Gebruikers, groepen en roltoewijzingen

Azure Role-Based Access Control (RBAC) is het autorisatiesysteem dat bepaalt wie wat mag doen met Azure-resources. In plaats van machtigingen rechtstreeks aan personen toe te wijzen, wijs je rollen toe aan security principals (gebruikers, groepen, service principals of managed identities) binnen een specifiek bereik. Door deze scheiding blijven machtigingen beheersbaar wanneer je organisatie groeit.

Elke RBAC-toewijzing bestaat uit drie onderdelen. Een security principal is degene die toegang krijgt (een gebruiker, groep of managed identity). Een role definition bepaalt welke acties zijn toegestaan (bijvoorbeeld VM's lezen of naar opslag schrijven). Een bereik bepaalt waarop de toegang van toepassing is — van breed naar smal: beheergroep, abonnement, resourcegroep of afzonderlijke resource. Toegang wordt binnen de hiërarchie van het bereik naar onderliggende niveaus overgenomen.

Azure biedt honderden ingebouwde rollen. De vier meest gebruikte voor alle resourcetypen zijn: Owner — volledige toegang, inclusief de mogelijkheid om rollen aan anderen toe te wijzen; Contributor — volledige toegang om resources te maken en te beheren, maar zonder de mogelijkheid om anderen toegang te geven; Reader — alleen-lezen-toegang; en User Access Administrator — kan roltoewijzingen beheren zonder zelf resources te beheren.

Een roltoewijzing geeft de opgegeven security principal de machtigingen uit de roldefinitie binnen het opgegeven bereik. Roltoewijzingen worden doorgegeven aan alle onderliggende bereiken — wanneer je op het niveau van een resourcegroep de rol Contributor toewijst, krijgen alle resources in die groep Contributor-toegang. Een toewijzing op abonnementsniveau geeft Contributor-toegang voor alle resourcegroepen in dat abonnement.

Volgens het principe van minimale bevoegdheden mag elke identiteit alleen de minimale machtigingen hebben die nodig zijn om het werk uit te voeren. In Azure RBAC betekent dit: geef de voorkeur aan Reader boven Contributor wanneer schrijfrechten niet nodig zijn, gebruik liever het bereik van een resourcegroep dan dat van een abonnement en gebruik waar mogelijk specifieke rollen op resourceniveau (bijvoorbeeld Storage Blob Data Contributor) in plaats van de brede rol Contributor.

Wanneer geen ingebouwde rol precies aan je vereisten voldoet, kun je een aangepaste rol maken. Een aangepaste roldefinitie specificeert een set Actions (toegestane bewerkingen van het besturingsvlak), NotActions (uitgesloten van de toegestane set), DataActions (bewerkingen op het gegevensvlak voor resources, zoals het lezen van blobinhoud) en AssignableScopes (abonnementen of beheergroepen waaraan de rol kan worden toegewezen).

Rollen toewijzen aan groepen in plaats van aan afzonderlijke gebruikers is een best practice. Wanneer een nieuwe ontwikkelaar bij DevTeam komt, voeg je die persoon toe aan de DevTeam-securitygroep in Entra ID — de ontwikkelaar neemt automatisch alle roltoewijzingen van de groep over, zonder wijzigingen in Azure RBAC. Dit ene beheerpunt voorkomt verspreide afzonderlijke toewijzingen die bij het controleren of intrekken tijdens het vertrek van een medewerker moeilijk beheersbaar worden.

Een service principal is een identiteit die door toepassingen, scripts en automatiseringstools wordt gebruikt om zich bij Azure te authenticeren en toegang tot resources te krijgen. In tegenstelling tot een gebruikersidentiteit kunnen service principals zich niet interactief aanmelden. Je maakt ze vanuit App Registrations in Entra ID en wijst vervolgens RBAC-rollen toe binnen het juiste bereik — bijvoorbeeld door een CI/CD-pijplijn Contributor-toegang tot één resourcegroep te geven om infrastructuur te implementeren.

Weigertoewijzingen blokkeren specifieke acties voor security principals, zelfs wanneer een roltoewijzing die acties anders zou toestaan. In tegenstelling tot roltoewijzingen kunnen beheerders geen weigertoewijzingen rechtstreeks maken — Azure Blueprints of beheerde toepassingen koppelen ze om te voorkomen dat gebruikers beschermde resources wijzigen. Een weigertoewijzing heeft voorrang op elke overeenkomende roltoewijzing.

Privileged Identity Management (PIM) is een functie van Entra ID P2 die just-in-time-toegang met hoge bevoegdheden biedt. In plaats van de rol Owner of Global Administrator permanent toe te wijzen, maak je gebruikers eligible voor die rol. Wanneer ze de rol nodig hebben, activeren ze de toewijzing voor een beperkte periode (bijvoorbeeld 1 tot 8 uur), waarbij je optioneel een goedkeuringsproces en motivering kunt vereisen. Hierdoor wordt het permanente aanvalsoppervlak door accounts met te veel bevoegdheden aanzienlijk verkleind.

Access Reviews (Entra ID P2) zijn periodieke geautomatiseerde beoordelingen waarbij resource-eigenaren of managers bevestigen of teamleden hun huidige roltoewijzingen nog nodig hebben. Beoordelaars keuren doorlopende toegang rechtstreeks vanuit de beoordelingsinterface goed of af. Zo worden verouderde machtigingen opgespoord die zijn achtergebleven na rolwijzigingen, het afronden van projecten of het vertrek van medewerkers — een belangrijke vereiste voor nalevingsprogramma's voor regelgeving.

In deze les heb je geleerd dat Azure RBAC rollen toewijst aan security principals binnen een specifiek bereik, dat het principe van minimale bevoegdheden betekent dat je alleen de minimaal vereiste machtigingen toekent en dat PIM just-in-time-activering biedt voor rollen met hoge bevoegdheden in plaats van permanente toewijzing. Hierna behandelen we meervoudige verificatie en voorwaardelijke toegang in Entra ID.