Overzicht van op rollen gebaseerd toegangsbeheer in Microsoft Entra-id

In dit artikel wordt beschreven hoe u op rollen gebaseerd toegangsbeheer van Microsoft Entra begrijpt. Met Microsoft Entra-rollen kunt u gedetailleerde machtigingen verlenen aan uw beheerders, afhankelijk van het principe van minimale bevoegdheden. Ingebouwde en aangepaste rollen van Microsoft Entra werken op concepten die vergelijkbaar zijn met die in het op rollen gebaseerde toegangsbeheersysteem voor Azure-resources (Azure-rollen). Het verschil tussen deze twee op rollen gebaseerde toegangscontrolesystemen is:

  • Microsoft Entra-rollen beheren de toegang tot Microsoft Entra-resources, zoals gebruikers, groepen en toepassingen met behulp van de Microsoft Graph API
  • Azure-rollen beheren de toegang tot Azure-resources, zoals virtuele machines of opslag met behulp van Azure Resource Management

Beide systemen bevatten op vergelijkbare wijze gebruikte roldefinities en roltoewijzingen. Machtigingen voor Microsoft Entra-rollen kunnen echter niet worden gebruikt in aangepaste Azure-rollen en omgekeerd.

Inzicht krijgen in op rollen gebaseerd toegangsbeheer van Microsoft Entra

Microsoft Entra ID ondersteunt twee typen roldefinities:

Ingebouwde rollen zijn kant-en-klare rollen met een vaste set rechten. Deze roldefinities kunnen niet worden gewijzigd. Er zijn veel ingebouwde rollen die door Microsoft Entra ID worden ondersteund en de lijst groeit. Om de randen af te ronden en te voldoen aan uw geavanceerde vereisten, ondersteunt Microsoft Entra ID ook aangepaste rollen. Het verlenen van machtigingen met aangepaste Microsoft Entra-rollen is een proces in twee stappen waarbij u een aangepaste roldefinitie maakt en deze vervolgens toewijst met behulp van een roltoewijzing. Een aangepaste roldefinitie is een verzameling machtigingen die u toevoegt vanuit een vooraf ingestelde lijst. Deze machtigingen zijn dezelfde machtigingen die worden gebruikt in de ingebouwde rollen.

Zodra u uw aangepaste roldefinitie hebt gemaakt (of een ingebouwde rol gebruikt), kunt u deze toewijzen aan een gebruiker door een roltoewijzing te maken. Een roltoewijzing verleent de gebruiker de machtigingen in een roldefinitie op een opgegeven bereik. Met dit proces in twee stappen kunt u één roldefinitie maken en deze vaak toewijzen aan verschillende bereiken. Een scope definieert de set van Microsoft Entra-resources waartoe het lid van de rol toegang heeft. Het meest voorkomende reikwijdte is organisatiebreed. Aan een aangepaste rol kan een organisatiebreed bereik worden toegewezen, wat betekent dat het lid van de rol de rolrechten heeft voor alle resources binnen de organisatie. Een aangepaste rol kan ook worden toegewezen op het niveau van een object. Een voorbeeld van een objectbereik is één toepassing. Dezelfde rol kan worden toegewezen aan één gebruiker voor alle toepassingen in de organisatie en vervolgens aan een andere gebruiker met alleen het bereik van de app Contoso Expense Reports.

Hoe Microsoft Entra ID bepaalt of een gebruiker toegang heeft tot een resource

Hieronder vindt u de stappen op hoog niveau die door Microsoft Entra ID worden gebruikt om te bepalen of u toegang hebt tot een beheerresource. Gebruik deze informatie om toegangsproblemen op te lossen.

  1. Een gebruiker (of service-principal) verkrijgt een token voor het Microsoft Graph-eindpunt.
  2. De gebruiker maakt een API-aanroep naar Microsoft Entra ID via Microsoft Graph met behulp van het uitgegeven token.
  3. Afhankelijk van de omstandigheden voert Microsoft Entra ID een van de volgende acties uit:
    • Evalueert de roltoewijzingen van de gebruiker op basis van de wids claim in het toegangstoken van de gebruiker.
    • Hiermee haalt u alle roltoewijzingen op die van toepassing zijn op de gebruiker, rechtstreeks of via groepslidmaatschap, op de resource waarvoor de actie wordt uitgevoerd.
  4. Microsoft Entra-id bepaalt of de actie in de API-aanroep is opgenomen in de rollen die de gebruiker voor deze resource heeft.
  5. Als de gebruiker geen rol heeft met de actie op het aangevraagde bereik, wordt geen toegang verleend. In dat geval wordt toegang verleend.

