Een Microsoft Purview-rolgroeprapport genereren met PowerShell

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Gebruik PowerShell om een rapport te maken van de machtigingen van je Microsoft Purview-rolgroepen. Controleer de naleving voor compliance, eDiscovery en Microsoft 365 met deze handleiding.

Automatically translated with AI from the original post. Read the English original

Het beheren van rolgroepen in Purview is cruciaal om de beveiliging en compliance binnen je organisatie op orde te houden. Je kunt dit proces stroomlijnen door PowerShell in te zetten, dat taken automatiseert en tijd bespaart. Met PowerShell genereer je eenvoudig een rapport met de rolgroepleden in Purview. Deze handleiding loopt je stap voor stap door het verbinden met Purview en het effectief maken van je rapport.

Belangrijkste punten

Zorg dat je beheerderstoegang tot Purview hebt voordat je rapporten genereert. Deze toegang is essentieel om rolgroepen effectief te beheren.
Installeer PowerShell versie 5.1 en de benodigde modules (CAMP en AIPService) om soepel verbinding te maken met Microsoft Purview.
Gebruik PowerShell-scripts om het genereren van Purview-rolgroeprapporten te automatiseren. Dit bespaart tijd en beperkt handmatige fouten.
Plan regelmatige rapporten om compliance en beveiliging te waarborgen. Door dit proces te automatiseren blijf je op de hoogte van het lidmaatschap van rolgroepen.
Analyseer de rapportgegevens om trends en mogelijke beveiligingsrisico's te signaleren. Regelmatige controles zorgen ervoor dat alleen geautoriseerde gebruikers toegang hebben tot gevoelige informatie.

7 verrassende feiten over het Microsoft Purview-rolgroeprapport

Purview-rolgroepen kunnen programmatisch worden opgevraagd en geëxporteerd: met een Purview-rolgroeprapport met PowerShell leg je in één keer het lidmaatschap, de toegewezen rollen en het bereik vast.
Het lidmaatschap van rolgroepen is niet altijd zichtbaar in de Purview-interface: sommige geneste of overgeërfde lidmaatschappen verschijnen alleen wanneer je via PowerShell zoekt. Het rapport laat daardoor verborgen toegangspaden zien.
Controlehiaten kunnen aan het licht komen: een Purview-rolgroeprapport met PowerShell kan verouderde of verweesde machtigingen tonen die de interface over het hoofd ziet, wat helpt om overbevoegde accounts te verminderen.
Aangepaste rollen hebben invloed op rapportage: rolgroepen met aangepaste rollen kunnen afwijkende machtigingsreeksen hebben die alleen een gescript rapport correct vertaalt naar concrete bevoegdheden.
Scenario's over meerdere tenants zijn rapporteerbaar: met PowerShell-automatisering kun je rolgroeprapporten uit meerdere tenants samenvoegen tot één genormaliseerd overzicht voor governance- en compliancecontroles.
Wijzigingen in de tijd bijhouden kan: door periodiek een Purview-rolgroeprapport met PowerShell te plannen en de uitvoer op te slaan, zie je historische wijzigingen en ontdek je onverwachte escalaties van bevoegdheden.
Integratie met andere tools is eenvoudig: het met PowerShell gegenereerde Purview-rolgroeprapport kan worden opgemaakt (CSV/JSON) en worden ingelezen in SIEM's, GRC-platforms of spreadsheets voor geautomatiseerde meldingen en analyse.

Vereisten voor PowerShell

Prerequisites for PowerShell

Vereiste machtigingen

Voordat je met PowerShell rapporten in Purview gaat genereren, moet je zorgen dat je over de benodigde machtigingen beschikt. Je hebt beheerderstoegang tot Purview nodig. Met die toegang kun je rolgroepen effectief bekijken en beheren. Zonder deze machtigingen krijg je mogelijk fouten wanneer je scripts uitvoert of gegevens ophaalt.

PowerShell-installatie

Om PowerShell-scripts uit te voeren, moet je PowerShell geïnstalleerd hebben op je computer. De minimaal vereiste versie is 5.1. Als je deze nog niet hebt, kun je die downloaden via de officiële website van Microsoft. Daarnaast heb je specifieke modules nodig om verbinding te maken met Microsoft Purview. De vereiste modules zijn CAMP en AIPService.

