Stappen om het gebruik van service principals in je Microsoft 365-tenant te analyseren

By Mirko Peters · 2026-03-09 · Updated 2026-09-13

Bekijk het gebruik van service principals met Microsoft Graph en de aanmeldactiviteit. Verken de vereiste machtigingen, app-identiteiten, monitoring en toegangsbeheer.

Automatically translated with AI from the original post. Read the English original

Het analyseren van het gebruik van service principals met Service Principal Analysis is cruciaal voor de beveiliging van je Microsoft 365-tenant. Door service principals te monitoren, kun je potentiële risico's signaleren, zoals shadow IT en zwakke beveiligingsconfiguraties. Belangrijke aandachtspunten zijn:

• Niet-beheerde beheerdersaccounts

• Inconsistente multifactorauthenticatie (MFA)

• Externe delen zonder toezicht

Inzicht in de aanmeldactiviteit via Service Principal Analysis helpt je om ongebruikelijke patronen te detecteren en toegang effectief te beheren. Deze proactieve aanpak verkleint niet alleen de risico's, maar zorgt ook voor naleving van regelgeving, waardoor je omgeving veiliger en beter beheersbaar wordt.

Belangrijkste punten

• Monitor regelmatig de aanmeldactiviteit van service principals om ongebruikelijke patronen te detecteren en de beveiliging te versterken.

• Zorg dat je over de nodige machtigingen beschikt, zoals AuditLog.Read.All, om het gebruik van service principals effectief te analyseren.

• Pas het principe van minimale rechten toe door elke service principal alleen de essentiële machtigingen te geven.

• Automatiseer je monitoringprocessen met tools zoals AdminDroid om het beheer te vereenvoudigen en de beveiliging te verbeteren.

• Documenteer het doel en de machtigingen van elke service principal om duidelijkheid en naleving te waarborgen.

1. Service principals vormen de app-identiteit binnen je Microsoft 365-tenant: Het application-object is de globale definitie, maar de service principal is de lokale identiteit die wordt gebruikt voor authenticatie, roltoewijzingen en toegangsbeheer binnen je Microsoft 365-tenant. Monitoring van het gebruik van service principals in je Microsoft 365-tenant is daarom essentieel om bij te houden wie en wat toegang heeft tot resources.
2. Meerdere service principals kunnen naar één application verwijzen: Eén application-object kan in meerdere tenants afzonderlijke service principals hebben, elk met eigen credentials, toestemmingen en roltoewijzingen. Zo kan dezelfde appcode zich in verschillende Microsoft 365-tenants anders gedragen.
3. Het type credential bepaalt het aanvalsoppervlak: Service principals kunnen gebruikmaken van clientgeheimen, certificaten of federated identity. Clientgeheimen met een lange geldigheidsduur vergroten het aanvalsoppervlak in je Microsoft 365-tenant, terwijl certificaat- of federatieve authenticatie het risico kan verkleinen wanneer die correct zijn geconfigureerd.
4. Gedelegeerde en app-machtigingen brengen verschillende risico's met zich mee: App-only-machtigingen die aan een service principal zijn toegekend, geven toegang onafhankelijk van een gebruiker en kunnen krachtiger zijn dan gedelegeerde machtigingen. Verkeerd geconfigureerde app-machtigingen zijn een veelvoorkomende oorzaak van overmatige rechten bij het gebruik van service principals in je Microsoft 365-tenant.
5. Toestemming en beheerderstoestemming verschillen per bereik: Gebruikers kunnen toestemming geven voor bepaalde gedelegeerde machtigingen van apps, maar voor machtigingen met een hoger risico is beheerderstoestemming vereist. Het bijhouden van toestemmingsgebeurtenissen helpt je om onverwacht gebruik van service principals in je Microsoft 365-tenant op te sporen.
6. Beheerde identiteiten vereenvoudigen de levenscyclus, maar zijn aan de tenant gebonden: Beheerde identiteiten in Azure AD (systeemtoegewezen of gebruikerstoegewezen) maken automatisch service principals aan voor resources, wat het beheer van credentials in je Microsoft 365-tenant eenvoudiger maakt. Ze kunnen echter niet tussen tenants worden overgedragen, dus bij het verplaatsen van resources moet de configuratie opnieuw worden ingesteld.
7. Voorwaardelijke toegang en entitlement management gelden ook voor apps: Je kunt beleid voor voorwaardelijke toegang afdwingen en entitlement management gebruiken om het gebruik van service principals in je Microsoft 365-tenant te beheren, maar het beleid moet expliciet worden geëvalueerd voor app-contexten om ongeautoriseerde app-toegang of laterale beweging te voorkomen.

