Belangrijkste punten
- Gebruik Microsoft Entra Conditional Access om toegangscontroles af te dwingen op basis van risico en locatie. Vereis MFA of compliance van het device of blokkeer toegang op basis van vastgestelde voorwaarden.
- Bepaal vertrouwde locaties en IP-reeksen voordat u locatiegebaseerd beleid afdwingt. Gebruik benoemde locaties om toegang vanuit niet-goedgekeurde landen of netwerken te beperken.
- Maak afzonderlijke policies voor gebruikersrisico en aanmeldingsrisico. Stel passende drempelwaarden in en vereis MFA, herstel, een wachtwoordwijziging of geblokkeerde toegang.
- Combineer risico- en locatievoorwaarden voor betere bescherming. Vereis bijvoorbeeld extra verificatie bij risicovolle aanmeldingen vanaf niet-vertrouwde locaties.
- Test policies in de modus Alleen rapporteren voordat u ze afdwingt. Bekijk de aanmeldingsactiviteit en pas risicodrempels, locaties en uitsluitingen aan waar nodig.
- Voorkom onbedoelde buitensluiting met break-glass-accounts en gerichte uitsluitingen. Houd noodaccounts buiten het toepasselijke beleid en bewaak ze nauwlettend.
Conditional access policies zijn een vast onderdeel van moderne IT-beveiliging. Ze stellen IT-beheerders in staat beslissingen te automatiseren en toegangscontroles af te dwingen op basis van realtime voorwaarden zoals gebruikersgedrag, aanmeldingsrisico, compliance van het device en geografische locatie. Deze gids bespreekt specifiek hoe u Microsoft Entra ID (voorheen bekend als Azure AD) gebruikt om conditional access af te dwingen op basis van risico en locatie.
Wilt u dit onderwerp visueel uitgelegd zien? Bekijk dan Conditional access policies afdwingen op basis van risico en locatie.
CA-beleid afdwingen op basis van risico en locatie
In dit deel komen vier methoden aan bod waarmee gebruikers rechtstreeks locatiegebaseerde en risicogebaseerde conditional access kunnen maken en afdwingen.
Vereisten: het volgende is nodig om onderstaande methoden te laten werken:
- Microsoft Entra ID P1 (voor basis-CA) of P2 (voor risicogebaseerde voorwaarden)
- Rechten van Globale beheerder of Beveiligingsbeheerder
- Devices die aan Azure AD zijn gekoppeld of hybride gekoppeld zijn
- Locatiebewuste IP-tagging is geconfigureerd in Entra ID
Tip: een integratie met Microsoft Defender for Identity is optioneel, maar bijzonder nuttig voor betere signalen.
Aanbevolen implementatiestrategieën:
| Kies een methode | Het beste voor individuele gebruikers | Het beste voor ondernemingen |
| Methode 1: CA configureren via het Microsoft Entra-beheercentrum | ✓ | |
| Methode 2: benoemde locaties definiëren in het Microsoft Entra-beheercentrum | ✓ | |
| Methode 3: risicogebaseerd beleid maken in het Microsoft Entra-beheercentrum | ✓ | |
| Methode 4: PowerShell | ✓ |
Methode 1: conditional access policies configureren via het Microsoft Entra-beheercentrum
Conditional access configureren met het Microsoft Entra-beheercentrum is eenvoudig en verloopt via een GUI. Deze methode is niet beperkt tot risicogebaseerde en locatiegebaseerde conditional access.
Use cases: standaard beleidsbeheer en testen
Vereisten: voor deze methode is Microsoft Entra ID P1 nodig.
Zo maakt u een conditional access policy:
- Ga naar het Microsoft Entra-beheercentrum.
- Navigeer naar Entra ID > Voorwaardelijke toegang > Beleidsregels.
- Klik op + Nieuw beleid.
- Bepaal het volgende:
- Toewijzingen:
- Gebruikers of groepen
- Cloud-apps of -acties
- Voorwaarden > Locaties: benoemde locaties opnemen of uitsluiten (bijvoorbeeld landen of IP-reeksen)
- Voorwaarden > Aanmeldingsrisico of Gebruikersrisico: stel het niveau in op Laag, Gemiddeld of Hoog
- Toegangscontroles:
- Toegang blokkeren
- MFA vereisen
- Een compliant device vereisen
- Toewijzingen:
Belangrijk: let er bij het bepalen van toewijzingen, en dan vooral Locaties en Aanmeldings- of Gebruikersrisico, op dat u alles correct configureert. Anders werkt uw conditional access policy mogelijk niet zoals verwacht. Lees het gedeelte Waar u op moet letten voor meer details.
