{"id":941385,"date":"2026-11-13T18:01:42","date_gmt":"2026-11-13T18:01:42","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/just-in-time-toegang-azure-ad-beheerders\/"},"modified":"2026-11-13T18:01:43","modified_gmt":"2026-11-13T18:01:43","slug":"just-in-time-toegang-azure-ad-beheerders","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/nl\/blog\/just-in-time-toegang-azure-ad-beheerders\/","title":{"rendered":"Zo implementeert u Just-in-Time-toegang voor Azure AD-beheerdersrollen"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Belangrijkste punten<\/h2>\n<ul>\n<li><b>PIM instellen in het Entra-beheercentrum:<\/b> schakel PIM in, wijs rollen toe als In aanmerking komend, configureer de activeringsduur, verplicht MFA en goedkeuring en bepaal het bereik voor beheerst rechtenbeheer.<\/li>\n<li><b>Beleid voor rolactivering:<\/b> leg MFA, motivering, goedkeuringsvereisten, activeringsduur en meldingsinstellingen vast, zodat alle wijzigingen controleerbaar zijn in de Entra-logboeken.<\/li>\n<li><b>PowerShell-integratie voor JIT-toegang:<\/b> gebruik Microsoft Graph of de Azure AD PowerShell-module om tijdgebonden roltoewijzingen te automatiseren en te koppelen aan workflows voor tickets of supportaanvragen.<\/li>\n<li><b>Lokale handhaving via register en GPO:<\/b> configureer Groepsbeleid en registerinstellingen om het principe van minste voorrecht af te dwingen, onnodige toegang te weigeren en UAC-prompts te verplichten bij taken met verhoogde rechten.<\/li>\n<li><b>Controle en notificaties:<\/b> gebruik audittrails en SIEM-tools om rolactiveringen te volgen, verdacht gebruik van rechten te signaleren en te waarschuwen bij ongebruikelijke JIT-activiteit of mislukte MFA-pogingen.<\/li>\n<\/ul>\n<\/div>\n<p><strong>Just-in-Time (JIT) administratieve toegang in Azure AD<\/strong> geeft u de mogelijkheid om verhoogde rechten toe te kennen voor het uitvoeren van administratieve taken gedurende een beperkte periode. Dat is nuttig voor interne IT-teams en MSP\u2019s, omdat het risico afneemt dat accounts met te veel rechten worden misbruikt bij cyberaanvallen.<\/p>\n<p>Deze gids behandelt administratieve JIT-toegang in Azure en beschrijft de stappen om tijdgebonden administratieve toegang in te richten met Microsoft Entra ID Privileged Identity Management (PIM), via het Entra-beheercentrum, PowerShell en het register of Groepsbeleid voor de handhaving.<\/p>\n<h2>De belangrijkste doelen van JIT-toegang in Azure<\/h2>\n<p>Permanente beheerderstoegang, dus gebruikersaccounts met blijvende administratieve rechten, is een veelgebruikte aanvalsroute. Minder van deze accounts met hoge rechten betekent een kleiner aanvalsoppervlak, omdat van minder accounts de referenties kunnen uitlekken of sessies kunnen worden gekaapt. Zo wordt uw IT-infrastructuur veiliger en beter compliant.<\/p>\n<p>Tijdgebonden verhoging van rechten beschermt hiertegen door gebruikers pas administratieve rechten te geven na goedkeuring en <a href=\"https:\/\/www.ninjaone.com\/blog\/how-to-set-up-mfa-in-office-365\/\">multifactorauthenticatie<\/a>. Zodra de taak klaar is, vervallen de administratieve rechten van de gebruiker. Het account kan dan niet meer worden gebruikt voor een aanval of andere ongeoorloofde administratieve activiteiten.<\/p>\n<p>De doelen bij het configureren van JIT-toegang in Azure met <a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/id-governance\/privileged-identity-management\/pim-configure\" target=\"_blank\" rel=\"noopener\">Microsoft Entra Privileged Identity Management<\/a> zijn onder meer: zo min mogelijk permanente beheerdersrechten, een verplichte motivering en MFA-goedkeuring v\u00f3\u00f3r verhoging, controle op alle administratieve activiteiten en het automatisch intrekken van administratieve rechten. Gebruik JIT-toegang ook naast andere beste praktijken op beveiligingsgebied, zoals <a href=\"https:\/\/www.ninjaone.com\/blog\/configure-conditional-access-policies-ad\/\">voorwaardelijke toegang<\/a> en notificaties.