Microsoft AZ-305: Identiteit, Governance en Compliance — Studiegids

By Laurynas Brazys · 11 August 2026 · #microsoft #az-305 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Solutions Architect Expert AZ-305 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Identiteit, governance en compliance in Azure zijn afhankelijk van een coherent ontwerp dat Microsoft Entra ID (voorheen Azure AD), beleidsgestuurde kaders en toegang met minimale rechten (least-privilege) omvat, zowel op de menselijke als op de workload-laag. Een goed ontworpen oplossing balanceert just-in-time-toegangsverhoging voor beheerders, risicogebaseerde adaptieve controles voor gebruikers, gestandaardiseerde resource governance op schaal en soepele externe toegang voor partners en consumenten, allemaal zonder in te boeten aan operationele flexibiliteit.

Geprivilegieerde toegang en adaptieve risicocontroles

Privileged Identity Management (PIM) zet permanente beheerdersrechten om in tijdgebonden, auditeerbare rechten. Wijs geprivilegieerde rollen toe als ‘in aanmerking komend’ (eligible) in plaats van ‘actief’ om de blootstelling te minimaliseren; gebruikers moeten in aanmerking komende rollen activeren, wat doorgaans multifactorauthenticatie, de invoer van een ticket/rechtvaardiging, optionele goedkeuringsworkflows en een beperkte activeringsduur activeert. Rolinstellingen definiëren goedkeurders, MFA, meldingen en vereisten voor incidenttickets. Combineer dit met ‘privileged access groups’ zodat Azure AD-rollen en Azure-resourcerollen beheerd kunnen worden via groepslidmaatschap dat onderhevig is aan PIM-activering, wat resulteert in één enkel beheervlak (control plane) met uitgebreide auditing. Gebruik ‘access reviews’ binnen PIM om continu te valideren wie in aanmerking komende of actieve toewijzingen voor rollen, groepen en bedrijfsapplicaties behoudt. Beoordelingen kunnen automatisch resultaten toepassen en toegang verwijderen voor niet-reagerende gebruikers, wat periodieke attestatie mogelijk maakt zonder handmatig herwerk.

Identity Protection past risicodetectie op basis van machine learning toe op gebruikers en aanmeldingen. Beleid voor gebruikersrisico’s evalueert de waarschijnlijkheid van gecompromitteerde referenties en kan een veilige wachtwoordwijziging vereisen of de toegang blokkeren totdat het probleem is verholpen; beleid voor aanmeldingsrisico’s analyseert de context van de huidige sessie (onmogelijke verplaatsing, onbekende aanmeldingseigenschappen, IP-adressen gelinkt aan malware) en kan MFA eisen of riskante pogingen blokkeren. Configureer herstelacties zodat gemiddelde en hoge risico’s MFA of een wachtwoordreset activeren, terwijl lage risico’s gemonitord kunnen worden. Voer signalen door naar Conditional Access in plaats van per-gebruiker MFA; dit centraliseert de handhaving, ondersteunt uitzonderingen (noodaccounts of ‘break-glass accounts’) en vermindert administratieve afwijkingen (‘drift’).

Conditional Access verenigt contextbewuste beslissingen. Met ‘Named locations’ kunt u IP-bereiken classificeren als vertrouwde bedrijfsnetwerken of geolocaties die u blokkeert of waarvoor u extra controles vereist; maak gebruik van geverifieerde vertrouwde IP’s en op landen gebaseerde regels om risico’s in risicovolle geografische gebieden te beperken. Apparaatcompliance (‘Device compliance’) integreert met Microsoft Intune, zodat u een compliant apparaat of een ‘hybrid Azure AD joined’-status kunt vereisen voordat u toegang verleent tot gevoelige apps, en optioneel het risico van Defender for Endpoint kunt meenemen. Door apps afgedwongen beperkingen (‘App-enforced restrictions’) verkleinen het risico op data-exfiltratie door een beperkte webervaring te bieden in SharePoint Online en Exchange Online die downloaden en synchroniseren voor onbeheerde apparaten uitschakelt. Sessiecontroles (‘Session controls’) bepalen hoe lang sessies duren en hoe vaak herauthenticatie vereist is; stel de aanmeldingsfrequentie (‘sign-in frequency’) in voor gereguleerde workloads, schakel permanente browsersessies uit voor gedeelde kiosken en gebruik Conditional Access App Control (via Defender for Cloud Apps) om activiteiten binnen de sessie te monitoren en te beheren, zoals het blokkeren van het downloaden van gevoelige bestanden terwijl het bekijken in de browser wel is toegestaan. In combinatie met risicogebaseerd beleid bieden deze controles alleen wanneer nodig extra uitdagingen, waardoor de productiviteit van de gebruiker behouden blijft.

