer alle apps die met Entra zijn verbonden, zodat je ze effectief kunt beheren. Beoordeel regelmatig welke machtigingen aan elke app zijn toegekend, zodat je die gegevens kunt gebruiken voor je beveiligingsstrategie. Verwijder apps die je niet meer gebruikt, zodat je het aanvalsoppervlak verkleint.

Door deze stappen en best practices te volgen, zorg je ervoor dat je applicatie goed is geconfigureerd en veilig is binnen Entra ID.

Roltoewijzing voor service-principals

Overzicht van RBAC

Role-Based Access Control (RBAC) is een essentieel onderdeel van Entra ID. Het helpt je te beheren wie toegang heeft tot welke resources binnen je organisatie. Met RBAC kun je rollen toewijzen aan service-principals, zodat ze precies de machtigingen krijgen die ze nodig hebben zonder dat de beveiliging in gevaar komt.

In Entra ID zijn er twee soorten roldefinities:

• Ingebouwde rollen: Deze hebben een vaste set machtigingen. Je kunt ze niet aanpassen, maar ze dekken de meest voorkomende scenario's af.
• Aangepaste rollen: Hiermee stem je machtigingen af op specifieke behoeften. Een aangepaste rol maken gebeurt in twee stappen: de rol definiëren en vervolgens toewijzen.

Door deze rolsoorten te begrijpen, kies je de juiste aanpak voor je applicaties. Meer informatie over RBAC vind je in het overzicht van op rollen gebaseerd toegangsbeheer.

Rollen toewijzen

Rollen toewijzen aan service-principals is essentieel voor goed beheer. Volg deze stappen om rollen correct toe te wijzen:

1. Roltoewijzingen maken: Gebruik het Microsoft Entra-beheercentrum, Microsoft Graph PowerShell of de Microsoft Graph API. Let op: Azure CLI wordt voor deze taak niet ondersteund.
2. Je applicatie registreren: Zorg dat je een Microsoft Entra-app hebt geregistreerd en via de Azure-portal een service-principal hebt aangemaakt.
3. Kies de juiste rol: Bekijk welke rollen beschikbaar zijn om te bepalen welke rol de machtigingen biedt die je applicatie nodig heeft.

Hier is een beknopt overzicht van het proces voor roltoewijzing:

Door deze stappen te volgen, zorg je ervoor dat je service-principals veilig de toegang hebben die ze nodig hebben om hun taken uit te voeren. Een goede roltoewijzing versterkt niet alleen de beveiliging, maar stroomlijnt ook de werkprocessen binnen je organisatie.

Authenticatiemethoden voor Entra ID

Overzicht authenticatie

Bij het beheren van service-principals in Entra ID kun je kiezen uit twee belangrijke authenticatiemethoden: authenticatie met clientgeheim en op certificaat gebaseerde authenticatie. Elke methode heeft zijn eigen voordelen en toepassingen.

Authenticatie met clientgeheim

Authenticatie met een clientgeheim werkt met een wachtwoordachtige tekenreeks, het zogenaamde clientgeheim. Deze methode is eenvoudig en wordt vaak gebruikt voor applicaties die snel moeten worden ingesteld. Behandel clientgeheimen echter als wachtwoorden: bewaar ze veilig en roteer ze regelmatig om de beveiliging op peil te houden.

• Voordelen:

  • Eenvoudig te implementeren.
  • Geschikt voor test- en ontwikkelomgevingen.

• Nadelen:

  • Minder veilig dan op certificaat gebaseerde authenticatie.
  • Kwetsbaar voor blootstelling als je ze niet goed beheert.

Op certificaat gebaseerde authenticatie

Op certificaat gebaseerde authenticatie gebruikt een digitaal certificaat om de service-principal te authenticeren. Deze methode is veiliger dan clientgeheimen en wordt aanbevolen voor productieomgevingen. Gebruik voor een optimale beveiliging een vertrouwd certificaat dat is uitgegeven door een certificeringsinstantie (CA). Zelfondertekende certificaten kun je voor tests gebruiken, maar ze worden niet aanbevolen voor productie.

• Voordelen:

  • Hoger beveiligingsniveau.
  • Verkleint het risico op diefstal van inloggegevens.

