Zo bouwt u een delegated access model met GDAP voor klanttenants

Deze gids legt uit hoe u een schoon delegated access model opzet voor het beheer van klanttenants. Het instellen van granular delegated admin privileges (GDAP) in Microsoft 365 is noodzakelijk voor IT-teams en managed service providers (MSP’s) die meerdere tenants beheren. GDAP beperkt de risico’s van de oude delegated administrative privileges (DAP) doordat partners geen algemene Global Admin-toegang tot klanttenants meer krijgen. In plaats daarvan geldt toegang volgens het minste voorrecht, in lijn met de beste praktijken van zero trust.

Wat is het verschil tussen DAP en GDAP?

Met DAP kregen partners toegang op Global Admin-niveau tot een klanttenant zonder vervaldatum, wat een risico vormde voor de cybersecurity. Microsoft heeft DAP vervangen door GDAP: partners krijgen specifieke Microsoft Entra-rollen voor een vaste periode, goedgekeurd door de klant.

Voorwaarden voor Microsoft-partners die overstappen van DAP naar GDAP

Om GDAP te gaan gebruiken bij Microsoft 365-tenants van klanten, heeft u het volgende nodig:

• Een cloud solution provider (CSP)-relatie met elke klant als indirecte reseller, indirecte provider of direct bill partner
• De rol Admin agent in Partner Center, die vereist is om GDAP-relatieverzoeken aan te maken
• Een beveiligingsgroep in uw Microsoft Entra-tenant voor elk technicusniveau of elke workload
• Werkkennis van rollen in Microsoft Entra ID (voorheen Azure AD) en van Conditional Access, inclusief hoe u gebruikers van serviceproviders uitsluit van beleid dat externe toegang blokkeert
• Optioneel: Microsoft 365 Lighthouse voor GDAP-templates en multi-tenant beheer
• Optioneel: een Microsoft Entra ID P2-licentie om just-in-time access policies aan te maken in Lighthouse
• Optioneel: PowerShell en/of toegang tot de Microsoft Graph API voor automatisering

Een GDAP- of DAP-relatie is een voorwaarde om een klant volledig te onboarden in Lighthouse. Maak de GDAP-relatie dus als eerste aan. Lighthouse kan daarna GDAP-templates instellen, maar u kunt relaties ook aanmaken in Partner Center of via de Partner Center-API’s. Dat laatste is de betere route wanneer u in één keer veel relaties moet aanmaken.

Is DAP nog beschikbaar en hoe stapt u over naar GDAP?

Microsoft biedt DAP sinds 10 oktober 2023 niet meer aan bij nieuwe resellerrelaties en kent nu standaard een GDAP-relatie toe wanneer een partner een nieuwe klant aanmaakt. In de Partner Center-documentatie van Microsoft staat nog steeds beschreven dat DAP en GDAP tijdens de overgang naast elkaar bestaan, waarbij GDAP-machtigingen voorrang krijgen. Sommige klanten kunnen dus nog een DAP-relatie hebben.

Heeft een klant nog DAP? Volg dan deze volgorde om DAP te verwijderen:

1. Maak een GDAP-relatie aan voor zowel Microsoft 365 als Azure.
2. Wijs Microsoft Entra-rollen toe aan beveiligingsgroepen voor zowel Microsoft 365 als Azure.
3. Controleer of GDAP voorrang krijgt en of uw technici hun werk kunnen uitvoeren.
4. Verwijder DAP.

Volg deze volgorde precies bij klanten met Azure-abonnementen. Verwijdert u DAP eerst of zet u alleen Microsoft 365 over naar GDAP, dan kunt u de toegang tot de Azure-abonnementen van de klant verliezen.

Uw GDAP-toegangsmodel opbouwen

Een schoon granular delegated access model beperkt de blootstelling aan cyberdreigingen doordat het zero trust-principes ondersteunt. Daarnaast laat het uw klanten zien dat u beveiligingsbewust en operationeel volwassen werkt.

Zo bouwt u een GDAP-toegangsmodel op:

1. Bepaal welke taken u voor elke klant uitvoert en groepeer ze per technicusniveau of workload.
2. Maak in uw Microsoft Entra-tenant een beveiligingsgroep aan voor elk niveau of elke workload.
3. Kies voor elke taak de rol met het minste voorrecht en gebruik daarbij het overzicht van Microsoft met de minst bevoorrechte rollen per taak.
4. Stuur een GDAP-relatieverzoek vanuit Partner Center of wijs een GDAP-template in Lighthouse toe, met een duidelijke relatienaam en de kortste duur die bij het werk past.
5. Vraag de klant het verzoek goed te keuren en wijs daarna de goedgekeurde rollen toe aan uw beveiligingsgroepen.
6. Voeg just-in-time (JIT)-toegang toe voor groepen met hoge rechten en schakel automatische verlenging alleen in voor relaties zonder de rol Global Administrator.
7. Houd vervaldata bij met GDAP-relatieanalyses en evalueer het model elk kwartaal.