Hier is een korte checklist om te controleren of je aan de vereisten voldoet:

PowerShell-versie: Zorg dat je minimaal versie 5.1 hebt.
Modules: Installeer de modules CAMP en AIPService.
Beheerderstoegang: Controleer of je beheerdersrechten hebt in Purview.

Door aan deze vereisten te voldoen, zorg je voor een soepele ervaring bij het genereren van je rapport over Purview-rolgroepen.

Samenvatting van de stappen

Controleer je PowerShell-versie.
Installeer de benodigde modules.
Bevestig je beheerderstoegang in Purview.

Door deze stappen te volgen, ben je goed voorbereid om PowerShell effectief in te zetten voor je rapportagebehoeften.

Verbinding maken met Microsoft Purview

Verbinding instellen

Volg deze stappen om via PowerShell verbinding te maken met Microsoft Purview:

Zorg dat je een Azure-abonnement hebt: Je hebt een geldig Azure-abonnement nodig, met een Microsoft Entra-tenant die eraan gekoppeld is.
Meld je aan bij de Azure-portal: Gebruik je Azure-accountgegevens om toegang te krijgen tot de portal.
Installeer Azure PowerShell of Azure CLI: Zorg dat de benodigde tools op je clientcomputer zijn geïnstalleerd.
Maak een resourcegroep aan: Heb je er nog geen, voer dan het volgende commando uit:
```
New-AzResourceGroup -Name myResourceGroup -Location 'East US'
```
Maak het Microsoft Purview-account aan of implementeer het: Gebruik dit commando om je Purview-account in te stellen:
```
New-AzPurviewAccount
```

Door deze stappen te volgen, leg je op een veilige manier verbinding met Microsoft Purview.

Credentials authenticeren

Zodra je de verbinding hebt ingesteld, moet je je credentials authenticeren. Zo doe je dat:

Open PowerShell: Start PowerShell op je computer.
Voer het aanmeldcommando uit: Gebruik het volgende commando om je aan te melden:
```
Connect-AzAccount
```
Dit commando vraagt je om je Azure-accountgegevens in te voeren.
Controleer de verbinding: Controleer na het aanmelden of je toegang hebt tot je Purview-account door het volgende uit te voeren:
```
Get-AzPurviewAccount
```

Als je tijdens het verbindingsproces problemen tegenkomt, let dan op deze veelvoorkomende fouten:

Onjuist wachtwoord: Controleer je gebruikersnaam en wachtwoord nogmaals.
PowerShell-toegang: Controleer of je account is ingeschakeld voor PowerShell.
Netwerktoegang: Zorg dat TCP-poort 80 open staat voor communicatie met Microsoft 365.
Moduleinstallatie: Controleer of zowel de PowerShellGet- als de PackageManagement-module zijn geïnstalleerd.

Door deze stappen te volgen, maak je succesvol verbinding met Microsoft Purview en authenticeer je je credentials, zodat je klaar bent om je rolgroeprapport te genereren.

Rapport over Purview-rolgroepen genereren

Generate Purview Role Group Report

PowerShell-script voor rapportage van lidmaatschappen

Om een rapport over Purview-rolgroepen te genereren, kun je het volgende PowerShell-script gebruiken. Dit script maakt verbinding met Microsoft Graph en haalt het lidmaatschap van rolgroepen op. Volg deze stappen om je rapport te maken:

Maak verbinding met Microsoft Graph: Gebruik de vereiste scopes om toegang te krijgen tot de benodigde gegevens.
Maak verbinding met Exchange Online: Zorg dat je toegang hebt tot het beveiligings- en compliance-eindpunt.
Haal rolgroepen op: Voer de cmdlet Get-RoleGroup uit om alle rolgroepen in je tenant te vinden.
Inventariseer het lidmaatschap: Bepaal voor elke rolgroep het huidige lidmaatschap. Maak onderscheid tussen de verschillende typen Entra ID-objecten.
Werk de PowerShell-lijsten bij: Maak lijsten aan om de details van elke roltoewijzing en elk rolgroeplidmaatschap op te slaan.
Identificeer unieke identifiers: Zoek de unieke identifiers die roltoewijzingen hebben, zoals gebruikers of serviceprincipals.
Verzamel objectdetails: Verzamel voor elke unieke identifier aanvullende gegevens, zoals afdeling en land.
Sorteer de informatie: Orden de gegevens over gebruikerstoewijzingen op objecttype en naam, zodat rapportage eenvoudiger wordt.
Genereer een HTML-rapport: Maak een HTML-rapport met de details van elke actieve rolgroep en het bijbehorende lidmaatschap.

