Er hoeft geen actie te worden ondernomen: het grote PHP-beveiligingslek dat momenteel in het nieuws is, heeft geen gevolgen voor de diensten van Identum. eADM en eFeide zijn niet op PHP gebaseerd en we gebruiken PHP in geen enkel van onze systemen.
Navigatie

Entra ID configureren voor integratie

In deze handleiding wordt beschreven hoe u Microsoft Entra ID kunt voorbereiden voor integratie met eAdm of eFeide. Hiervoor moet u een applicatieregistratie aanmaken en vervolgens de benodigde machtigingen toewijzen.

Je kunt het gedeelte over geavanceerde configuratie veilig negeren, tenzij dit specifiek door Identum wordt aangegeven.


Deel 1: Een Entra ID-applicatieregistratie aanmaken

  1. Log in op het Azure portaal met een beheerdersaccount.

  2. Ga naar Entra ID.

  3. Selecteer App-registraties in het menu aan de linkerkant en klik vervolgens op + Nieuwe registratie.

  4. Configureer de volgende instellingen op de pagina "Een toepassing registreren":

    • Naam: Voer een beschrijvende naam in voor de toepassing. Bijvoorbeeld: Identum eFeide-eAdm User and Group Management.

    • Ondersteunde accounttypes: Selecteer Accounts alleen in deze organisatiemap (Single tenant).

    • URI omleiden: Laat dit veld leeg.

  5. Klik op Registreren om de toepassing aan te maken.

  6. Nadat de toepassing is gemaakt, kopieert u de ID van de toepassing (client) en de ID van de directory (huurder) van de pagina "Overzicht" van de toepassing. Bewaar deze waarden voor later gebruik.


Waarschuwing: Gebruik geen schuine streep (/) in de naam van de applicatie, aangezien dit problemen kan veroorzaken in Entra ID.


Deel 2: API-rechten toewijzen

Vervolgens moet je de applicatie de vereiste API-rechten geven om gebruikers en groepen te beheren.

  1. Navigeer in je nieuwe applicatieregistratie naar API-rechten in het linkermenu.

  2. Klik op + Toestemming toevoegen.

  3. Selecteer Microsoft Graph.

  4. Kies Toepassingsmachtigingen.

  5. Voeg de volgende rechten toe:

    • Directory.Read.All

    • Directory.ReadWrite.All

    • Group.Create

    • Group.Read.All

    • Group.ReadWrite.All

    • GroupMember.ReadWrite.All

    • User.Read.All

    • User.ReadWrite.All

    • User.EnableDisableAccount.All

  6. Voeg ook de volgende rechten toe als ze relevant zijn voor je specifieke behoeften:

    • AuditLog.Read.All: Vereist als u de lastLogonTimeStamp toewijzen aan eAdm, of de MFA-registratiestatus synchroniseren.

    • UserAuthenticationMethod.ReadWrite.All: Vereist als eAdm MFA-methoden voor gebruikers beheert.

    • Reports.Read.All: Vereist als eAdm de grootte van de mailbox naar eAdm wil synchroniseren.

    • LicenseAssignment.Read.All: Vereist als eAdm de toegewezen licentienamen/ID’s naar eAdm wil synchroniseren.

  7. Klik na het toevoegen van de machtigingen op Machtigingen toevoegen.

  8. Klik in het scherm API-machtigingen op Toestemming verlenen voor [Uw huurdersnaam] en bevestig wanneer daarom wordt gevraagd.


Opmerking: De vetgedrukte rechten zijn verplicht voor basisintegratie. De andere zijn vereist voor specifieke, veelvoorkomende scenario's.


Deel 3: Een cliëntgeheim maken

Een clientgeheim is een wachtwoord dat de applicatie gebruikt om zichzelf te authenticeren.

  1. Navigeer naar Certificaten & geheimen in het linkermenu.

  2. Klik op + Nieuw clientgeheim.

  3. Voer een beschrijving in voor het geheim en stel de vervalperiode in op 24 maanden.

  4. Klik op Toevoegen.

  5. Kopieer onmiddellijk de waarde van het nieuwe cliëntgeheim uit het veld Waarde.


Waarschuwing: De client secret waarde wordt alleen volledig weergegeven direct na het aanmaken. Als je deze nu niet kopieert, moet je een nieuwe aanmaken. Bewaar deze waarde veilig.

