Op rollen gebaseerd toegangsbeheer (RBAC) met Microsoft Intune

Het beveiligen van de toegang tot uw organisatie is een essentiële beveiligingsstap. In dit artikel worden basisprincipes geïntroduceerd voor het gebruik van rolgebaseerde toegangscontroles (RBAC) van Microsoft Intune. Dit is een uitbreiding van de RBAC-besturingselementen van Microsoft Entra ID. In de volgende artikelen kunt u Intune RBAC in uw organisatie implementeren.

Met Intune RBAC kunt u gedetailleerde machtigingen verlenen aan uw beheerders om te bepalen wie toegang heeft tot de resources van uw organisatie en wat ze met deze resources kunnen doen. Wanneer u rollen voor Rollenbeheer van Intune toewijst en de principes van toegang met de minste bevoegdheid volgt, kunnen uw beheerders de aan hen toegewezen taken alleen uitvoeren voor die gebruikers en apparaten die ze mogen beheren.

RBAC-rollen

Elke Intune RBAC-rol specificeert een set machtigingen die beschikbaar zijn voor gebruikers die aan die rol zijn toegewezen. Machtigingen bestaan uit een of meer beheercategorieën, zoals Apparaatconfiguratie of Controlegegevens, en sets met acties die kunnen worden uitgevoerd, zoals Lezen, Schrijven, Bijwerken en Verwijderen. Samen definiëren ze het bereik van beheerderstoegang en machtigingen in Intune.

Intune bevat ingebouwde en aangepaste rollen. Ingebouwde rollen zijn hetzelfde in alle tenants en zijn bedoeld voor algemene beheerscenario's, terwijl aangepaste rollen die u maakt specifieke machtigingen toestaan die een beheerder nodig heeft. Daarnaast bevatten verschillende Microsoft Entra-rollen machtigingen binnen Intune.

Als u een rol wilt bekijken in het Intune-beheercentrum, gaat u naar Tenantbeheerrollen>>Alle rollen> en selecteert u een rol. U kunt die rol vervolgens beheren via de volgende pagina's:

• Eigenschappen: de naam, beschrijving, machtigingen en bereiklabels voor de rol. U kunt ook de naam, beschrijving en machtigingen van ingebouwde rollen bekijken in deze documentatie op Ingebouwde rolmachtigingen.
• Opdrachten: selecteer een toewijzing voor een rol om details ervan weer te geven, waaronder de groepen en bereiken die de toewijzing bevat. Een rol kan meerdere toewijzingen hebben en een gebruiker kan meerdere toewijzingen ontvangen.

Ingebouwde rollen

Een Intune beheerder met voldoende machtigingen kan een van de Intune rollen toewijzen aan groepen gebruikers. Ingebouwde rollen verlenen specifieke machtigingen die nodig zijn voor het uitvoeren van beheertaken die aansluiten bij het doel van de rol. Intune biedt geen ondersteuning voor het bewerken van de beschrijving, het type of de machtigingen van een ingebouwde rol.

• Toepassingsbeheer: beheert mobiele en beheerde applicaties, kan apparaatinformatie lezen en kan apparaatconfiguratieprofielen bekijken.
• Endpoint Privilege Manager: beheert beleidsregels voor Endpoint Privilege Management in de Intune-console.
• Endpoint Privilege Reader: Endpoint Privilege Lezers kunnen beleidsregels voor Endpoint Privilege Management in de Intune-console weergeven.
• Endpoint Security Manager: beheert beveiligings- en nalevingsfuncties, zoals beveiligingsbasislijnen, apparaatnaleving, voorwaardelijke toegang en Microsoft Defender voor Eindpunt.
• Helpdeskmedewerker: voert externe taken uit op gebruikers en apparaten, en kan toepassingen of beleid toewijzen aan gebruikers of apparaten.
• Intune Rolbeheerder: Beheert aangepaste Intune rollen en voegt toewijzingen toe voor ingebouwde Intune rollen. Het is de enige Intune-rol die machtigingen kan toewijzen aan beheerders.
• Beleids- en profielbeheer: Beheert nalevingsbeleid, configuratieprofielen, Apple-inschrijving, bedrijfsapparaat-ID's en beveiligingsbasislijnen.
• Alleen-lezen operator: bekijkt gebruikers-, apparaat-, inschrijvings-, configuratie- en toepassingsgegevens. Kan geen wijzigingen aanbrengen in Intune.
• Schoolbeheerder: Schoolbeheerders beheren apps, instellingen en apparaten voor hun groepen in Intune for Education. Ze kunnen externe acties uitvoeren op apparaten, zoals ze op afstand vergrendelen, opnieuw opstarten en ze terugtrekken uit beheer.