Hieronder staat een voorbeeld van een PowerShell-script dat deze stappen uitvoert:

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Group.Read.All"

# Get role groups
$roleGroups = Get-RoleGroup

# Initialize lists
$roleGroupMemberships = @()

foreach ($group in $roleGroups) {
    $members = Get-RbacGroupMember -GroupId $group.Id
    foreach ($member in $members) {
        $roleGroupMemberships += [PSCustomObject]@{
            RoleGroupName = $group.DisplayName
            MemberName    = $member.DisplayName
            MemberType    = $member.ObjectType
        }
    }
}

# Generate HTML report
$roleGroupMemberships | ConvertTo-Html -Property RoleGroupName, MemberName, MemberType -Title "Purview Role Group Membership Report" | Out-File "PurviewRoleGroupReport.html"

Dit script helpt je om een uitgebreid rapport te genereren over het lidmaatschap van rolgroepen in Purview.

Uitleg van de outputgegevens

Na het uitvoeren van het PowerShell-script ontvang je een HTML-rapport met het lidmaatschap van de rolgroepen. Zo interpreteer je de gegevens in de uitvoer:

Role Group Name: Deze kolom toont de naam van elke rolgroep.
Member Name: Deze kolom toont de namen van de gebruikers of service-principals die lid zijn van elke rolgroep.
Member Type: Deze kolom geeft aan of het lid een gebruiker, een service-principal of een ander type Entra ID-object is.

Door deze gegevens te analyseren krijg je inzicht in het lidmaatschap van rolgroepen binnen je organisatie. Die informatie is essentieel voor een goed rolgebaseerd toegangsbeheer (RBAC) en voor het bewaken van je security compliance.

Houd er rekening mee dat de juistheid van het lidmaatschap in het rapport afhangt van de huidige status van je Purview-omgeving. Door je scripts en rapporten regelmatig bij te werken, blijf je op de hoogte van wijzigingen in het lidmaatschap van rolgroepen.

Best practices voor rapportage

Regelmatige rapporten plannen

Om compliance en beveiliging te waarborgen, plan je regelmatig rapporten over Purview-rolgroepen. Regelmatige rapportage helpt je op de hoogte te blijven van wie compliancerollen heeft, en zorgt ervoor dat je organisatie zich aan het beveiligingsbeleid houdt. Hier zijn enkele stappen om deze rapporten effectief in te plannen:

Gebruik PowerShell-cmdlets: Maak gebruik van PowerShell-cmdlets om het genereren van rapporten te automatiseren. Je kunt een script maken dat op vaste intervallen wordt uitgevoerd.
Stel Taakplanner in: Gebruik Windows-taakplanner om je PowerShell-script automatisch te laten draaien. Zo ontvang je bijgewerkte rapporten zonder handmatige tussenkomst.
Kies het rapportformaat: Sla je rapporten op in veilige formaten, zoals .PDF. Dit beschermt gevoelige informatie en maakt het makkelijker om ze te delen met geautoriseerde gebruikers.

Tip: Pas bij het verlenen van toegang tot rapporten altijd het least privilege-principe toe. Zo beperk je het risico op ongeautoriseerde toegang.

Rapportgegevens analyseren

Zodra je je rapporten hebt gegenereerd, wordt het analyseren van de gegevens cruciaal. Inzicht in het lidmaatschap van compliancerolgroepen helpt je om potentiële beveiligingsrisico's te identificeren. Hier zijn enkele strategieën voor effectieve analyse:

Controleer het lidmaatschap regelmatig: Bekijk wie tot elke rolgroep behoort. Zorg dat alleen geautoriseerde gebruikers toegang hebben tot gevoelige gegevens. Belangrijke rolgroepen zijn onder andere Purview Administrators en Data Source Administrators.
Zoek naar trends: Let op patronen in het lidmaatschap van rolgroepen. Zo spot je ongebruikelijke activiteit of wijzigingen die nader onderzoek vereisen.
Documenteer je bevindingen: Houd een logboek bij van je analyse. Deze documentatie kan dienen als bewijs voor compliance-audits en helpt je wijzigingen in de loop van de tijd te volgen.