- Schakel het beleid in en maak het aan.
Ontdek hoe NinjaOne integreert met Microsoft Entra ID voor beter inzicht in uw apparatenpark
Methode 2: benoemde locaties definiëren in het Microsoft Entra-beheercentrum
Met deze methode kunnen IT-beheerders toegang toestaan of blokkeren op basis van geolocatie of IP-gegevens.
Use cases: geofencing van toegang en ondersteuning van compliance met eisen rond dataresidentie
Volg deze stappen om locaties te definiëren:
- Ga naar Voorwaardelijke toegang > Benoemde locaties.
- Klik op + Locatie op basis van IP-bereiken.
- Geef de locatie een naam (bijvoorbeeld “Hoofdkantoor”).
- Voeg vertrouwde IP-reeksen toe. U kunt ook een landgebaseerd locatiebeleid maken.
- Gebruik deze in de voorwaarde Locaties in uw beleid.
Tip: markeer IP-gebaseerde locaties als “Vertrouwd” om ze uit te sluiten van risico-evaluaties. Wees daarnaast voorzichtig bij het benoemen van een locatie, het toevoegen van een vertrouwde IP-reeks of het maken van een landgebaseerd locatiebeleid, want onjuiste configuraties hebben gevolgen voor conditional access. Raadpleeg het gedeelte Waar u op moet letten voor meer details.
Methode 3: risicogebaseerde conditional access policies maken in het Microsoft Entra-beheercentrum
Risicogebaseerde conditional access helpt identiteiten te beschermen die worden aangevallen of waarvan de referenties zijn gecompromitteerd. U kunt dit ook combineren met bredere conditional access policies, zoals locatie, voor een omgeving met sterkere bescherming tegen veelvoorkomende cyberaanvallen.
Use case: beleid afdwingen op basis van gebruikers- of aanmeldingsrisico
Vereisten: voor deze methode is Microsoft Entra ID P2 of Microsoft Entra Suite nodig om risicogebaseerde configuraties mogelijk te maken.
Belangrijk: Microsoft heeft het verouderde beleid voor gebruikersrisico en aanmeldingsrisico in Microsoft Entra ID Protection op 1 oktober 2026 uitgefaseerd. Risicogebaseerd toegangsbeleid moet nu via Conditional Access worden geconfigureerd.
Zo gebruikt u deze methode:
- Ga in het Microsoft Entra-beheercentrum naar Entra ID > Voorwaardelijke toegang > Beleidsregels.
- Selecteer Nieuw beleid en geef het beleid een beschrijvende naam.
- Selecteer onder Toewijzingen de gebruikers of groepen waarop het beleid van toepassing is. Sluit waar nodig noodtoegangs- of break-glass-accounts uit.
- Selecteer onder Doelresources de cloud-apps of resources die het beleid moet beschermen.
- Selecteer onder Voorwaarden de optie Gebruikersrisico of Aanmeldingsrisico en stel het risiconiveau dat het beleid activeert in op Gemiddeld of hoger.
Tip: een te agressieve drempelwaarde voor het risiconiveau kan uw bedrijfsvoering schaden. Lees het gedeelte Waar u op moet letten voor meer details.
- Selecteer onder Toegangscontroles de passende reactie. Afhankelijk van het scenario kunt u risicoherstel, een wachtwoordwijziging of multifactorauthenticatie vereisen of de toegang blokkeren.
- Wilt u locatie meewegen in de beslissing? Configureer dan de voorwaarde Netwerk/Locatie in hetzelfde of een afzonderlijk Conditional Access-beleid.
- Test het beleid in de modus Alleen rapporteren voordat u het afdwingt. Bekijk vervolgens de resulterende aanmeldingsactiviteit en pas het beleid waar nodig aan.
- Maak afzonderlijke policies voor gebruikersrisico en aanmeldingsrisico in plaats van ze te combineren in één beleid.
Methode 4: PowerShell
PowerShell is bijzonder handig voor automatisering in grote IT-omgevingen. In dit geval kunt u het gebruiken om het maken en beheren van CA-beleid te automatiseren.