Opmerking: Als Privileged Identity Management (PIM) actief is in je omgeving, kun je mogelijk geen vaste vervaldatum instellen.


Deel 4: Een beheerdersrol toewijzen

Om gevoelige acties uit te voeren, zoals het wijzigen van wachtwoorden of het bijwerken van telefoonnummers van gebruikers, heeft de applicatie een beheerdersrol nodig.

  1. Ga in de Azure-portal naar Entra ID.

  2. Selecteer Rollen en beheerders.

  3. Zoek en selecteer de rol Gebruikersbeheerder.

  4. Klik op Opdrachten toevoegen.

  5. Zoek en selecteer de toepassing die je eerder hebt gemaakt (bijv, Identum eFeide-eAdm User and Group Management).

  6. Stel in het volgende scherm het toewijzingstype in op Actief en geef een motivering op, zoals "Vereist voor eFeide om gebruikerswachtwoorden te beheren".

  7. Klik op Toewijzen om de roltoewijzing te voltooien.


Opmerking: Als u roltoewijsbare groepen gebruikt voor gebruikers die worden beheerd door eFeide of eAdm, heeft de toepassing in plaats daarvan de rol Privileged Authentication Administrator nodig. Zie: https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/privileged-roles-permissions?tabs=admin-center#who-can-perform-sensitive-actions


Deel 5: Stuur informatie naar Identum

Als de configuratie voltooid is, moet je de volgende informatie naar Identum sturen om de installatie af te ronden:

  • Naam huurder (bijv, yourcompany.onmicrosoft.com)

  • Directory (huurder) ID

  • Applicatie (client) ID

  • Geheim van de klant


Waarschuwing: Verzend voor de veiligheid het Clientgeheim apart van de andere informatie (bijvoorbeeld via sms of een ander beveiligd kanaal).


Geavanceerde configuratie


Waarschuwing: Voer de volgende stappen niet uit, tenzij Identum u expliciet heeft geïnstrueerd dit te doen of u een ervaren gebruiker bent.


Machtigingen toewijzen in Exchange Online

Deze rechten zijn alleen nodig als eAdm of eFeide direct Exchange Online functies beheren, zoals distributiegroepen of mail-enabled beveiligingsgroepen.

  1. Ga in je applicatieregistratie naar API-rechten en klik op + Een recht toevoegen.

  2. Ga naar het tabblad API's die mijn organisatie gebruikt.

  3. Zoek naar "Office" en selecteer Office 365 Exchange Online.

  4. Selecteer Toepassingsmachtigingen.

  5. Kies de Exchange.ManageAsApp toestemming en klik op Machtigingen toevoegen.

  6. Geef beheerders toestemming voor de nieuwe toestemming.

  7. Wijs de toepassing de rol ‘Exchange-ontvangersbeheerder’ toe via het paneel ‘Rollen en beheerders’ in Entra ID. Hierdoor kan de toepassing Exchange-objecten beheren.


Mail-enabled beveiligingsgroepen:

Voor het beheren van beveiligingsgroepen met e-mailfunctionaliteit is een extra rol nodig: "Security Group Creation and Membership" in Exchange Online. Het instellen hiervan kan wat lastig zijn... Maar hieronder leggen we uit hoe je deze afzonderlijke rol kunt toevoegen (je kunt desgewenst ook aangepaste rolgroepen gebruiken). Raadpleeg https://learn.microsoft.com/en-us/exchange/permissions-exo/application-rbac voor achtergrondinformatie en verdere instructies:

1. Maak de Service Principal aan in Exchange Online

Zoek eerst de Object-ID van uw toepassing op in Entra ID en gebruik deze om de serviceprincipal te registreren in Exchange Online. Dit hoeft slechts één keer per toepassing te worden gedaan.

