Accounts voor noodtoegang beheren in Microsoft Entra ID

Het is belangrijk om te voorkomen dat u uzelf per ongeluk vergrendelt in uw Microsoft Entra organisatie, omdat u zich niet kunt aanmelden of een rol kunt activeren. U kunt de impact verminderen van onbedoeld gebrek aan beheerderstoegang door twee of meer accounts voor noodtoegang in uw organisatie te maken.

Gebruikersaccounts met de rol Globale beheerder hebben hoge bevoegdheden in het systeem en deze rol omvat accounts voor toegang tot noodgevallen met de rol Globale beheerder. Gebruik noodtoegangsaccounts alleen voor noodsituaties of 'break glass'-scenario's wanneer normale beheerdersaccounts niet kunnen worden gebruikt. Beperk het gebruik van een account voor noodgevallen tot alleen de tijdstippen waarop dit absoluut noodzakelijk is.

Dit artikel bevat richtlijnen voor het beheren van accounts voor toegang tot noodgevallen in Microsoft Entra ID.

Waarom een account voor noodtoegang gebruiken

In de volgende situaties moet een organisatie mogelijk een account voor noodtoegang gebruiken:

• De gebruikersaccounts zijn federatief en federatie is momenteel niet beschikbaar vanwege een onderbreking van het celnetwerk of een storing van de id-provider. Als de host van de id-provider in uw omgeving bijvoorbeeld uitvalt, kunnen gebruikers zich mogelijk niet aanmelden wanneer Microsoft Entra ID wordt omgeleid naar hun id-provider.
• De beheerders registreren zich via Microsoft Entra meervoudige verificatie en al hun afzonderlijke apparaten zijn niet beschikbaar of de service is niet beschikbaar. Gebruikers kunnen mogelijk meervoudige verificatie niet voltooien om een rol te activeren. Een storing in een mobiel netwerk verhindert bijvoorbeeld dat ze telefoongesprekken aannemen of sms-berichten ontvangen, de enige twee verificatiemechanismen die ze voor hun apparaat hebben geregistreerd.
• De persoon met de meest recente globale beheerderstoegang verlaat de organisatie. Microsoft Entra-id voorkomt dat het laatste globale beheerdersaccount wordt verwijderd, maar het account wordt niet on-premises verwijderd of uitgeschakeld. In beide gevallen kan de organisatie het account niet herstellen.
• Onvoorziene omstandigheden zoals een noodgeval in verband met een natuurramp, waarbij een mobiele telefoon of andere netwerken mogelijk niet beschikbaar zijn.
• Alle roltoewijzingen globale beheerder en bevoorrechte rolbeheerder komen in aanmerking (niet actief), activering vereist goedkeuring en er zijn geen goedkeurders geselecteerd (of alle geselecteerde goedkeurders zijn verwijderd uit de directory). Actieve Global Administrators en Privileged Role Administrators zijn standaard de goedkeurders als er geen goedkeurders zijn geselecteerd, maar omdat geen van hen actief is, kan niemand de activering goedkeuren en is tenantbeheer feitelijk vergrendeld.

Accounts voor noodtoegang maken

Maak twee of meer accounts voor noodtoegang. Deze accounts moeten alleen cloudaccounts zijn die gebruikmaken van het domein *.onmicrosoft.com en niet worden gefedereerd of gesynchroniseerd vanuit een on-premises omgeving. Volg deze stappen op hoog niveau.

1. Zoek uw bestaande noodtoegangsaccounts of maak nieuwe alleen-cloudgebruikers en ken hun de rol Globale beheerder toe.

2. Kies een van deze verificatiemethoden zonder wachtwoord voor uw accounts voor noodtoegang. Deze methoden voldoen aan de verplichte vereisten voor meervoudige verificatie.

