Hoe configureer je conditional access in Microsoft Entra ID?

Conditional access in Microsoft Entra ID configureer je door in het Microsoft Entra-beheercentrum een nieuw beleid aan te maken, gebruikers en apps te selecteren, voorwaarden in te stellen en toegangscontroles te definiëren. Dit proces is beschikbaar voor organisaties met een Microsoft Entra ID P1- of P2-licentie. In dit artikel beantwoorden we de meest gestelde vragen over het instellen, testen en beheren van conditional access-beleid.

Welke vereisten heb je nodig voor conditional access in Entra ID?

Voor conditional access in Microsoft Entra ID heb je minimaal een Microsoft Entra ID P1-licentie nodig. Zonder deze licentie is de functionaliteit niet beschikbaar. Daarnaast moet je beschikken over de rol van Beheerder voor voorwaardelijke toegang, Beveiligingsbeheerder of Globale beheerder binnen de tenant.

Naast de licentievereisten zijn er enkele praktische voorwaarden waaraan je omgeving moet voldoen:

• Een actieve Microsoft Entra ID-tenant (voorheen Azure Active Directory)
• Gebruikersaccounts die zijn gesynchroniseerd of direct aangemaakt in Entra ID
• Multifactorauthenticatie (MFA) geconfigureerd als je dit wilt afdwingen via conditional access
• Toegang tot het Microsoft Entra-beheercentrum via entra.microsoft.com

Voor organisaties die apparaatcompliantie willen meenemen als voorwaarde, is Microsoft Intune een aanvullende vereiste. Entra ID P2 biedt bovendien toegang tot risicogebaseerde beleidsregels via Identity Protection, wat een extra beveiligingslaag toevoegt. Bekijk ons trainingsaanbod als je je kennis van de Microsoft-omgeving wilt verdiepen.

Hoe maak je een conditional access-beleid aan in Microsoft Entra ID?

Je maakt een conditional access-beleid aan door in het Microsoft Entra-beheercentrum te navigeren naar Beveiliging > Voorwaardelijke toegang > Nieuw beleid. Vervolgens geef je het beleid een naam, selecteer je de doelgebruikers en apps, stel je de gewenste voorwaarden in en definieer je de toegangscontroles.

De stappen op een rij:

1. Ga naar entra.microsoft.com en log in met een beheerdersaccount
2. Navigeer naar Beveiliging > Voorwaardelijke toegang
3. Klik op Nieuw beleid en geef het beleid een herkenbare naam
4. Selecteer de gebruikers of groepen waarop het beleid van toepassing is
5. Kies de cloud-apps of acties die je wilt beveiligen
6. Stel aanvullende voorwaarden in, zoals locatie, apparaatplatform of aanmeldingsrisico
7. Definieer de toegangscontroles: toegang verlenen, blokkeren of aanvullende verificatie vereisen
8. Stel het beleid eerst in op Alleen rapporteren om de impact te testen voordat je het activeert

Het is sterk aan te raden om nooit direct met de status “Aan” te beginnen. De modus “Alleen rapporteren” geeft je inzicht in welke gebruikers en aanmeldingen door het beleid worden geraakt, zonder dat je ze daadwerkelijk blokkeert of beperkt.

Welke gebruikers en groepen kun je opnemen in een conditional access-beleid?

In een conditional access-beleid kun je individuele gebruikers, beveiligingsgroepen, alle gebruikers in de tenant, gasten en externe gebruikers opnemen of uitsluiten. Je kunt ook specifieke directory-rollen selecteren, zoals Globale beheerder, om beheerdersaccounts extra te beveiligen.

De toewijzingsopties voor gebruikers en groepen zijn:

• Alle gebruikers: het beleid geldt voor iedereen in de tenant, inclusief gasten
• Specifieke gebruikers en groepen: je selecteert handmatig welke accounts of groepen worden meegenomen
• Directory-rollen: handig om beleidsregels te richten op beheerdersrollen
• Gasten en externe gebruikers: aparte categorie voor B2B-samenwerking en externe toegang

Naast opnemen kun je ook uitzonderingen definiëren. Zo sluit je noodtoegangsaccounts (break-glass accounts) standaard uit van alle beleidsregels. Dit voorkomt dat je jezelf buitensluit bij een configuratiefout. Het is een best practice om altijd minimaal twee noodtoegangsaccounts beschikbaar te houden die zijn uitgesloten van conditional access-beleid.

Welke apps en resources kun je beveiligen met conditional access?

Met conditional access kun je vrijwel alle cloud-apps beveiligen die zijn gekoppeld aan Microsoft Entra ID, waaronder Microsoft 365-apps, Azure-beheerportals, SaaS-applicaties van derden en zelf ontwikkelde apps die zijn geregistreerd in Entra ID. Je kunt ook specifieke gebruikersacties beveiligen, zoals het registreren van beveiligingsinformatie.