Door deze best practices te volgen, verbeter je je rapportageproces en zorg je ervoor dat je organisatie compliant blijft met de compliancenormen van Microsoft 365.

In deze gids heb je geleerd hoe je met PowerShell een Purview-rolgroeprapport genereert. Je hebt verbinding gemaakt met Microsoft Purview, je inloggegevens geverifieerd en een PowerShell-script uitgevoerd om het lidmaatschap van rolgroepen op te halen.

Regelmatige rapportage is essentieel voor het behouden van beveiliging en compliance. Het helpt je toegang te monitoren en potentiële risico's te identificeren.

Ik raad je aan om dit proces in je werkwijze te integreren. Zo versterk je de beveiligingspositie van je organisatie en zorg je ervoor dat je voldoet aan branchenormen.

Veelgestelde vragen

Wat is Microsoft Purview?

Microsoft Purview is een geïntegreerde oplossing voor datagovernance waarmee je je data in verschillende omgevingen kunt beheren en beschermen. Het biedt tools voor datadetectie, classificatie en compliance.

Waarom PowerShell gebruiken voor Purview-rapporten?

Met PowerShell automatiseer je het genereren van rapporten. Dat bespaart tijd en vermindert handmatige fouten. Zo haal je het lidmaatschap van rolgroepen in Purview efficiënt op en beheer je het.

Hoe vaak moet ik Purview-rolgroeprapporten genereren?

Je genereert Purview-rolgroeprapporten het best regelmatig, idealiter maandelijks of per kwartaal. Zo houd je de toegang in de gaten en blijf je voldoen aan je beveiligingsbeleid.

Wat als ik fouten tegenkom bij het uitvoeren van het PowerShell-script?

Als je fouten tegenkomt, controleer dan je machtigingen, zorg dat alle vereiste modules zijn geïnstalleerd en controleer je verbinding met Microsoft Purview. Bekijk de foutmeldingen voor specifieke aanwijzingen.

Kan ik de indeling van het rapport aanpassen?

Ja, dat kan. Pas het PowerShell-script aan om de uitvoerindeling te wijzigen, bijvoorbeeld naar CSV- of PDF-bestanden, afhankelijk van wat je nodig hebt.

purview portal en purview compliance

Deze veelgestelde vragen gaan over het genereren van een Purview-rolgroeprapport met PowerShell en beschrijven de bijbehorende machtigingen, rolbeheer en auditing in Microsoft Purview en Microsoft 365.

powershell-module, microsoft purview-machtigingen en purview RBAC-rollen

Deze gids behandelt het gebruik van de PowerShell-module en de Microsoft Graph PowerShell SDK om leden van rolgroepen op te vragen, ingebouwde roldefinities te bekijken en rapporten te maken voor compliance- en eDiscovery-scenario's.

Wat is een Purview-rolgroeprapport met PowerShell en waarom zou ik er een maken?

Een Purview-rolgroeprapport met PowerShell is een gegenereerd overzicht (CSV of JSON) van rolgroepen, de roltoewijzingen (Purview RBAC-rollen en toewijzingen van ingebouwde rollen) en de leden van rolgroepen binnen de Microsoft Purview-oplossingen en Microsoft 365-diensten. Je maakt er een om rolmachtigingen te controleren, na te gaan wie bevoegde toegang heeft (rol Algemeen beheerder of beheerdersrol), compliancecontroles en eDiscovery-zaken te ondersteunen, of om het als input te gebruiken voor wijzigingsbeheer en beoordelingen van machtigingen voor insider risk management.

Welke PowerShell-module gebruik ik om een rapport voor Microsoft Purview-rolgroepen te genereren?

Gebruik een combinatie van modules, afhankelijk van je omgeving: de Microsoft Graph PowerShell SDK om roltoewijzingen in de Microsoft Purview-portal en leden van rolgroepen op te vragen, en de Exchange Online Management-module of de Security & Compliance-modules voor sommige rolgroepen die specifiek zijn voor Microsoft 365 en eDiscovery. Microsoft documenteert soms voorbeelden op Microsoft Learn voor taken met Purview-gegevens en in de Purview compliance-portal.

Welke machtigingen heb ik nodig om een Purview-rolgroeprapport met PowerShell uit te voeren?