Roltoewijzing

Een roltoewijzing is een Microsoft Entra-resource die een roldefinitie koppelt aan een beveiligingsprincipaal op een bepaald bereik om toegang te verlenen tot Microsoft Entra-resources. Toegang wordt verleend door een roltoewijzing te maken en de toegang wordt ingetrokken door een roltoewijzing te verwijderen. In de kern bestaat een roltoewijzing uit drie elementen:

  • Beveiligingsprincipaal: een identiteit die de machtigingen krijgt. Dit kan een gebruiker, groep of service-principal zijn.
  • Roldefinitie: een verzameling machtigingen.
  • Bereik: een manier om te beperken waar deze machtigingen van toepassing zijn.

U kunt roltoewijzingen maken en de roltoewijzingen weergeven met behulp van het Microsoft Entra-beheercentrum, Microsoft Graph PowerShellof Microsoft Graph API. Azure CLI wordt niet ondersteund voor roltoewijzingen via Microsoft Entra.

In het volgende diagram ziet u een voorbeeld van een roltoewijzing. In dit voorbeeld is aan Chris de aangepaste rol van App-registratiebeheerder toegewezen binnen het bereik van de app-registratie van Contoso Widget Builder. De toewijzing verleent Chris de machtigingen van de rol App-registratiebeheerder voor alleen deze specifieke app-registratie.

Diagram van een roltoewijzing die uit drie delen bestaat.

Beveiligingsprincipaal

Een beveiligingsprincipaal vertegenwoordigt een gebruiker, groep of service-principal die toegang heeft tot Microsoft Entra-resources. Een gebruiker is een persoon die een gebruikersprofiel heeft in Microsoft Entra ID. Een groep is een nieuwe Microsoft 365- of beveiligingsgroep die is ingesteld als een roltoewijzingsgroep. Een service-principal is een identiteit die is gemaakt voor gebruik met toepassingen, gehoste services en geautomatiseerde hulpprogramma's voor toegang tot Microsoft Entra-resources.

Roldefinitie

Een roldefinitie of rol is een verzameling machtigingen. Een roldefinitie bevat de bewerkingen die kunnen worden uitgevoerd op Microsoft Entra-resources, zoals maken, lezen, bijwerken en verwijderen. Er zijn twee typen rollen in Microsoft Entra-id:

  • Ingebouwde rollen die zijn gemaakt door Microsoft die niet kunnen worden gewijzigd.
  • Aangepaste rollen die zijn gemaakt en beheerd door uw organisatie.

Draagwijdte

Een bereik is een manier om de toegestane acties te beperken tot een bepaalde set van middelen als onderdeel van een roltoewijzing. Als u bijvoorbeeld een aangepaste rol wilt toewijzen aan een ontwikkelaar, maar alleen voor het beheren van een specifieke toepassingsregistratie, kunt u de specifieke toepassingsregistratie opnemen als een bereik in de roltoewijzing.

Wanneer u een rol toewijst, geeft u een van de volgende typen bereik op:

Als u een Microsoft Entra-resource opgeeft als scope, kan dit een van de volgende zijn:

  • Microsoft Entra-groepen
  • Bedrijfstoepassingen
  • Applicatieregistraties

Wanneer een rol over een containerbereik wordt toegewezen, zoals een tenant of een beheereenheid, verleent dit machtigingen over de objecten die zij bevatten, maar niet op de container zelf. Integendeel, wanneer een rol wordt toegewezen binnen een resourcescope, verleent het machtigingen over de resource zelf, maar deze reiken niet verder (met name niet tot de leden van een Microsoft Entra groep).

Zie Microsoft Entra-rollen toewijzenvoor meer informatie.