   • wachtwoordsleutel (FIDO2) (aanbevolen)
   • verificatie op basis van certificaten als uw organisatie al een PKI-installatie (Public Key Infrastructure) heeft

3. Registreer aanmeldgegevens voor de authenticatiemethode die u in de vorige stap hebt gekozen.

   • Wachtwoordsleutel (FIDO2):schakel wachtwoordsleutels (FIDO2) in voor uw organisatie en registreer vervolgens een wachtwoordsleutel (FIDO2)
   • Verificatie op basis van certificaten: verificatie op basis van certificaten configureren

4. Controleer of accounts voor toegang tot noodgevallen zijn uitgesloten van beleid voor voorwaardelijke toegang dat aanmelding blokkeert of beperkt. De phishingbestendige verificatiemethode die in de vorige stap is geregistreerd, beschermt het account; een afgedwongen beleid voor voorwaardelijke toegang kan aanmelding voorkomen tijdens de exacte noodgeval waarvoor het account is ontworpen. Beleid voor alleen rapporten blokkeert geen toegang en vereist geen uitsluiting. Zie overwegingen voor voorwaardelijke toegang voor meer informatie.

5. Sla accountreferenties veilig op.

6. De aanmeldings- en auditlogboeken bewaken.

7. Controleer regelmatig de accounts.

Configuratievereisten

Wanneer u deze accounts configureert, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan:

• Koppel geen accounts voor noodtoegang aan individuele gebruikers in de organisatie. Sla referenties op een bekende beveiligde locatie op die beschikbaar is voor meerdere leden van het beheerteam. Verbind deze accounts niet met apparaten die door werknemers zijn geleverd, zoals telefoons. Met deze aanpak wordt het beheer van noodtoegangsaccounts geüniformeerd. De meeste organisaties hebben niet alleen accounts voor noodtoegang nodig voor Microsoft Cloud infrastructuur, maar ook voor on-premises omgevingen, federatieve SaaS-toepassingen en andere kritieke systemen.

  U kunt er ook voor kiezen om afzonderlijke accounts voor toegang tot noodgevallen te maken voor beheerders. Deze oplossing bevordert de verantwoordelijkheid en stelt beheerders in staat accounts voor toegang tot noodgevallen te gebruiken vanaf externe locaties.

• Gebruik sterke verificatie voor uw accounts voor toegang voor noodgevallen en zorg ervoor dat deze niet dezelfde verificatiemethoden gebruikt als uw andere beheerdersaccounts. Als uw normale beheerdersaccount bijvoorbeeld de Microsoft Authenticator-app gebruikt voor sterke verificatie, dan gebruikt u een FIDO2-beveiligingssleutel voor uw noodaccounts. Als u wilt voorkomen dat externe vereisten worden toegevoegd aan het verificatieproces, moet u rekening houden met de afhankelijkheden van verschillende verificatiemethoden.

• Het apparaat of de referentie mag niet zijn verlopen of worden opgenomen in het geautomatiseerde opschoningsproces vanwege een gebrek aan gebruik.

• Maak in Microsoft Entra Privileged Identity Management de roltoewijzing voor Globale beheerder actief permanent in plaats van in aanmerking komend voor uw noodtoegangsaccounts.

• Personen die gemachtigd zijn om deze accounts voor toegang voor noodgevallen te gebruiken, moeten gebruikmaken van een aangewezen, beveiligd werkstation of vergelijkbare client-computingomgeving, zoals een Privileged Access Workstation. Gebruik deze werkstations wanneer u werkt met de accounts voor noodtoegang. Zie het implementeren van een bevoegde toegangsoplossingvoor meer informatie over het configureren van een Microsoft Entra-tenant waar er werkstations zijn aangewezen.

Federatierichtlijnen

Sommige organisaties gebruiken Active Directory Domain Services en Active Directory Federation Service (AD FS) of een vergelijkbare id-provider om te federeren met Microsoft Entra-id. Houd de noodtoegang voor on-premises systemen en de noodtoegang voor cloudservices gescheiden, zonder dat de ene afhankelijk is van de andere. Door verificatie voor accounts met bevoegdheden voor noodtoegang van andere systemen te beheren of te bebronnen, wordt onnodig risico toegevoegd als er een storing optreedt in deze systemen.

