Microsoft Entra ID uitgelegd: de identiteitsbasis voor Microsoft 365 en Azure

By Mirko Peters · 2026-08-27 · Updated 2026-09-13

Leer Microsoft Entra ID kennen, voorheen Azure AD: gebruikers, groepen, apps, SSO, MFA, voorwaardelijke toegang en identiteitsbeheer in Microsoft 365 en Azure.

Automatically translated with AI from the original post. Read the English original

Welkom terug, luisteraars en lezers, voor weer een diepgaande duik in de wereld van cloudinfrastructuur en beveiliging van de onderneming. In onze jongste podcastaflevering hebben we een van de belangrijkste onderwerpen uit de moderne IT behandeld: identiteits- en toegangsbeheer. Concreet hebben we het gehad over Microsoft Entra ID, voorheen bekend als Azure Active Directory (Azure AD), en over hoe het de absolute ruggengraat vormt van alles wat je doet in Microsoft 365, Azure en duizenden externe software-as-a-service (SaaS)-applicaties.

Als je al een tijdje in de IT werkt, herinner je je waarschijnlijk nog de tijd dat identiteit gekoppeld was aan een fysieke server in de serverruimte met Windows Server Active Directory. Toen organisaties naar de cloud begonnen te migreren, veranderde dat paradigma volledig. Beveiliging op basis van een netwerkperimeter werd bijna van de ene op de andere dag achterhaald. Vandaag wordt de netwerkperimeter niet langer bepaald door firewalls en IP-adressen, maar door identiteit. Microsoft Entra ID is de regisseur van die nieuwe perimeter. In deze uitgebreide blogpost, die bij de podcast hoort, gaan we dieper in op de kernconcepten die we in de aflevering bespraken: gebruikers, groepen, applicatiebeheer, authenticatiemechanismen en governance, zodat je de cloudomgeving van je organisatie kunt beveiligen en optimaliseren.

Inleiding tot Microsoft Entra ID en moderne identiteit

Om Microsoft Entra ID echt te begrijpen, moeten we eerst de filosofie achter modern identiteitsbeheer begrijpen. In het verleden, toen alles on-premises draaide, logden gebruikers in op een computer die aan het domein was gekoppeld en fysiek verbonden was met het lokale bedrijfsnetwerk (LAN). Active Directory controleerde wie ze waren, en toegang werd vooral verleend op basis van de vraag of het verkeer van binnen de bedrijfsmuren kwam.

De moderne werkplek ziet er heel anders uit. Medewerkers werken thuis, in koffiezaken, op luchthavens en op kantoor bij klanten, met laptops, tablets en smartphones. Ze gebruiken resources die niet alleen in lokale datacenters staan, maar verspreid over meerdere public clouds en externe SaaS-platforms zoals Salesforce, ServiceNow en Zoom. In deze gedecentraliseerde wereld is identiteit het nieuwe controlepunt voor beveiliging.

Microsoft Entra ID is een cloudgebaseerde service voor identiteits- en toegangsbeheer (IAM) die is ontworpen om identiteiten te beveiligen en te beheren in hybride en multi-cloudomgevingen. Het is niet simpelweg een cloudversie van Windows Server Active Directory. De service is van de grond af opgebouwd voor cloudworkloads op internetschaal, webgebaseerde authenticatieprotocollen en API-gedreven integraties. Of een medewerker nu inlogt op Microsoft 365 om Outlook te controleren, een virtuele machine in Azure opstart of zich aanmeldt bij een externe HR-applicatie: Microsoft Entra ID valideert wie die persoon is, beoordeelt het risico van de verbinding en past organisatiebeleid toe, binnen milliseconden.

Kerncomponenten: gebruikers, groepen en apparaten

Op het fundamentele niveau draait Microsoft Entra ID om drie primaire objecten: gebruikers, groepen en apparaten. Begrijpen hoe deze drie elementen met elkaar samenwerken, is de eerste stap naar een schaalbare en veilige directory.

Gebruikers beheren in de cloud

Gebruikers in Entra ID zijn individuele identiteiten die toegang nodig hebben tot resources van de organisatie. Dat kunnen interne medewerkers zijn, externe contractors, partnerorganisaties, of zelfs geautomatiseerde serviceaccounts en applicaties (vaak service principals of beheerde identiteiten genoemd). De levenscyclus van gebruikers moet zorgvuldig worden beheerd: van aanmaken bij indiensttreding, via rolwijzigingen tijdens het dienstverband, tot direct deactiveren bij vertrek.

