PIM bij Microsoft uitgelegd: zo werkt tijdelijke beheertoegang

PIM staat bij Microsoft voor Privileged Identity Management. Het is een onderdeel van Microsoft Entra ID waarmee je beheerrechten alleen geeft op het moment dat iemand ze echt nodig heeft. Een collega is dus niet de hele dag globale beheerder. Hij of zij zet die rol aan voor een taak, met een reden en eventueel met goedkeuring, en na een vaste tijd vervalt de rol vanzelf. Zo verklein je het risico dat een gestolen of slordig gebruikt beheeraccount je hele Microsoft 365-omgeving openzet. Hieronder lees je hoe PIM werkt, welke instellingen je kiest, hoe het verschilt van PAM en welke licentie je nodig hebt.

Kort samengevat

• 🔐 PIM is een dienst in Microsoft Entra ID die toegang tot belangrijke onderdelen zoals Entra ID, Azure, Microsoft 365 en Intune beheert en bewaakt.
• ⏱️ Beheerrechten zijn niet meer permanent: een gebruiker activeert een rol voor een vaste tijd, bijvoorbeeld een paar uur, en daarna verdwijnt die weer.
• ✅ Je kunt bij activering MFA, een reden en goedkeuring eisen, en je krijgt meldingen als iemand een rol aanzet.
• 🆚 PIM richt zich op rollen in de cloud (Entra ID en Azure), PAM bij Microsoft op bevoorrechte toegang in een lokale Active Directory.
• 📄 Voor PIM heb je een Microsoft Entra ID P2- of Microsoft Entra ID Governance-licentie nodig.

Inhoudsopgave

• Wat is PIM bij Microsoft precies?
• Welk probleem lost PIM op?
• Zo werkt het activeren van een rol
• De instellingen die je zelf bepaalt
• PIM en PAM: wat is het verschil?
• Welke licentie heb je nodig voor PIM?
• PIM invoeren in je bedrijf: een stappenplan
• Zo kijken wij naar PIM
• Beheerrechten goed geregeld, zonder gedoe
• Veelgestelde vragen
• Bronnen

Wat is PIM bij Microsoft precies?

Microsoft omschrijft Privileged Identity Management als een service in Microsoft Entra ID waarmee je de toegang tot belangrijke resources in je organisatie beheert en bewaakt. Denk aan Microsoft Entra ID zelf, Azure en andere onlinediensten van Microsoft, zoals Microsoft 365 en Microsoft Intune.

Het woord “privileged” is hier de kern. Het gaat om bevoorrechte rollen: accounts die meer mogen dan een gewone gebruiker. Voorbeelden uit een gemiddeld MKB-bedrijf:

• de globale beheerder, die alles in de tenant kan aanpassen;
• de Exchange-beheerder, die mailboxen en doorstuurregels beheert;
• de gebruikersbeheerder, die accounts aanmaakt en wachtwoorden reset;
• de Intune-beheerder, die laptops en telefoons op afstand instelt en kan wissen.

Zonder PIM heeft zo’n rol vaak een vaste plek op een account. De rol is er altijd, ook als je die maanden niet gebruikt. Met PIM verandert dat. Een gebruiker “komt in aanmerking” voor de rol, maar de rol staat pas aan als hij die zelf activeert.

PIM werkt bovenop Microsoft Entra ID, de identiteitsdienst achter je Microsoft 365-accounts. Wil je eerst snappen hoe die laag werkt? Lees dan onze uitleg over Entra ID voor het MKB.

Welk probleem lost PIM op?

Hoe meer mensen permanent beheerrechten hebben, hoe groter de kans dat het een keer misgaat. Dat kan een phishingmail zijn die een beheerwachtwoord buitmaakt. Het kan ook een collega zijn die per ongeluk een beleid aanpast en daarmee iedereen buitensluit. Of een oud-medewerker van wie de rechten nooit zijn ingetrokken.

Microsoft zegt het zelf zo: PIM helpt de risico’s te beperken van buitensporige, onnodige of verkeerd gebruikte toegang. Dat doet het met twee principes:

1. Just-in-time toegang. Je krijgt rechten op het moment dat je ze nodig hebt, niet eerder.
2. Tijdgebonden toegang. Rechten hebben een einddatum of een maximale duur en verlopen vanzelf.