Accountreferenties veilig opslaan

Zorg ervoor dat de referenties voor accounts voor toegang voor noodgevallen beveiligd blijven en alleen bekend zijn bij personen die gemachtigd zijn om ze te gebruiken. U kunt bijvoorbeeld FIDO2-beveiligingssleutels gebruiken voor Microsoft Entra-id's of smartcards voor Windows Server Active Directory. Bewaar referenties in veilige, brandveilige safes die zich op veilige, afzonderlijke locaties bevinden.

Overwegingen voor voorwaardelijke toegang

Sluit accounts voor noodtoegang uit van beleid voor voorwaardelijke toegang waarmee aanmelding wordt geblokkeerd of beperkt. Beleid voor alleen rapporten blokkeert geen toegang en hoeft geen accounts voor noodgevallen uit te sluiten. Als een account voor toegang voor noodgevallen onderhevig is aan een beleid voor voorwaardelijke toegang waarvoor MFA, een compatibel apparaat of een ander besturingselement is vereist, kan het account onbruikbaar zijn tijdens de exacte scenario's voor noodgevallen waarvoor het is ontworpen.

Houd rekening met de volgende punten bij het plannen van de implementatie van voorwaardelijke toegang:

• Maak een speciale beveiligingsgroep voor uw accounts voor toegang voor noodgevallen, zoals EmergencyAccess, en sluit deze groep uit van beleid voor voorwaardelijke toegang waarmee aanmelding wordt geblokkeerd of beperkt.
• Test regelmatig (bijvoorbeeld elk kwartaal) of accounts voor toegang voor noodgevallen zich kunnen aanmelden met uw huidige configuratie voor voorwaardelijke toegang.
• Maak beleid voor voorwaardelijke toegang dat u tijdens een storing kunt inschakelen om de toegang voor kritieke gebruikers te herstellen. Zie Een flexibele strategie voor toegangsbeheer maken voor meer informatie.

Zie Een implementatie van voorwaardelijke toegang plannen voor meer informatie over het plannen van uitsluitingen voor voorwaardelijke toegang.

Overzicht van beveiligingsmaatregelen

De volgende controlelijst bevat een overzicht van de beveiligingsvereisten voor accounts voor toegang tot noodgevallen:

• Onderhoud ten minste twee accounts voor noodtoegang voor redundantie.
• Gebruik cloudaccounts (.onmicrosoft.com domein) zonder afhankelijkheid van federatieve id-providers.
• Gebruik phishingbestendige verificatiemethoden (FIDO2-beveiligingssleutels of verificatie op basis van certificaten) die afwijken van uw normale beheerdersaccounts.
• Zorg ervoor dat referenties en apparaten niet verlopen en niet onderhevig zijn aan geautomatiseerde opschoning.
• Wijs in Privileged Identity Management de rol Globaal beheerder voor noodaccounts toe als permanent actief (niet in aanmerking komend).
• Vereis het gebruik van een aangewezen beveiligd werkstation of Privileged Access Workstation bij het gebruik van noodtoegangsaccounts.
• Bewaar referenties op afzonderlijke, veilige, brandveilige locaties die toegankelijk zijn voor geautoriseerde personen.
• Sluit accounts voor noodtoegang uit van beleid voor voorwaardelijke toegang waarmee aanmelding wordt geblokkeerd of beperkt. Beleid voor alleen rapporten vereist geen uitsluiting.
• Controleer alle aanmeldings- en auditlogboekactiviteiten voor accounts voor noodtoegang met waarschuwingen om onnodig of niet-geautoriseerd gebruik te detecteren.
• Valideer de accountfunctionaliteit ten minste om de 90 dagen.