PowerShell
# Make sure you are connected to both services
# Connect-MgGraph -Scopes "Application.Read.All"
# Connect-ExchangeOnline

# --- Enter your Application (Client) ID here ---
$appId = "00000000-0000-0000-0000-000000000000"

# Find the application's details in Entra ID
$sp = Get-MgServicePrincipal -Filter "appId eq '$appId'"

# Create the service principal object within Exchange Online
# The -ErrorAction flag prevents an error if it already exists
New-ServicePrincipal -AppId $sp.AppId -ObjectId $sp.Id -DisplayName $sp.DisplayName -ErrorAction SilentlyContinue
2. Wijs de enkele rol toe aan de toepassing


Gebruik nu de New-ManagementRoleAssignment cmdlet met de -App parameter om de rol direct toe te wijzen aan de service principal die je zojuist hebt aangemaakt.

PowerShell
# Assign the role directly to the application
# Provide a unique name for the role assignment
New-ManagementRoleAssignment -App $appId -Role "Security Group Creation and Membership" -Name "App_SG_Creation_Membership_Direct_Assignment"

Uw applicatie heeft nu de specifieke Exchange Online rechten om mail-enabled beveiligingsgroepen te beheren.


Certificaatgebaseerde verificatie

Deze stap is alleen nodig als Identum aangepaste scripts moet uitvoeren in uw Exchange Online- of Entra ID-omgeving. Dit wordt doorgaans gebruikt voor geavanceerde integraties en wordt rechtstreeks met u afgestemd.

  1. Er wordt een zelfondertekend certificaat gegenereerd. Je krijgt instructies over hoe dit in zijn werk gaat.

  2. Navigeer in de toepassingsregistratie naar Certificaten & geheimen.

  3. Selecteer het tabblad Certificaten en klik op Certificaat uploaden.

  4. Upload het bestand met de openbare sleutel (.cer, .pemof .crt) aan u verstrekt.


Bijlage: Overzicht van vereiste toestemmingen

De volgende tabel geeft een overzicht van de Microsoft Graph API permissies en de reden waarom ze vereist zijn.

Toestemming

Waarvoor wordt het gebruikt?

Wanneer dit vereist is

User.Read.All

Lees gebruikersprofielen in, die worden gebruikt om Entra ID-accounts te vergelijken met eADM-records en bestaande accounts op te sporen.

Altijd. Dit is nodig bij elke Entra ID-synchronisatie, zelfs bij een configuratie die alleen voor gebruikers is bedoeld.

User.ReadWrite.All

Gebruikersaccounts aanmaken, bijwerken en verwijderen.

Altijd, tenzij de synchronisatiestap alleen-lezen is (alleen importeren, geen provisioning).

Group.Read.All

Lees groepen en groepseigenschappen.

Altijd vereist, in elk scenario — ook bij een import van alleen gebruikers zonder groepsaanmaak. De synchronisatiemotor leest bij elke uitvoering de volledige groepslijst in; dit is een technische vereiste, los van de vraag of er daadwerkelijk groepen worden geïmporteerd of geëxporteerd.

Group.ReadWrite.All

Groepen aanmaken, bijwerken en verwijderen; wordt ook gebruikt om Microsoft Teams voor een groep in te schakelen.

Vereist als groepsconfiguratie of Teams-op-groep is ingeschakeld. Niet vereist voor een opzet met alleen gebruikers — maar Group.Read.All het bovenstaande is in ieder geval vereist.

GroupMember.ReadWrite.All

Groepsleden toevoegen of verwijderen zonder volledige schrijftoegang tot de groep.

Optioneel alternatief voor Group.ReadWrite.All als eADM alleen het lidmaatschap zou moeten beheren, en niet de groepseigenschappen of het eigendom.

User.EnableDisableAccount.All

Een gebruikersaccount in- of uitschakelen (bijvoorbeeld bij verlof/terugkeer of beëindiging van het dienstverband).

Alleen vereist als het opnieuw activeren of deactiveren van een account deel uitmaakt van de levenscyclus van de klant. Niet nodig bij het eenvoudig aanmaken of bijwerken van een account.

Directory.ReadWrite.All

Uitgebreidere lees- en schrijfmogelijkheden voor gebruikers en groepen; omvat ook het herstellen van een eerder verwijderde gebruiker.