Opties voor roltoewijzing

Microsoft Entra ID biedt meerdere opties voor het toewijzen van rollen:

  • U kunt rollen rechtstreeks toewijzen aan gebruikers. Dit is de standaard manier om rollen toe te wijzen. Zowel ingebouwde als aangepaste Microsoft Entra-rollen kunnen worden toegewezen aan gebruikers, op basis van toegangsvereisten. Zie Microsoft Entra-rollen toewijzenvoor meer informatie.
  • Met Microsoft Entra ID P1 kunt u rollentoewijzingsgroepen maken en rollen toewijzen aan deze groepen. Als u rollen toewijst aan een groep in plaats van personen, kunt u gebruikers eenvoudig toevoegen aan of verwijderen uit een rol en consistente machtigingen maken voor alle leden van de groep. Zie Microsoft Entra-rollen toewijzenvoor meer informatie.
  • Met Microsoft Entra ID P2 kunt u Microsoft Entra Privileged Identity Management (Microsoft Entra PIM) gebruiken om Just-In-Time toegang te bieden tot rollen. Met deze functie kunt u tijdgebonden toegang verlenen aan gebruikers die deze functie nodig hebben, in plaats van permanente toegang te verlenen. Het biedt ook gedetailleerde rapportage- en controlemogelijkheden. Zie Microsoft Entra-rollen toewijzen in Privileged Identity Managementvoor meer informatie.

Begrijpen wie toegang heeft tot wat

Het vermelden van roltoewijzingen is een onderdeel van het beantwoorden van de bredere vraag: 'Wie heeft toegang tot wat in mijn organisatie?' Microsoft Entra ID biedt verschillende hulpprogramma's die u, wanneer u samen gebruikt, inzicht geeft in de toegang in uw tenant.

  • Roltoewijzingen. Gebruik de procedures in Lijst Microsoft Entra roltoewijzingen om weer te geven wie Microsoft Entra rollen bevat binnen het bereik van de tenant, toepassing of beheereenheid. U kunt roltoewijzingen downloaden als een CSV-bestand voor offline-analyse, of deze programmatisch opvragen met de List unifiedRoleAssignments Microsoft Graph API.
  • App-roltoewijzingen en toestemmingstoekenningen. Gebruik Gebruikers en groepen toewijzen aan een toepassing om te zien welke gebruikers en groepen toegang hebben tot een bepaalde bedrijfstoepassing. Gebruik Machtigingen controleren die zijn verleend aan toepassingen om de gedelegeerde machtigingen en toepassingsmachtigingen te controleren waarvoor gebruikers of beheerders toestemming hebben gegeven.
  • Aangepaste beveiligingskenmerken. Gebruik aangepaste beveiligingskenmerken om gebruikers en service-principals te taggen met bedrijfsspecifieke kenmerken die u definieert voor uw tenant. Vervolgens kunt u de map filteren en opvragen op kenmerk om een weergave van het bedrijfskenmerk te maken van toegang die een aanvulling vormt op query's op basis van rollen.
  • Toegangsbeoordelingen. Gebruik toegangsbeoordelingen om periodiek te controleren of gebruikers hun huidige groepslidmaatschappen en toewijzingen aan bedrijfstoepassingen nog steeds nodig hebben. Gebruik Privileged Identity Management (PIM)-toegangscontroles om gebruikers en service-principals te beoordelen die zijn toegewezen aan Microsoft Entra- of Azure-resourcerollen. Revisoren keuren continue toegang voor elke gebruiker goed of weigeren. Voor toegangsbeoordelingen is Microsoft Entra Id-governance of Microsoft Entra Suite vereist. Sommige mogelijkheden werken met Microsoft Entra ID P2. Zie Licentievereisten voor meer informatie. Voor het controleren van service-principals via PIM is bovendien Microsoft Entra Workload-id Premium vereist.
  • Rechtenbeheer. Gebruik rechtenbeheer om te zien welke gebruikers toegang hebben gekregen via toegangspakketten. Toegangspakketten zijn ingedeeld in catalogi. Dit zijn containers met gerelateerde resources en toegangspakketten die u kunt gebruiken om toegang te delegeren en te beheren. Machtigingsbeheer vereist Microsoft Entra Id-governance of Microsoft Entra Suite; sommige mogelijkheden zijn beschikbaar met Microsoft Entra ID P2. Zie Licentievereisten voor meer informatie.
  • Aanmeldings- en auditlogboeken. Gebruik aanmeldingslogboeken om te zien wie actief toegang heeft gehad tot resources en onder welke omstandigheden. Gebruik auditlogboeken om wijzigingen in roltoewijzingen, groepslidmaatschappen en andere mapobjecten in de loop van de tijd bij te houden. Auditlogboeken registreren configuratiewijzigingen, terwijl aanmeldingslogboeken aanmeldingsgebeurtenissen registreren, samen helpen ze u onderscheid te maken tussen verleende toegang en uitgeoefende toegang. Zie Microsoft Graph activiteitenlogboeken voor uitgebreidere tracering van Microsoft Graph API-aanroepen.

