MFA-uitzonderingen over meerdere tenants monitoren zonder de controle te verliezen

Multi-Factor Authentication (MFA) is een van de pijlers van identity security, maar uitzonderingen – soms nu eenmaal nodig – kunnen uitgroeien tot stille risico’s zodra niemand ze volgt, zeker over meerdere tenants heen. Zonder een duidelijke manier om MFA-uitzonderingen te monitoren worden die uitsluitingen na verloop van tijd hardnekkige beveiligingsgaten.

Deze gids beschrijft een governance-laag die MSP’s rond hun bestaande identity-tools kunnen bouwen om die blinde vlekken te dichten en meer grip te houden over alle tenants.

Liever eerst een visuele uitleg? Bekijk MFA-uitzonderingen over meerdere tenants monitoren zonder de controle te verliezen voor een stapsgewijze tutorial.

Kerncomponenten en methoden

Elke MFA-uitzondering is een mogelijke zwakke schakel. Het doel is die risico’s onder controle te krijgen voordat ze uit de hand lopen. Hieronder vindt u een gestructureerd kader om MFA-uitzonderingen te herkennen, af te dwingen en te beheren zonder de controle te verliezen.

A. Bepaal categorieën en gebruikscriteria voor MFA-uitzonderingen

Voordat u iets kunt monitoren of afdwingen, moet u vastleggen wat als uitzondering telt en onder welke voorwaarden die is toegestaan. Veelvoorkomende typen uitzonderingen zijn:

Break-glass-accounts voor noodgevallen

Alleen bedoeld voor storingen of lock-outs. Deze accounts omzeilen MFA om noodtoegang te bieden.

Connectors of integraties voor legacy-applicaties

Oudere applicaties die moderne authenticatieprotocollen niet ondersteunen. Daarvoor zijn soms tijdelijke MFA-uitsluitingen nodig.

Administratieve uitsluitingen tijdens een migratie

Tijdelijke uitsluitingen voor beheerders die bulkbewerkingen of tenantovergangen uitvoeren.

Externe vertrouwde gastidentiteiten

Gastgebruikers uit vertrouwde externe tenants, waarbij MFA wordt afgedwongen door hun eigen IdP (Identity Provider).

Tip: wijs per type aan wie goedkeuring mag geven en stel een tijdslimiet of beoordelingscyclus in. Zo voorkomt u langlopende uitzonderingen.

B. Spoor uitzonderingen op met Microsoft Entra Workbooks

Zodra de typen uitzonderingen vaststaan is zicht de volgende stap: waar bestaan er eigenlijk uitzonderingen?

Gebruik de MFA Gaps Workbook om:

• Accounts op te sporen die resources benaderen zonder MFA.
• Gaten in Conditional Access, beveiligingsstandaarden en MFA-instellingen op gebruikersniveau inzichtelijk te maken.
• Dit per tenant uit te voeren en zo inconsistente handhaving boven water te krijgen.

C. Pas Conditional Access-beleid met een strakke reikwijdte toe

Nu u de uitzonderingen in beeld hebt, is het tijd om ze af te dwingen. Gebruik de uitsluitingen in Conditional Access van Microsoft Entra heel gericht. Een aantal praktijken die u kunt overnemen:

• Gebruik regels met “specifieke gebruikers uitsluiten” zo min mogelijk.
• Sta uitsluitingen alleen toe voor break-glass-accounts of goedgekeurde legacy-applicaties.
• Vereis bevoorrechte authenticatie op een beveiligde werkplek voor uitgesloten gebruikers.

D. Monitor de MFA-status programmatisch

Handmatig bijhouden schaalt niet en is foutgevoelig. Zet automatisering in om de MFA-compliance van gebruikers en tenants te bewaken. Enkele tools die u daarvoor kunt gebruiken:

Microsoft Graph API

Connect-MgGraph -Scopes "User.Read.All" Get-MgUserAuthenticationMethod -UserId "[email protected]" | Select-Object Id, @{Name="MethodType";Expression={$_.AdditionalProperties["@odata.type"]}}

Let op: vervang “[email protected]” door het daadwerkelijke e-mailadres van de gebruiker die u wilt controleren.