Optioneel. Alleen nodig als het herstellen van tijdelijk verwijderde accounts binnen de scope valt, en alleen als alternatief voor User.ReadWrite.All voor die specifieke handeling.

AuditLog.Read.All

Lees de inloggegevens (laatste aanmelding) en de registratiestatus van MFA.

Alleen vereist als synchronisatie van de laatste aanmelding of van de MFA-status is geconfigureerd.

UserAuthenticationMethod.ReadWrite.All

De authenticatiemethoden van een gebruiker beheren (bijvoorbeeld een telefoonnummer registreren voor MFA, een tijdelijke toegangspas verstrekken).

Alleen vereist als eADM MFA-methoden beheert of tijdelijke toegangspassen verstrekt. Dit geeft uitgebreide controle over de aanmeldbeveiliging van een gebruiker — lees dit zorgvuldig door voordat u toestemming verleent.

Reports.Read.All

Lees rapporten over de grootte en het gebruik van mailboxen.

Alleen vereist als de synchronisatie van de mailboxgrootte is geconfigureerd.

LicenseAssignment.Read.All (of Directory.Read.All / Directory.ReadWrite.All)

Lees de toegewezen licentie-/SKU-gegevens.

Alleen vereist als de synchronisatie van de licentienaam of het licentie-ID is geconfigureerd.

Exchange.ManageAsApp (Exchange Online, niet Graph)

Beheer distributielijsten en beveiligingsgroepen met e-mailfunctionaliteit.

Alleen vereist als eADM e-mailgroepen aan de Exchange-zijde beheert. Hiervoor is een afzonderlijke roltoewijzing in Exchange Online nodig — zie Geavanceerde configuratie.

De inrichting van Microsoft Teams verloopt via een eigenschap van een groep (Teams wordt ingeschakeld voor een groep die eADM al heeft aangemaakt), en niet als een op zichzelf staande Team-resource. Group.ReadWrite.All dat is voldoende — er is geen aparte Teams-toestemming nodig (Team.Create, Team.ReadBasic.All, TeamTemplates.ReadAll) is nodig.

Gebruiksscenario

Toestemmingen verlenen

Alleen bestaande gebruikers importeren (geen aanmaken/wijzigen/verwijderen)

User.Read.All en Group.Read.All. Group.Read.All is zelfs in dit alleen-lezen-geval vereist — de synchronisatiemotor leest de groepslijst bij elke uitvoering, ongeacht het bereik.

Gebruikers toevoegen, geen groepen, geen heractivering

User.Read.All, User.ReadWrite.All, Group.Read.All (altijd verplicht, ook zonder groepssynchronisatie)

Volledige levenscyclus van een gebruiker (aanmaken, bijwerken, uitschakelen/opnieuw activeren)

Toevoegen User.EnableDisableAccount.All

+ Groepsconfiguratie (incl. Teams-on-group)

Toevoegen Group.ReadWrite.All (of GroupMember.ReadWrite.All (alleen voor leden)

+ Rapportage over de laatste aanmelding of de MFA-status

Toevoegen AuditLog.Read.All

+ Beheer van MFA-methoden

Toevoegen UserAuthenticationMethod.ReadWrite.All (gevoelig — overleg met het beveiligingsteam)

+ Rapportage over de grootte van mailboxen

Toevoegen Reports.Read.All

+ Rapportage over licenties

Toevoegen LicenseAssignment.Read.All

+ Beveiligingsgroepen en distributielijsten met e-mailfunctionaliteit

Toevoegen Exchange.ManageAsApp + Exchange Online-rol (zie Geavanceerde configuratie)

Group.Read.All is altijd vereist, in elk van de bovenstaande gebruikssituaties — inclusief het geval van een alleen-lezen import — omdat de synchronisatiemodule bij elke uitvoering de volledige groepslijst leest als technische voorwaarde, ongeacht of het gaat om het aanmaken van groepen of om een import. Een integratie die uitsluitend op gebruikers is gericht, zonder enige toegang tot groepen, is op dit moment niet mogelijk.

Laatst bijgewerkt: