Microsoft AZ-104: Azure Active Directory en Identiteitsbeheer — Studiegids

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Administrator Associate AZ-104 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Azure Active Directory (Azure AD) is het identiteitsbeheervlak voor Microsoft-clouddiensten. Een tenant is een toegewijde, vertrouwde identiteitsdirectory die gebruikers, groepen, applicaties, apparaten en beleidsregels bevat. Een abonnement is een factureringscontainer voor Azure-resources en is gekoppeld aan precies één Azure AD-tenant voor identiteit en toegang; een enkele tenant kan meerdere abonnementen bevatten. Roltoewijzingen voor Azure-resources (Azure RBAC) komen van de tenant die aan het abonnement is gekoppeld. Gebruikers authenticeren zich bij hun thuistenant en kunnen toegang krijgen tot resources in elk abonnement dat die tenant vertrouwt. Identity governance en beveiligingsbeleid (bijvoorbeeld Conditional Access) zijn van toepassing op de tenantlaag en bepalen hoe identiteiten diensten gebruiken over abonnementen heen.

Identiteiten, Groepen en Licenties

Azure AD-gebruikersaccounts vallen in drie categorieën die de levenscyclus, authenticatie en administratie beïnvloeden:

Cloud-only gebruikers worden aangemaakt en beheerd in Azure AD. Hun referenties bestaan alleen in de tenant en het opnieuw instellen van wachtwoorden wordt afgehandeld door Azure AD (SSPR).
Gesynchroniseerde gebruikers zijn afkomstig uit on-premises Active Directory en worden gesynchroniseerd via Azure AD Connect. De levenscyclus van hun identiteit wordt on-premises beheerd. Met Password Hash Synchronization (PHS) slaat Azure AD een hash-van-een-hash van het on-premises wachtwoord op; met Pass-through Authentication (PTA) of federatie vindt wachtwoordvalidatie on-premises plaats. Als password writeback is ingeschakeld (Azure AD Premium + Azure AD Connect), kunnen SSPR en “Wachtwoord wijzigen” in de cloud on-premises AD bijwerken.
Gastgebruikers (B2B-samenwerking) zijn externe identiteiten die worden weergegeven als userType=Guest. Ze authenticeren zich bij hun thuis-identityprovider (een andere Azure AD, Microsoft-account of eenmalige toegangscode) en krijgen toegang via groepen, app-toewijzingen of RBAC. De uitnodiging resulteert in een inwisselingsproces dat de gast voltooit voordat hij toegang krijgt tot resources.

Groepen bieden schaalbare autorisatie en licentieverlening. Toegewezen lidmaatschap wordt expliciet beheerd. Dynamisch lidmaatschap (Azure AD Premium P1) evalueert regels op basis van gebruikers- of apparaatattributen en onderhoudt het lidmaatschap automatisch en bijna real-time, ideaal voor scenario’s met betrekking tot werknemerstype, afdeling of apparaatcompliance. Groepsgebaseerde licentieverlening wijst product-SKU’s (bijvoorbeeld Microsoft 365 E5, Azure AD Premium) toe aan beveiligingsgroepen; Azure AD berekent de effectieve licentietoewijzing, respecteert uitgeschakelde serviceplannen en maakt conflicten zichtbaar. Dynamische groepen werken goed samen met groepsgebaseerde licentieverlening om populaties automatisch te licentiëren op basis van attributen.

Hybride Identiteit met Azure AD Connect

Azure AD Connect legt synchronisatie van identiteiten en aanmeldingspatronen vast voor hybride omgevingen:

Password Hash Synchronization (PHS): Synchroniseert een cryptografische hash-van-een-hash van on-premises wachtwoorden naar Azure AD. Azure AD voert de authenticatie uit, wat hoge beschikbaarheid mogelijk maakt zonder inkomende connectiviteit naar het bedrijfsnetwerk, en ondersteunt Seamless SSO. PHS is de eenvoudigste, meest veerkrachtige optie en wordt aanbevolen voor de meeste organisaties.
Pass-through Authentication (PTA): Lichtgewicht agents valideren wachtwoorden in real-time tegen on-premises AD via uitgaande TLS 443. Ondersteunt Seamless SSO en behoudt afhankelijkheden van on-premises aanmeldingsbeleid zonder federatie te implementeren. Implementeer meerdere agents voor hoge beschikbaarheid.
Federatie (bijv. AD FS): Authenticatie vindt plaats bij een door de klant beheerde STS met uitgifte van claims en optionele smartcard/Kerberos-beperkingen. Het voegt complexiteit en operationele kosten toe en is nu gereserveerd voor niche-claims en specifieke aanmeldingsvereisten. Veel organisaties migreren van federatie naar PHS/PTA.

Synchronisatie wordt uitgevoerd via een scheduler (standaardcyclus van 30 minuten). Gebruik

undefined

om onmiddellijk recente wijzigingen door te voeren, zoals nieuwe gebruikers, groepslidmaatschappen en attribuutupdates. Voer

undefined

alleen uit voor de eerste keer of bij wijzigingen in topologie/schema (dit voert een volledige import, synchronisatie en export uit en is langzamer). Het forceren van AD-replicatie, het herstarten van NetLogon of het manipuleren van de Global Catalog start geen Azure AD Connect-export; de ondersteunde methode is de PowerShell-synchronisatiecyclus of operaties in de Synchronization Service Manager. Beperk de synchronisatie met OU- en attribuutfiltering. Om password writeback en SSPR-integratie met on-premises mogelijk te maken, schakelt u de writeback-functie in Azure AD Connect in en kent u de benodigde on-premises permissies toe.

Beslissingen over toegang: Conditional Access, MFA, SSPR en Identity Protection

Conditional Access (Azure AD Premium P1/P2) evalueert signalen en dwingt real-time controles af bij het aanmelden en bij de uitgifte van tokens. Een beleid is gericht op gebruikers, groepen of directory-rollen; cloud-apps of gebruikersacties; en voorwaarden zoals aanmeldingsrisico, apparaatplatform, client-apps (verouderd versus modern) en locaties. Benoemde locaties (‘Named locations’) markeren vertrouwde IP-bereiken of landen/regio’s en maken expliciete logica voor opnemen/uitsluiten mogelijk. Toekenningsbesturingselementen (‘Grant controls’) dwingen vereisten af zoals:

Meervoudige verificatie vereisen
Vereisen dat het apparaat als conform is gemarkeerd (Intune)
Hybride Azure AD-gekoppeld apparaat vereisen
App-beveiligingsbeleid, goedgekeurde client-apps of gebruiksvoorwaarden vereisen Sessiebesturingselementen (‘Session controls’) regelen de aanmeldingsfrequentie, persistente browsersessies of door de app afgedwongen beperkingen. Wanneer de vereiste is “Globale beheerders moeten MFA en een vertrouwd apparaat gebruiken vanaf niet-vertrouwde locaties”, richt u zich op de directory-rol ‘Global Administrator’, gebruikt u een voorwaarde voor locaties die de benoemde vertrouwde netwerken uitsluit, en configureert u toekenningsbesturingselementen om MFA plus een conform apparaat of een hybride Azure AD-gekoppeld apparaat te vereisen. Dit wordt niet opgelost door MFA per gebruiker in te schakelen of door alleen sessiebesturingselementen aan te passen.

Meervoudige verificatie kan worden afgedwongen via:

MFA per gebruiker: Een verouderde, grofmazige status voor in-/uitschakelen op het gebruikersobject. Het mist contextuele factoren en wordt over het algemeen vervangen door vereisten van Conditional Access.
Conditional Access MFA: De moderne, aanbevolen aanpak. Vereist MFA alleen onder specifieke voorwaarden (bijvoorbeeld aanmeldingen met een hoog risico, niet-vertrouwde netwerken, geprivilegieerde rollen).
Self-Service Password Reset (SSPR): Configureerbare authenticatiemethoden en registratie, met optionele ‘password writeback’ naar on-premises. Gecombineerde registratie verenigt de installatie van MFA en SSPR. Definieer registratiebeleid, methoden (bijvoorbeeld Microsoft Authenticator, FIDO2, SMS/spraak zoals toegestaan) en instellingen voor buitensluiting/meldingen. Verouderde verbruiksmodellen van Azure MFA (‘Per Authentication’ versus ‘Per Enabled User’ met klassieke MFA-providers) kunnen niet ter plekke worden omgewisseld; u moet een nieuwe provider implementeren en opnieuw toewijzen — simpelweg ‘het model wijzigen’ via de portal of CLI wordt niet ondersteund.