Deze opdracht laat zien welke authenticatiemethoden een gebruiker heeft ingesteld. Zo bevestigt u eenvoudiger of MFA correct is geconfigureerd en actief is.

PowerShell-scripts

Haal per gebruiker de actuele MFA-registratie- en handhavingsstatus op. Dat ondersteunt een bredere audit van wie wel en wie niet voldoet.

E. Automatiseer het uitlezen van uitzonderingen over meerdere tenants

Zodra u meerdere tenants beheert, worden handmatige controles al snel onwerkbaar. Automatiseer daarom het verzamelen van Conditional Access-beleid dat gebruikers uitsluit (MFA-uitzonderingen) in één rapport.

Hieronder vindt u een PowerShell-script dat u kunt gebruiken. Het maakt verbinding met elke tenant, zoekt beleid met uitsluitingen op, zet gebruikers-ID’s om in namen en exporteert alles naar een CSV-bestand ter beoordeling.

Vereisten:

• De Microsoft Graph PowerShell SDK is geïnstalleerd.
• Gedelegeerde scopes met beheerderstoestemming: Policy.Read.All en Directory.Read.All.
• Uw account moet toegang hebben tot elke tenant.
• Echte Tenant ID’s (GUID’s) voor elke tenant die u scant.

$TenantIds = @( "00000000-0000-0000-0000-000000000000", "11111111-1111-1111-1111-111111111111" )$all = foreach ($tid in $TenantIds) { Connect-MgGraph -TenantId $tid -Scopes "Policy.Read.All","Directory.Read.All" | Out-Null Get-MgIdentityConditionalAccessPolicy -All | Where-Object { $_.Conditions.Users.ExcludeUsers.Count -gt 0 } | ForEach-Object { $p = $_ foreach ($id in $p.Conditions.Users.ExcludeUsers) { $u = Get-MgUser -UserId $id -Property UserPrincipalName,DisplayName -ErrorAction SilentlyContinue [pscustomobject]@{ TenantId = $tid PolicyName = $p.DisplayName PolicyId = $p.Id ExcludedUserId = $id ExcludedUPN = $u.UserPrincipalName ExcludedDisplayName = $u.DisplayName } } } Disconnect-MgGraph | Out-Null }$all | Format-Table -AutoSize $all | Export-Csv ".\CA_Exclusions_Multi_$(Get-Date -Format yyyy-MM-dd_HHmm).csv" -NoTypeInformation -Encoding UTF8

Opmerkingen:

• Vervang de voorbeeld-GUID’s in $TenantIds door uw eigen Tenant ID’s. U vindt ze onder Entra ID > Tenanteigenschappen of door het volgende uit te voeren:
  • Get-MgOrganization | Select Id, DisplayName
• Blijven de velden UPN of DisplayName leeg, dan is de gebruiker mogelijk verwijderd of heeft uw account geen leesrechten in die tenant.
• De geëxporteerde CSV bevat TenantId, PolicyName, PolicyId, ExcludedUserId, ExcludedUPN en ExcludedDisplayName voor audit en beoordeling.

Met dit script hebt u alle risicovolle MFA-uitzonderingen van alle tenants op één plek in beeld. Patronen vallen daardoor meteen op en u kunt snel opvolgen.

Beheert u de endpoints van uw klanten al in NinjaOne, dan kunt u dit script inplannen via de scriptbibliotheek van NinjaOne, zodat het automatisch over alle tenants draait in plaats van handmatig gestart te worden.

F. Stel een beoordelings- en rotatieschema op

Zorg dat tijdelijke uitsluitingen geen langdurige kwetsbaarheden worden door een vast beoordelingsritme af te spreken.

Wat u kunt doen

• Plan maandelijkse of driemaandelijkse beoordelingen.
• Laat uitzonderingen automatisch verlopen of stuur een notificatie bij een naderende vervaldatum.
• Vereis een nieuwe goedkeuring bij verlenging.