Het effect is dat een aanvaller met een buitgemaakt account meestal geen actieve beheerrechten vindt. Hij moet de rol eerst activeren, en daar staan dan extra drempels voor, zoals MFA en een goedkeuring. Bovendien zie je in de logboeken precies wie wanneer welke rol heeft aangezet en waarom.

Dit sluit aan op het principe van minimale rechten (least privilege): iedereen krijgt alleen wat nodig is voor zijn werk. PIM maakt dat principe praktisch uitvoerbaar, ook als je beheerders wél af en toe zware taken moeten doen.

Zo werkt het activeren van een rol

In PIM ken je rollen op twee manieren toe. Het verschil is belangrijk om PIM goed te begrijpen.

Volgens het implementatieplan van Microsoft activeert een gebruiker met een in aanmerking komende toewijzing de rol wanneer dat nodig is voor een bevoorrechte taak. Zo’n toewijzing kan ook tijdgebonden zijn, met een vaste begin- en einddatum.

In de praktijk ziet een activering er zo uit:

1. Je opent PIM in het Microsoft Entra-beheercentrum en kiest “Mijn rollen”.
2. Je kiest de rol die je nodig hebt, bijvoorbeeld Exchange-beheerder.
3. Je bevestigt je identiteit met MFA, als dat is ingesteld.
4. Je kiest de duur en geeft een reden op, bijvoorbeeld “doorstuurregel voor vertrokken medewerker aanpassen”.
5. Je wacht op goedkeuring, als de rol die vereist. Een aangewezen collega keurt het verzoek goed of af.
6. Je voert je taak uit met de actieve rol.
7. De rol vervalt als de tijd om is, of je zet hem zelf eerder uit.

Microsoft beschrijft in de uitleg over rollen activeren in PIM dat PIM bij activering tijdelijk een actieve toewijzing toevoegt, die binnen enkele seconden werkt. Bij deactivering, handmatig of doordat de tijd verloopt, haalt PIM die toewijzing ook weer binnen enkele seconden weg.

💡 Praktisch voorbeeld: je IT-beheerder moet een nieuwe medewerker een licentie geven. Hij activeert de rol gebruikersbeheerder voor één uur, doet het werk en is daarna weer een gewone gebruiker. Wordt zijn account een week later gehackt, dan heeft de aanvaller geen open beheerrechten.

De instellingen die je zelf bepaalt

PIM is geen alles-of-niets-knop. Per rol stel je in hoe streng de activering is. Volgens Microsoft kun je onder meer goedkeuring vereisen, MFA afdwingen en een reden vragen. Ook kan PIM meldingen sturen als iemand een rol activeert.

Voor de maximale activeringsduur geldt een bereik van 1 tot 24 uur per activering. Dezelfde soort instellingen, zoals MFA, goedkeuring en meldingen, gelden ook voor PIM voor groepen. Daarmee maak je lidmaatschap van een beveiligingsgroep tijdelijk, wat handig is als die groep toegang geeft tot gevoelige onderdelen.

De toegangsbeoordeling wordt vaak vergeten. Toch is die minstens zo belangrijk. Microsoft legt uit dat de behoefte aan toegang verandert in de loop van de tijd, en dat je met een toegangsbeoordeling in PIM het risico van verouderde roltoewijzingen verkleint. Een beoordelaar krijgt dan een lijst en bevestigt per persoon of de rol nog nodig is.

PIM en PAM: wat is het verschil?

De afkortingen lijken op elkaar en worden vaak door elkaar gebruikt. Microsoft legde het verschil uit in een overzicht van identiteitsafkortingen: PIM beheert identiteiten in Azure AD, nu Microsoft Entra ID. PAM is bij Microsoft bedoeld voor bevoorrechte toegang in een bestaande lokale Active Directory, met zicht op wie de beheerders zijn en wat ze doen.

Buiten Microsoft wordt PAM ook gebruikt als verzamelnaam voor alles rond bevoorrechte toegang: wachtwoordkluizen, sessies opnemen en beheeraccounts scheiden. In die bredere betekenis is PIM eigenlijk een onderdeel van PAM. Meer over die bredere aanpak lees je in ons artikel over privileged access management.

Werk je nog deels met een lokale server en deels in de cloud? Dan helpt onze vergelijking van Azure AD en Active Directory om te zien welke omgeving bij jou de basis is.

Welke licentie heb je nodig voor PIM?

PIM zit niet in elke Microsoft 365-licentie. Microsoft schrijft dat je een Microsoft Entra ID P2- of Microsoft Entra ID Governance-licentie nodig hebt om PIM te gebruiken.

Let op wat er gebeurt als zo’n licentie of proefversie afloopt. Volgens de licentie-uitleg van Microsoft zijn de PIM-functies dan niet meer beschikbaar in je directory. Je kunt geen rollen meer activeren, geen bevoorrechte toegang meer beheren via PIM en geen toegangsbeoordelingen meer uitvoeren. Plan dus de verlenging, zeker als je beheerders alleen nog via PIM werken.

Gebruik je Azure voor servers of opslag? Met een P2- of Governance-licentie zit PIM ook in de stappen voor roltoewijzing in Azure. Je kunt daar rollen dan voor een beperkte periode toewijzen of gebruikers in aanmerking laten komen, zodat ze de rol eerst moeten activeren.

💡 Tip: je hoeft niet iedereen in je bedrijf een P2-licentie te geven. Het draait om de gebruikers die met PIM te maken hebben, zoals beheerders en beoordelaars. Laat je licentiebeheerder of IT-partner precies uitrekenen wie er een nodig heeft, zodat je niet te veel of te weinig afneemt.

PIM invoeren in je bedrijf: een stappenplan

PIM aanzetten is technisch zo gebeurd. Het goed inrichten vraagt wat meer denkwerk. Met deze stappen kom je er.

1. Breng je beheerders in kaart

Maak een lijst van alle accounts met een beheerrol. In veel MKB-bedrijven zijn dat er meer dan je denkt: de eigenaar, een handige collega, een oud-leverancier en soms een vergeten testaccount. Bepaal per persoon welke rol echt nodig is.

2. Regel MFA voor iedereen

PIM leunt op een sterke aanmelding. Heb je MFA nog niet overal aan staan, begin daar dan mee. In ons artikel over MFA instellen voor Microsoft 365 lees je hoe je dat stap voor stap doet.

3. Zet permanente rollen om naar in aanmerking komend

Maak van vaste beheerrollen in aanmerking komende rollen. Houd één of twee noodaccounts met een actieve globale beheerdersrol over, zodat je altijd binnenkomt als er iets misgaat. Bewaar die gegevens veilig en gebruik ze alleen in noodgevallen.

4. Leg per rol de regels vast

Kies per rol de maximale duur, of goedkeuring nodig is en wie de meldingen krijgt. Let op: alleen een gebruiker met de rol Beheerder voor bevoorrechte rollen of globale beheerder kan in PIM toewijzingen voor andere beheerders beheren. Spreek dus af wie dat is.

5. Zorg voor een veilig beheerapparaat

Een tijdelijke rol is pas echt veilig als het apparaat waarop je die activeert ook in orde is. Beheerders werken het liefst vanaf een bijgewerkte, beheerde laptop met de hardwarebeveiliging van Windows 11 aan. Hoe je dat controleert, lees je in dit stappenplan voor TPM 2.0 en Secure Boot. Apparaten centraal beheren doe je met Intune, waarover je meer leest in onze gids over Intune voor bedrijven.

6. Plan vaste toegangsbeoordelingen

Zet een terugkerende toegangsbeoordeling in je agenda, bijvoorbeeld elk kwartaal. Zo haal je rechten weg van mensen die van functie zijn gewisseld of het bedrijf hebben verlaten.

7. Leg het uit aan je team

Vertel beheerders waarom ze voortaan een rol moeten aanzetten. Laat zien hoe snel dat gaat. Als mensen het nut snappen, werken ze er ook graag mee.

Zo kijken wij naar PIM

Bij veel MKB-bedrijven zien we hetzelfde beeld: drie of vier mensen hebben jaren geleden globale beheerdersrechten gekregen en hebben die nog steeds. Niemand weet meer precies waarom. Dat is precies het soort risico dat je niet ziet tot het misgaat.

Wij vinden dat beheerrechten net zo zorgvuldig horen te zijn als de sleutels van je pand. Je geeft ze niet zomaar aan iedereen, en je weet altijd wie er binnen is geweest. PIM helpt daarbij, maar alleen als het onderdeel is van een complete aanpak: MFA voor iedereen, beheerde apparaten, goede back-ups en monitoring die dag en nacht meekijkt.

Daarom nemen we bij ASTIA de verantwoordelijkheid voor je hele IT-fundament. Je hoeft niet te schakelen tussen een leverancier voor je licenties, een voor je laptops en een voor je beveiliging. En heb je een vraag, dan bel je ons direct. Geen ticketsysteem, gewoon iemand die meedenkt.

Mick

Beheerrechten goed geregeld, zonder gedoe

Wil je dat beheerrechten, MFA en beveiliging in je Microsoft 365-omgeving op orde zijn, zonder dat je er zelf mee bezig hoeft te zijn? Bij ASTIA regelen we het beheer van je werkplekken, cloud en beveiliging voor een vast bedrag per werkplek. We houden je omgeving 24/7 in de gaten en je belt ons direct als er iets is.

Bekijk wat we doen met Microsoft 365-beheer of lees meer over onze aanpak voor IT-beveiliging voor het MKB. 🚀

Veelgestelde vragen

Wat betekent PIM in IT?

In de Microsoft-wereld staat PIM voor Privileged Identity Management. Het is een dienst in Microsoft Entra ID die beheerrechten tijdelijk en controleerbaar maakt. Buiten Microsoft kan PIM ook Product Information Management betekenen, maar dat is iets heel anders: software om productgegevens voor webshops te beheren.

Is PIM gratis in Microsoft 365?

Nee. Voor PIM heb je een Microsoft Entra ID P2- of Microsoft Entra ID Governance-licentie nodig. Gebruikers die met PIM werken, zoals beheerders, hebben zo’n licentie nodig. Laat vooraf uitrekenen hoeveel licenties je echt nodig hebt.

Hoe lang blijft een geactiveerde rol actief?

Dat bepaal je zelf per rol met de maximale activeringsduur, die je instelt tussen 1 en 24 uur. De gebruiker kiest bij activering een duur binnen dat maximum. Is de tijd om, dan vervalt de rol vanzelf, en je kunt hem ook eerder zelf uitzetten.

Heb ik PIM nodig als ik al MFA gebruik?

MFA beschermt de aanmelding, PIM beperkt wat een account daarna mag. Ze vullen elkaar aan: met PIM heeft een aanvaller die toch binnenkomt geen permanente beheerrechten. Bovendien kun je MFA bij elke activering opnieuw vragen. Wil je eerst de basis van MFA begrijpen, lees dan onze uitleg wat is MFA.

Bronnen

• Wat is Privileged Identity Management? (Microsoft Learn)
• Privileged Identity Management (PIM) (Microsoft Security)
• Microsoft Entra-rollen activeren in PIM (Microsoft Learn)
• Implementatieplan voor Privileged Identity Management (Microsoft Learn)
• Configure PIM for Groups settings (Microsoft Learn)
• Een toegangsbeoordeling maken in PIM (Microsoft Learn)
• Microsoft identity acronyms: what they mean and how they relate (Microsoft Security Blog)
• Beginnen met PIM (Microsoft Learn)
• Licenties voor PIM (Microsoft Docs op GitHub)
• In aanmerking komende en tijdgebonden roltoewijzingen in Azure RBAC (Microsoft Learn)

Aanbevelingen

• Privileged access management: zo beveilig je bevoorrechte toegang
• Conditional access beleid: zo bouw je slimme toegangsregels
• Beheerderswerkstations beveiligen: zo richt je een PAW in