Use case: automatisering, scripting in meerdere omgevingen, CI/CD-integratie
Vereisten: gebruikt u PowerShell, dan hebt u ook de Microsoft Graph PowerShell SDK nodig om een locatiegebaseerd CA-beleid te maken.
Volg deze stappen:
- Open PowerShell als administrator.
- Maak een conditional access policy met Microsoft Graph. Maak hiervoor verbinding met Graph PowerShell via deze opdracht:
Connect-MgGraph -Scopes "Policy.ReadWrite.ConditionalAccess"
- Voer daarna deze opdracht uit om een conditional access policy te maken:
New-MgConditionalAccessPolicy -DisplayName "Block risky sign-ins outside HQ" `-Conditions @{ SignInRiskLevels = @("high"); Locations = @{IncludeLocations = @("AllTrustedLocations")} } `-GrantControls @{ Operator = "OR"; BuiltInControls = @("block") } `-State "Enabled"
- Gebruik deze opdracht om benoemde locaties te beheren:
Get-MgIdentityConditionalAccessNamedLocation
Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Hoe u het terugdraait |
| Onjuiste definitie van Locatie (methode 1) | Legitieme gebruikers worden mogelijk geblokkeerd door een verkeerde geografische indeling. | Verwijder of werk benoemde locaties bij; schakel het beleid uit via een noodaccount. |
| Risiconiveaus staan te laag bij het verkeerd instellen van Aanmeldingsrisico of Gebruikersrisico (methode 1) | Buitensporig veel false positives en gebruikers die regelmatig worden buitengesloten | Pas de drempelwaarden van het beleid aan en houd de aanmeldingslogboeken in de gaten. |
| Typefouten of een verkeerd IP-subnet bij het definiëren van de locatie (methode 2) | Een volledige kantoorlocatie of dienst wordt geblokkeerd | Pas de IP-reeks aan in het beheercentrum en markeer deze waar nodig als “Vertrouwd”. |
| Onnauwkeurige geo-IP-gegevens of vpn’s die locaties maskeren bij het maken van landgebaseerd beleid (methode 2) | Gebruikers worden geblokkeerd hoewel ze zich op een toegestane locatie bevinden | Markeer alleen vertrouwde landen en combineer dit waar van toepassing met andere voorwaarden zoals compliance van het device. |
| Drempelwaarden voor risiconiveaus te agressief instellen, dus blokkeren vanaf gemiddeld tot laag (methode 3) | Legitieme aanmeldingen worden door false positives als riskant aangemerkt | Stel de drempelwaarden voor risiconiveaus opnieuw in op Gemiddeld tot Hoog. |
Ondersteunende methoden die compliance en handhaving van conditional access policies versterken
Waar de eerste vier methoden uit het vorige deel draaien om het rechtstreeks afdwingen of configureren van beleid, zijn de drie methoden in dit deel aanvullend. Ze dwingen geen risicogebaseerd of geolocatiegebaseerd beleid af, maar helpen compliance en een correcte handhaving te waarborgen.
IP-beperkingen of MFA-voorwaarden afdwingen met de Editor voor lokaal groepsbeleid
Met de Editor voor groepsbeleid kunt u endpoints voorbereiden om aan CA-voorwaarden te voldoen, vooral in hybride omgevingen.
- Open de Editor voor groepsbeleid.
- Ga naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Windows Hello voor Bedrijven
- Schakel het volgende in:
- Biometrie gebruiken
- MFA configureren als voorwaarde
- Pas dit toe op de OU met conditional access policies die een compliant device of MFA vereisen.
Voorwaarden voor device-compliance configureren met de Register-editor
De Register-editor kunt u als aanvullende methode gebruiken om device-compliance in Intune te ondersteunen.
Waarschuwing: het wijzigen van het register kan systeemproblemen veroorzaken. Maak een back-up voordat u verdergaat.
- Open de Register-editor.
- Ga naar HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\DeviceCompliance.
- Configureer de volgende waarden:
- RequireEncryption (DWORD): 1
- FirewallEnabled (DWORD): 1
- AntivirusEnabled (DWORD): 1
Na deze configuratie zorgt deze methode ervoor dat het huidige device in Intune als compliant wordt aangemerkt en voldoet aan de vereisten voor conditional access.