Wanneer uw tenant een abonnement op Windows 365 ter ondersteuning van cloud-pc's bevat, ziet u ook de volgende cloud-pc-rollen in het Intune-beheercentrum. Deze rollen zijn niet standaard beschikbaar en omvatten machtigingen binnen Intune voor taken die betrekking hebben op cloud-pc's. Zie ingebouwde cloud-pc-rollen in de documentatie van Windows 365 voor meer informatie over deze rollen.

• Cloud-pc-beheerder: een cloud-pc-beheerder heeft lees - en schrijftoegang tot alle cloud-pc-functies binnen het cloud-pc-gebied.
• Cloud-pc-lezer: een cloud-pc-lezer heeft leestoegang tot alle cloud-pc-functies die zich binnen het cloud-pc-gebied bevinden.

Aangepaste rollen

U kunt uw eigen aangepaste Intune rollen maken om beheerders alleen de specifieke machtigingen te verlenen die nodig zijn voor hun taken. Deze aangepaste rollen kunnen elk Intune RBAC-machtiging bevatten, waardoor verfijnde beheerderstoegang en ondersteuning voor het principe van toegang met de minste bevoegdheid binnen de organisatie mogelijk is.

Zie Een aangepaste rol maken.

Microsoft Entra-rollen met toegang tot Intune

Intune RBAC-machtigingen zijn een subset van Microsoft Entra RBAC-machtigingen. Er zijn een aantal Microsoft Entra-rollen die machtigingen in Intune bevatten. De meeste Entra-id-rollen die toegang hebben tot Intune worden beschouwd als bevoorrechte rollen. Het gebruik en de toewijzing van bevoorrechte rollen moeten worden beperkt en mogen niet worden gebruikt voor dagelijkse administratieve taken in Intune.

Microsoft raadt aan om het principe van de minste machtigingen te volgen door alleen de minimaal vereiste machtigingen toe te wijzen aan beheerders om hun taken uit te voeren. Ter ondersteuning van dit principe gebruikt u de ingebouwde RBAC-rollen van Intune voor dagelijkse Intune beheertaken en vermijdt u het gebruik van Microsoft Entra rollen die toegang hebben tot Intune.

In de volgende tabel vindt u de Microsoft Entra-rollen die toegang hebben tot Intune en de Intune-machtigingen die ze bevatten.

Microsoft Entra-rol	Alle Intune gegevens	Intune controlegegevens
Globale beheerder	Lezen/schrijven	Lezen/schrijven
Intune-beheerder	Lezen/schrijven	Lezen/schrijven
Beheerder van voorwaardelijke toegang	Geen	Geen
Beveiligingsbeheerder	Alleen-lezen (volledige beheerdersmachtigingen voor het knooppunt Endpoint Security)	Alleen-lezen
Beveiligingsoperator	Alleen-lezen	Alleen-lezen
Beveiligingslezer	Alleen-lezen	Alleen-lezen
Beheerder voor naleving	Geen	Alleen-lezen
Beheerder van nalevingsgegevens	Geen	Alleen-lezen
Globale lezer	Alleen-lezen	Alleen-lezen
Helpdeskbeheerder (deze rol komt overeen met de rol van Intune-helpdeskmedewerker)	Alleen-lezen	Alleen-lezen
Rapportenlezer	Geen	Alleen-lezen

Naast de Microsoft Entra-rollen met machtigingen in Intune, zijn de volgende drie gebieden van Intune directe uitbreidingen van Microsoft Entra: Gebruikers, groepen en voorwaardelijke toegang. Exemplaren van deze objecten en configuraties die vanuit Intune zijn gemaakt, zijn aanwezig in Microsoft Entra. Als Microsoft Entra-objecten kunnen ze worden beheerd door Microsoft Entra-beheerders met voldoende machtigingen die zijn verleend door een Microsoft Entra-rol. Op dezelfde manier kunnen Intune-beheerders met voldoende machtigingen voor Intune de objecttypen bekijken en beheren die zijn gemaakt in Microsoft Entra.

