Wat zijn aangepaste beveiligingskenmerken in Microsoft Entra ID?

Aangepaste beveiligingskenmerken in Microsoft Entra-id zijn bedrijfsspecifieke kenmerken (sleutel-waardeparen) die u kunt definiëren en toewijzen aan Microsoft Entra-objecten. Deze kenmerken kunnen worden gebruikt voor het opslaan van informatie, het categoriseren van objecten of het afdwingen van fijnmazig toegangsbeheer voor specifieke Azure-bronnen. Aangepaste beveiligingskenmerken kunnen worden gebruikt met op kenmerken gebaseerd toegangsbeheer (ABAC) van Azure.

Waarom aangepaste beveiligingskenmerken gebruiken?

Hier volgen enkele scenario's waarin u aangepaste beveiligingskenmerken kunt gebruiken:

• Gebruikersprofielen uitbreiden, zoals uurloon toevoegen aan al mijn werknemers.
• Zorg dat alleen beheerders het kenmerk Uurloon kunnen zien in de profielen van werknemers.
• Categoriseer honderden of duizenden toepassingen om eenvoudig een filterbare inventaris te maken voor controle.
• Geef gebruikers toegang tot de Azure-opslagblobs die tot een project behoren.

Wat kan ik doen met aangepaste beveiligingskenmerken?

Aangepaste beveiligingskenmerken omvatten deze mogelijkheden:

• Definieer bedrijfsspecifieke informatie (kenmerken) voor uw tenant.
• Voeg een set aangepaste beveiligingskenmerken toe aan gebruikers en toepassingen.
• Microsoft Entra-objecten beheren met behulp van aangepaste beveiligingskenmerken met query's en filters.
• Zorg voor kenmerkbeheer, zodat kenmerken bepalen wie toegang kan krijgen.

Aangepaste beveiligingskenmerken worden niet ondersteund op de volgende gebieden:

• Microsoft Entra Domain Services.
• SamL-tokenclaims (Security Assertion Markup Language)

Functies van aangepaste beveiligingskenmerken

Aangepaste beveiligingskenmerken omvatten deze functies:

• Beschikbare tenantbrede
• Bevatten een beschrijving
• Ondersteuning voor verschillende gegevenstypen: Booleaanse waarde, geheel getal, tekenreeks
• Ondersteuning voor één waarde of meerdere waarden
• Door de gebruiker gedefinieerde vrije-vormwaarden of vooraf gedefinieerde waarden ondersteunen
• Aangepaste beveiligingskenmerken toewijzen aan via directory gesynchroniseerde gebruikers vanuit een on-premises Active Directory

In het volgende voorbeeld ziet u verschillende aangepaste beveiligingskenmerken die zijn toegewezen aan een gebruiker. De aangepaste beveiligingskenmerken zijn verschillende gegevenstypen en hebben waarden die één, meerdere, vrije vorm of vooraf gedefinieerd zijn.

Objecten die aangepaste beveiligingskenmerken ondersteunen

U kunt aangepaste beveiligingskenmerken toevoegen voor de volgende Microsoft Entra-objecten:

• Microsoft Entra-gebruikers
• Microsoft Entra Enterprise-toepassingen (service-principals)

Hoe worden aangepaste beveiligingskenmerken vergeleken met extensies?

Hoewel zowel extensies als aangepaste beveiligingskenmerken kunnen worden gebruikt om objecten uit te breiden in Microsoft Entra ID en Microsoft 365, zijn ze geschikt voor fundamenteel verschillende aangepaste gegevensscenario's. Hier volgen enkele manieren waarop aangepaste beveiligingskenmerken zich vergelijken met extensies:

Mogelijkheid	Uitbreidingen	Aangepaste beveiligingskenmerken
Microsoft Entra-id en Microsoft 365-objecten uitbreiden	Ja	Ja
Ondersteunde objecten	Afhankelijk van het extensietype	Gebruikers en service-principals
Beperkte toegang	Nee Iedereen met machtigingen om het object te lezen, kan de extensiegegevens lezen.	Ja. Lees- en schrijftoegang wordt beperkt via een afzonderlijke set machtigingen en op rollen gebaseerd toegangsbeheer (RBAC).
Wanneer gebruiken	Gegevens opslaan die moeten worden gebruikt door een toepassing Niet-gevoelige gegevens opslaan	Gevoelige gegevens opslaan Gebruik voor autorisatiescenario's
Licentievereisten	Beschikbaar in alle edities van Microsoft Entra ID	Beschikbaar in alle edities van Microsoft Entra ID

Zie Aangepaste gegevens toevoegen aan resources met behulp van extensies voor meer informatie over het werken met extensies.

Stappen voor het gebruik van aangepaste beveiligingskenmerken

1. Machtigingen controleren

   Controleer of de rol Kenmerkdefinitiebeheerder of Kenmerktoewijzingsbeheerder aan u is toegewezen. Indien nodig kan iemand met ten minste de rol Beheerder van bevoorrechte rol deze rollen toewijzen.