Vereisten voor de analyse van service principals

Voordat je het gebruik van service principals gaat analyseren, zorg je ervoor dat je de juiste machtigingen en hulpmiddelen hebt. Deze voorbereiding helpt je om een grondige analyse uit te voeren en service principals effectief te beheren.

Vereiste machtigingen

Om de activiteit van service principals in Microsoft Entra en Microsoft 365 te analyseren, heb je specifieke machtigingen nodig. In onderstaande tabel staat het vereiste machtigingsbereik:

Zonder de juiste machtigingen kun je fouten tegenkomen. Als je bijvoorbeeld het bericht "Onvoldoende bevoegdheden om de bewerking te voltooien" ziet, betekent dit dat je niet over de vereiste toegang beschikt. Deze beperking kan je belemmeren om service principals effectief te beheren en te analyseren.

Hulpmiddelen en bronnen

Met de juiste hulpmiddelen stroomlijn je het analyseproces. Hier zijn enkele effectieve hulpmiddelen voor de analyse van service principals in Microsoft 365-omgevingen:

Om met PowerShell aan de slag te gaan, volg je deze stappen:

1. Maak verbinding met Microsoft Graph PowerShell met: Connect-MgGraph -Scopes "AuditLog.Read.All"

2. Voer de opdracht uit om de aanmeldingen van service principals te controleren:

   Get-MgBetaAuditLogSignIn -Filter "signInEventTypes/any(t:t eq 'servicePrincipal')" -All | Select-Object CreatedDateTime, Id, ServicePrincipalId, ServicePrincipalName, ResourceDisplayName, ResourceId, @{Name = "Status"; Expression = { if ($_.Status.ErrorCode -eq 0) { "Success" } else { "Failed" } }} | Format-Table
   

Door ervoor te zorgen dat je de juiste machtigingen en hulpmiddelen hebt, leg je een goede basis voor een succesvolle analyse van service principals.

Aanmaken van service principals in Microsoft Entra

Het aanmaken van een service principal in Microsoft Entra houdt in dat je een app registreert. Hierdoor kan je app veilig authenticeren en toegang krijgen tot resources. Zo registreer je een app:

App registreren

Volg deze stappen om een app in Microsoft Entra te registreren:

1. Meld je aan bij het Microsoft Entra-beheercentrum.

2. Ga naar Toepassingen en selecteer Nieuwe registratie.

3. Vul de vereiste gegevens in, zoals de naam van de app en de redirect-URI.

4. Kies het juiste accounttype op basis van je behoeften.

5. Klik op Registreren om het proces af te ronden.

Na de registratie kun je een service principal aanmaken. Deze service principal fungeert als identiteit voor je app wanneer deze met andere services communiceert.

In Microsoft Entra kun je verschillende methoden voor het aanmaken van service principals gebruiken. Denk aan:

• Een vertrouwd certificaat uploaden dat is uitgegeven door een certificeringsinstantie.

• Een zelfondertekend certificaat aanmaken en uploaden voor testdoeleinden.

• Een nieuw clientgeheim aanmaken.

Elke methode heeft zijn eigen toepassing, dus kies de methode die het best past bij de vereisten van je app.

De initiator begrijpen

Weten wie het aanmaken van de service principal heeft geïnitieerd, is cruciaal voor beveiliging en auditing. Die informatie vind je door deze stappen te volgen:

1. Meld je aan bij het Microsoft Entra-beheercentrum.

2. Ga naar Monitoring en statuscontrole en selecteer Controlelogboeken.

3. Stel de Categorie in op ApplicationManagement en pas het filter toe.

4. Filter de Activiteit op Service principal toevoegen en pas het filter toe.

5. Selecteer een gebeurtenis en vouw Aanvullende gegevens uit. Let op eigenschappen zoals ServicePrincipalProvisioningType, SubscribedSkus en AppOwnerOrganizationId.

Door de initiator te volgen, begrijp je beter wie service principals aanmaakt en waarom. Deze informatie is essentieel voor het waarborgen van de beveiliging en compliance binnen je organisatie.