Rollen van globale beheerder en Intune beheerders

De rol Globale beheerder is een ingebouwde rol in Microsoft Entra en heeft volledige toegang tot Microsoft Intune. Globale beheerders hebben toegang tot beheerfuncties in Microsoft Entra ID en services die gebruikmaken van Microsoft Entra-identiteiten, waaronder Microsoft Intune.

Risico's beperken:

• Gebruik niet de rol van globale beheerder in Intune. Microsoft raadt niet aan om de rol van globale beheerder te gebruiken om Intune te beheren.

  Voor sommige functies in Intune is de rol van globale beheerder vereist, zoals sommige MTD-connectors (Mobile Threat Defense). Gebruik in dergelijke gevallen de rol van globale beheerder alleen als dat nodig is en verwijder deze wanneer de taak is voltooid.

• Gebruik de Intune ingebouwde rollen of maak aangepaste rollen om Intune te beheren en beheren.

• Wijs de Intune-rol met de minste machtigingen toe, die de beheerder nodig heeft om zijn taken uit te voeren.

Zie Ingebouwde rollen van Microsoft Entra - Globale beheerder voor meer informatie over de rol van globale beheerder van Microsoft Entra.

De rol Intune-beheerder is een ingebouwde rol in Microsoft Entra. Het verleent globale lees-/schrijfmachtigingen voor Microsoft Intune en is geclassificeerd als een bevoorrechte rol. Hoewel het bereik van het document beperkter is dan dat van de rol Globale beheerder, is nog steeds groter dan wat nodig is voor vrijwel alle dagelijkse beheertaken van Intune. Gebruik deze rol niet voor routinebeheer. Gebruik in plaats hiervan een ingebouwde Intune-rol met de minste machtigingen of een aangepaste rol.

Risico's beperken:

• Gebruik de rol van Intune-beheerder niet voor het dagelijkse beheer van Intune.
• Wijs in plaats hiervan een ingebouwde Intune rol of een aangepaste rol toe. Met deze rollen beperkt u de machtigingen tot alleen wat voor elke taak is vereist.
• Als de rol van Intune-beheerder is vereist, wijst u deze alleen toe voor de duur die nodig is en verwijdert u deze vervolgens. Als u een licentie voor Microsoft Entra ID met een P2- of Microsoft Entra Id-governance-licentie hebt, kunt u desgewenst PIM (Privileged Identity Management) gebruiken om tijdgebonden uitbreiding voor deze rol te bieden.

Verbeterde beveiligingscontroles:

Goedkeuring door meerdere Beheer ondersteunt nu toegangsbeheer op basis van rollen. Wanneer deze instelling is ingeschakeld, moet een tweede beheerder wijzigingen in rollen goedkeuren. Deze wijzigingen kunnen updates van rolmachtigingen, beheerdersgroepen of toewijzingen van ledengroepen omvatten. De wijziging wordt pas van kracht na de goedkeuring. Dit dubbele autorisatieproces helpt uw organisatie te beschermen tegen ongeautoriseerde of onbedoelde wijzigingen in het op rollen gebaseerde toegangsbeheer. Zie Multi Beheer Approval gebruiken in Intune voor meer informatie.

Zie Microsoft Entra ingebouwde rollen - Intune Beheerder voor meer informatie over de rol Microsoft Entra Intune Beheerder.

Privileged Identity Management voor Intune

Wanneer u Entra id Privileged Identity Management (PIM) gebruikt, kunt u bepalen wanneer een gebruiker de bevoegdheden kan gebruiken die worden verleend door een Intune RBAC-rol of de rol Intune Beheerder van Entra ID.

Intune ondersteunt twee methoden voor roluitbreiding. Er zijn verschillen tussen de prestaties en de minste bevoegdheden tussen de twee methoden.

