Zo laat u tijdelijke toegang voor adminaccounts in Microsoft 365 automatisch verlopen

Het beheren van adminaccounts vraagt om een zorgvuldige balans tussen beveiliging en UX. Tijdelijke admintoegang in Entra past bijvoorbeeld soms alleen bij bepaalde segmenten of workflows, waarin adminrechten niet altijd nodig blijken. Wilt u deze opzet doorvoeren, bekijk dan deze uitgebreide handleiding.

Methoden om tijdelijke toegang in Microsoft 365 te automatiseren

Gebruik de tabel om de gewenste activeringsstappen te kiezen en er snel naartoe te navigeren.

📌 Vereisten:

• Microsoft Entra ID P2 of Microsoft Entra Suite (nodig voor PIM)
• PowerShell 7+ met de module Microsoft.Graph (Microsoft Graph PowerShell SDK)
• Adminrechten om directoryrollen toe te wijzen
• [Optioneel] GPO of registertagging voor lokale statuslogging
• [Optioneel] NinjaOne RMM voor het uitrollen van scripts, registerscans of notificaties

👉 Let op: sommige stappen kunnen afwijken, afhankelijk van de standaardinstellingen van het systeem of de actieve instellingen.

💡 Tip: bekijk het gedeelte Waar u op moet letten voor tips over het beheersen van mogelijke risico’s.

Methode 1: gebruik Microsoft Entra Privileged Identity Management (PIM)

Deze methode is ideaal voor organisaties met Entra ID P2/PIM die tijdelijke toegang willen verlenen die automatisch verloopt.

1. Dit is het script om een eligible rol toe te wijzen in plaats van een actieve rol:

Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory","Directory.ReadWrite.All"

2. Zo haalt u vervolgens de eligible gebruikers-ID en rol-ID op:

$user = Get-MgUser -UserPrincipalName "[email protected]"

$role =Get-MgRoleManagementDirectoryRoleDefinition | Where-Object {$_.DisplayName -eq "Global

Administrator"}

3. Als de gebruiker inactief is:

New-MgRoleManagementDirectoryRoleEligibilityScheduleRequest `

-PrincipalId $user.Id `

-RoleDefinitionId $roleDef.Id `

-DirectoryScopeId "/" `

-Action "AdminAssign" `

-ScheduleInfo @{startDateTime = (Get-Date); expiration =

@{type="AfterDuration"; duration="PT2H"}}

Zo krijgt de gebruiker slechts 2 uur toegang en verloopt die daarna automatisch.

Methode 2: rolactivering en vervaltijd automatiseren met een PowerShell-script

PowerShell-scripts zijn flexibel en kunnen via een RMM worden ingezet voor uitrol met één klik of voor automatisering. Dit is het bijbehorende script:

Start-MgRoleManagementDirectoryRoleAssignmentScheduleRequest `

-Action "SelfActivate" `

-PrincipalId $user.Id `

-RoleDefinitionId $role.Id `

-DirectoryScopeId "/" `

-ScheduleInfo @{

startDateTime = (Get-Date);

expiration = @{

type = "AfterDuration";

duration = "PT1H"

}

}

Er wordt een activeringsverzoek ingediend op basis van de bestaande eligibility, waarna PIM een toewijzing met tijdslimiet afdwingt voor eligible gebruikers. Dit script beëindigt de verhoogde toegang ook na een vastgestelde duur.

Tips voor het loggen en controleren van verzoeken om tijdelijke admintoegang

De volgende acties helpen bij het afdwingen en loggen van tijdelijk verhoogde rechten.

Status van admintoegang opslaan in het register

U kunt de bijbehorende registersleutels via PowerShell volgen om te controleren of de uitrol is gelukt. Voer het volgende script uit met beheerdersrechten:

New-Item -Path "HKLM:\SOFTWARE\Org\AdminAccessAudit" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\AdminAccessAudit" -Name

"LastAdminGranted" -Value (Get-Date).ToString("u")

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\AdminAccessAudit" -Name

"ExpiresAt" -Value ((Get-Date).AddHours(1)).ToString("u")

💡 Tip: daarnaast kunt u registerwaarden controleren met reg query HKLM\SOFTWARE\Org\AdminAccessAudit in een opdrachtprompt met verhoogde rechten.