Hier is een overzicht van de kenmerken die je in de auditlogs kunt vinden:

Door de initiator van de service principal te begrijpen, versterk je je beveiligingspositie en zorg je ervoor dat alleen geautoriseerde gebruikers service principals aanmaken.

Aanmeldingsactiviteit bekijken met Microsoft Graph

Toegang tot de Microsoft Graph API

Om aanmeldlogboeken voor service principals op te vragen, kun je de Microsoft Graph API gebruiken. Volg deze stappen om de benodigde gegevens op te halen:

1. Gebruik de Microsoft Graph API om de aanmeldingsactiviteit van service principals te rapporteren.

2. Voer de opdracht Get-MgServicePrincipal uit om de service principals in je tenant op te halen.

3. Maak een hashtabel van applicatie-id's en weergavenamen. Deze stap is belangrijk omdat aanmeldrecords geen appnamen bevatten.

4. Voer Get-MgBetaReportServicePrincipalSignInActivity uit om de aanmeldingsactiviteit te vinden van service principals waarvan de laatste aanmelding ouder is dan een jaar.

5. Maak een rapport over de service principals en exporteer de gegevens naar een CSV-bestand.

6. Genereer statistieken, zoals de tenants die apps bezitten en het totale aantal service principals.

Door deze stappen te volgen, kun je de aanmeldlogboeken van je service principals effectief opvragen en analyseren.

Aanmeldlogboeken analyseren

Het monitoren van aanmeldingsactiviteit is essentieel om ongeautoriseerde toegangspogingen te herkennen. Door zowel geslaagde als mislukte aanmeldingen te observeren, zie je ongebruikelijke patronen die kunnen wijzen op beveiligingsdreigingen. Deze proactieve monitoring helpt bij het aanpakken van potentiële risico's die samenhangen met gecompromitteerde inloggegevens, en versterkt zo de algehele beveiliging van je Microsoft 365-tenant.

Dit zijn enkele veelvoorkomende afwijkingen die je in de aanmeldlogboeken van service principals kunt tegenkomen:

• Ongebruikelijk applicatiegebruik, zoals sluimerende of vergeten applicaties die weer worden gebruikt.

• Onverwachte vertrouwensrelaties die zijn toegevoegd aan Azure AD.

• Wijzigingen in de referenties van service principals, inclusief wijzigingen in machtigingen.

Overweeg deze strategieën om aanmeldlogboeken effectief te analyseren:

1. Monitor de aanmeldingsactiviteit via het Microsoft Entra-beheercentrum om de aanmeldingen van service principals van de afgelopen 24 uur te bekijken.

2. Identificeer riskante service principals door de aanmeldlogboeken te analyseren op ongebruikelijke patronen.

3. Gebruik tools zoals Microsoft Entra en PowerShell voor een gedetailleerde analyse van de aanmeldlogboeken.

Door deze strategieën toe te passen, kun je je vermogen versterken om verdachte aanmeldingsactiviteit te detecteren en passende maatregelen te nemen om je omgeving te beveiligen.

Service principals effectief beheren

Best practices voor beheer

Om service principals effectief te beheren, moet je verschillende best practices volgen. Het implementeren van deze strategieën versterkt de beveiliging en stroomlijnt de werkzaamheden binnen je tenant:

• Principe van minimale rechten: Ken aan elke service principal alleen de noodzakelijke machtigingen toe. Dit beperkt de potentiële schade als een service principal wordt gecompromitteerd.

• Regelmatig credentials roteren: Roteer credentials regelmatig en automatiseer dit proces waar mogelijk. Zo verklein je het risico dat verouderde of gecompromitteerde credentials worden gebruikt.

• Activiteit monitoren: Houd de activiteit van service principals in de gaten op verdacht gedrag. Zo ontdek je ongeautoriseerde toegangspogingen vroegtijdig.

• Sterke authenticatie: Gebruik sterke authenticatiemethoden, zoals multifactorauthenticatie (MFA). Dit voegt een extra beveiligingslaag toe.

• Credentials veilig opslaan: Sla de credentials van service principals veilig op en beheer ze met een oplossing voor geheimenbeheer. Sla credentials niet op in code of configuratiebestanden.

• Documentatie: Documenteer het doel en de machtigingen van elke service principal. Dit helpt om hun rol binnen je tenant te begrijpen.

• Governancebeleid: Stel duidelijk governancebeleid op voor het beheer van service principals. Controleer machtigingen regelmatig en audit ze om naleving te waarborgen.