Tip

Voor grote tenants streamt u logboeken naar een Log Analytics werkruimte zodat u toegangspatronen kunt opvragen en analyseren voor duizenden gebruikers en rollen.

Toegang voor workloadidentiteiten beheren

Een volledige autorisatiestrategie op schaal moet betrekking hebben op workloadidentiteiten ( toepassingen, service-principals en beheerde identiteiten), niet alleen voor gebruikers. Microsoft Entra ondersteunt verschillende methoden voor het tot stand brengen van computeridentiteiten, die elk geschikt zijn voor een ander scenario:

  • App-registratie. Registreer een toepassingsobject om een service-principal te maken die wordt geverifieerd met een clientgeheim, certificaat of federatieve referentie. Gebruiken voor traditionele toepassingen en platformintegraties.
  • Beheerde identiteiten Gebruik door het systeem toegewezen of door de gebruiker toegewezen beheerde identiteiten voor workloads die worden uitgevoerd in Azure. Azure beheert de referenties voor u, zodat er geen geheimen worden opgeslagen in code of configuratie.
  • Workloadidentiteitsfederatie. Configureer een vertrouwensrelatie tussen Microsoft Entra en een externe identiteitsprovider, zodat workloads buiten Azure — of workloads in Azure die zich verifiëren als app-registraties — toegang kunnen krijgen tot door Microsoft Entra beveiligde resources zonder geheimen op te slaan.
  • Flexibele gefedereerde identiteitsgegevens (preview). Breid het geheimloze patroon voor app-registraties uit naar scenario's waarvoor jokertekens of claims zijn vereist die overeenkomen met tokens die zijn uitgegeven door GitHub, GitLab of Terraform Cloud.

Beheer deze identiteiten op schaal met dezelfde gelaagde besturingselementen die u op gebruikers toepast:

  • Pas Voorwaardelijke toegang voor workloadidentiteiten toe om te beperken waar en wanneer een service-principal zich kan authenticeren. Deze mogelijkheid vereist Workload Identities Premium-licenties en is alleen van toepassing op service-principals met één tenant die zijn geregistreerd in uw tenant: beheerde identiteiten en multitenant- of SaaS-apps van derden vallen niet binnen het bereik.
  • Voer toegangsbeoordelingen van groepen en applicaties uit om te bevestigen dat gebruikers die aan deze resources zijn toegewezen nog steeds toegang nodig hebben, en gebruik PIM-toegangsbeoordelingen om service-principals te beoordelen die zijn toegewezen aan Microsoft Entra- en Azure-resourcerollen. Voor beoordelingen van groepen en toepassingen is Microsoft Entra Id-governance of Microsoft Entra Suite vereist (sommige mogelijkheden zijn beschikbaar met Microsoft Entra ID P2). Zie Licentievereisten voor meer informatie. Voor beoordelingen van service-principals is bovendien Microsoft Entra Workload-id Premium vereist.
  • Tag service-principals voor uw geregistreerde applicaties met aangepaste beveiligingskenmerken, zodat u een filterbare inventaris kunt opbouwen en Azure ABAC-beslissingen kunt aansturen op basis van bedrijfskenmerken.
  • Schakel eigenschapsvergrendeling van het app-exemplaar in voor apps met meerdere tenants om onbevoegde wijziging van gevoelige eigenschappen op de service-principal te voorkomen nadat de app in een andere tenant is ingericht.

Licentievereisten

Het gebruik van ingebouwde rollen in Microsoft Entra ID is gratis. Voor het gebruik van aangepaste rollen is een Microsoft Entra ID P1-licentie vereist voor elke gebruiker met een aangepaste roltoewijzing. Zie Algemeen beschikbare functies van de gratis en Premium-edities vergelijkenom de juiste licentie voor uw vereisten te vinden.

Volgende stappen

  • Last updated on