Organisaties kiezen meestal voor een van twee modellen voor gebruikersbeheer:

• Cloud-only identiteiten: Worden volledig binnen Entra ID aangemaakt en beheerd. Dit is gebruikelijk bij ‘born-in-the-cloud’-startups of voor specifieke gastaccounts.
• Hybride identiteiten: Worden gesynchroniseerd vanuit een on-premises Active Directory-omgeving met een tool die Microsoft Entra Connect heet (of Entra Cloud Sync). Hiermee kunnen organisaties hun bestaande domeincontrollers behouden en gebruikersidentiteiten naadloos uitbreiden naar de cloud, wat een single sign-on (SSO)-ervaring mogelijk maakt.

De kracht van groepen

Het toewijzen van machtigingen en applicaties aan individuele gebruikers wordt snel een administratieve nachtmerrie. Hier komen groepen om de hoek kijken. Entra ID ondersteunt twee hoofdtypen groepen:

• Toegewezen (statische) groepen: Beheerders voegen leden handmatig toe en verwijderen ze handmatig. Dit werkt goed voor kleine, weinig veranderende teams, maar schaalt slecht.
• Dynamische groepen: Op basis van regels die gebruikmaken van gebruikerskenmerken (zoals afdeling, functietitel of kantoorlocatie) voegt Entra ID gebruikers automatisch toe aan groepen en verwijdert ze er weer uit. Je kunt bijvoorbeeld een regel maken waarbij elke gebruiker met als afdeling "Sales" automatisch wordt toegevoegd aan de globale Sales-distributielijst en de beveiligingsgroep. Dit verkleint de administratieve last aanzienlijk en beperkt het risico op menselijke fouten bij personeelswisselingen.

Apparaten als volwaardige onderdelen

In de traditionele IT waren apparaten passieve eindpunten. In Entra ID worden apparaten gezien als essentiële onderdelen van het identiteitsecosysteem. Apparaten kunnen worden geregistreerd, toegevoegd of hybride lid worden van Azure AD. Door apparaten te registreren of toe te voegen aan Entra ID krijgen organisaties diepgaand inzicht in de hardware die toegang heeft tot zakelijke gegevens. Zo kunnen beheerders beleid afdwingen als: "Je hebt alleen toegang tot Microsoft 365 als het apparaat waarmee je inlogt bedrijfseigendom, versleuteld en compliant is met de baseline voor endpointbeveiliging."

Enterprise-applicaties en SaaS-integraties beheren

Een van de krachtigste functies van Microsoft Entra ID is de mogelijkheid om op te treden als identity provider (IdP) voor duizenden vooraf geïntegreerde cloudapplicaties via de Entra-applicatiegalerie. Of je organisatie nu afhankelijk is van Adobe, Zoom, Workday of zelfgebouwde interne webapps: Entra ID centraliseert de toegang tot applicaties.

Enterprise-applicaties versus app-registraties

Bij het werken met applicaties in Entra ID is het belangrijk om het verschil tussen enterprise-applicaties en app-registraties te begrijpen:

• Enterprise-applicaties: Dit zijn de lokale representaties (of serviceprincipals) van applicaties die zijn ingesteld om Entra ID te vertrouwen voor single sign-on. Hier wijzen IT-beheerders gebruikers en groepen toe, configureren ze voorwaardelijke toegangsbeleidsregels voor specifieke apps en beheren ze gebruikersprovisioning.
• App-registraties: Deze vormen de globale definitie van een applicatie die door ontwikkelaars binnen je organisatie wordt gebouwd. Ze bepalen hoe de app integreert met het Microsoft identity platform, welke machtigingen de app nodig heeft en welke authenticatiegeheimen of certificaten worden gebruikt.

Single Sign-On (SSO) en federatie

De tijd dat gebruikers tientallen verschillende wachtwoorden voor even zoveel werkapplicaties moesten onthouden, is voorbij. Entra ID ondersteunt moderne authenticatieprotocollen zoals Security Assertion Markup Language (SAML) 2.0 en OpenID Connect (OIDC) om naadloze single sign-on mogelijk te maken. Gebruikers authenticeren zich één keer bij Entra ID, en vertrouwde SaaS-applicaties accepteren dat authenticatietoken en verlenen direct en veilig toegang.

Daarnaast kan geautomatiseerde gebruikersprovisioning (vaak gebaseerd op de SCIM-standaard) ervoor zorgen dat Entra ID gebruikersaccounts in SaaS-apps van derden automatisch aanmaakt, bijwerkt en verwijdert. Wanneer een medewerker het bedrijf verlaat en zijn Entra ID-account wordt uitgeschakeld, wordt die persoon automatisch ook in alle gekoppelde SaaS-platforms gedeprovisioneerd. Zo worden potentiële beveiligingslekken direct gedicht.

