Terug naar de blog
3 september 2026

Voorkom licentiefouten: Entra ID in 5 stappen voor MKB

Beheerder controleert digitale toegangsrechten

Microsoft Entra ID is de cloudgebaseerde identiteits- en toegangsoplossing van Microsoft, voorheen bekend als Azure Active Directory. Het beheert wie er inlogt op je bedrijfsapplicaties, met welk apparaat dat mag en onder welke voorwaarden. Voor elke organisatie die met Microsoft 365 werkt, is Entra ID de onmisbare basis onder inloggen, beveiliging en toegangsbeheer.

Kort samengevat:

  • Organisaties die de gratis Entra ID-licentie gebruiken, missen geavanceerde beveiligingsfuncties zoals PIM en Identity Protection die essentieel zijn voor beheerdersveiligheid.
  • Bij het implementeren van Conditional Access moeten beleidsregels altijd eerst in rapportagemodus getest worden om onbedoalde gebruikersuitsluitingen te voorkomen.
  • Hybride synchronisatie met on-premises Active Directory blijft relevant, tenzij organisaties volledig naar cloud-only willen migreren voor eenvoudige Microsoft 365-omgevingen.
  • Het bijhouden van licentiebehoeften en periodieke evaluatie van beheersfuncties zijn cruciaal, omdat functies en kosten in de toekomst kunnen veranderen.
  • Veel problemen ontstaan door verkeerde beleidsinstellingen of synchronisatiefouten, waardoor een goede setup en regelmatige controle essentieel zijn.

Inhoudsopgave

Wat doet Microsoft Entra ID precies?

Entra ID regelt vier dingen die samen de kern van digitale toegang vormen: wie je bent, met welk apparaat je werkt, wat je mag zien en hoe risicovol een inlogpoging is. Dat maakt het meer dan een simpel wachtwoordsysteem.

Single sign-on (SSO) laat medewerkers met één set inloggegevens toegang krijgen tot tientallen applicaties, van Outlook tot een extern CRM-pakket. Dat scheelt niet alleen tijd, het voorkomt ook dat mensen overal hetzelfde zwakke wachtwoord hergebruiken.

Multifactor-authenticatie (MFA) vraagt naast een wachtwoord om een tweede bevestiging, bijvoorbeeld via een app of biometrie. Steeds meer organisaties stappen zelfs helemaal af van wachtwoorden richting passwordless inloggen, wat het aanvalsoppervlak flink verkleint.

Conditional Access is de beleidsmotor die per inlogpoging beoordeelt of toegang wordt toegestaan, geblokkeerd of extra verificatie vraagt. Het systeem kijkt naar signalen zoals locatie, apparaatstatus en risiconiveau van de gebruiker, en dwingt op basis daarvan real-time beslissingen af.

Daarnaast beheert Entra ID device identity in combinatie met Intune, zodat alleen bekende, compliant apparaten toegang krijgen. Voor beheerders zijn er extra lagen zoals Privileged Identity Management (PIM) voor tijdelijke beheerdersrechten en Identity Protection voor het detecteren van verdacht inlogverkeer.

  • Single sign-on voor snellere, veiligere toegang tot apps
  • MFA en passwordless als beveiligingsbasis
  • Conditional Access als beleidsmotor op basis van risico en context
  • Device identity en Intune-koppeling voor apparaatbeheer
  • PIM en Identity Protection voor verhoogd beheerdersgemak

Hoe verhoudt Entra ID zich tot on-premises Active Directory?

Active Directory Domain Services (AD DS) draait al decennia op eigen servers en werkt met protocollen als Kerberos en NTLM, gericht op interne netwerken. Entra ID is cloud-native en spreekt moderne protocollen zoals OAuth 2.0, OpenID Connect en SAML, gebouwd voor toegang tot webapplicaties en SaaS-diensten los van een fysiek netwerk.

De meeste organisaties draaien geen harde overstap, maar een hybride model. Met Azure AD Connect of het lichtere Entra Cloud Sync synchroniseer je gebruikers en groepen vanuit AD DS naar Entra ID, en de juiste keuze hangt af van de complexiteit van je omgeving.

Apparaten kunnen op drie manieren aansluiten: Entra-joined voor volledig cloud-only werken, Entra-registered voor persoonlijke apparaten die alleen toegang nodig hebben, en hybrid-joined wanneer een apparaat zowel in het lokale domein als in de cloud bekend moet zijn.

  • AD DS blijft relevant zolang legacy-applicaties Kerberos of NTLM vereisen
  • Entra Domain Services is een tussenoplossing voor apps die klassieke domeinfuncties nodig hebben zonder eigen domeincontrollers
  • Hybride sync is de norm voor organisaties die nog on-premises systemen draaien
  • Cloud-only inrichting past bij organisaties die volledig op Microsoft 365 en SaaS werken

Welke Entra ID-licentie heb je nodig?