Azure AD Identity Protection (Azure AD Premium P2) detecteert en reageert op risico’s met behulp van telemetrie zoals gelekte referenties, atypische reizen, aan malware gekoppelde IP-adressen en onbekende aanmeldingseigenschappen:

Gebruikersrisico (‘User risk’): Schat de waarschijnlijkheid in dat een identiteit na verloop van tijd is gecompromitteerd, wat beleid activeert zoals “Wachtwoordwijziging vereisen voor gemiddeld risico en hoger”.
Aanmeldingsrisico (‘Sign-in risk’): Schat de waarschijnlijkheid in dat een specifieke aanmelding kwaadaardig is, wat besturingselementen mogelijk maakt zoals “MFA vereisen voor gemiddeld risico en hoger”. Risicobeleid kan automatisch herstellen of blokkeren. Integreer met Conditional Access door risico als voorwaarde te gebruiken en door veerkrachtige MFA-methoden te prioriteren.

Administratieve Rollen en B2B Governance

Administratieve rollen bepalen de reikwijdte van de controle binnen Azure AD en moeten het principe van ’least privilege’ volgen:

Global Administrator heeft volledige autoriteit over identiteit, beveiliging en licenties. Gebruik deze rol spaarzaam, beveilig hem met Conditional Access en MFA, en overweeg Privileged Identity Management (PIM) voor just-in-time escalatie en toegangsbeoordelingen.
User Administrator kan gebruikers en groepen aanmaken en beheren, wachtwoorden van niet-beheerders resetten en sommige directory-attributen beheren. Beperk de reikwijdte verder met behulp van Administrative Units om de ‘blast radius’ te beperken tot specifieke afdelingen of regio’s.
Aangepaste rollen (Azure AD Premium) maken fijnmazige permissiesets voor directory-objecten mogelijk; wijs ze toe aan gebruikers of groepen, optioneel beperkt tot Administrative Units.

B2B-samenwerking stelt externe gebruikers in staat om toegang te krijgen tot apps en resources zonder identiteiten te dupliceren. Het proces omvat:

Uitnodiging: Een interne gebruiker of automatisering nodigt uit via e-mail of een directe inwissel-URL, waarbij optioneel Gebruiksvoorwaarden (Terms of Use) vereist kunnen worden.
Inwisseling: De gast authenticeert met zijn eigen ‘home identity’. Indien niet beschikbaar, kan een eenmalige toegangscode (one-time passcode) worden gebruikt. Een succesvolle inwisseling creëert of bevestigt het gastobject in de resource-tenant.
Autorisatie: Verleen toegang via Azure AD-groepen, app-toewijzingen of Azure RBAC op abonnementen/resourcegroepen. Gebruik op groepen gebaseerde licenties als de gast gelicentieerde services nodig heeft.
Governance: Gebruik Access Reviews (Azure AD Premium P2) om periodiek de voortdurende noodzaak van gasttoegang te attesteren, verouderde gasten automatisch te verwijderen en beslissingen te auditen. Configureer instellingen voor externe samenwerking en cross-tenant toegangsbeleid om een balans te vinden tussen samenwerking en risico. Pas Conditional Access toe op gasten, met gebruik van benoemde locaties en MFA-vereisten die passen bij het externe risico.

Praktijkscenario

Contoso Ltd. heeft een hybride identiteitsimplementatie en moet het risico voor geprivilegieerde toegang verminderen, terwijl de gebruikers van een partner worden onboard voor specifieke applicaties. De Azure-beheerder heeft de taak om MFA en apparaatvertrouwen (device trust) af te dwingen voor Global Administrators vanaf niet-vertrouwde netwerken, de synchronisatie van on-premises gebruikers naar de cloud te versnellen tijdens een fusie, en de gasttoegang van partners tot een SharePoint Online-site en een interne line-of-business-app te beheren.