• Methode 1: Maak een Just-In-Time-beleid (JIT) met Microsoft Entra Privileged Identity Management (PIM) voor de Microsoft Entra ingebouwde Intune beheerdersrol en wijs hieraan een beheerdersaccount toe.

• Methode 2: Gebruik Privileged Identity Management (PIM) voor groepen met een Intune RBAC-roltoewijzing. Zie voor meer informatie over het gebruik van PIM voor groepen met rollen van Intune RBAC: Just-in-time-beheerderstoegang voor Microsoft Intune configureren met PIM voor groepen in Microsoft Entra | Microsoft Community-hub

Wanneer je PIM-uitbreiding gebruikt voor de rol Intune-beheerder van Entra-id, vindt uitbreiding doorgaans binnen 10 seconden plaats. Verhoging op basis van PIM-groepen voor ingebouwde of aangepaste rollen van Intune duurt doorgaans maximaal 15 minuten.

Over Intune-roltoewijzingen

Zowel Intune aangepaste als ingebouwde rollen zijn toegewezen aan groepen gebruikers. Een toegewezen rol is van toepassing op elke gebruiker in de groep en definieert:

• welke gebruikers aan de rol worden toegewezen
• welke resources ze kunnen zien
• welke middelen ze kunnen wijzigen.

Elke groep waaraan een Intune-rol is toegewezen, mag alleen gebruikers bevatten die zijn geautoriseerd om de beheertaken voor die rol uit te voeren.

• Als een ingebouwde rol met de minste bevoegdheden buitensporige bevoegdheden of machtigingen verleent, kunt u overwegen een aangepaste rol te gebruiken om de omvang van de beheerderstoegang te beperken.
• Wanneer u een roltoewijzing plant, moet u rekening houden met de resultaten van een gebruiker met meerdere roltoewijzingen.

Als een gebruiker een Intune rol krijgt toegewezen en toegang heeft tot het beheren van Intune, is er geen Intune licentie nodig als het account is gemaakt in Entra na juni 2021. Voor accounts die vóór juni 2021 zijn gemaakt, moet een licentie worden toegewezen om Intune te gebruiken.

Als u een bestaande roltoewijzing wilt weergeven, kiest u Intune>Tenantbeheerrollen>>Alle rollen> kiezen een rol >Toewijzingen> kiezen een opdracht. Op de pagina Eigenschappen van opdrachten kunt u het volgende bewerken:

• Basisbeginselen: de naam en beschrijving van de opdracht.

• Leden: Leden zijn de groepen die worden geconfigureerd op de pagina Beheergroepen bij het maken van een roltoewijzing. Alle gebruikers in de vermelde Azure-beveiligingsgroepen zijn gemachtigd om de gebruikers en apparaten te beheren die worden vermeld in Bereik (groepen).

• Bereik (groepen): gebruik Bereik (groepen) om de groepen gebruikers en apparaten te definiëren die een beheerder met deze roltoewijzing kan beheren. Gebruikers met beheerdersrechten met deze roltoewijzing kunnen de door de rol verleende machtigingen gebruiken om elke gebruiker of elk apparaat binnen de gedefinieerde bereikgroepen van de roltoewijzingen te beheren.

  Tip

  Wanneer u een bereikgroep configureert, kunt u de toegang beperken door alleen de beveiligingsgroepen te selecteren die de gebruikers en apparaten omvatten die een beheerder met deze roltoewijzing zou moeten beheren. Als u ervoor wilt zorgen dat beheerders met deze rol zich niet op alle gebruikers of alle apparaten kunnen richten, selecteert u niet Alle gebruikers toevoegen of Alle apparaten toevoegen.

  Als u een uitsluitingsgroep opgeeft voor een toewijzing, zoals een beleids- of app-toewijzing, moet deze worden genest in een van de RBAC-toewijzingsbereikgroepen of afzonderlijk worden vermeld als een bereikgroep in de RBAC-roltoewijzing.

• Bereiktags: gebruikers met beheerdersrechten aan wie deze roltoewijzing is toegewezen, kunnen de resources zien die dezelfde bereiktags hebben.