Pas role-based access control (RBAC) toe

GDAP maakt gebruik van ingebouwde Microsoft Entra-rollen. U brengt granulariteit dus aan met beveiligingsgroepen en niet met aangepaste rollen. Maak een beveiligingsgroep aan voor elk technicusniveau of elke workload (zoals helpdesk, Intune of Exchange) en koppel elke groep aan de minst bevoorrechte ingebouwde rollen voor dat werk. Microsoft publiceert per beheertaak de rol met het minste voorrecht. Dat is een goed vertrekpunt voor uw baseline.

Microsoft raadt ook aan om technici uit de rol Admin agent te halen en ze uitsluitend in GDAP-beveiligingsgroepen te plaatsen. Zo kunnen ze services beheren zonder de abonnementen van de klant te beheren. Vermijd Global Administrator waar mogelijk en vraag deze rol, als een taak die toch vereist, aan als tijdgebonden rol.

Delegeren met templates en vervalbeleid

Bepaal vooraf hoelang gedelegeerde sessies mogen duren en gebruik GDAP-templates in Lighthouse om toegangsconfiguraties te standaardiseren.

Een GDAP-relatie kan maximaal twee jaar duren en alle rollen binnen een relatie hebben dezelfde vervaldatum. Wilt u verschillende taken een verschillende duur geven, maak dan aparte GDAP-relaties aan: bijvoorbeeld een korte relatie voor projectwerk en een langere voor rollen in de dagelijkse ondersteuning. Schakel automatische verlenging in om een relatie telkens met 180 dagen te verlengen totdat u die optie uitzet.

Automatische verlenging inschakelen voor een actieve relatie vereist geen nieuwe toestemming van de klant, maar is niet beschikbaar voor relaties met de rol Global Administrator. Houd die rol daarom in een aparte, kortlopende relatie. Een verzoek waar de klant niets mee doet, vervalt na 90 dagen.

Voeg voor rollen met hoge rechten JIT-toegang toe. Lighthouse kan een JIT-access policy aanmaken voor een beveiligingsgroep, waarvoor een Microsoft Entra ID P2-licentie nodig is. Technici vragen de rol dan alleen aan wanneer ze die nodig hebben en behouden die alleen gedurende het goedgekeurde tijdvenster.

Automatiseer het bijhouden en de governance

Houd het overzicht over alle verzoeken om gedelegeerde toegang en alle sessies door deze gegevens via Microsoft Graph of PowerShell naar CSV te exporteren. Vervolgens maakt u dashboardweergaven voor al uw tenants en gedelegeerde rollen, inclusief machtigingen en datums. Op basis van deze gegevens kunt u ook geautomatiseerde notificaties instellen, zodat u een melding krijgt wanneer een GDAP-koppeling binnenkort verloopt en moet worden verlengd.

Dit soort aangepaste automatiseringen realiseert u met een tool voor monitoring en beheer op afstand (RMM) die integreert met Microsoft 365 en aangepaste scripts, dashboards en meldingen ondersteunt.

Evalueer en controleer uw delegated access model regelmatig

Evalueer uw GDAP-model regelmatig en controleer per gedelegeerde rol of relatie het volgende:

• Of elke rol en relatie nog in gebruik is
• Of elke rol aansluit op een actuele scope of work
• Of alles is vastgelegd en beoordeeld door de betrokken stakeholders

Ongebruikte of verouderde relaties verwijdert u proactief. U kunt de evaluatie van uw GDAP-strategie uitvoeren als onderdeel van de quarterly business reviews (QBR’s) die uw MSP met klanten houdt.

Hoe NinjaOne aansluit op GDAP

Het beveiligen van multi-tenant omgevingen vraagt om volledig overzicht van alle gedelegeerde rechten en om de zekerheid dat gedelegeerde toegang niet als aanvalsvector kan worden misbruikt. Dat lukt het beste met granulaire, afgebakende machtigingen volgens PoLP, gecombineerd met tijdslimieten.

GDAP bepaalt wie de Microsoft 365-tenant van een klant mag beheren. NinjaOne RMM dekt de andere kant van het klantbeheer af en geeft MSP’s één portaal om de endpoints in elke klantomgeving te monitoren, te patchen en te beveiligen. Door beide te gebruiken, beperkt GDAP de toegang op tenantniveau tot de rollen en tijdvensters die elke klant heeft goedgekeurd, terwijl het NinjaOne-platform het werk op deviceniveau zichtbaar en consistent houdt bij alle klanten. NinjaOne integreert daarnaast met CrowdStrike, dat de detectie van dreigingen verzorgt.

Met een doordachte, gestructureerde aanpak van gedelegeerde toegang in Microsoft 365 behoudt en versterkt u het vertrouwen van klanten en zorgt u ervoor dat beheersessies alleen voor hun beoogde doel worden gebruikt.