Actieve admintoegang monitoren of intrekken via een script

Voor onmiddellijke handhaving kunt u PowerShell gebruiken om actieve toewijzingen op te sommen en ze na een vastgestelde toegangsperiode te verwijderen:

$assignments =

Get-MgRoleManagementDirectoryRoleAssignmentScheduleInstance

foreach ($a in $assignments) {

if ($a.StartDateTime -lt (Get-Date).AddHours(-1)) {

Remove-MgRoleManagementDirectoryRoleAssignmentScheduleInstance

-RoleAssignmentScheduleInstanceId $a.Id

}

}

Dit kunt u inplannen via Taakplanner of automatiseren met een NinjaOne-beleid.

Groepsbeleid gebruiken voor eventlogging en handhaving

Groepsbeleid kan het verlopen van tijdelijke toegang niet rechtstreeks automatiseren, maar u kunt het wel inzetten voor auditlogging en het detecteren van toegangsverzoeken en wijzigingen.

Zo vult het PIM aan:

• Schakelt gedetailleerde auditing in van aan- en afmelden, bevoegdheidsgebruik en het beheer van beveiligingsgroepen.
• Rolt een geplande taak uit die uw intrekkings- of monitoringscript periodiek uitvoert.
• Start scripts op basis van event-ID’s (bijvoorbeeld een wijziging in de lokale adminsgroep) voor directe remediatie of logging.

Daarnaast kunt u interactief aanmelden beperken tot standaardgebruikers en het lidmaatschap van de lokale groep Administrators beheren via GPO/Beperkte groepen.

⚠️ Waar u op moet letten bij het automatiseren van profieltoewijzingen in Intune

Hieronder staan veelvoorkomende risico’s, hun mogelijke gevolgen en praktische manieren om problemen terug te draaien of te voorkomen.

Zoals altijd bij access policies is het verstandig om configuraties te testen en valideren in een gecontroleerde omgeving of segment. Ook de duur van tijdelijke toegang verdient aandacht, want sommige workflows vragen om een langere of juist kortere vervaltijd.

Gebruik NinjaOne om beleid voor tijdelijke toegang te versterken

Access policies zijn cruciaal voor IT- en bedrijfsprocessen. Daarom is automatisering zo waardevol: het zorgt voor efficiënte workflows, minder vertraging en controleerbare sporen voor risicobeheer en compliance. NinjaOne helpt u hierbij en biedt mogelijkheden om:

• Scripts uit te rollen die tijdelijke roltoegang starten of intrekken
• Registersleutels uit te lezen om admintoegang tot Windows te valideren
• Notificaties te versturen wanneer apparaten te lang adminrechten hebben
• Gebeurtenissen rond bevoegdheidsverhoging te loggen voor auditcontroles
• Endpoints te taggen op risico van adminblootstelling of dekking door escalatiebeleid

Met NinjaOne RMM® kunnen MSP’s zero-standing access policies efficiënter en consistenter afdwingen, zeker in omgevingen die opschalen, dankzij automatisering, inzicht en controle.

Beste praktijken voor het automatiseren van profieltoewijzing in Intune

Credential management vraagt om een gelaagde aanpak om beveiliging en flexibiliteit voor alle betrokkenen goed in balans te brengen. Enerzijds kan verhoogde toegang belangrijk zijn voor uiteenlopende IT- en productieworkflows. Anderzijds kunnen bevoegdheden worden misbruikt als er geen strikt implementatie- en controlebeleid is. Tijdelijke toegang biedt daarom een betrouwbare waarborg: kritieke taken blijven mogelijk en de risico’s blijven beperkt.

Gerelateerde onderwerpen:

• Voor- en nadelen van Microsoft Azure: Active Directory
• Wat is credential management? Definitie en beste praktijken