Tip: gebruik Microsoft Planner of Power Automate voor herinneringen.

G. Houd een centraal governance-register bij

Leg tot slot alles vast in één gezaghebbend logboek, zodat alles controleerbaar blijft en verantwoording mogelijk is.

Wat u vastlegt

• Naam van de tenant
• Uitgesloten gebruikers
• Titel van het beleid
• Datum van toevoeging
• Vervaldatum/beoordelingsdatum
• Opmerkingen van de beoordelaar

Tip: bewaar dit op een beveiligde, met uw PSA geïntegreerde of M365-locatie voor doorlopende compliance-monitoring.

Staat uw klantdocumentatie al in NinjaOne, dan kan dit register daar ook terecht. Zo hangt het aan dezelfde registraties die u toch al bijhoudt.

Overzichtstabel met beste praktijken

Elk onderdeel van het kader hierboven heeft een eigen rol in het beheersbaar en verantwoord houden van MFA-uitzonderingen. De tabel hieronder laat zien waar elk element voor dient en wat het oplevert. Gebruik dit als snelle referentie:

Onderdeel	Doel/waarde
Categorieën van MFA-uitzonderingen	Maakt bedoeling en reikwijdte van uitsluitingen duidelijk
MFA Gaps-workbook	Legt zwakke handhaving bij identiteiten bloot
Gerichte Conditional Access	Beperkt het risico met nauw afgebakende uitsluitingen
Audits via de Graph API	Maakt analyse van de handhaving per gebruiker mogelijk
Scriptmatige audits over meerdere tenants	Schaalt de rapportage van uitzonderingen naar alle beheerde klanten
Vast beoordelingsritme	Verkleint blinde vlekken en risico’s van verlopen toegang
Governance-register	Zorgt voor auditbereidheid en verantwoording

Voorbeeld van een automatiseringsmoment

Tijd om het kader tot leven te brengen. Dit onderdeel beschrijft een herhaalbare workflow om MFA-uitzonderingen met automatisering te beoordelen. Gebruik het als referentie bij de uitvoering.

Workflow voor het beoordelen van MFA-uitzonderingen

1. Gebruik de Microsoft Entra MFA Gaps-workbook elke maand.

Spoor niet-geauthenticeerde of van MFA uitgezonderde logins op. Dat is vaak het eerste signaal dat er iets beoordeeld moet worden.

2. Voer een PowerShell-script uit om de uitsluitingen in Conditional Access-beleid bij al uw klanten op te halen.

Haal actuele gegevens op over wie er van MFA-handhaving is uitgesloten.

3. Beoordeel de onderbouwing van elke uitzondering in het governance-register.

Toets uitsluitingen aan de gedocumenteerde goedkeuringen.

4. Laat ongebruikte uitzonderingen automatisch een notificatie geven of verlopen via een script of beleid.

Dat dwingt opschonen af en beperkt langlopende uitzonderingen.

5. Deel uw bevindingen tijdens de QBR’s met klanten als onderdeel van de beoordeling van identiteitsrisico’s.

Dat maakt uw rapportage transparanter en beter verantwoord.

Monitor MFA-uitzonderingen om risico’s en blinde vlekken te beperken

MFA-uitzonderingen zijn soms nodig, maar ze mogen nooit onopgemerkt blijven. Wie hun doel en risico’s kent, ziet meteen hoe belangrijk het is om ze te volgen. Deze gids beschreef de kerncomponenten en methoden daarvoor, plus beste praktijken, workflows en de manier waarop NinjaOne automatisering en governance ondersteunt.

Door gebruiksbeleid vast te leggen, detectie te automatiseren en beoordelingen van uitzonderingen af te dwingen, houden MSP’s de beveiliging op orde zonder legitieme workflows te blokkeren.

Gerelateerde onderwerpen:

• Wat is Multi-Factor Authentication (MFA)?
• Zo stelt u Multi-Factor Authentication (MFA) in Office 365 in
• Wat is twee-factor-authenticatie (2FA)?