Authenticatie en toegangsbeheer beveiligen

Authenticatie is de toegangspoort tot je cloudomgeving. Zeker weten dat gebruikers echt zijn wie ze zeggen te zijn, is van het grootste belang. Toch is alleen vertrouwen op wachtwoorden een recept voor problemen. Wachtwoorden kunnen worden geraden, gephisht, hergebruikt of onderschept.

Multi-Factor Authentication (MFA)

Het inschakelen van Multi-Factor Authentication is waarschijnlijk de meest effectieve beveiligingsmaatregel die een organisatie kan nemen. Microsoft Entra ID maakt de implementatie van MFA flexibel en gebruiksvriendelijk en ondersteunt methoden zoals de Microsoft Authenticator-app (met pushmeldingen en getalovereenkomst), FIDO2-beveiligingssleutels, hardwaretokens en sms- of spraakoproepen. App-gebaseerde pushmeldingen en hardwaresleutels worden echter sterk aanbevolen boven sms, vanwege de kwetsbaarheid voor SIM-swapaanvallen.

Om wachtwoorden helemaal te elimineren, ondersteunt Entra ID methoden voor authenticatie zonder wachtwoord, waaronder Windows Hello for Business, FIDO2-beveiligingssleutels en aanmelden via de telefoon met de Microsoft Authenticator-app. Authenticatie zonder wachtwoord biedt een veel betere gebruikerservaring en neutraliseert tegelijkertijd het stelen van inloggegevens.

Voorwaardelijke toegang: de intelligente beleidsengine

Authenticatie mag geen statische, alles-of-niets-gebeurtenis zijn. Aanmelden vanaf een beheerde zakelijke laptop op het beveiligde kantoor in Londen moet andere beveiligingseisen stellen dan aanmelden vanaf een onbekend apparaat via openbaar wifi in het buitenland.

Hier komt Microsoft Entra Voorwaardelijke toegang om de hoek kijken. Voorwaardelijke toegang fungeert als een intelligente engine voor beleidsbeslissingen. Die beoordeelt signalen, waaronder de identiteit van de gebruiker, de status van het apparaat, de locatie, het risiconiveau en de gevoeligheid van de applicatie, en past toegangsbeslissingen in realtime toe.

Een typische workflow van een beleid voor voorwaardelijke toegang ziet er als volgt uit:

• Als een gebruiker probeert toegang te krijgen tot een zeer gevoelige financiële applicatie...
• En het aanmeldingsrisico wordt door Microsoft Entra Identity Protection als gemiddeld of hoog beoordeeld...
• Dan toegang verlenen, maar vereisen dat er Multi-Factor Authentication en een wachtwoordreset plaatsvinden, of de toegang volledig blokkeren totdat het risico is verholpen.

Voorwaardelijke toegang helpt organisaties om los te komen van starre perimeterbeveiliging en over te stappen naar een robuuste Zero Trust-architectuur: vertrouw nooit, verifieer altijd en ga uit van een inbreuk.

Machtigingen, rollen en delegatie begrijpen

Wat mag een gebruiker doen nadat die zich succesvol heeft geauthenticeerd en alle controles voor voorwaardelijke toegang heeft doorstaan? Het beheren van autorisatie in Microsoft Entra ID vraagt om een goed begrip van machtigingen, beheerrollen en delegatiemodellen.

Ingebouwde rollen van Microsoft Entra

In het verleden trapten organisaties vaak in de val van te ruime beheermachtigingen, zoals het maken van elke helpdesktechnicus tot Domeinbeheerder. In de cloud is het volgen van het Principe van minimale bevoegdheden (PoLP) onontbeerlijk. Gebruikers mogen alleen het minimale toegangsniveau hebben dat nodig is voor hun specifieke werk.

Entra ID biedt een groot aantal fijnmazige, ingebouwde beheerrollen. Bijvoorbeeld:

• Gebruikersbeheerder: Kan alle aspecten van gebruikers en groepen beheren, inclusief het resetten van wachtwoorden voor niet-beheerders.
• Helpdeskbeheerder: Kan wachtwoorden resetten voor niet-beheerders en specifieke helpdeskrollen, maar kan geen gebruikers aanmaken of globale beveiligingsinstellingen wijzigen.
• Beheerder voorwaardelijke toegang: Kan beleid voor voorwaardelijke toegang maken en beheren zonder toegang te hebben tot gebruikersaccounts of factuurgegevens.
• Globale beheerder: De hoogste beheerrol met volledige toegang tot alle directoryfuncties. Deze rol moet strikt beperkt blijven tot een zeer klein aantal personen (idealiter minder dan vijf) en zwaar worden gemonitord.