Monitoring automatiseren

Het automatiseren van de monitoring van service principals kan je beveiligingspositie aanzienlijk versterken. Dit zijn enkele tools en strategieën om te overwegen:

• AdminDroid: Deze tool biedt een functie voor het monitoren van aanmeldingsactiviteit. Hiermee volg je de aanmeldpatronen van service principals en krijg je gedetailleerde rapportages over gebruik en toegangstrends.

• Rapport over wijzigingen in service principals: AdminDroid biedt ook een rapport dat wijzigingen in service principals bijhoudt. Dit rapport toont toevoegingen, updates en verwijderingen, samen met aanmeldactiviteiten zoals tijdstip, applicatienaam, status en locatie.

Door monitoring te automatiseren, krijg je verschillende voordelen:

Met deze praktijken en tools beheer je service principals effectief en houd je een veilige omgeving in je Microsoft 365-tenant.

Kortom, het analyseren van het gebruik van service principals is essentieel voor de beveiliging van je Microsoft 365-tenant. Monitor regelmatig de aanmeldactiviteit, beheer machtigingen en volg best practices. Dit zijn enkele belangrijke punten om het beheer van je service principals te verbeteren:

Door deze strategieën toe te passen, versterk je je beveiligingspositie en zorg je voor een effectief beheer van service principals in je organisatie.

Veelgestelde vragen

Wat is een service principal in Microsoft 365?

Een service principal fungeert als identiteit waarmee applicaties veilig toegang krijgen tot resources. Hiermee kunnen applicaties authenticeren zonder gebruikersreferenties nodig te hebben.

Hoe monitor ik de activiteit van service principals?

Je kunt de activiteit van service principals monitoren via de Microsoft Graph API of tools zoals AdminDroid. Deze tools geven inzicht in aanmeldpatronen en gebruikstrends.

Waarom is het belangrijk om het gebruik van service principals te analyseren?

Het analyseren van het gebruik van service principals helpt je beveiligingsrisico's te identificeren, machtigingen te beheren en naleving te waarborgen. Het versterkt je algehele beveiligingspositie.

Welke machtigingen heb ik nodig om service principals te analyseren?

Je hebt de AuditLog.Read.All-machtiging nodig om de activiteit van service principals in Microsoft Entra en Microsoft 365 te analyseren. Met deze machtiging krijg je toegang tot de logboeken die je daarvoor nodig hebt.

Hoe kan ik het monitoren van service principals automatiseren?

Je kunt het monitoren automatiseren met tools zoals AdminDroid. Deze tools kunnen rapporten genereren over aanmeldactiviteit en wijzigingen in service principals, zodat je beheertaken eenvoudiger worden.

microsoft entra id-toepassingsobjecten en een service principal maken

Wat is een service principal en hoe verhoudt die zich tot toepassingsobjecten in Microsoft Entra ID?

Een service principal is de beveiligingsprincipal die een toepassing of service vertegenwoordigt in je Microsoft Entra-tenant. Die koppelt aan een toepassingsobject (de globale definitie). De service principal is de instantie die in je tenant wordt aangemaakt wanneer je een toepassing registreert of er toestemming voor geeft. De toepassings-id en de client-id koppelen de twee aan elkaar. Wanneer een service principal is aangemaakt, zie je in Microsoft Entra zowel toepassingsobjecten als service principal-objecten.

Hoe maak ik een service principal aan in mijn Microsoft 365-tenant?

Je kunt de service principal aanmaken door een app-registratie te maken in het Microsoft Entra-beheercentrum, of via de Azure CLI of de Microsoft Graph PowerShell SDK. De gebruikelijke stappen zijn: het toepassingsobject aanmaken, vervolgens de service principal aanmaken in je eigen tenant of in een tenant die eigenaar is, machtigingen toekennen en credentials genereren (clientgeheim of certificaat). Voor geautomatiseerde scripts gebruik je de az ad sp create-for-rbac-opdracht van de Azure CLI of de Microsoft Graph PowerShell SDK om de service principal aan te maken.

Waar vind ik de details van een service principal en hoe analyseer ik de aanmeldactiviteit ervan?