Controlebaarheid en naleving

Organisaties in gereguleerde branches moeten mogelijk aantonen dat het gebruik van accounts voor noodtoegang correct wordt geregeld. De bewakings- en validatieprocedures die in dit artikel worden beschreven, ondersteunen controlebaarheid:

• Bewaking van aanmeldings- en auditlogboeken: waarschuwingen configureren voor elk gebruik van een account voor toegang tot noodgevallen. Leg aanmeldingslogboeken en auditlogboeken vast voor controle. Zie voor meer informatie Aanmeldings- en controlelogboeken bewaken in dit artikel.
• Post-mortem review: Na elk gebruik van een account voor toegang tot noodgevallen voert u een beoordeling uit om te bepalen of het gebruik is geautoriseerd en of de uitgevoerde acties geschikt zijn. Zie in dit artikel Een post-mortemteam voorbereiden voor meer details.
• Regelmatige validatie: Voer ten minste elke 90 dagen accountvalidatieanalyses uit, waaronder het controleren van de lijst met geautoriseerde gebruikers en het testen van aanmeldings- en beheertaken. Zie Accounts regelmatig valideren in dit artikel voor meer informatie.
• Nalevingskoppeling: Als uw organisatie moet voldoen aan de HIPAA-voorschriften, biedt Microsoft richtlijnen over hoe accounts voor noodtoegang overeenkomen met de vereisten van de HIPAA-procedure voor noodtoegang. Zie HIPAA-toegangsbeheer voor meer informatie.

Aanmeldings- en auditlogboeken bewaken

Bewaak aanmeldings- en auditlogboekactiviteiten van de accounts voor noodgevallen en activeer meldingen aan andere beheerders. Wanneer u de activiteit voor accounts voor toegang tot noodgevallen bewaakt, kunt u controleren of deze accounts alleen worden gebruikt voor testen of werkelijke noodgevallen. U kunt Azure Monitor, Microsoft Sentinel of andere hulpprogramma's gebruiken om de aanmeldingslogboeken te bewaken en e-mail- en sms-waarschuwingen aan uw beheerders te activeren wanneer accounts voor noodtoegang zich aanmelden. In deze sectie wordt het gebruik van Azure Monitor geïllustreerd.

Vereisten

• Microsoft Entra-aanmeldingslogboeken verzenden naar Azure Monitor.

Verkrijg Object-ID's van de accounts voor toegang tot noodgevallen

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een gebruikersbeheerder.

2. Navigeer naar Entra ID>Gebruikers.

3. Zoek naar het account voor noodtoegang en selecteer de naam van de gebruiker.

4. Kopieer en sla het kenmerk Object-id op, zodat u het later kunt gebruiken.

5. Herhaal de vorige stappen voor het tweede account voor toegang tot noodgevallen.

Een waarschuwingsregel maken

1. Meld u aan bij Azure Portal als minimaal bewakingsbijdrager.

2. Zoek naar en open Monitor.

3. Selecteer Waarschuwingen in het linkermenu.

4. Selecteer . De pagina Waarschuwingsregel maken wordt geopend.

5. Op het tabblad Bereik :

   1. Zoek en selecteer in het deelvenster Selecteer een resource uw Log Analytics werkruimte.
   2. Controleer of het abonnement overeenkomt met de werkruimte die u hebt geconfigureerd in de vereisten.
   3. Selecteer de optie Toepassen.

6. Op het tabblad Voorwaarde :

   1. Selecteer Aangepaste logboekzoekopdracht in de vervolgkeuzelijst Signal name.

   2. Stel het querytype in op geaggregeerde logboeken.

   3. Voer onder Zoekquery een van de volgende query's in, waarbij u de object-id's van de twee accounts voor toegang tot noodgevallen invoegt.

      Notitie

      Voor elk extra account voor toegang voor noodgevallen dat u wilt opnemen, voegt u nog een or UserId == "ObjectGuid" toe aan de query.