Meerdere roltoewijzingen

Als een gebruiker meerdere roltoewijzingen, machtigingen en bereiktags heeft, zijn die roltoewijzingen als volgt uit te breiden naar verschillende objecten:

• Machtigingen zijn incrementeel in het geval dat twee of meer rollen machtigingen verlenen aan hetzelfde object. Een gebruiker met de machtiging Lezen/schrijven van de ene rol en de machtiging Lezen/schrijven van een andere rol heeft bijvoorbeeld de machtiging Lezen/schrijven (ervan uitgaande dat de toewijzingen voor beide rollen op dezelfde bereiktags zijn gericht).
• Machtigingen en bereiktags zijn alleen van toepassing op de objecten (zoals beleidsregels of apps) in het toewijzingsbereik (groepen) van die rol. Toewijzingsmachtigingen en bereiktags zijn niet van toepassing op objecten in andere roltoewijzingen, tenzij de andere toewijzing deze specifiek toekent.
• Andere machtigingen (zoals Maken, Lezen, Bijwerken en Verwijderen) en bereiklabels zijn van toepassing op alle objecten van hetzelfde type (zoals alle beleidsregels of alle apps) in de toewijzingen van de gebruiker.
• Machtigingen en bereiklabels voor objecten van verschillende typen (zoals beleid of apps) zijn niet op elkaar van toepassing. Een leesmachtiging voor een beleid biedt bijvoorbeeld geen machtiging Lezen aan apps in de toewijzingen van de gebruiker.
• Wanneer er geen bereiktags zijn of wanneer bepaalde bereiktags zijn toegewezen vanuit verschillende toewijzingen, kan een gebruiker alleen apparaten zien die deel uitmaken van bepaalde bereiktags en kan hij niet alle apparaten zien.

RBAC-toewijzingen bewaken

Het Intune beheercentrum bevat verschillende weergaven om u te helpen bij het bewaken en begrijpen van de machtigingen die zijn toegewezen aan uw Intune tenant. Ga naar Tenantbeheerrollen> en vouw Bewaken uit voor toegang tot deze weergaven. In een complexe beheeromgeving kunt u bijvoorbeeld de weergave Beheer machtigingen gebruiken om een account op te geven en het huidige bereik van beheerdersbevoegdheden te bekijken.

Mijn machtigingen

Het knooppunt Mijn machtigingen biedt een weergave van de effectieve machtigingen voor de aangemelde gebruiker. Wanneer u dit knooppunt selecteert, ziet u een gecombineerde lijst met de huidige categorieën en machtigingen voor Intune RBAC die aan uw account zijn verleend. Deze gecombineerde lijst bevat alle machtigingen van alle roltoewijzingen, maar niet de functies die ze bieden of door welk groepslidmaatschap ze zijn toegewezen.

Rollen op machtiging

Het knooppunt Rollen op machtiging biedt een weergave van de machtigingen die door elke roltoewijzing zijn verleend. Met deze weergave ziet u details over een specifieke Intune RBAC-machtiging en via welke roltoewijzingen en aan welke groepen die combinatie beschikbaar wordt gesteld.

Als u aan de slag wilt gaan, selecteert u een Intune machtiging en vervolgens een specifieke actie van die machtiging. In het beheercentrum wordt vervolgens een lijst weergegeven met instanties die leiden tot het toewijzen van die machtiging, waaronder:

• Weergavenaam rol: de naam van de ingebouwde of aangepaste RBAC-rol die de machtiging verleent.
• Weergavenaam roltoewijzing: de naam van de roltoewijzing die de rol toewijst aan groepen gebruikers.
• Groepsnaam: de naam van de groep die die roltoewijzing ontvangt.

Machtigingen voor Beheer

Het knooppunt voor Beheer-machtigingen biedt een weergave van de specifieke machtigingen die momenteel aan een account zijn verleend.

Geef eerst een gebruikersaccount op. Zolang de gebruiker Intune-machtigingen heeft toegewezen aan het account, geeft Intune de volledige lijst met machtigingen weer, aangeduid met Machtiging en Actie.

Volgende stappen

• Een rol toewijzen aan een gebruiker
• Een aangepaste rol maken