Workflows op basis van goedkeuring zorgen ervoor dat administratieve rechten verifieerbaar zijn en een duidelijk doel dienen. Deze opzet is essentieel voor elke beheerde omgeving die beveiligings- en compliancerisico’s op schaal wil beperken. In deze gids bespreken we de beste methoden om een beheerde workflow op basis van een goedkeuringsproces op te zetten.
Methoden om approval-based workflows in te stellen
Gebruik de tabel om de gewenste stappen te kiezen en er snel naartoe te navigeren.
📌 Vereisten:
- Microsoft 365-abonnement met Power Automate en Azure AD (voor cloud-based workflows)
- Zicht op endpoints via PowerShell en het register
- NinjaOne of een ander RMM-platform met mogelijkheden voor scriptuitvoering
- Een vastgesteld beleid over wanneer adminrechten worden goedgekeurd en voor hoelang
👉 Let op: sommige stappen kunnen afwijken, afhankelijk van de standaardinstellingen van het systeem of de actieve instellingen.
| Klik om een methode te kiezen | 💻 Het beste voor individuele gebruikers | 💻💻💻 Het beste voor ondernemingen |
| Methode 1: Microsoft Forms | ✓ | |
| Methode 2: PowerShell-script | ✓ |
💡 Tip: bekijk het gedeelte Waar u op moet letten voor tips over het beheersen van mogelijke risico’s.
🎥 Bekijk Approval-based workflows instellen voor aanvragen van adminrechten – een handige visuele naslag.
Methode 1: Microsoft Forms en Power Automate gebruiken voor toegangsaanvragen
Deze methode vraagt nauwelijks programmeerwerk en is het meest geschikt voor organisaties die Microsoft 365 al gebruiken.
📌 Use case: Microsoft 365-abonnees
- Maak een Microsoft Form met de titel “Aanvraag adminrechten” en de volgende velden:
- E-mailadres van de aanvrager
- Naam van het device
- Reden voor toegang
- Gewenste duur
- Bouw vervolgens een Power Automate-flow met deze parameters:
- Trigger: formulierinzending
- Voorwaarde: automatisch goedkeuren op basis van gebruiker of groep of doorsturen naar de manager voor goedkeuring
- Actie: het IT-team informeren en het script starten dat de gebruiker verhoogde rechten geeft
- Laatste stap: automatische terugdraaiing plannen of een notificatie genereren bij het verlopen van de toegang
U kunt goedkeuringen opslaan in een SharePoint-lijst of in een ticketsysteem voor documentatie.
Hoe het werkt: Microsoft Forms verzorgt in deze opzet het verzamelen van gegevens. Power Automate verwerkt die gegevens vervolgens, voert voorwaardelijke stappen uit en legt audit trails aan voor probleemoplossing en compliance.
Methode 2: lokale rechten verhogen met PowerShell en geplande terugdraaiing
Deze methode geeft u zeer gedetailleerde controle en zorgt er tegelijk voor dat de rechten na de ingestelde periode automatisch worden ingetrokken.
📌 Use cases: ondernemingen, automatisering
Gebruik de volgende opdracht om adminrechten toe te kennen (bijvoorbeeld tijdelijk lidmaatschap van de groep Administrators): Add-LocalGroupMember -Group "Administrators" -Member "domain\jdoe".
⚠️Ter herinnering: vervang de voorbeeldwaarden “Administrators” door de gewenste groepsnaam en “domain\jdoe” door uw lokale domein en gebruikersnaam.
Om de toegang na één uur in te trekken (voorbeeld):
schtasks /create /tn "RemoveAdmin_jdoe" /tr "powershell -commandRemove-LocalGroupMember -Group 'Administrators' -Member 'domain\jdoe'" /sconce /st 13:00
En om toegekende rechten vast te leggen in een lokaal bestand of registersleutel voor auditdoeleinden:
New-ItemProperty -Path "HKLM:\SOFTWARE\Org\AdminAccess" -Name "jdoe"-Value "$(Get-Date)" -PropertyType String -Force
Zodra een aanvraag is goedgekeurd, kunt u met PowerShell lokale adminrechten op aanvraag toekennen en weer intrekken.
Adminkeuringen auditen en bijhouden
Het register gebruiken voor toegangsstatus en audit trails
De registersleutel fungeert als actueel overzicht van wie op dit moment adminrechten heeft.
📌 Use case: implementaties op systeemniveau, uitrol via RMM.
- Druk op Win + R, typ regedit en klik op OK om de Register-editor te openen.
- Navigeer naar het volgende pad of kopieer en plak het in de adresbalk van het register: HKEY_LOCAL_MACHINE\SOFTWARE\Org\AdminAccess .