• Nadelen:

  • Complexer om in te richten.
  • Vereist beheer van certificaten.

Authenticatie configureren

Volg deze stappen om authenticatie te configureren voor je service principal in Entra ID:

1. Open de startpagina van het Microsoft Entra-beheercentrum.
2. Ga naar Entra ID > App-registraties en selecteer vervolgens je toepassing.
3. Kopieer op de overzichtspagina van de app de waarde voor Directory (tenant) ID en bewaar die in je applicatiecode.
4. Kopieer de waarde voor Application (client) ID en bewaar die in je applicatiecode.
5. Kies tussen authenticatie op basis van een certificaat of een clientgeheim. Het is aan te raden een vertrouwd certificaat te uploaden dat is uitgegeven door een certificeringsinstantie.
6. Als je een certificaat gebruikt, upload je het via Entra ID > App-registraties > Certificaten en geheimen > Certificaat uploaden.
7. Als je een clientgeheim gebruikt, maak je het aan via Entra ID > App-registraties > Certificaten en geheimen > Clientgeheimen > Nieuw clientgeheim.

Door deze stappen te volgen, zorg je ervoor dat je service principal veilig wordt geauthenticeerd, zodat deze toegang krijgt tot de resources die het nodig heeft, terwijl beveiligingsrisico's worden geminimaliseerd.

Toegangsbeleid in Entra ID

Toegangsbeleid begrijpen

Toegangsbeleid in Entra ID speelt een cruciale rol bij het beveiligen van je applicaties en gegevens. Dit beleid bepaalt wie toegang heeft tot welke resources en onder welke voorwaarden. Hieronder staan enkele belangrijke typen toegangsbeleid die je moet kennen:

• MFA vereisen bij risicovolle aanmeldingen: Dit beleid vraagt gebruikers om multifactorauthenticatie uit te voeren wanneer een aanmelding verdacht lijkt.
• Gecompromitteerde accounts blokkeren of herstellen: Dit beleid beperkt automatisch de toegang tot accounts die tekenen van compromittering vertonen.

Het implementeren van dit toegangsbeleid versterkt je beveiligingspositie. Het helpt je risico's effectief te beheersen door reacties op mogelijke dreigingen te automatiseren. Zo evalueren Conditional Access-beleidsregels factoren zoals gebruikersidentiteit, apparaatcompliance en realtime risicosignalen voordat ze toegang verlenen. Deze proactieve aanpak verbetert niet alleen de beveiliging, maar zorgt ook voor naleving van de interne normen van de organisatie.

Toegangsbeleid configureren

Toegangsbeleid configureren voor service principals in Entra ID is eenvoudig. Volg deze stappen om je beleid effectief in te stellen:

1. Meld je aan bij het Microsoft Entra-beheercentrum en ga naar Entra ID » Bedrijfsapps.
2. Klik op de service principal die je wilt beperken en ga naar Eigenschappen onder het tabblad Beheren.
3. Zet Ingeschakeld voor aanmelding door gebruikers? op Nee en klik op Opslaan om aanmeldingen van gebruikers bij de toepassing uit te schakelen.
4. Om een Conditional Access-beleidsregel te maken, meld je je aan bij het Microsoft Entra-beheercentrum en ga je naar Entra ID » Voorwaardelijke toegang.
5. Klik op +Nieuw beleid maken en voer een naam in voor het beleid.
6. Ga onder Toewijzingen naar Gebruikers of workload-identiteiten.
7. Selecteer Workload-identiteiten onder Op welke elementen is dit beleid van toepassing. Klik onder Opnemen op Service principals selecteren en kies de juiste service principals uit de lijst.
8. Ga in het gedeelte Doelresources onder Opnemen naar en selecteer Alle resources (voorheen 'Alle cloud-apps').
9. Configureer in het gedeelte Voorwaarden specifieke vereisten om te bepalen wanneer het beleid moet worden geactiveerd.
10. Ga onder Toegangsbeheer naar 'Verlenen', selecteer Toegang blokkeren en klik op 'Selecteren'.
11. Zet Beleid inschakelen op Aan en klik op 'Maken' om een Conditional Access-beleidsregel voor Microsoft Entra-workload-identiteiten te maken.