Stapsgewijze aanpak:

Modelleer identiteiten en vertrouwen

Koppel alle Azure-abonnementen aan de Contoso-tenant om identiteitsbeheer te centraliseren. Maak een toegewezen resourcegroep en Azure AD-beveiligingsgroepen voor app-toegang. Dit zorgt voor één enkel beleidsvlak en vereenvoudigt de targeting van Conditional Access.

Optimaliseer hybride aanmelding en synchronisatie

Configureer Azure AD Connect met Password Hash Synchronization en Seamless SSO voor eenvoud en veerkracht. Implementeer PTA-agents alleen als regelgevende controles on-premises wachtwoordvalidatie vereisen. Gebruik OU-filtering om de gebruikerscontainers van de fusie af te bakenen. Voor urgente beschikbaarheid van gebruikers, voer Start-ADSyncSyncCycle -PolicyType Delta uit. PHS biedt door Microsoft beheerde beschikbaarheid en vermindert de afhankelijkheid van on-premises; de delta-cyclus garandeert een tijdige export zonder een zware volledige synchronisatie.

Dwing geprivilegieerde toegangscontroles af

Maak een Conditional Access-beleid gericht op de Global Administrator-rol. Voorwaarden: neem alle locaties op, sluit benoemde vertrouwde bedrijfs-IP-reeksen uit. Toegangscontroles: vereis multi-factor authenticatie en vereis dat het apparaat als ‘compliant’ is gemarkeerd (of vereis ‘hybrid Azure AD joined’). Dit voldoet precies op het moment van aanmelden aan de vereiste ‘MFA + vertrouwd apparaat vanaf niet-vertrouwde locaties’. Gebruik PIM om Global Administrator-toewijzingen just-in-time te maken en goedkeuring plus MFA te vereisen, waardoor permanente privileges worden verminderd.

Standaardiseer MFA en SSPR

Schakel verouderde per-gebruiker MFA-statussen uit en vertrouw op Conditional Access om MFA contextueel af te dwingen. Activeer gecombineerde registratie en SSPR met ‘password writeback’ zodat gesynchroniseerde gebruikers zowel hun cloud- als on-premises wachtwoorden kunnen resetten. Dit verbetert de gebruikerservaring en waarborgt de naleving. Probeer niet om verouderde MFA-verbruiksmodellen ter plekke om te schakelen, aangezien dit niet wordt ondersteund.

Onboard partnergebruikers met B2B en beheer de toegang

Nodig partneridentiteiten als gasten uit in de Contoso-tenant en wijs ze toe aan een beveiligingsgroep die is gekoppeld aan de SharePoint-site en de app. Pas een Access Review toe op de gastengroep met een herhaling van 90 dagen en automatische verwijdering voor niet-reagerende gebruikers. Pas een Conditional Access-beleid toe op gasten dat MFA vereist buiten de benoemde IP-reeksen van de partner. B2B voorkomt het dupliceren van accounts, maakt gebruik van de authenticatie van de partner, en Access Reviews bieden lifecycle governance met auditeerbare resultaten.

Waarom deze services:

Azure AD Connect met PHS biedt de laagste operationele last met sterke beveiliging; delta-synchronisatie zorgt voor snelle provisioning.
Conditional Access ‘grant controls’ dwingen MFA en apparaatvertrouwen direct af, iets wat sessiecontroles en per-gebruiker MFA niet kunnen garanderen.
SSPR met ‘writeback’ sluit de kringloop voor gesynchroniseerde identiteiten, vermindert de belasting van de helpdesk en sluit aan bij compliance.
B2B-samenwerking plus Access Reviews zorgt voor een balans tussen externe samenwerking en ’least privilege’ met periodieke attestatie, waardoor risico’s worden geminimaliseerd met behoud van flexibiliteit.

Alle domeinen · Azure-abonnementen →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →