Bijgewerkt
De instellingen en wat ze betekenen
Ga in het Entra admin center naar Entra ID > Enterprise apps > Consent and permissions > User consent settings (de menunamen zijn die van de Engelstalige portal). De opties zijn:
- Do not allow user consent. Elke app heeft goedkeuring van een beheerder nodig.
- Allow user consent for apps from verified publishers, for selected permissions. Gebruikers kunnen alleen rechten met weinig impact toestaan, en alleen aan apps van uitgevers die Microsoft heeft geverifieerd.
- Let Microsoft manage your consent settings. Het beheerde beleid van Microsoft, dat gebruikerstoestemming voor gevoelige rechten zoals mail, bestanden, agenda's, chats en contacten blokkeert. Microsoft heeft het medio 2025 de standaard gemaakt voor nieuwe tenants en veel bestaande tenants erop overgezet.
- Allow user consent for apps. Elke gebruiker kan elke app de gevraagde rechten geven, binnen wat gebruikers mogen toestaan. Dit is de instelling die weg moet.
De instelling wijzigen verwijdert geen toestemming die al is gegeven. Daarvoor is een aparte controle nodig.
Zo lost u het op
- Kies 'Do not allow user consent' of 'Allow user consent for apps from verified publishers, for selected permissions'. De door Microsoft beheerde instelling is een redelijke ondergrens als gebruikers apps met weinig risico moeten kunnen blijven koppelen.
- Ga naar Consent and permissions > Admin consent settings en zet 'Users can request admin consent to apps they are unable to consent to' op Yes. Kies beoordelaars. Gebruikers krijgen dan een aanvraagknop in plaats van een doodlopende weg, zodat ze niet naar omwegen gaan zoeken.
- Controleer de apps die al toegang hebben (volgende paragraaf) en trek in wat niemand kan verklaren.
Voor het wijzigen van de toestemmingsinstelling in de portal is de rol globale beheerder nodig. Via Microsoft Graph volstaat Privileged Role Administrator.
Zo controleert u apps die al toegang hebben
- Entra ID > Enterprise apps > All applications toont elke app die in de tenant aanwezig is. Open een app en kijk bij Permissions wat er is toegestaan, door beheerders en door gebruikers.
- Entra ID > Users > kies een gebruiker > Applications toont de apps waar één gebruiker zich bij heeft aangemeld en toegang aan heeft gegeven.
- In de Microsoft Defender portal toont een zoekopdracht in het auditlogboek op de activiteit 'Consent to application' wanneer toestemming is gegeven, en door wie.
Met Microsoft Graph PowerShell vraagt u de gedelegeerde toestemmingen op. ConsentType 'AllPrincipals' is beheerderstoestemming voor de hele organisatie, 'Principal' is de toestemming van één gebruiker:
Connect-MgGraph -Scopes "Directory.Read.All"
Get-MgOauth2PermissionGrant -All |
Select-Object ClientId, ConsentType, PrincipalId, Scope |
Sort-Object ConsentTypeLet op scopes voor mail, bestanden en offline_access bij apps die u niet herkent. Verwijder een toestemming met Remove-MgOauth2PermissionGrant, en blokkeer het aanmelden bij de enterprise-app als die helemaal niet gebruikt mag worden.
Veelgestelde vragen
Is de door Microsoft beheerde toestemmingsinstelling goed genoeg?
Het is een duidelijke verbetering ten opzichte van alle gebruikerstoestemming toestaan, omdat het de mail-, bestands- en agendarechten blokkeert waar aanvallers op uit zijn. Tenants met gevoelige data of veel gebruikers zijn beter af met toestemming beperkt tot geverifieerde uitgevers en geselecteerde rechten, of met geen gebruikerstoestemming en een goedkeuringsroute.
Verwijdert het wijzigen van de instelling apps die al toegang hebben?
Nee. Bestaande toestemmingen blijven staan totdat u ze verwijdert. Controleer na het wijzigen de enterprise-applicaties en de toestemmingen.
Waarom houdt MFA consent phishing niet tegen?
Omdat de gebruiker zelf MFA doorloopt bij het aanmelden bij de app. De aanvaller heeft het wachtwoord nooit nodig: de app krijgt een token met de rechten die de gebruiker accepteerde, en refresh tokens houden het werkend na een wachtwoordwijziging.