      Voorbeeldqueries:

      // Search for a single Object ID (UserID)
      SigninLogs
      | where UserId == "00aa00aa-bb11-cc22-dd33-44ee44ee44ee"
      | project TimeGenerated, UserPrincipalName, UserId, IPAddress, ResultType, ResultDescription
      

      // Search for multiple Object IDs (UserIds)
      SigninLogs
      | where UserId == "00aa00aa-bb11-cc22-dd33-44ee44ee44ee" or UserId == "11bb11bb-cc22-dd33-ee44-55ff55ff55ff"
      | project TimeGenerated, UserPrincipalName, UserId, IPAddress, ResultType, ResultDescription
      

      // Search for a single UserPrincipalName
      SigninLogs
      | where UserPrincipalName == "user@yourdomain.onmicrosoft.com"
      | project TimeGenerated, UserPrincipalName, UserId, IPAddress, ResultType, ResultDescription
      

   4. Stel onder Meting in hoe u de resultaten van de query samenvat:

      1. Selecteer de meting.
      2. Selecteer het aggregatietype.
      3. Selecteer de aggregatiegranulariteit.

   5. Selecteer onder Splitsen op dimensies de kolom Resource-id.

   6. Onder Waarschuwingslogica:

      1. Stel het drempelwaardetype in op Statisch.
      2. Stel de operator in op Groter dan.
      3. Stel de drempelwaarde in op 0.
      4. Stel de frequentie van de evaluatie in op hoe vaak u de query wilt uitvoeren.

      

   7. Selecteer Volgende om door te gaan.

7. Selecteer op het tabblad Acties een actiegroep die moet worden gewaarschuwd door de waarschuwing. Zie Een actiegroep maken als u er een wilt maken.

8. Op het tabblad Details :

   1. Selecteer het ernstniveau van de gebeurtenis. Gebruik 0 - Kritiek.
   2. Voer de naam van de waarschuwingsregel in en voeg een optionele beschrijving toe.
   3. Selecteer de regio.
   4. Selecteer welke identiteit u wilt gebruiken bij het uitvoeren van de logboekquery.
   5. Selecteer Onder Geavanceerde opties de optie Inschakelen bij het maken.
   6. Selecteer Volgende om door te gaan.

9. Voeg op het tabblad Tags alle tags toe die u aan de waarschuwingsregel wilt koppelen.

10. Selecteer Beoordelen + creëren en selecteer daarna Creëren.

Een actiegroep maken

1. Selecteer Een actiegroep maken.

   

2. Voer op het tabblad Basisinformatie de volgende gegevens in:

   • Abonnement en resourcegroep: selecteer waar de actiegroep moet worden opgeslagen.
   • Regio: Selecteer de regio voor de actiegroep.
   • Naam van actiegroep: voer een beschrijvende naam in.
   • Weergavenaam: Voer een korte naam in (maximaal 12 tekens) die wordt weergegeven in meldingen.

3. Selecteer Volgende: meldingen.

4. Selecteer onder Meldingstypee-mail/sms-bericht/push/spraak.

5. Voer een meldingsnaam in, zoals Globale beheerder waarschuwen.

6. Selecteer Details bewerken, configureer de meldingsmethoden en contactgegevens en selecteer vervolgens OK.

7. Voeg eventuele andere meldingen toe die u wilt activeren.

8. Selecteer Volgende: Acties om aanvullende geautomatiseerde acties te configureren of selecteer Beoordelen en maken om te voltooien.

