Globale beheerders in Microsoft 365: hoeveel u er nodig heeft en hoe u het controleert

Wat Microsoft adviseert

• Minder dan vijf globale beheerders. Het Entra-overzicht toont boven dat aantal een waarschuwing.
• Twee of meer noodaccounts ('break-glass'): cloud-only accounts op het onmicrosoft.com-domein van de tenant, permanent globale beheerder, beschermd met een phishing-bestendige methode zoals een passkey, en minstens elke 90 dagen getest.
• Aparte beheeraccounts. Beheerders melden zich voor hun dagelijkse mailbox aan met een gewoon account en gebruiken voor beheerwerk een apart account zonder mailbox.
• Cloud-only beheeraccounts. Een account dat vanuit de lokale Active Directory wordt gesynchroniseerd, geeft een aanvaller in het lokale netwerk een route naar de cloud.
• De rol met de minste rechten die het werk doet: Exchange Administrator, User Administrator, Helpdesk Administrator of Billing Administrator volstaan voor de meeste taken.

Zo controleert u het

De menunamen hieronder zijn die van de Engelstalige portal.

1. Ga in het Entra admin center naar Entra ID > Roles & admins > All roles > Global Administrator en open Assignments. Bekijk zowel het tabblad Active als Eligible.
2. Vraag per account: is dit een benoemd persoon, is het nog nodig, is het een apart beheeraccount, en is het cloud-only?
3. Herhaal dit voor de andere rollen met veel rechten: Privileged Role Administrator, Privileged Authentication Administrator, Security Administrator, Exchange Administrator en SharePoint Administrator.
4. Open in het Microsoft 365 admin center Settings > Partner relationships om te zien welke partners gedelegeerde beheerrechten hebben, en met welke rollen.

Met Microsoft Graph PowerShell vraagt u op wie globale beheerder is (de ID is de vaste template-ID van de rol):

Connect-MgGraph -Scopes "RoleManagement.Read.Directory"
Get-MgRoleManagementDirectoryRoleAssignment -All `
  -Filter "roleDefinitionId eq '62e90394-69f5-4237-9190-012177145e10'" `
  -ExpandProperty Principal |
  ForEach-Object { $_.Principal.AdditionalProperties.userPrincipalName }

Zo lost u het op

1. Maak eerst de twee break-glass-accounts aan, zodat u zich tijdens het opruimen niet kunt buitensluiten. Sluit ze uit van Conditional Access-beleid dat ze zou kunnen blokkeren, en laat elke aanmelding op deze accounts een melding geven.
2. Haal de rol globale beheerder weg bij iedereen die hem niet nodig heeft, en geef de smallere rol die bij het werk past.
3. Gebruik met Entra ID P2 of Entra ID Governance Privileged Identity Management (PIM): beheerders komen in aanmerking voor een rol en activeren die voor een paar uur wanneer nodig, met MFA en een reden. Niemand heeft permanent globale beheerrechten.
4. Eis phishing-bestendige MFA voor alle beheerrollen. Conditional Access heeft er een template voor: 'Require phishing-resistant multifactor authentication for administrators'.

Voor MSP's: gedelegeerde toegang is ook beheertoegang

Partnertoegang via het Microsoft Partner Center hoort te lopen via granular delegated admin privileges (GDAP): relaties met een einddatum en alleen de rollen die uw technici nodig hebben, toegewezen aan beveiligingsgroepen in uw eigen tenant. Oude relaties die standaard globale beheerrechten gaven, zijn precies het soort permanente toegang dat een aanvaller die een MSP-account overneemt tegen alle klanten tegelijk inzet. Loop ze samen met de klant na en verwijder wat niet meer wordt gebruikt.

Veelgestelde vragen