De details van een service principal vind je in het Microsoft Entra-beheercentrum, onder Bedrijfstoepassingen of app-registraties, afhankelijk van het type. Je kunt eigenschappen bekijken zoals de naam van de service principal, de toepassings-id, de tenant-id en de toegewezen rollen. Om de aanmeldactiviteit van een service principal te analyseren, gebruik je de aanmeldingslogboeken in Microsoft Entra of raadpleeg je de aanmeldrapporten via Microsoft Graph. Zo bekijk je de authenticatiegebeurtenissen, de gebeurtenissen rond het aanmaken van service principals en de aanmeldtelemetrie.

Welke invloed hebben toegangsbeleid en authenticatie-instellingen op een nieuwe service principal?

Toegangsbeleid en authenticatie-instellingen bepalen tot welke resources een service principal toegang heeft en hoe hij zich authenticeert. Configureer toepassings- en service principal-objecten volgens het principe van minimale rechten, wijs resourcerollen toe en gebruik voorwaardelijke toegang en toegangsbeleid in het Microsoft Entra-beheercentrum. Kies authenticatiemethoden (clientgeheim, certificaat of beheerde identiteit) die passen bij de beveiligingsupdates en best practices, zodat het risico zo klein mogelijk blijft.

Kunnen Microsoft-apps van de eerste partij of Microsoft-services service principals aanmaken in mijn tenant?

Ja. Microsoft-apps van de eerste partij en Microsoft-services maken vaak service principal-objecten aan in Microsoft Entra ID wanneer ze in je tenant worden gebruikt. Die kunnen verschijnen als Entra-apps of Microsoft-apps van de eerste partij. Sommige Microsoft-services maken tijdens de onboarding automatisch service principals aan. Je kunt die bekijken en beheren in het Microsoft Entra-beheercentrum, en waar ondersteund kun je just-in-time-geschiktheid toepassen.

Hoe beheer ik machtigingen en principal-objecten in Microsoft Entra om risico's te verkleinen?

Controleer regelmatig wie service principals aanmaakt, bekijk welke machtigingen aan service principal-objecten in Microsoft Entra ID zijn toegekend en haal overbodige rechten weg. Gebruik roltoewijzingen en waar passend toepassingsmachtigingen in plaats van gedelegeerde machtigingen. Pas voorwaardelijke toegang en just-in-time-toewijzing toe of maak de service principal geschikt voor just-in-time-toegang, en roteer credentials regelmatig. Voor voorschriftelijk beveiligingsadvies en technische ondersteuning kun je Microsoft Learn en aanvullende bronnen raadplegen.

Welke tools kan ik gebruiken om het inspecteren en aanmaken van service principals te automatiseren (PowerShell, Azure CLI)?

Je kunt de Microsoft Graph PowerShell SDK, de Azure CLI of de Microsoft Graph-API's gebruiken om het aanmaken en inspecteren van service principals te automatiseren. Met opdrachten zoals az ad sp create-for-rbac en de equivalenten in de Microsoft Graph PowerShell SDK maak je de service principal aan en krijg je de client-id, toepassings-id en tenant-id terug. Scripts kunnen service principal-objecten in Microsoft Entra ook opsommen en aanmeld- of machtigingsgegevens verzamelen voor rapportage.

Hoe weet ik of een service principal is aangemaakt door een clienttoepassing of door een Microsoft-account?

Controleer de details van de service principal in het Microsoft Entra-beheercentrum of vraag ze op via Microsoft Graph. Kijk naar eigenschappen zoals app-eigenaar, uitgever en het type van de oorspronkelijke toepassing. Service principals die door een clienttoepassing zijn aangemaakt, verwijzen naar een application-id/client-id en tonen vaak de principal die ze heeft aangemaakt en het tijdstip van aanmaken. Microsoft-service principals die zijn aangemaakt voor Microsoft-services of first-party-apps van Microsoft bevatten doorgaans een uitgever of bekende Microsoft-identificaties.

Waar vind ik aanvullende bronnen en richtlijnen voor Office 365 for IT Pros en best practices voor service principals?

Gebruik Microsoft Learn, de documentatie van het Microsoft Entra-beheercentrum, de handleidingen van het Microsoft identity platform en artikelen die zijn gericht op Office 365 for IT Pros. Aanvullende bronnen zijn onder andere de Microsoft Graph-documentatie, de referenties voor Azure CLI en de Microsoft Graph PowerShell SDK, en beveiligingsupdates die Microsoft publiceert. Voor complexe scenario's neem je contact op met technische ondersteuning of raadpleeg je de Microsoft Learn-labs over applicatie- en service principal-objecten die in je tenant zijn aangemaakt.