   

2. Kenmerkensets toevoegen

   Voeg kenmerkensets toe om gerelateerde aangepaste beveiligingskenmerken te groeperen en te beheren. Meer informatie

   

3. Kenmerkensets beheren

   Bepaal wie aangepaste beveiligingskenmerken mag definiëren en toewijzen in een kenmerkenset. Meer informatie

   

4. Kenmerken definiëren

   Voeg uw aangepaste beveiligingskenmerken toe aan uw directory. U kunt het datumtype (Booleaanse waarde, geheel getal of tekenreeks) opgeven en of waarden enkelvoudig, meervoudig, vrije vorm of vooraf gedefinieerd zijn. Meer informatie

   

5. Kenmerken toewijzen

   Wijs aangepaste beveiligingskenmerken toe aan Microsoft Entra-objecten voor uw bedrijfsscenario's. Meer informatie

   

6. Kenmerken gebruiken

   Filter gebruikers en toepassingen die gebruikmaken van aangepaste beveiligingskenmerken. Meer informatie

   Voeg voorwaarden toe die aangepaste beveiligingskenmerken gebruiken voor Azure-roltoewijzingen voor fijnmazig toegangsbeheer. Meer informatie

Terminologie

Om aangepaste beveiligingskenmerken beter te begrijpen, kunt u refereren aan de volgende lijst van termen.

Term	Definitie
kenmerkdefinitie	Het schema van een aangepast beveiligingskenmerk of sleutel-waardepaar. Bijvoorbeeld de naam van het aangepaste beveiligingskenmerk, de beschrijving, het gegevenstype en vooraf gedefinieerde waarden.
kenmerkenset	Een verzameling gerelateerde aangepaste beveiligingskenmerken. Kenmerkensets kunnen worden gedelegeerd aan andere gebruikers voor het definiëren en toewijzen van aangepaste beveiligingskenmerken.
kenmerknaam	Een unieke naam van een aangepast beveiligingskenmerk binnen een kenmerkenset. De combinatie van kenmerkenset en kenmerknaam vormt een uniek kenmerk voor uw tenant.
kenmerktoewijzing	De toewijzing van een aangepast beveiligingskenmerk aan een Microsoft Entra-object, zoals gebruikers en bedrijfstoepassingen (service-principals).
vooraf gedefinieerde waarde	Een waarde die is toegestaan voor een aangepast beveiligingskenmerk.

Eigenschappen van aangepaste beveiligingskenmerken

De volgende tabel bevat de eigenschappen die u kunt opgeven voor kenmerkensets en aangepaste beveiligingskenmerken. Sommige eigenschappen zijn onveranderbaar en kunnen later niet worden gewijzigd.

Eigenschappen	Vereist	Kan later worden gewijzigd	Beschrijving
Naam kenmerkenset	✅		Naam van de kenmerkenset. Moet uniek zijn binnen een tenant. Mag geen spaties of speciale tekens bevatten.
Beschrijving kenmerkenset		✅	Beschrijving van de kenmerkenset.
Maximaal aantal kenmerken		✅	Het maximale aantal aangepaste beveiligingskenmerken dat kan worden gedefinieerd in een kenmerkenset. De standaardwaarde is null. Als dit niet is opgegeven, kan de beheerder maximaal 500 actieve kenmerken toevoegen per tenant.
Kenmerkset	✅		Een verzameling gerelateerde aangepaste beveiligingskenmerken. Elk aangepast beveiligingskenmerk moet deel uitmaken van een kenmerkenset.
Naam van kenmerk	✅		Naam van het aangepaste beveiligingskenmerk. Moet uniek zijn binnen een kenmerkenset. Mag geen spaties of speciale tekens bevatten.
Beschrijving kenmerk		✅	Beschrijving van het aangepaste beveiligingskenmerk.
Gegevenstype	✅		Gegevenstype voor de waarden van het aangepaste beveiligingskenmerk. Ondersteunde typen zijn Boolean, Integer en String.
Toewijzing van meerdere waarden toestaan	✅		Geeft aan of meerdere waarden kunnen worden toegewezen aan het aangepaste beveiligingskenmerk. Als het gegevenstype is ingesteld op Boolean, kan dit niet worden ingesteld op Ja.
Alleen toewijzing van vooraf gedefinieerde waarden toestaan	✅		Geeft aan of alleen vooraf gedefinieerde waarden kunnen worden toegewezen aan het aangepaste beveiligingskenmerk. Als dit is ingesteld op Nee, zijn vrije-vormwaarden toegestaan. Kan later worden gewijzigd van Ja naar Nee, maar kan niet worden gewijzigd van Nee naar Ja. Als het gegevenstype is ingesteld op Boolean, kan dit niet worden ingesteld op Ja.
Vooraf gedefinieerde waarden			Vooraf gedefinieerde waarden voor het aangepaste beveiligingskenmerk van het geselecteerde gegevenstype. Er kunnen later meer vooraf gedefinieerde waarden worden toegevoegd. Waarden mogen spaties bevatten, maar sommige speciale tekens zijn niet toegestaan.
Vooraf gedefinieerde waarde is actief		✅	Geeft aan of de vooraf gedefinieerde waarde actief of gedeactiveerd is. Als dit is ingesteld op Onwaar, kan de vooraf gedefinieerde waarde niet worden toegewezen aan aanvullende ondersteunde directory-objecten.
Kenmerk is actief		✅	Geeft aan of het aangepaste beveiligingskenmerk actief of gedeactiveerd is.

