Zo implementeert u Just-in-Time-toegang voor Azure AD-beheerdersrollen

Just-in-Time (JIT) administratieve toegang in Azure AD geeft u de mogelijkheid om verhoogde rechten toe te kennen voor het uitvoeren van administratieve taken gedurende een beperkte periode. Dat is nuttig voor interne IT-teams en MSP’s, omdat het risico afneemt dat accounts met te veel rechten worden misbruikt bij cyberaanvallen.

Deze gids behandelt administratieve JIT-toegang in Azure en beschrijft de stappen om tijdgebonden administratieve toegang in te richten met Microsoft Entra ID Privileged Identity Management (PIM), via het Entra-beheercentrum, PowerShell en het register of Groepsbeleid voor de handhaving.

De belangrijkste doelen van JIT-toegang in Azure

Permanente beheerderstoegang, dus gebruikersaccounts met blijvende administratieve rechten, is een veelgebruikte aanvalsroute. Minder van deze accounts met hoge rechten betekent een kleiner aanvalsoppervlak, omdat van minder accounts de referenties kunnen uitlekken of sessies kunnen worden gekaapt. Zo wordt uw IT-infrastructuur veiliger en beter compliant.

Tijdgebonden verhoging van rechten beschermt hiertegen door gebruikers pas administratieve rechten te geven na goedkeuring en multifactorauthenticatie. Zodra de taak klaar is, vervallen de administratieve rechten van de gebruiker. Het account kan dan niet meer worden gebruikt voor een aanval of andere ongeoorloofde administratieve activiteiten.

De doelen bij het configureren van JIT-toegang in Azure met Microsoft Entra Privileged Identity Management zijn onder meer: zo min mogelijk permanente beheerdersrechten, een verplichte motivering en MFA-goedkeuring vóór verhoging, controle op alle administratieve activiteiten en het automatisch intrekken van administratieve rechten. Gebruik JIT-toegang ook naast andere beste praktijken op beveiligingsgebied, zoals voorwaardelijke toegang en notificaties.

Vereisten voor het gebruik van Microsoft Entra ID Privileged Identity Management

Om PIM te gebruiken, hebt u het volgende nodig:

1. Een Azure AD Premium P2-licentie (vereist voor PIM)
2. Rechten als globale beheerder of beheerder van bevoorrechte rollen om PIM te configureren
3. Het Microsoft Entra ID-beheercentrum of PowerShell voor de configuratie
4. Optioneel een SIEM- of RMM-platform voor monitoring, notificaties en het uitrollen van configuraties
5. Windows-endpoints die zijn ingeschreven in Intune of worden bewaakt via RMM voor beleidshandhaving

PIM inschakelen en in aanmerking komende rollen toewijzen in het Microsoft Entra ID-beheercentrum

Om te beginnen moet u PIM inschakelen en rollen toewijzen in het Microsoft Entra ID-beheercentrum:

1. Ga naar het Microsoft Entra-beheercentrum.
2. Ga naar Identiteitsbeheer > Privileged Identity Management.
3. Selecteer Microsoft Entra-rollen.
4. Kies een rol (bijvoorbeeld globale beheerder of Exchange-beheerder).
5. Klik op Toewijzingen toevoegen.
6. Stel de gebruiker in als “In aanmerking komend” voor tijdgebonden rechten.
7. Bepaal het bereik (bijvoorbeeld tenantbreed of een specifieke resource).
8. Configureer de rolinstellingen apart om de activeringsduur te bepalen (bijvoorbeeld 1–24 uur).
9. Schakel waar nodig Goedkeuring vereisen en MFA vereisen in bij de activeringsinstellingen.

Gebruikers moeten rollen expliciet activeren en hun toegang verloopt automatisch. Het is aan te raden goedkeuring en MFA te verplichten voor de beste beveiliging.

Beleid voor rolactivering configureren

Binnen PIM configureert u het beleid dat bepaalt hoe rollen worden geactiveerd. Dat beleid omvat:

• Of MFA vereist is
• Of een motivering vereist is
• Of goedkeuring vereist is (u kunt daarnaast aangeven welke gebruikers goedkeuringen mogen geven)
• De activeringsduur (bijvoorbeeld 1–8 uur)
• Instellingen voor meldingen

U configureert dit in het Entra-beheercentrum door een rol te selecteren en vervolgens naar Instellingen > Rolinstellingen te gaan
Het verplichten van ticketnummers of case-ID’s als motivering is gangbaar. Alle configuratiewijzigingen zijn controleerbaar in de Entra-logboeken.

JIT-toewijzingen beheren met PowerShell

U kunt ook Microsoft Graph of de Azure AD PowerShell-module gebruiken om rollen programmatisch toe te wijzen. Dat is ideaal voor integratie met supportaanvragen of geautomatiseerde ticketworkflows die toegang met een beperkt bereik verlenen.

1. Maak hiervoor verbinding met Microsoft Graph via de opdracht:

Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"

2. Vraag daarna de rollen en rol-ID’s op:

Get-MgRoleManagementDirectoryRoleDefinition

3. Voer het volgende uit om een tijdgebonden roltoewijzing voor een gebruiker aan te maken:

$params = @{
Action = "adminAssign"
PrincipalId = $userId
RoleDefinitionId = $roleId
DirectoryScopeId = "/"
Justification = "Granting temporary access"
ScheduleInfo = @{
StartDateTime = (Get-Date).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
Expiration = @{
Type = "AfterDuration"
Duration = "PT4H" # ISO 8601 format for 4 hours
}
}
}
New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params

4. Activeer de rol handmatig via de Microsoft Entra-portal (optioneel).

Handhaving via register en Groepsbeleid voor afstemming van lokaal beleid

Hoewel JIT cloud-based is, moeten lokale systemen worden ingericht volgens het principe van minste voorrecht en moet er controle plaatsvinden.

Zo kunt u het Groepsbeleidsobject (GPO) onder Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Lokaal beleid > Toewijzing van gebruikersrechten gebruiken om voor bepaalde gebruikers of groepen Toegang tot deze computer vanaf het netwerk weigeren in te stellen. Deze instelling verhindert dat die accounts het recht op netwerkaanmelding gebruiken, maar blokkeert niet elke vorm van verbinding op afstand.

Ook het Windows-register kunt u gebruiken om verscherpte standaardinstellingen voor het verhogen van rechten af te dwingen, zoals het verplichten van UAC-prompts. Bijvoorbeeld:

• EnableLUA = 1 zorgt ervoor dat Gebruikersaccountbeheer (UAC) is ingeschakeld.
• ConsentPromptBehaviorAdmin = 1 stelt UAC zo in dat beheerders in de modus voor beheerdersgoedkeuring om toestemming wordt gevraagd bij bewerkingen waarvoor verhoogde rechten nodig zijn. Dat betekent echter niet dat elke administratieve handeling altijd een prompt oplevert. Het geldt specifiek voor situaties waarin rechten worden verhoogd.

Deze configuraties versterken uw lokale beveiligingsbeleid. Ze dwingen echter geen MFA af en voorkomen ook geen omzeiling van MFA. Handhaving van MFA regelt u altijd via platforms zoals Microsoft Entra ID.

Controle en notificaties voor JIT-activiteit

Gebruik audittrails om rolactivering en toegangsgedrag te volgen.

Hieronder staat een voorbeeld van een PowerShell-query waarmee u vermeldingen uit de audittrail ophaalt:

Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-24) -EndDate (Get-Date) -Operations "Add member to role" | Select-Object CreationDate, UserIds, Operations, AuditData

Filter in de Microsoft Entra-auditlogboeken op de bewerkingen “Add member to role” en “Update role assignment” om activeringsgebeurtenissen te volgen. Bewaakt u ook een on-premises Active Directory, dan zijn Event ID’s 4670 en 4688 daar nuttig. Ze leggen echter geen rolactiveringen van cloud-based Entra ID PIM vast.

Vervolgens kunt u deze logboeken naar uw RMM of SIEM sturen voor notificaties en rapportage.

Gebruik log analytics of een SIEM om te waarschuwen bij veelvuldige activeringen, rolverhogingen buiten de verwachte uren en mislukte of herhaalde verzoeken om verhoging.

Aanvullende aandachtspunten voor JIT en PIM

Bij het configureren van JIT-toegang in Azure met PIM moet u ook rekening houden met uw workflows en gebruikersrollen: kies zorgvuldig wie verzoeken om verhoging mag goedkeuren en zorg dat die personen de gevolgen van elk verzoek volledig begrijpen. Maak daarnaast aangepaste rollen met een beperkt bereik aan, vermijd globale beheerdersaccounts en houd het principe van minste voorrecht aan.

Beoordeel rollen regelmatig en verwijder rollen die niet langer nodig zijn. Neem het opschonen van rollen en toewijzingen op in uw procedures voor onboarding en offboarding van medewerkers.

Problemen met Just-in-Time-toegang in Azure oplossen

Werkt uw JIT-implementatie in Azure niet zoals verwacht, controleer dan in elk geval het volgende:

1. Rol kan niet worden toegewezen: controleer of de gebruiker niet al actief is of via een groep is toegewezen
2. Activering geweigerd: controleer of MFA of het motiveringsveld ontbreekt
3. Fouten in de Graph API: controleer de vereiste machtigingen en het bereik bij de tokenaanvraag
4. Lokale gebruikers kunnen beperkingen omzeilen: controleer of de GPO- en registerbeperkingen zijn ingesteld om verhoging via lokale beheerdersaccounts te voorkomen

NinjaOne RMM biedt meer inzicht in en controle over uw volledige IT-infrastructuur en endpoints

Microsoft Entra ID Privileged Identity Management biedt een complete oplossing voor administratieve JIT-verhoging die op cloudniveau wordt afgedwongen. U kunt de beveiliging van deze functionaliteit uitbreiden met NinjaOne RMM en zo op één plek volledig inzicht krijgen in al uw apparaten, services en gebruikersactiviteit en het uitrollen van configuraties op alle apparaten automatiseren.

Het MSP- en UEM-platform van NinjaOne biedt tools om scripts af te dwingen en register- of GPO-beleid uit te rollen. Daarnaast ondersteunt het de monitoring van logbestanden en Windows-gebeurtenissen voor volledige controlemogelijkheden, inclusief verhogingen van rechten. Het platform bevat ook rapportage en compliance-logging, zodat u PIM-activeringen kunt koppelen aan activiteit op endpoints en kunt vaststellen dat administratieve verhoging geautoriseerd is en verantwoord wordt gebruikt.

NinjaOne biedt verder automatiseringstools die gebruikersaccounts kunnen deactiveren bij verdachte activiteit, getroffen systemen kunnen isoleren en tickets kunnen escaleren naar de juiste belanghebbende of herstelscripts kunnen uitvoeren. Zo kunt u uw respons op beveiligingsincidenten veel beter automatiseren.