Privileged Identity Management (PIM)

Zelfs met fijnmazige rollen vormt permanente beheertoegang een groot beveiligingsrisico. Als de inloggegevens van een globale beheerder worden gecompromitteerd, heeft de aanvaller de sleutels tot het hele koninkrijk. Hier komt Microsoft Entra Privileged Identity Management (PIM) om de hoek kijken.

PIM maakt Just-In-Time (JIT) privilegetoegang mogelijk. In plaats van dat beheerders permanente machtigingen hebben, blijven hun accounts dagelijks gewone gebruikersaccounts. Wanneer een beheertaak moet worden uitgevoerd, vraagt de gebruiker via PIM de activering van de specifieke rol aan. Het systeem kan goedkeuringsworkflows, verplichte motivaties en multi-factor authentication vereisen voordat de machtigingen van de gebruiker voor een beperkt tijdvenster (bijvoorbeeld twee uur) worden verhoogd. Zodra de tijd verstreken is, worden de machtigingen automatisch ingetrokken. PIM maakt van permanente privileges tijdelijke, controleerbare gebeurtenissen.

Best practices voor het beheren van Entra ID in de onderneming

Om deze uitgebreide gids af te ronden, bekijken we een aantal praktische best practices die elke IT-beheerder, beveiligingsprofessional en cloudarchitect moet implementeren bij het beheren van Microsoft Entra ID.

1. Dwing phishing-resistente MFA af voor iedereen

Wacht niet op een beveiligingsincident om multifactorauthenticatie verplicht te stellen. Dwing MFA af in je hele organisatie, te beginnen bij beheerders en gebruikers met bevoegdheden, en breid dit snel uit naar alle medewerkers. Ga waar mogelijk over van sms-gebaseerde MFA naar app-gebaseerde pushmeldingen met getalsvergelijking of FIDO2-beveiligingssleutels, zodat je beschermd bent tegen moderne adversary-in-the-middle (aitm)-phishingaanvallen.

2. Omarm Zero Trust met basislijnen voor voorwaardelijke toegang

Implementeer meteen een basisset voorwaardelijketoegangsbeleidsregels. Blokkeer minimaal de verouderde verificatieprotocollen (die geen moderne beveiligingsmaatregelen ondersteunen), vereis compliant apparaten voor toegang tot zakelijke gegevens en stel op risico gebaseerd beleid op dat zich dynamisch aanpast aan verdachte aanmeldgedragingen.

3. Controleer en beperk het aantal globale beheerders

Voer regelmatig een audit uit van je bevoegde rollen. Zorg dat niet meer dan twee tot vier accounts de rol Globale beheerder hebben, en gebruik noodaccounts (cloudonly accounts voor noodsituaties met sterke, hardwarematig beveiligde inloggegevens die veilig worden bewaard) voor catastrofale storingsscenario's.

4. Gebruik Privileged Identity Management (PIM)

Als de licentiecategorie van je organisatie dit toestaat (meestal Microsoft Entra ID P2 of Microsoft 365 E5), zet PIM dan meteen in. Schaf permanente beheerderstoegang af en vereis een motivatie en goedkeuringsworkflows voor alle activaties van gevoelige rollen.

5. Bekijk gastentoegang en B2B-samenwerking regelmatig

Externe samenwerking is essentieel voor moderne bedrijfsvoering, maar niet-beheerde gastaccounts vormen een groot blinde vlek op het gebied van beveiliging. Implementeer toegangsbeoordelingen in Entra ID om periodiek te controleren of externe gasten nog toegang tot je zakelijke resources nodig hebben. Verwijder gasten die geen toegang meer nodig hebben automatisch.

Conclusie

Microsoft Entra ID is veel meer dan alleen een gebruikersdirectory; het is de fundamentele beveiligingslaag voor je hele cloudecosysteem. Door te begrijpen hoe je gebruikers, groepen, apparaten en bedrijfsapplicaties beheert en tegelijk strikte authenticatie, voorwaardelijke toegang en machtigingen met minimale rechten afdwingt, maak je van identiteit geen kwetsbaarheid maar de sterkste verdediging van je organisatie'.

Bedankt dat je naar onze podcast luistert en mee leest met deze blogpost. Vond je deze uiteenzetting nuttig? Deel hem dan zeker met je IT-collega's, abonneer je op de podcast voor meer inzichten over cloudarchitectuur, en laat ons weten welke vragen of onderwerpen je in toekomstige afleveringen behandeld wilt zien. Blijf veilig!