<\/p>\n<h2>Vereisten voor het gebruik van Microsoft Entra ID Privileged Identity Management<\/h2>\n<p>Om PIM te gebruiken, hebt u het volgende nodig:<\/p>\n<ol>\n<li>Een Azure AD Premium P2-licentie (vereist voor PIM)<\/li>\n<li>Rechten als globale beheerder of beheerder van bevoorrechte rollen om PIM te configureren<\/li>\n<li>Het Microsoft Entra ID-beheercentrum of PowerShell voor de configuratie<\/li>\n<li>Optioneel een SIEM- of <a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/wat-is-rmm-software\/\">RMM<\/a>-platform voor monitoring, notificaties en het uitrollen van configuraties<\/li>\n<li>Windows-endpoints die zijn ingeschreven in <a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/microsoft-intune-plus-min-voor-mdm-management\/\">Intune<\/a> of worden bewaakt via RMM voor beleidshandhaving<\/li>\n<\/ol>\n<h2>PIM inschakelen en in aanmerking komende rollen toewijzen in het Microsoft Entra ID-beheercentrum<\/h2>\n<p>Om te beginnen moet u PIM inschakelen en rollen toewijzen in het Microsoft Entra ID-beheercentrum:<\/p>\n<ol>\n<li>Ga naar het Microsoft Entra-beheercentrum.<\/li>\n<li>Ga naar <strong>Identiteitsbeheer &gt; Privileged Identity Management<\/strong>.<\/li>\n<li>Selecteer Microsoft Entra-rollen.<\/li>\n<li>Kies een rol (bijvoorbeeld globale beheerder of Exchange-beheerder).<\/li>\n<li>Klik op <strong>Toewijzingen toevoegen<\/strong>.<\/li>\n<li>Stel de gebruiker in als \u201cIn aanmerking komend\u201d voor tijdgebonden rechten.<\/li>\n<li>Bepaal het bereik (bijvoorbeeld tenantbreed of een specifieke resource).<\/li>\n<li>Configureer de rolinstellingen apart om de activeringsduur te bepalen (bijvoorbeeld 1\u201324 uur).<\/li>\n<li>Schakel waar nodig <strong>Goedkeuring vereisen<\/strong> en <strong>MFA vereisen<\/strong> in bij de activeringsinstellingen.<\/li>\n<\/ol>\n<p>Gebruikers moeten rollen expliciet activeren en hun toegang verloopt automatisch. Het is aan te raden goedkeuring en MFA te verplichten voor de beste beveiliging.<\/p>\n<h2>Beleid voor rolactivering configureren<\/h2>\n<p>Binnen PIM configureert u het beleid dat bepaalt hoe rollen worden geactiveerd. Dat beleid omvat:<\/p>\n<ul>\n<li>Of MFA vereist is<\/li>\n<li>Of een motivering vereist is<\/li>\n<li>Of goedkeuring vereist is (u kunt daarnaast aangeven welke gebruikers goedkeuringen mogen geven)<\/li>\n<li>De activeringsduur (bijvoorbeeld 1\u20138 uur)<\/li>\n<li>Instellingen voor meldingen<\/li>\n<\/ul>\n<p>U configureert dit in het Entra-beheercentrum door een rol te selecteren en vervolgens naar <strong>Instellingen &gt; Rolinstellingen<\/strong> te gaan<br \/>\n<b>Het verplichten<\/b> van ticketnummers of case-ID\u2019s als motivering is gangbaar. Alle configuratiewijzigingen zijn controleerbaar in de Entra-logboeken.<\/p>\n<h2>JIT-toewijzingen beheren met PowerShell<\/h2>\n<p>U kunt ook <a href=\"https:\/\/learn.microsoft.com\/en-us\/graph\/overview\" target=\"_blank\" rel=\"noopener\">Microsoft Graph<\/a> of de Azure AD PowerShell-module gebruiken om rollen programmatisch toe te wijzen. Dat is ideaal voor integratie met supportaanvragen of geautomatiseerde ticketworkflows die toegang met een beperkt bereik verlenen.<\/p>\n<ol>\n<li>Maak hiervoor verbinding met Microsoft Graph via de opdracht:<\/li>\n<\/ol>\n<p><code><strong>Connect-MgGraph -Scopes \"RoleManagement.ReadWrite.Directory\"<\/strong><\/code><\/p>\n<ol start=\"2\">\n<li>Vraag daarna de rollen en rol-ID\u2019s op:<\/li>\n<\/ol>\n<p><strong>Get-MgRoleManagementDirectoryRoleDefinition<\/strong><\/p>\n<ol start=\"3\">\n<li>Voer het volgende uit om een tijdgebonden roltoewijzing voor een gebruiker aan te maken:<\/li>\n<\/ol>\n<p><strong>$params = @{<\/strong><br \/>\n<code><strong>Action = \"adminAssign\"<\/strong><\/code><br \/>\n<strong>PrincipalId = $userId<\/strong><br \/>\n<strong>RoleDefinitionId = $roleId<\/strong><br \/>\n<code><strong>DirectoryScopeId = \"\/\"<\/strong><\/code><br \/>\n<code><strong>Justification = \"Granting temporary access\"<\/strong><\/code><br \/>\n<strong>ScheduleInfo = @{<\/strong><br \/>\n<code><strong>StartDateTime = (Get-Date).ToUniversalTime().ToString(\"yyyy-MM-ddTHH:mm:ssZ\")<\/strong><\/code><br \/>\n<strong>Expiration = @{<\/strong><br \/>\n<code><strong>Type = \"AfterDuration\"<\/strong><\/code><br \/>\n<code><strong>Duration = \"PT4H\" # ISO 8601 format for 4 hours<\/strong><\/code><br \/>\n<strong>}<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong>New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params<\/strong><\/p>\n<ol start=\"4\">\n<li>Activeer de rol handmatig via de Microsoft Entra-portal (optioneel).