De gratis laag van Entra ID zit al inbegrepen in vrijwel elk Microsoft 365-abonnement en dekt basis-SSO, eenvoudige MFA en gebruikersbeheer. Voor kleinere, Microsoft-centrische organisaties is dat vaak al voldoende voor het grootste deel van de dagelijkse behoefte.

Zodra je serieuzer met beveiligingsbeleid aan de slag wilt, kom je bij P1 terecht: dat plan geeft toegang tot Conditional Access, groepsgebaseerde toegang en geavanceerdere SSO-scenario’s. P2 voegt daar Identity Protection, Privileged Identity Management (PIM) en Identity Governance aan toe, functies die je nodig hebt zodra je tijdelijke beheerdersrechten of geautomatiseerde toegangsreviews wilt regelen.

  • Gratis laag: basis-SSO en eenvoudige MFA, inbegrepen bij Microsoft 365
  • P1: Conditional Access en uitgebreide toegangsregels
  • P2: PIM, Identity Protection en Identity Governance

Veel organisaties gaan er ten onrechte van uit dat “gratis” ook betekent dat beheerdersaccounts automatisch goed beveiligd zijn. Dat is een misvatting: zonder P2 mis je juist de tooling om beheerdersrechten strak te beperken, wat de totale kosten van eigenaarschap kan beïnvloeden zodra je alsnog moet upgraden.

Pro-tip: Begin met de gratis laag voor je M365-omgeving en evalueer na een paar maanden op basis van echte inlog- en risicodata of P1 of P2 nodig is, in plaats van vooraf te gokken.

Hoe werken de authenticatie- en autorisatieprocessen technisch?

Wanneer een gebruiker inlogt op een cloudapplicatie, onderhandelen Entra ID en die applicatie via OAuth 2.0 en OpenID Connect over een token dat identiteit en rechten vastlegt. Voor oudere of on-premises-gerichte applicaties wordt vaak SAML gebruikt. Deze protocollen bepalen samen hoe een sessie tot stand komt en hoe lang die geldig blijft.

Niet elke identiteit in Entra ID is een mens. Managed identities en service principals geven applicaties en scripts een eigen, beheersbare identiteit zodat ze veilig toegang krijgen tot resources zonder dat er een wachtwoord in code hoeft te staan.

Bij het aansluiten van een apparaat kiest Entra ID tussen registratie, volledige join of hybride join, afhankelijk van of het apparaat privé of zakelijk is en of er nog een lokaal domein meespeelt. Intune voegt daar compliance-controle aan toe: pas als een apparaat aan de beleidseisen voldoet, krijgt het toegang.

Conditional Access grijpt in op het moment van inloggen. Het systeem checkt in real time het risiconiveau, de locatie en de apparaatstatus, en bepaalt op basis daarvan of een sessie doorgaat, extra verificatie vraagt of wordt geblokkeerd.

  • OAuth 2.0 en OpenID Connect voor moderne cloudauthenticatie
  • SAML voor oudere en on-premises-gerichte integraties
  • Managed identities voor niet-menselijke identiteiten zoals scripts en apps
  • Device join-modellen gecombineerd met Intune-compliance

Voor een bredere technische achtergrond over deze authenticatiestandaarden is de uitleg over SSO voor IT-professionals een nuttige aanvulling.

Hoe start je met Entra ID in je organisatie?

Een eerste rollout of controle na een migratie volgt in de praktijk vrijwel altijd dezelfde route. De basis bestaat uit tenant-setup, domeinvalidatie, synchronisatie en het inschakelen van beveiligingsbeleid.

  1. Verifieer je tenant en koppel je eigen domeinnaam.
  2. Synchroniseer gebruikers en groepen via Azure AD Connect of Entra Cloud Sync, afhankelijk van je omgeving.
  3. Schakel MFA in en stel een eerste Conditional Access-policy op voor risicovolle inlogscenario’s.
  4. Koppel apparaatbeheer via Intune en test met een kleine groep gebruikers.
  5. Monitor inlogpatronen en audit logs in de weken na livegang.

Pro-tip: Test elke nieuwe Conditional Access-policy eerst in rapportagemodus voordat je hem afdwingt. Zo zie je wie geblokkeerd zou worden zonder dat je gebruikers per ongeluk buitensluit. Meer over het opzetten van slimme toegangsregels vind je in dit artikel over conditional access beleid.

Hoe helpt Astia organisaties met Entra ID?

Er worden dagelijks werkplekken, wachtwoordbeleid en Microsoft 365-omgevingen voor MKB-bedrijven beheerd, waarbij Entra ID vaak onder de motorkap zit. Die ervaring vertaalt zich naar concrete taken bij een implementatie of controle.