Door deze stappen te volgen, zorg je ervoor dat je service principals werken onder strikte toegangsbeheersing. Dit beschermt niet alleen je resources, maar sluit ook aan bij best practices op het gebied van beveiliging en compliance.

Best practices voor service principals

Beveiligingsaanbevelingen

Volg deze beveiligingsaanbevelingen om je service principals in Entra ID te beschermen:

• Gebruik clientcertificaten in plaats van clientgeheimen voor een betere beveiliging.
• Gebruik Azure Key Vault om certificaten en geheimen veilig te beheren.
• Pas het principe van minimale machtigingen toe op service principals. Dat betekent dat je alleen de machtigingen toekent die nodig zijn voor hun taken.
• Houd de aanmeldingen van service principals bij via de aanmeldingslogboeken van Microsoft Entra. Zo zie je sneller ongebruikelijke activiteiten.
• Gebruik Voorwaardelijke toegang om toegang vanaf onbetrouwbare locaties te beperken. Dit voegt een extra beveiligingslaag toe.
• Controleer regelmatig het lidmaatschap van Tier 0-rollen om te zorgen voor passende privileges. Dit voorkomt ongeautoriseerde toegang tot kritieke resources.

Door deze praktijken toe te passen, verhoog je de beveiliging van je service principals aanzienlijk en verklein je het risico op ongeautoriseerde toegang.

Regelmatige audits

Regelmatige audits zijn essentieel om de beveiliging en integriteit van je service principals te waarborgen. Dit zijn enkele veelvoorkomende auditpraktijken die je zou moeten implementeren:

Regelmatige audits helpen je op de hoogte te blijven van de status van je service principals. Ze zorgen ervoor dat je ongeautoriseerde wijzigingen of verdachte activiteiten vroeg opmerkt, zodat je omgeving veilig blijft.

Door deze best practices te volgen, beheer je service principals in Entra ID effectief en verbeter je zowel de beveiliging als de compliance.

Samengevat omvat het effectief beheren van service principals in Entra ID verschillende belangrijke stappen en best practices. Je moet:

• Applicaties correct registreren en hun instellingen configureren.
• Rollen toewijzen op basis van het principe van minimale machtigingen.
• Robuuste verificatiemethoden implementeren.
• Toegangsbeleid en machtigingen regelmatig controleren.

Doorlopend beheer is cruciaal. Het gemak van self-service vergroot de noodzaak voor verbeterd toegangsbeheer. Regelmatige beoordelingen helpen je de controle over toegangsrechten te behouden. Elk gastaccount moet een interne eigenaar hebben die verantwoordelijk is voor het doorlopend onderbouwen van de toegang. Door deze strategieën toe te passen, verhoog je de beveiliging en zorg je voor effectief bestuur van je service principals.

Deze checklist helpt je de best practices te implementeren voor het effectief beheren van service principals in Entra ID.