Limieten en beperkingen

Hier volgen enkele van de limieten en beperkingen voor aangepaste beveiligingskenmerken.

Bron	Limiet	Opmerkingen
Kenmerkdefinities per tenant	500	Alleen van toepassing op actieve kenmerken in de tenant
Kenmerkensets per tenant	500
Lengte naam kenmerkenset	32	Unicode-tekens en hoofdlettergevoelig
Lengte beschrijving kenmerkenset	128	Unicode-tekens
Lengte kenmerknaam	32	Unicode-tekens en hoofdlettergevoelig
Lengte kenmerkbeschrijving	128	Unicode-tekens
Vooraf gedefinieerde waarden		Unicode-tekens en hoofdlettergevoelig
Vooraf gedefinieerde waarden per kenmerkdefinitie	100
Lengte kenmerkwaarde	64	Unicode-tekens
Toegewezen kenmerkwaarden per object	50	Waarden kunnen worden verdeeld over kenmerken met één en meerdere waarden. Voorbeeld: 5 kenmerken met elk 10 waarden of 50 kenmerken met elk 1 waarde
Speciale tekens die niet zijn toegestaan: Naam kenmerkenset Naam van kenmerk	<space> ` ~ ! @ # $ % ^ & * ( ) _ - + = { [ } ] \| \ : ; " ' < , > . ? /	De namen van kenmerkensets en kenmerken mogen niet beginnen met een cijfer
Toegestane speciale tekens voor kenmerkwaarden	Alle speciale tekens
Speciale tekens die zijn toegestaan voor kenmerkwaarden bij gebruik met blobindextags	<space> + - . : = _ /	Als u van plan bent kenmerkwaarden te gebruiken met blobindextags, zijn dit de enige speciale tekens die zijn toegestaan voor blobindextags. Zie Blobindextags instellen voor meer informatie.

Rollen voor aangepaste beveiligingskenmerken

Microsoft Entra ID biedt ingebouwde rollen voor gebruik met aangepaste beveiligingskenmerken. De rol Kenmerkdefinitiebeheerder is de minimale rol die u nodig hebt om aangepaste beveiligingskenmerken te beheren. De rol Kenmerktoewijzingsbeheerder is de minimale rol die u nodig hebt om aangepaste beveiligingskenmerkwaarden toe te wijzen voor Microsoft Entra-objecten, zoals gebruikers en toepassingen. U kunt deze rollen toewijzen op tenantniveau of op kenmerkensetniveau.

Rol	Machtigingen
Kenmerkdefinitielezer	Kenmerkensets lezen Definities van aangepaste beveiligingskenmerken lezen
Kenmerkdefinitiebeheerder	Alle aspecten van kenmerkensets beheren Alle aspecten van aangepaste beveiligingskenmerkdefinities beheren
Lezer van kenmerktoewijzing	Kenmerkensets lezen Definities van aangepaste beveiligingskenmerken lezen Sleutels en waarden van aangepaste beveiligingskenmerken lezen voor gebruikers en service-principals
Kenmerktoewijzingsbeheerder	Kenmerkensets lezen Definities van aangepaste beveiligingskenmerken lezen Sleutels en waarden van aangepaste beveiligingskenmerken lezen en bijwerken voor gebruikers en service-principals
Kenmerklogboeklezer	Auditlogboeken lezen voor aangepaste beveiligingskenmerken
Kenmerklogboekbeheerder	Auditlogboeken lezen voor aangepaste beveiligingskenmerken Diagnostische instellingen configureren voor aangepaste beveiligingskenmerken

Belangrijk

Globale beheerder en andere beheerdersrollen hebben standaard geen machtigingen voor het lezen, definiëren en toewijzen van aangepaste beveiligingskenmerken.

Microsoft Graph API

U kunt aangepaste beveiligingskenmerken programmatisch beheren met behulp van Microsoft Graph API. Zie Overzicht van aangepaste beveiligingskenmerken met behulp van de Microsoft Graph-API voor meer informatie.

U kunt een API-client zoals Graph Explorer gebruiken om de Microsoft Graph API eenvoudiger uit te proberen voor aangepaste beveiligingskenmerken.

Licentievereisten

Het gebruik van deze functie is gratis en is inbegrepen bij uw Azure-abonnement.

Volgende stappen

• Aangepaste beveiligingskenmerkdefinities toevoegen of deactiveren in Microsoft Entra-id
• Toegang tot aangepaste beveiligingskenmerken beheren in Microsoft Entra-id
• Aangepaste beveiligingskenmerken voor een gebruiker toewijzen, bijwerken, weergeven of verwijderen