  • Tenant-setup en domeinvalidatie correct inrichten vanaf de start
  • Synchronisatie tussen lokale omgeving en Entra ID configureren en testen
  • Conditional Access-beleid opstellen dat past bij het risicoprofiel van de organisatie
  • Apparaatbeheer koppelen via Intune, inclusief compliance-regels

Voor een MKB-organisatie die zelf geen dedicated IT-security-team heeft, is het moment meestal wanneer Conditional Access of device-compliance ingericht moet worden zonder dat medewerkers hinder ondervinden. Het resultaat is een omgeving waarin toegang standaard veilig is, zonder dat iemand daar dagelijks over hoeft na te denken.

Welke richting neemt Entra ID de komende jaren?

Microsoft breidt Entra ID gestaag uit van een puur identiteitsplatform naar een breder beveiligingsfundament. Identity Governance en risicogebaseerde toegangscontrole krijgen steeds meer gewicht, wat samenhangt met de bredere Zero Trust-strategie waarin Conditional Access, Identity Protection en integratie met Defender en Intune centraal staan.

Een duidelijke trend is de verschuiving van wachtwoordgebaseerd inloggen naar passwordless-methoden zoals sleutels op apparaten en biometrische verificatie. Voor organisaties betekent dit dat wachtwoordbeleid over een paar jaar een steeds kleinere rol speelt in het totale beveiligingsplaatje.

Ook non-menselijke identiteiten krijgen meer aandacht. Applicaties, workloads en AI-agents hebben allemaal een eigen identiteit nodig die net zo streng gecontroleerd wordt als een menselijke gebruiker. Verwacht daarom meer granulaire controlemogelijkheden voor service principals en managed identities in toekomstige updates.

Voor beheerders is de belangrijkste les dat licentiekeuzes niet statisch zijn. Wat vandaag in de gratis laag of P1 zit, kan bij een volgende release verschuiven. Wie Entra ID inricht, doet er goed aan periodiek te controleren of de huidige licentie nog aansluit op de functies die de organisatie daadwerkelijk gebruikt, in plaats van te vertrouwen op de indeling van een jaar geleden.

Wat zijn de belangrijkste beveiligingsrisico’s en best practices?

De grootste beveiligingsfout bij Entra ID is niet een technisch lek, maar onderconfiguratie. Organisaties activeren MFA voor gewone gebruikers, maar vergeten beheerdersaccounts net zo streng te beveiligen. Juist die accounts zijn het aantrekkelijkste doelwit voor aanvallers.

Een paar praktijken maken het verschil. Schakel MFA verplicht in voor alle accounts, en zeker voor beheerders, waarbij het afdwingen van MFA op Azure-inlogaccounts een concreet startpunt biedt. Gebruik Privileged Identity Management zodat beheerdersrechten alleen tijdelijk en met goedkeuring geactiveerd worden, in plaats van permanent actief te staan.

Conditional Access-beleid moet niet alleen bestaan, het moet ook regelmatig getoetst worden aan actuele risicodata. Een policy die twee jaar geleden logisch was, kan inmiddels gaten vertonen door nieuwe werkpatronen zoals thuiswerken of het gebruik van persoonlijke apparaten.

Identity Protection helpt door verdachte inlogpatronen automatisch te signaleren, zoals inloggen vanuit een ongebruikelijk land kort na een lokale inlogpoging. Zonder P2-licentie mis je deze laag van automatische detectie, wat een reden kan zijn om die licentie serieus te overwegen voor accounts met verhoogde rechten.

Regelmatige audits van wie toegang heeft tot wat, ondersteund door Identity Governance, voorkomen dat oude rechten van vertrokken medewerkers of afgeronde projecten blijven hangen.

Wat zijn de belangrijkste beveiligingsrisico's en best practices? — overview diagram

Hoe integreert Entra ID met de rest van Microsoft 365?

Entra ID vormt de identiteitslaag onder vrijwel elke Microsoft 365-dienst. Log je in op Outlook, Teams of SharePoint, dan is het Entra ID dat op de achtergrond bepaalt of die inlogpoging wordt goedgekeurd en welke rechten daarbij horen.

Die koppeling gaat verder dan alleen inloggen. Teams gebruikt Entra ID-groepen om bepaalde kanalen of bestanden alleen toegankelijk te maken voor specifieke afdelingen. SharePoint en OneDrive hanteren dezelfde groepsstructuur voor bestandsrechten, zodat een wijziging in Entra ID direct doorwerkt in wie welke documenten kan zien.