• Inventarisatie en detectie: identificeer alle service principals over tenants en abonnementen heen (maak een periodieke scan/rapportage).
• Koppelen aan applicaties en eigenaren: koppel elke service principal aan de bijbehorende applicatie, zakelijke eigenaar en supportcontact.
• Toegang en doel classificeren: documenteer het doel, de omgeving (prod/dev/test) en de vereiste machtigingen voor elke service principal.
• Principe van minimale machtigingen: controleer toegekende rollen en machtigingen; verwijder of verminder machtigingen tot het minimum dat nodig is.
• Voorkeur voor beheerde identiteiten: vervang app-registraties/service principals waar mogelijk door beheerde identiteiten voor Azure-resources.
• Gebruik goede credential-hygiëne: vermijd langlevende referenties, geef de voorkeur aan certificaten boven clientgeheimen en roteer referenties regelmatig.
• Credentialbeleid afdwingen: Implementeer voorwaardelijke toegang en Azure AD-wachtwoord- en geheimbeleid voor applicatiereferenties waar van toepassing.
• MFA/voorwaardelijke toegang vereisen voor interactief gebruik: Blokkeer of beperk referenties die interactieve aanmelding toestaan, tenzij dat nodig is en ze beschermd zijn.
• Just-In-Time (JIT)- of tijdgebonden toegang inschakelen: Ken rollen met hoge bevoegdheden aan service principals toe op basis van een beperkte tijdsduur, waar mogelijk.
• Naamgevingsconventies en metadata: Hanteer duidelijke naamgevingsstandaarden en voorzie service principals van tags met omgeving, eigenaar en vervaldatum.
• Vervaldatums en levenscyclusbeleid: Stel een vervaldatum in voor geheimen en certificaten en automatiseer de levenscyclus (aanmaken, vernieuwen, intrekken, verwijderen).
• Ongebruikte service principals uitschakelen: Schakel service principals die binnen een vastgestelde periode niet zijn gebruikt uit of verwijder ze, na bevestiging bij de eigenaren.
• Aanmeldingen en risicovol gebruik monitoren: Schakel logging en waarschuwingen in voor afwijkende aanmeldingen, activiteiten met een hoog risico en escalaties van bevoegdheden.
• Gecentraliseerde logging en SIEM-integratie: Stuur auditlogs, aanmeldingsgebeurtenissen en wijzigingen in provisioning naar je SIEM voor correlatie en bewaring.
• Toegangsreviews en periodieke audits: Voer regelmatig toegangsreviews uit om de noodzaak en de goedkeuring door de eigenaar van elke service principal te valideren.
• API's en machtigingen harden: Gebruik gedelegeerde machtigingen met beperkte scope of app-only scopes die nauwkeurig zijn gedefinieerd.
• Geheimen veilig opslaan: Bewaar clientgeheimen en certificaten in Azure Key Vault of een gelijkwaardige kluis; beperk de toegang tot de kluis tot alleen de vereiste principals.
• Geautomatiseerde remediëring: Implementeer geautomatiseerde playbooks voor het uitschakelen van gecompromitteerde of verlopen service principals en het roteren van referenties.
• Handhaving van beleid: Gebruik Azure AD / Entra ID voorwaardelijke toegang, Microsoft Entra permissions management en Azure Policy om standaarden af te dwingen.
• Documentatie en runbooks: Onderhoud runbooks voor provisioning, noodrotatie van referenties en de procedures voor het verwijderen van toegang.
• Toegang en failover testen: Valideer de authenticatieprocessen van applicaties na het roteren van referenties of wijzigingen in de configuratie, in een niet-productieomgeving.
• Veilig onboarden/offboarden: Integreer het aanmaken en verwijderen van service principals in CI/CD- en change-controleprocessen.
• Service-accounts voor automatisering met minimale bevoegdheden: Gebruik speciale service principals voor automatiseringstaken met nauwkeurig afgebakende rechten en expliciet eigenaarschap.
• Externe/gastentoegang controleren: Controleer service principals die door externe apps zijn aangemaakt en verleen toegang pas na een beveiligingsreview.
• Nalevingsbewijs bijhouden: Leg goedkeuringen, reviews en rotatiegebeurtenissen vast om aan te tonen dat je voldoet aan interne en externe eisen.
• Teams en eigenaren trainen: Leer applicatie-eigenaren en ontwikkelaars hoe ze service principals in Entra ID effectief beheren en welke veilige werkwijzen voor referenties gelden.

Veelgestelde vragen: aanvullende bronnen voor Microsoft Entra ID-service principals

Wat is een Microsoft Entra ID-service principal en hoe verschilt die van een applicatieobject?

Een Microsoft Entra ID-service principal is de lokale representatie van een applicatie-instantie in een tenant of directory. Die wordt aangemaakt in elke tenant waar de applicatie wordt gebruikt en verwijst naar het wereldwijd unieke applicatieobject (het applicatieobject staat in de home-tenant). Het applicatieobject definieert de applicatie wereldwijd, terwijl de service principal het toegangsbeleid en de mogelijkheden van die applicatie in een bepaalde tenant bepaalt.

Hoe worden service principals aangemaakt en wanneer wordt een service principal aangemaakt?

Een service principal wordt meestal automatisch aangemaakt wanneer je een Microsoft Entra-applicatie registreert en er in een tenant een applicatie-instantie wordt gebruikt, of wanneer een gebruiker instemt met machtigingen voor een multi-tenant-app. Je kunt er ook handmatig een aanmaken via de Azure-portal, Microsoft Graph of automatisering, wanneer de applicatie in een tenant wordt uitgerold en toegang nodig heeft tot beveiligde resources.

