Als globale beheerder in Microsoft 365 of Entra ID heb je niet automatisch toegang tot de Azure-abonnementen van je organisatie. Heeft een consultant of vertrokken collega een abonnement opgezet en is hij de enige eigenaar, dan sta je buiten. Gelukkig kan een globale beheerder zijn toegang tijdelijk verhogen en zo de controle terugnemen. In dit artikel lees je hoe, en hoe je het daarna netjes afsluit.
Waarom heb je geen toegang?
Microsoft 365 en Entra ID enerzijds en Azure-resources anderzijds hebben elk hun eigen rollen. Globale beheerder is een rol in Entra ID; toegang tot een Azure-abonnement komt van een Azure RBAC-rol, zoals Eigenaar, op het abonnement. Die twee zijn bewust gescheiden. Een globale beheerder kan zichzelf wel tijdelijk toegang geven tot alle abonnementen in de tenant.
Stap 1: je toegang verhogen
- Meld je aan bij het Microsoft Entra admin center als globale beheerder.
- Ga naar Entra ID > Overzicht > Eigenschappen.
- Zet onder Toegangsbeheer voor Azure-resources de schakelaar op Ja.
- Klik op Opslaan.
Je krijgt nu de rol Beheerder van gebruikerstoegang op het hoogste niveau (root) van Azure, dus over alle beheergroepen en abonnementen. Meld je af en weer aan in de Azure-portal om de nieuwe rechten te zien.
Stap 2: jezelf of een groep eigenaar maken
- Ga in de Azure-portal naar Abonnementen. Je ziet nu alle abonnementen.
- Open het abonnement > Toegangsbeheer (IAM) > Toevoegen > Roltoewijzing toevoegen.
- Kies Eigenaar en wijs de rol toe aan een groep met de vaste IT-beheerders, liefst niet aan een persoon.
Stap 3: de verhoging weer uitzetten
Zet de schakelaar Toegangsbeheer voor Azure-resources meteen terug op Nee. De rol Beheerder van gebruikerstoegang op root-niveau is zeer krachtig: wie die heeft, kan zichzelf overal eigenaar maken. Je eigen roltoewijzing als eigenaar via de groep blijft wel bestaan.
Controle en goede gewoonten
- Het verhogen van toegang wordt gelogd in de auditlogboeken van Entra ID en in het activiteitenlogboek van Azure. Stel een waarschuwing in.
- Sta niet toe dat iemand de enige eigenaar van een abonnement is. Werk met minstens twee eigenaars via een groep.
- Gebruik Privileged Identity Management om de rol Eigenaar alleen tijdelijk te geven. Lees beheerdersrollen in Microsoft 365.
- Bekijk met de beveiligingsscore in Defender for Cloud hoe het abonnement ervoor staat.