Ook Intune leunt volledig op Entra ID voor apparaatidentiteit: pas wanneer een apparaat als compliant geregistreerd staat in Entra ID, krijgt het via Intune toegang tot bedrijfsdata. Defender voor Identity en Defender voor Cloud Apps gebruiken weer de signalen uit Entra ID om afwijkend gedrag te detecteren.

Voor organisaties die telefonie via Teams regelen, speelt Entra ID ook een rol in wie toegang heeft tot welke belfuncties en nummers, iets wat relevant wordt zodra je telefonie via Teams combineert met strikte toegangsregels. Kortom, wie Entra ID goed inricht, legt automatisch een stevigere basis onder de rest van de Microsoft 365-omgeving.

Welke problemen komen het vaakst voor bij Entra ID?

De meest gemelde klacht is dat gebruikers na een Conditional Access-wijziging plotseling worden buitengesloten. Dat gebeurt meestal omdat een nieuwe policy te breed is ingesteld en per ongeluk ook legitieme scenario’s blokkeert. De oplossing: nieuwe policies altijd eerst in rapportagemodus testen voordat je ze afdwingt.

Synchronisatieproblemen tussen on-premises AD en Entra ID vormen de tweede grote bron van frustratie. Dubbele accounts, verouderde groepslidmaatschappen of vertraagde updates ontstaan vaak door een verkeerd geconfigureerde Azure AD Connect-installatie. Een periodieke controle van de synchronisatiestatus voorkomt dat dit soort afwijkingen zich opstapelt.

MFA-vermoeidheid is een derde terugkerend probleem: gebruikers krijgen zo vaak een verificatieverzoek dat ze het zonder nadenken goedkeuren, ook als ze zelf niet aan het inloggen zijn. Dat is precies het soort gedrag waar aanvallers op mikken. Combineer MFA daarom met Conditional Access-signalen die alleen om extra verificatie vragen bij verhoogd risico, in plaats van bij elke inlogpoging.

Tot slot onderschatten veel organisaties de impact van licentiekeuzes op functionaliteit. Een beheerder die PIM wil instellen, ontdekt dan pas dat P2 nodig is, terwijl de organisatie nog op de gratis laag of P1 zit. Een korte licentiecontrole vooraf voorkomt dat soort vertraging tijdens een implementatie.

Welke problemen komen het vaakst voor bij Entra ID? — overview diagram

Wat is de belangrijkste les over Entra ID die vaak gemist wordt?

De meeste uitleg over Entra ID focust op wat het allemaal kan: SSO, MFA, Conditional Access, een indrukwekkende lijst functies. Wat daarbij vaak onderbelicht blijft, is dat de gratis laag voor kleinere Microsoft-centrische organisaties vaak al een groot deel van de praktische behoefte dekt. De vraag is niet “welke licentie heb ik nodig”, maar “welk risico neem ik als ik niet upgrade”.

Dat is een andere vraag, en een belangrijkere. Een organisatie zonder PIM loopt niet meteen tegen een muur op, maar heeft wel permanent actieve beheerdersrechten, die bij een gelekt account meteen volledige schade kunnen veroorzaken. Dat risico is reëel, ook al voelt de gratis laag in het dagelijks gebruik compleet genoeg.

Wat ik daarnaast onderschat zie worden: Conditional Access wordt vaak als eenmalig project behandeld, terwijl het eigenlijk continu onderhoud vraagt. Werkpatronen veranderen, nieuwe apparaten komen erbij, en een policy die een jaar geleden logisch was, kan nu een gat vertonen. Wie Entra ID serieus neemt, plant dus niet alleen de implementatie, maar ook de periodieke controle erna.

— Mick

Astia helpt je Entra ID goed inrichten

Voor MKB-organisaties wordt Entra ID niet als losse puzzel behandeld, maar als onderdeel van de volledige digitale werkplek. Sommige IT-partijen kijken alleen naar losse Microsoft 365-instellingen, maar identiteitsbeheer wordt hier direct gekoppeld aan werkplekbeheer, netwerkbeveiliging en telefonie, waardoor je niet met drie verschillende leveranciers hoeft te schakelen als er iets misgaat.

Astia

Concreet betekent dat: De tenant wordt ingericht, synchronisatie met de bestaande omgeving geconfigureerd, Conditional Access-beleid gebouwd dat past bij het risicoprofiel, en apparaatbeheer gekoppeld via Intune. Dat sluit direct aan op het bredere werkplekbeheer dat Astia voor MKB-bedrijven verzorgt, inclusief devicebeheer en beveiligingsinstellingen die op elkaar aansluiten.

Wil je weten hoe jouw organisatie er qua identiteitsbeheer voor staat? Vraag een vrijblijvend gesprek aan bij Astia en ontdek welke stappen voor jouw situatie het meeste verschil maken.

Bronnen

Aanbevelingen