Een post-mortemteam voorbereiden om het gebruik van inloggegevens voor noodtoegang te evalueren

Als de waarschuwing wordt geactiveerd, behoudt u de logboeken van Microsoft Entra en andere workloads. Voer een beoordeling uit van de omstandigheden en de resultaten van het gebruik van het noodtoegangsaccount. Met deze beoordeling wordt bepaald of het account is gebruikt:

• Voor een geplande oefening om de geschiktheid ervan te valideren
• In reactie op een werkelijk noodgeval waarbij geen beheerder zijn of haar normale accounts kon gebruiken
• Als gevolg van misbruik of onbevoegd gebruik van het account

Bekijk vervolgens de logboeken om te bepalen welke acties de persoon heeft uitgevoerd met het account voor noodtoegang om ervoor te zorgen dat deze acties overeenkomen met het geautoriseerde gebruik van het account.

Accounts regelmatig valideren

Naast het trainen van personeelsleden voor het gebruik van accounts voor toegang tot noodgevallen, moet u een doorlopend proces uitvoeren om te controleren of geautoriseerd personeel toegang heeft tot de accounts voor toegang tot noodgevallen. Voer regelmatig analyses uit om de functionaliteit van de accounts te valideren en om te bevestigen dat bewakings- en waarschuwingsregels worden geactiveerd voor het geval een account wordt misbruikt. Voer minimaal de volgende stappen uit met regelmatige tussenpozen:

• Zorg ervoor dat medewerkers die de beveiliging monitoren, ervan op de hoogte zijn dat de accountcontrole nog gaande is.
• Bekijk en werk de lijst met personen die gemachtigd zijn voor het gebruik van de inloggegevens voor noodtoegang bij.
• Zorg ervoor dat het noodproces voor noodtoegang tot het gebruik van deze accounts gedocumenteerd en actueel is.
• Zorg ervoor dat beheerders en security officers die deze stappen mogelijk moeten uitvoeren tijdens een noodgeval, worden getraind tijdens het proces.
• Controleer of de accounts voor noodtoegang zich kunnen aanmelden en beheertaken kunnen uitvoeren.
• Zorg ervoor dat gebruikers meervoudige verificatie of selfservice voor wachtwoordherstel (SSPR) niet hebben geregistreerd op het apparaat of persoonlijke gegevens van een afzonderlijke gebruiker.
• Als de accounts zijn geregistreerd voor meervoudige verificatie op een apparaat, voor gebruik tijdens aanmelding of rolactivering, moet u ervoor zorgen dat het apparaat toegankelijk is voor alle beheerders die het mogelijk tijdens een noodgeval moeten gebruiken. Controleer ook of het apparaat kan communiceren via ten minste twee netwerkpaden die geen algemene foutmodus delen. Het apparaat kan bijvoorbeeld communiceren met internet via zowel het draadloze netwerk van een faciliteit als een netwerk van een provider.
• Wijzig regelmatig de combinaties op eventuele kluisjes en nadat iemand met toegang de organisatie verlaat.

Voer deze stappen regelmatig uit en voor belangrijke wijzigingen:

• Ten minste om de 90 dagen
• Wanneer er een recente wijziging is in IT-medewerkers, zoals na beëindiging of positiewijziging
• Wanneer de Microsoft Entra abonnementen in de organisatie veranderen

Volgende stappen

• Hoe te verifiëren of gebruikers zijn ingesteld voor verplichte MFA
• Phishing-bestendige meervoudige verificatie vereisen voor beheerders
• Bevoegde toegang beveiligen voor hybride en cloudimplementaties in Microsoft Entra-id
• Aanvullende beveiligingen configureren voor bevoorrechte rollen in Microsoft 365 als u Microsoft 365 gebruikt
• Een toegangsbeoordeling starten van bevoorrechte rollen en bestaande bevoorrechte roltoewijzingen overschakelen naar specifiekere beheerdersrollen

Verwante inhoud

• Een flexibele strategie voor toegangsbeheer maken
• Beveiligingsbewerkingen voor bevoegde accounts
• Een Privileged Identity Management-implementatie plannen
• Een implementatie van voorwaardelijke toegang plannen
• HIPAA-toegangsbeheer
• Microsoft Entra-klantoverwegingen in het kader van DORA