De selectieopties voor apps en resources zijn:

• Alle cloud-apps: het beleid geldt voor elke app die gebruikmaakt van Entra ID voor authenticatie
• Geselecteerde apps: je kiest specifieke applicaties, zoals Exchange Online, SharePoint of een eigen app
• Gebruikersacties: je beveiligt specifieke handelingen zoals het registreren of wijzigen van MFA-methoden
• Verificatiecontext: voor geavanceerde scenario’s waarbij apps extra verificatie kunnen aanvragen bij gevoelige acties

Een veelgebruikte aanpak is het aanmaken van een apart beleid voor Microsoft Azure-beheerportals. Beheerders die inloggen op de Azure-portal worden dan altijd verplicht MFA te gebruiken, ongeacht hun locatie of apparaat. Dit beperkt het risico bij gecompromitteerde beheerdersaccounts aanzienlijk.

Welke toegangscontroles en voorwaarden kun je instellen in een beleid?

In een conditional access-beleid stel je voorwaarden in die bepalen wanneer het beleid actief wordt, en toegangscontroles die bepalen wat er dan gebeurt. Voorwaarden omvatten onder andere locatie, apparaatplatform, apparaatcompliantie en aanmeldingsrisico. Toegangscontroles bestaan uit het verlenen van toegang, blokkeren of het vereisen van aanvullende verificatie.

Voorwaarden die je kunt configureren

Voorwaarden bepalen de context waarin een beleid van toepassing is. Je kunt de volgende voorwaarden instellen:

• Locatie: beperk toegang op basis van IP-adressen of benoemde locaties, zoals het kantoornetwerk
• Apparaatplatformen: stel in of het beleid geldt voor Windows, iOS, Android of andere platforms
• Apparaatstatus: vereist dat een apparaat compliant is of is toegevoegd aan Microsoft Entra
• Aanmeldingsrisico: beschikbaar met Entra ID P2, reageert op risicodetecties van Identity Protection
• Gebruikersrisico: activeert het beleid wanneer een gebruikersaccount als riskant wordt beoordeeld
• Client-apps: onderscheid tussen moderne authenticatieclients en verouderde protocollen

Toegangscontroles die je kunt afdwingen

Toegangscontroles bepalen wat er gebeurt wanneer een gebruiker voldoet aan de ingestelde voorwaarden. De opties zijn:

• Toegang blokkeren: de aanmelding wordt volledig geweigerd
• Toegang verlenen met vereisten: MFA afdwingen, een compliant apparaat vereisen, een goedgekeurde client-app vereisen of een combinatie hiervan
• Sessiecontroles: beperk wat gebruikers kunnen doen binnen een app, zoals het downloaden van bestanden in SharePoint

Hoe test en monitor je een conditional access-beleid na de implementatie?

Na de implementatie test je een conditional access-beleid met de What If-tool in het Entra-beheercentrum en monitor je het via de aanmeldingslogboeken. De modus “Alleen rapporteren” blijft beschikbaar als veilige testomgeving voordat je een beleid volledig activeert.

De aanbevolen aanpak voor testen en monitoren:

• What If-tool: simuleer een aanmelding met specifieke gebruikers, apps en voorwaarden om te zien welke beleidsregels van toepassing zijn en wat het resultaat zou zijn
• Modus “Alleen rapporteren”: activeer het beleid in rapportmodus zodat je de werkelijke impact kunt meten zonder gebruikers te beïnvloeden
• Aanmeldingslogboeken: bekijk in Entra ID > Bewaking > Aanmeldingen welke beleidsregels zijn geëvalueerd en wat het resultaat was per aanmelding
• Inzichten en rapportage: gebruik de workbook voor voorwaardelijke toegang in Azure Monitor voor een overzicht van trends en fouten

Een beleid nooit direct op “Aan” zetten zonder testfase is een van de meest gemaakte fouten. Zorg er ook voor dat je regelmatig de aanmeldingslogboeken controleert na activering, zodat je onverwachte blokkeringen of fouten snel kunt signaleren en corrigeren.

Hoe Startel helpt met het configureren van conditional access

Conditional access is een krachtige maar complexe functionaliteit die diepgaande kennis van de Microsoft Entra-omgeving vereist. Wij helpen IT-professionals en organisaties om deze kennis op te bouwen via gerichte Microsoft-trainingen en certificeringen. Of je nu wilt beginnen met de basisprincipes van identiteitsbeheer of je wilt specialiseren in Microsoft-beveiligingstechnologieën, wij bieden het juiste leertraject.

Wat we bieden:

• Officieel geautoriseerde Microsoft-trainingen, waaronder trajecten rondom Microsoft Entra ID en beveiliging
• Klassikale, live online en zelfstudieopties voor maximale flexibiliteit
• Op maat gemaakte trainingen voor teams en organisaties met specifieke behoeften
• Ondersteuning bij examenvoorbereiding en certificering via onze erkende examencentra
• Meer dan 25 jaar ervaring in IT-onderwijs, met trainers die actief zijn in het vakgebied

Wil je meer weten over welke training het beste aansluit bij jouw situatie of die van je team? Neem dan gerust contact met ons op. We denken graag met je mee over het juiste leerpad.