Wat zijn best practices voor het beveiligen van service principals in Microsoft Entra?

Beveilig service principals door ze minimale bevoegdheden toe te kennen, referenties (wachtwoorden en certificaten) te roteren en te beschermen, waar mogelijk beheerde identiteiten te gebruiken, voorwaardelijke toegangsbeleid af te dwingen, aanmeldings- en auditlogs te monitoren en risicovolle principals uit te sluiten via op filters gebaseerde toegangsbeheersing. Gebruik service principals in combinatie met voorwaardelijke toegang om compliant apparaten of MFA te vereisen voor toegang tot gevoelige resources.

Hoe beheer ik referenties zoals wachtwoorden en certificaten voor service principals?

Sla wachtwoorden en certificaten op in een beveiligde opslag (Key Vault), stel verloopbeleid in, gebruik waar mogelijk certificaatgebaseerde authenticatie en automatiseer de rotatie via Microsoft Graph of CI/CD-pijplijnen. Implementeer voor langlevende referenties waarschuwingen voor naderende verlopen en handhaaf schema en beleid om verouderde of onveilige geheimen te voorkomen.

Hoe kan ik Microsoft Graph gebruiken om service principals te bevragen en te beheren met automatisering?

Gebruik de Microsoft Graph API om Microsoft Entra ID-service principal-objecten weer te geven, te filteren, aan te maken, bij te werken en te verwijderen. Je kunt met filters service principals opzoeken op appId, displayName of eigenaar, toegekende machtigingen beheren, eigenaren toewijzen en de synchronisatie van service principals tussen omgevingen automatiseren met scripts of connectors die verwijzen naar de wereldwijd unieke identificaties.

Wat is de rol van het toewijzen van eigenaren en hoe moet het eigenaarschap worden geregeld?

Eigenaren toewijzen geeft gedelegeerde beheerbevoegdheid over een service principal, zodat eigenaren referenties en machtigingen kunnen beheren. Gebruik op rollen gebaseerde toegang en meerdere eigenaren voor bedrijfscontinuïteit, controleer wijzigingen van eigenaren in de audit log en wijs eigenaarsrechten niet toe aan gebruikersaccounts die niet aan een langdurige identiteit zijn gekoppeld. Kies liever een team of serviceaccount dat door beleid wordt beperkt.

Hoe beïnvloeden synchronisatie en tenant- of directoryoverwegingen service principals?

Synchronisatiescenario's, zoals het synchroniseren van enterprise-apps of identiteiten over tenants heen, kunnen service principals maken in doeltenants. Bepaal of de app single-tenant of multi-tenant is, wat de thuistenant is waarin de applicatie is geregistreerd, en of een gebruiker uit die tenant toestemming moet geven. Plan de synchronisatie zo dat er geen dubbele service principals ontstaan, en gebruik filtering om onnodige objecten uit te sluiten.

Wanneer moet ik een beheerde identiteit gebruiken in plaats van een zelf aangemaakte service principal?

Gebruik beheerde identiteiten wanneer de workload in Azure draait en gebruik kan maken van een door het platform beheerde identiteit om tokens te verkrijgen zonder ingesloten referenties. Beheerde identiteiten verminderen de noodzaak om wachtwoorden te beheren, vereenvoudigen beveiligingsupdates en zijn de aanbevolen optie om service principals te beveiligen in Microsoft-scenario's waar dat wordt ondersteund.

Hoe kan ik de toegang tot resources die door service principals worden beveiligd, controleren en oplossen?

Schakel aanmeldingslogboeken en audit logs in Microsoft Entra ID en Azure AD in en controleer ze regelmatig, gebruik Microsoft Graph om gebeurtenissen op te halen, pas filters toe om de resultaten te beperken en integreer de logs met een SIEM. Verzamel voor technische ondersteuning of complexe problemen de objectId en appId van de service principal, tijdstempels en foutmeldingen voordat je contact opneemt met support, en raadpleeg Microsoft Learn en aanvullende bronnen om het onderzoek te sturen.