<\/li>\n<\/ol>\n<h2>Handhaving via register en Groepsbeleid voor afstemming van lokaal beleid<\/h2>\n<p>Hoewel JIT cloud-based is, moeten lokale systemen worden ingericht volgens het principe van minste voorrecht en moet er controle plaatsvinden.<\/p>\n<p>Zo kunt u het <a href=\"https:\/\/www.ninjaone.com\/blog\/what-is-group-policy-in-active-directory\/\">Groepsbeleidsobject (GPO)<\/a> onder <strong>Computerconfiguratie &gt; Windows-instellingen &gt; Beveiligingsinstellingen &gt; Lokaal beleid &gt; Toewijzing van gebruikersrechten<\/strong> gebruiken om voor bepaalde gebruikers of groepen <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/security-policy-settings\/deny-access-to-this-computer-from-the-network\" target=\"_blank\" rel=\"noopener\"><strong>Toegang tot deze computer vanaf het netwerk weigeren<\/strong><\/a> in te stellen. Deze instelling verhindert dat die accounts het recht op netwerkaanmelding gebruiken, maar blokkeert niet elke vorm van verbinding op afstand.<\/p>\n<p>Ook het <a href=\"https:\/\/www.ninjaone.com\/videos\/windows\/what-is-the-windows-registry-your-complete-guide\/\">Windows-register<\/a> kunt u gebruiken om verscherpte standaardinstellingen voor het verhogen van rechten af te dwingen, zoals het verplichten van UAC-prompts. Bijvoorbeeld:<\/p>\n<ul>\n<li><span style=\"font-weight: normal !msorm;\"><strong>EnableLUA = 1 <\/strong><\/span>zorgt ervoor dat Gebruikersaccountbeheer (UAC) is ingeschakeld.<\/li>\n<li><span style=\"font-weight: normal !msorm;\"><strong>ConsentPromptBehaviorAdmin = 1 <\/strong><\/span>stelt UAC zo in dat beheerders in de modus voor beheerdersgoedkeuring om toestemming wordt gevraagd bij bewerkingen waarvoor verhoogde rechten nodig zijn. Dat betekent echter niet dat elke administratieve handeling altijd een prompt oplevert. Het geldt specifiek voor situaties waarin rechten worden verhoogd.<\/li>\n<\/ul>\n<p>Deze configuraties versterken uw lokale beveiligingsbeleid. Ze dwingen echter geen MFA af en voorkomen ook geen omzeiling van MFA. Handhaving van MFA regelt u altijd via platforms zoals Microsoft Entra ID.<\/p>\n<h2>Controle en notificaties voor JIT-activiteit<\/h2>\n<p>Gebruik audittrails om rolactivering en toegangsgedrag te volgen.<\/p>\n<p>Hieronder staat een voorbeeld van een PowerShell-query waarmee u vermeldingen uit de audittrail ophaalt:<\/p>\n<p><code><strong>Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-24) -EndDate (Get-Date) -Operations \"Add member to role\" |<\/strong> <strong>Select-Object CreationDate, UserIds, Operations, AuditData<\/strong><\/code><\/p>\n<p>Filter in de Microsoft Entra-auditlogboeken op de bewerkingen &#8220;Add member to role&#8221; en &#8220;Update role assignment&#8221; om activeringsgebeurtenissen te volgen. Bewaakt u ook een on-premises Active Directory, dan zijn Event ID\u2019s 4670 en 4688 daar nuttig. Ze leggen echter geen rolactiveringen van cloud-based Entra ID PIM vast.<\/p>\n<p>Vervolgens kunt u deze logboeken naar uw RMM of SIEM sturen voor notificaties en rapportage.<\/p>\n<p>Gebruik log analytics of een SIEM om te waarschuwen bij veelvuldige activeringen, rolverhogingen buiten de verwachte uren en mislukte of herhaalde verzoeken om verhoging.