- U kunt de tekenreekswaarden controleren voor audits en tracking. Dit is een voorbeeld van waar u op moet letten:
- jdoe_Approved (tekenreeks) = "2025-07-01T11:00Z"- jdoe_Expires (tekenreeks) = "2025-07-01T13:00Z"- jdoe_Device (tekenreeks) = "CLIENT-PC001"
⚠️ Waarschuwing: het bewerken van het register kan systeemproblemen veroorzaken. Maak een back-up van het register voordat u verdergaat.
Toegang controleren en intrekken via CMD en loganalyse
Met opdrachten als net localgroup en schtasks in combinatie met centrale logbestanden houdt u een doorzoekbaar historisch overzicht bij van alle activiteit rond adminrechten.
- Controleer eerst de beheerders met net localgroup administrators.
- Gebruik daarna
schtasks /query /fo list | findstr /i "RemoveAdmin"om de geplande taken voor het intrekken van rechten te bekijken. - U kunt ook
reg query HKLM\SOFTWARE\Org\AdminAccessuitvoeren om te controleren welke wijzigingen actief zijn in het register. - Leg tot slot gebeurtenissen vast met:
echo %username% granted admin rights on %computername% at %date% %time% >> \\logserver\access_logs.txt
Deze scripts geven u een overzicht van adminlidmaatschappen en geplande intrekkingstaken, zonder dat u een script of een RMM-portaal nodig hebt.
Rapporteren en notificaties instellen over adminrechten via RMM of scripts
Een krachtige RMM zoals NinjaOne beschikt over de tools om het beheer van adminrechten van een reactieve taak om te vormen tot een proactieve verdediging.
Dit zijn enkele veelgebruikte implementatiestrategieën voor het beheren van gebruikerstoegang:
- Scripts uitvoeren die wijzigingen in de lokale beheerdersgroep detecteren
- Een notificatie sturen wanneer een gebruiker buiten een goedgekeurd tijdvenster wordt toegevoegd
- Niet-geautoriseerde lidmaatschappen terugdraaien
- Registersleutels synchroniseren met de RMM om ze op het dashboard te tonen
Daarnaast kan het dashboard geplande rapportages leveren over wie toegang kreeg en wanneer die weer werd ingetrokken en afwijkingen van het bijbehorende beleid markeren.
⚠️ Waar u op moet letten bij het instellen van approval-based workflows
Hieronder vindt u veelvoorkomende risico’s, de mogelijke gevolgen en praktische manieren om problemen terug te draaien of te voorkomen.
| Risico’s | Mogelijke gevolgen | Oplossingen |
| Geplande taak wordt niet uitgevoerd | Verhoogde rechten blijven onbeperkt actief | Verwijder de gebruiker handmatig uit de beheerdersgroep via de RMM of PowerShell. |
| Registratie in het register overgeslagen | Geen audit trail voor compliance-audits | Leg de gegevens achteraf vast op basis van gebeurtenislogboeken of RMM-historie. |
Een ander belangrijk aandachtspunt is dat sommige toegangsaanvragen niet netjes in een standaardworkflow passen. Voor noodsituaties, multi-tenant omgevingen en verspreide teams zijn back-upprotocollen en extra planning nodig om de beveiliging te waarborgen zonder kritieke processen te vertragen.
NinjaOne-oplossingen voor approval-based workflows
NinjaOne ondersteunt workflows voor toegangsgovernance via:
- Scriptuitrol om adminrechten toe te kennen en in te trekken op alle endpoints
- Geplande uitvoering en terugdraaiing van taken met beleidsplanning in de RMM
- Monitoring van registersleutels en lokaal groepslidmaatschap voor realtime inzicht
- Logging van escalatie- en de-escalatiegebeurtenissen gekoppeld aan gebruiker, device en tijdstempel
- Aangepaste notificaties en rapportagedashboards die toegangsgebeurtenissen van alle klanten tonen
Met NinjaOne kunnen MSP’s veilige, controleerbare en schaalbare workflows voor toegangsaanvragen leveren die klanten beschermen en het werk van technici stroomlijnen.
Een approval-based workflow integreren met een RMM
Workflows op basis van goedkeuring geven u betere controle over netwerken en endpoints en blijven tegelijk in lijn met belangrijke IT-complianceframeworks. Bovendien krijgen gebruikers tijdig toegang tot specifieke bedrijfsgegevens en tools.
Naast het vinden van een balans tussen snelle toegang en stevige governance kunnen MSP’s en bedrijfs-IT-teams deze workflow integreren met een RMM zoals NinjaOne. Dat biedt mogelijkheden om IT-assets op te schalen en te beheren in één dashboard.
Gerelateerde onderwerpen:
- WAC gebruiken om gebruikers en groepen te beheren in Windows 10
- [NinjaOne] Gebruikersrollen en machtigingen
- Processen die als administrator draaien herkennen in Windows 10
- Goedkeuringssjablonen standaardiseren en hergebruiken voor toegang tot devices, rolwijzigingen en onboarding van leveranciers (video)
- IAM, PAM en PIM operationeel maken voor MSP’s (video)