De toegangscontext controleren via de opdrachtprompt
Met de opdrachtprompt krijgt u meer context over locatie of compliance. Open daarvoor de opdrachtprompt als administrator en voer de volgende opdrachten uit:
- Het IP-adres controleren: ipconfig
- Het huidige openbare IP-adres opvragen: nslookup myip.opendns.com resolver1.opendns.com
- De join-status valideren: dsregcmd /status
Met de verzamelde informatie kunt u controleren waarom conditional access-regels wel of niet zijn geactiveerd.
Beste praktijken bij het afdwingen van conditional access policies in Azure AD
Hier volgen nog enkele beste praktijken om de handhaving van conditional access policies efficiënter en effectiever te maken:
Gebruik de modus Alleen rapporteren
Test beleid in de modus Alleen rapporteren voordat u het afdwingt, zodat u conflicten tussen beleidsregels voorkomt. Het is ook een goede gewoonte om uw bestaande conditional access policies regelmatig te controleren op compliance.
Beleid afbakenen
Gebruik uitsluitingen voor interne IP-adressen of serviceaccounts. Zo voorkomt u te strenge beperkingen en behoudt u de productiviteit zonder in te leveren op beveiliging. Het markeren van de juiste IP-adressen als “Vertrouwd” hoort ook bij het afbakenen van beleid.
Zorg voor “break-glass-accounts”
Break-glass-accounts zijn speciale beheerdersaccounts die niet door conditional access policies worden beperkt. Ze zijn cruciaal bij een CA-storing, een verkeerd geactiveerd beleid of buitensluiting. Hoewel ze onbeperkt zijn, moeten break-glass-accounts streng worden bewaakt en beschermd om datalekken en cyberaanvallen te voorkomen.
Controleer device-compliance in realtime en signaleer problemen voordat ze een conditional access-blokkade veroorzaken
NinjaOne-diensten die locatie- en risicogebaseerde conditional access-workflows in Azure verbeteren
NinjaOne kan conditional access-workflows met zijn diensten verbeteren zonder het beleid complexer te maken. Deze diensten zijn onder meer:
| NinjaOne-dienst | Wat doet het? | Hoe helpt het de conditional access-workflow? |
| Realtime notificaties | Beheerders waarschuwen bij aanmeldpogingen vanaf niet-vertrouwde locaties of met een verhoogd risico. | Dankzij realtime notificaties kunnen IT-beheerders snel reageren, zeker bij schendingen van conditional access en andere verdachte activiteiten. |
| Monitoring van de devicestatus | Devices markeren die niet langer voldoen aan de compliance die CA-beleid vereist | IT-beheerders volgen eenvoudig de compliance van devices en waarborgen die, terwijl ze de beveiliging van de organisatie op peil houden met beleid dat een “compliant device” vereist voor toegang. |
| Geautomatiseerd herstel | Scripts uitvoeren om devices compliant te maken (bijvoorbeeld BitLocker of de firewall inschakelen). | Geautomatiseerd herstel beperkt handmatig werk doordat devices automatisch aan de CA-compliance voldoen. |
| Aangepaste rapportage | Stelt beheerders in staat relevante informatie te exporteren, zoals CA-gebeurtenisgegevens, audit trails en geolocatiegegevens. | IT-beheerders beschikken over duidelijke, volledige en relevante gegevens over conditional access-activiteit ter ondersteuning van hun audits en het verfijnen van beleid. |
| Implementatie van register- en beleidsinstellingen | CA-ondersteunende configuraties via het register of GPO naar clientdevices pushen | Bereidt devices via automatische configuratie voor op CA-voorwaarden zoals MFA, versleuteling of een firewall |
Versterk uw beveiligingsbeleid met locatie- en risicogebaseerde conditional access policies
Conditional access policies geven u gedetailleerde controle over hoe en wanneer gebruikers toegang krijgen tot bedrijfsgegevens, op basis van risico en locatie. Deze stapsgewijze gids behandelt methoden via het Microsoft Entra-beheercentrum en PowerShell, plus aanvullende methoden met de Editor voor groepsbeleid, de Register-editor en de opdrachtprompt, voor een compleet beeld van het maken en afdwingen van CA-beleid.
Gerelateerde onderwerpen:
- Conditional access policies configureren in Azure AD
- Azure RBAC begrijpen en implementeren
- Gids voor remote access-protocollen voor beheerde dienstverleners
- Conditional access veilig uitproberen voor bevoorrechte gebruikers zonder buitensluiting
- (Videogids) Conditional access veilig uitproberen voor bevoorrechte gebruikers zonder buitensluiting
