Een IT-partner of auditor wil je Microsoft 365-omgeving bekijken, maar je wilt hem niet meteen alle rechten geven. Daarvoor is de rol Globale lezer (Global Reader). Die ziet alle instellingen in de beheercentra, maar kan niets wijzigen. In dit artikel lees je hoe je de rol toekent en wat de veiligere opties zijn voor een externe partner.
Wat kan een globale lezer?
- Alle beheerinstellingen bekijken in Microsoft 365, Entra ID, Exchange, Teams, SharePoint, Intune en Defender.
- Rapporten, logboeken en de Secure Score bekijken.
- Niets wijzigen, geen wachtwoorden resetten en geen e-mails of bestanden van gebruikers lezen.
Niet elke beheerpagina ondersteunt de rol volledig. Soms zie je een knop die toch niet werkt of een melding dat je geen toegang hebt.
De rol toekennen
- Ga naar entra.microsoft.com > Identiteit > Rollen en beheerders.
- Zoek Globale lezer en klik erop.
- Klik op Toewijzingen toevoegen en kies de gebruiker.
Je kunt het ook doen in het Microsoft 365-beheercentrum > Gebruikers > kies de gebruiker > Rollen beheren.
Voor een externe IT-partner
- GDAP (Granular Delegated Admin Privileges): werkt je partner met het Microsoft Partner Center, laat hem dan een GDAP-relatie aanvragen met alleen de rollen die nodig zijn en een einddatum. Hij gebruikt dan zijn eigen account.
- Eigen account in je tenant: maak een apart account aan, verplicht MFA en geef geen licentie als dat niet nodig is.
- PIM (Privileged Identity Management, Entra ID P2): maak de rol in aanmerking komend in plaats van permanent. De partner activeert ze alleen wanneer nodig, met een reden en een tijdslimiet.
- Verwijder de toegang zodra de opdracht klaar is.
Andere rollen
Heeft je partner meer nodig dan lezen, kies dan een specifieke rol zoals Exchange-beheerder of Helpdeskbeheerder in plaats van Globale beheerder. Een overzicht vind je in beheerdersrollen in Microsoft 365.