Meestal heb je verhoogde rollen nodig, zoals de rol Algemeen beheerder of een gedelegeerde beheerder met rolbeheerfuncties, of specifieke Microsoft Purview-machtigingen zoals beheerdersrollen in de Purview-portal (bevoegde rol of beheerdersrol). Voor sommige query's kan het nodig zijn dat je lid bent van de rolgroep Organization Management of de eDiscovery Manager-rolgroep. Zorg dat je de Graph-machtigingen hebt toegekend wanneer je de Microsoft Graph PowerShell SDK gebruikt om roltoewijzingen en auditlogvermeldingen te lezen.

Hoe kan ik leden van rolgroepen en hun rollen opvragen met de Microsoft Graph PowerShell SDK?

Authenticeer met gedelegeerde of app-machtigingen die roleManagement.read.* en Directory.Read.All bevatten, en query vervolgens roleDefinitions en roleAssignments om Purview RBAC-rollen aan rolgroepen te koppelen en leden van rolgroepen op te sommen. Exporteer de resultaten naar CSV om een rapport te maken. Voor Exchange Online-specifieke groepen, zoals de eDiscovery Manager-rolgroep, heb je mogelijk de Exchange Online Management-module nodig om leden van rolgroepen en contentzoekmachtigingen op te vragen.

Kan ik eDiscovery- en informatiebeschermingsrollen in hetzelfde rapport opnemen?

Ja. Combineer gegevens uit de Microsoft Purview-portal (voor Microsoft Purview-oplossingen en Microsoft Purview Data-rollen), Microsoft 365-diensten (contentzoekopdrachten, eDiscovery-zaken, de rol eDiscovery Manager en de eDiscovery Manager-rolgroep) en toewijzingen van Microsoft Information Protection. Gebruik meerdere PowerShell-modules of Graph-query's om rolmachtigingen samen te voegen, en normaliseer en exporteer ze vervolgens als één rapport.

Hoe controleer ik wijzigingen in rolgroepen en volg ik rolmachtigingen na in de tijd?

Gebruik het auditlog en de Azure AD-aanmeldings- en auditgebeurtenissen (Microsoft Entra / Microsoft Entra ID), toegankelijk via de Microsoft Graph PowerShell SDK of de auditing-API's van de Purview compliance-portal. Plan periodieke exports van roltoewijzingen en ledenlijsten van rolgroepen om wijzigingen te detecteren. Het opslaan van historische snapshots maakt drift-detectie mogelijk en ondersteunt het verzamelen van compliancebewijs.

Welke veelvoorkomende beperkingen van ingebouwde rollen moet ik in de gaten houden bij rapportages over rolgroepen in Purview?

Ingebouwde roldefinities kunnen breed zijn (bijvoorbeeld Global Administrator, Compliance Administrator) en toegang geven tot Purview-compliance, purge-bewerkingen of bevoegde gegevens. Een rapport moet overlap tussen ingebouwde rollen, standaard rolgroepen en toekenningen die in de praktijk verhoogde toegang geven tot Microsoft Purview-gegevens, Microsoft Defender XDR of Microsoft 365 Copilot-gegevens laten zien. Let op: sommige ingebouwde rollen kun je niet wijzigen, maar je kunt ze wel tellen en monitoren.

Hoe ga ik om met rolgroepen voor gedelegeerd beheer en hoe beperk ik de blootstelling aan bevoegde rollen?

Breng de leden van rolgroepen in kaart die bevoegde rollen hebben en pas waar mogelijk het principe van least privilege toe: maak smallere aangepaste rollen aan, verwijder onnodige lidmaatschappen van rolgroepen en gebruik break-glass-beheer voor noodtoegang. Het rapport moet gebruikers in de rolgroep Organization Management, houders van beheerrollen en service principals met roltoekenningen markeren, zodat het risico op bevoegde rollen zo klein mogelijk blijft.

Waar vind ik voorbeelden en best practices voor het maken en automatiseren van deze rapporten?

Raadpleeg Microsoft Learn en de documentatie voor PowerShell-voorbeelden met de Microsoft Graph PowerShell SDK, de Exchange Online Management-module en de API's van het compliance-portaal. Best practices zijn onder meer het automatisch plannen van exports, het vastleggen van auditlogvermeldingen, het documenteren van rolmachtigingen als een set van machtigingen, en het integreren van de bevindingen in governance-workflows voor rolbeheer, beoordelingen van rolmachtigingen en compliance-audits.