<\/p>\n<h2>Aanvullende aandachtspunten voor JIT en PIM<\/h2>\n<p>Bij het configureren van JIT-toegang in Azure met PIM moet u ook rekening houden met uw workflows en gebruikersrollen: kies zorgvuldig wie verzoeken om verhoging mag goedkeuren en zorg dat die personen de gevolgen van elk verzoek volledig begrijpen. Maak daarnaast aangepaste rollen met een beperkt bereik aan, vermijd globale beheerdersaccounts en houd het <a href=\"https:\/\/www.ninjaone.com\/blog\/understanding-and-implementing-azure-rbac\/\">principe van minste voorrecht<\/a> aan.<\/p>\n<p>Beoordeel rollen regelmatig en verwijder rollen die niet langer nodig zijn. Neem het opschonen van rollen en toewijzingen op in uw procedures voor onboarding en offboarding van medewerkers.<\/p>\n<h2>Problemen met Just-in-Time-toegang in Azure oplossen<\/h2>\n<p>Werkt uw JIT-implementatie in Azure niet zoals verwacht, controleer dan in elk geval het volgende:<\/p>\n<ol>\n<li><strong>Rol kan niet worden toegewezen:<\/strong> controleer of de gebruiker niet al actief is of via een groep is toegewezen<\/li>\n<li><strong>Activering geweigerd:<\/strong> controleer of MFA of het motiveringsveld ontbreekt<\/li>\n<li><strong>Fouten in de Graph API:<\/strong> controleer de vereiste machtigingen en het bereik bij de tokenaanvraag<\/li>\n<li><strong>Lokale gebruikers kunnen beperkingen omzeilen:<\/strong> controleer of de GPO- en registerbeperkingen zijn ingesteld om verhoging via lokale beheerdersaccounts te voorkomen<\/li>\n<\/ol>\n<h2>NinjaOne RMM biedt meer inzicht in en controle over uw volledige IT-infrastructuur en endpoints<\/h2>\n<p>Microsoft Entra ID Privileged Identity Management biedt een complete oplossing voor administratieve JIT-verhoging die op cloudniveau wordt afgedwongen. U kunt de beveiliging van deze functionaliteit uitbreiden met <a href=\"https:\/\/www.ninjaone.com\/nl\/rmm\/\">NinjaOne RMM<\/a> en zo op \u00e9\u00e9n plek volledig inzicht krijgen in al uw apparaten, services en gebruikersactiviteit en het uitrollen van configuraties op alle apparaten automatiseren.<\/p>\n<p>Het MSP- en UEM-platform van NinjaOne biedt tools om scripts af te dwingen en register- of GPO-beleid uit te rollen. Daarnaast ondersteunt het de monitoring van logbestanden en Windows-gebeurtenissen voor volledige controlemogelijkheden, inclusief verhogingen van rechten. Het platform bevat ook rapportage en compliance-logging, zodat u PIM-activeringen kunt koppelen aan activiteit op endpoints en kunt vaststellen dat administratieve verhoging geautoriseerd is en verantwoord wordt gebruikt.<\/p>\n<p>NinjaOne biedt verder automatiseringstools die gebruikersaccounts kunnen deactiveren bij verdachte activiteit, getroffen systemen kunnen isoleren en tickets kunnen escaleren naar de juiste belanghebbende of herstelscripts kunnen uitvoeren. Zo kunt u uw respons op beveiligingsincidenten veel beter automatiseren.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Just-in-Time (JIT) administratieve toegang in Azure AD geeft u de mogelijkheid om verhoogde rechten toe te kennen voor het uitvoeren van administratieve taken gedurende een beperkte periode. Dat is nuttig voor interne IT-teams en MSP\u2019s, omdat het risico afneemt dat accounts met te veel rechten worden misbruikt bij cyberaanvallen. Deze gids behandelt administratieve JIT-toegang in [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":554294,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4358],"tags":[],"class_list":["post-941385","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops-nl"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/941385","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/comments?post=941385"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/941385\/revisions"}],"predecessor-version":[{"id":941386,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/941385\/revisions\/941386"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media\/554294"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media?parent=941385"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/categories?post=941385"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/tags?post=941385"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}