Externe en consumentenidentiteit

Azure AD B2C scheidt IAM voor klanten van IAM voor medewerkers en biedt schaalbare aanmelding voor consumentenapps. Ingebouwde ‘user flows’ dekken aanmelden/inloggen, profiel bewerken en wachtwoord resetten met minimale configuratie. Wanneer u complexe orkestratie nodig heeft—zoals ‘custom claims’, voorwaardelijke ‘journeys’, identiteitsverificatie of ‘claims enrichment’ via REST API’s—gebruik dan aangepast beleid (‘custom policies’ via het Identity Experience Framework). B2C ondersteunt vele identiteitsproviders: lokale accounts (e-mail of telefoon), OpenID Connect- en OAuth 2.0-providers (Microsoft, Google, Apple), SAML 2.0-identiteitsproviders en bedrijfsfederatie. Tokenaanpassing omvat het uitgeven van aangepaste attributen, optionele claims en ‘claims transformation’ naar downstream-apps, het beheren van de levensduur van tokens en het toevoegen van API-connectors om gebruikersgegevens op kritieke beslissingspunten te valideren of te verrijken.

Voor B2B-samenwerking standaardiseert Entitlement Management de onboarding van externe gebruikers en minimaliseert het wildgroei. ‘Access packages’ (toegangspakketten) bundelen wie toegang krijgt (groepen, apps, SharePoint-sites), wie deze kan aanvragen en hoe deze wordt goedgekeurd. ‘Connected organizations’ formaliseren de vertrouwensrelatie met partnertenants, waardoor hun gebruikers pakketten kunnen aanvragen zonder vooraf gastaccounts aan te maken. Levenscyclusbeleid (‘Lifecycle policies’) zorgt ervoor dat toegang niet onbeheerd blijft: stel vervaldatums in, vereis periodieke ‘access reviews’, verwijder automatisch toewijzingen bij het verlopen of mislukken van een beoordeling, en trek resterende gasttoegang in als een gebruiker al zijn toewijzingen verliest. Dit model sluit aan bij het principe van minimale rechten (least privilege) en vermindert het handmatige beheer van de levenscyclus van gastgebruikers.

Het extern publiceren van interne webapps kan het beste worden opgelost met Azure AD Application Proxy. Lichtgewicht connectors die on-premises worden geïnstalleerd, openen alleen uitgaande verbindingen naar Azure, waardoor inkomende gaten in de firewall worden geëlimineerd. Groepeer connectors voor schaalbaarheid en affiniteit. Kies voor Azure AD-pre-authenticatie om Conditional Access af te dwingen voordat het verkeer uw netwerk bereikt; val alleen terug op ‘Passthrough’ voor nichescenario’s. Voor legacy-apps die Integrated Windows Authentication gebruiken, configureert u Kerberos Constrained Delegation zodat de connector namens de gebruiker een Kerberos-ticket voor de backend kan verkrijgen, wat naadloze SSO vanuit de cloud naar on-premises mogelijk maakt.

Governance op schaal: Policy, Blueprints en Management Groups

Azure Policy legt guardrails vast in code. Een policy-definitie gebruikt voorwaarden en effecten met parameters, zodat dezelfde regel kan worden hergebruikt in verschillende omgevingen. Organiseer gerelateerde definities in initiatieven om toewijzing en rapportage te vereenvoudigen. Wijs policies toe op de juiste scope—management group voor brede governance, subscription voor platformafstemming, resource group voor lokale overrides—en vertrouw op overerving om controles naar lagere niveaus door te zetten. Belangrijke effecten zijn onder andere:

Deny om niet-conforme implementaties te blokkeren
Audit om resources te markeren voor compliancerapportage
Append om eigenschappen toe te voegen, zoals vereiste tags
Modify om resource-eigenschappen aan te passen bij het aanmaken/bijwerken
DeployIfNotExists om afhankelijkheden automatisch te implementeren of te configureren
AuditIfNotExists en Disabled voor gespecialiseerde behoeften Koppel DeployIfNotExists en Modify aan remediation-taken. Wijs een managed identity toe bij de assignment en geef deze de minimaal vereiste rollen om remediation uit te voeren; start remediation-jobs om drift met terugwerkende kracht te herstellen. Gebruik exemptions met gedocumenteerde rechtvaardigingen om uitzonderingen te behandelen zonder de governance uit te schakelen.

Azure Blueprints verpakken een implementeerbare, geversioneerde landing zone. Artefacten omvatten policy-toewijzingen, roltoewijzingen, ARM/Bicep-templates en de basisstructuur van resource groups. Bij de toewijzing koppelen invoerparameters een geversioneerde blueprint aan een omgeving. Resource locking-modi (DoNotDelete of ReadOnly) beschermen fundamentele resources tegen onbedoelde wijzigingen en dwingen een scheiding af tussen platform- en workloadverantwoordelijkheden.

Management Groups vormen de ruggengraat van de hiërarchie voor governance op enterpriseschaal. Ontwerp een duidelijke boomstructuur—doorgaans platform, landing zones per businessunit of regio, en sandboxes—zodat de overerving van policy en RBAC de operationele grenzen weerspiegelt. RBAC dat is toegewezen op een management group, wordt overgenomen door alle onderliggende subscriptions en resource groups, wat repetitieve roltoewijzingen minimaliseert. Conflicten worden opgelost op basis van de evaluatievolgorde en de semantiek van het effect; een Deny vanuit een policy kan niet worden overschreven door RBAC. Gebruik deze structuur om globale standaarden (security-baselines, tagging) toe te passen op hogere niveaus, terwijl op lagere niveaus maatwerk wordt geleverd met geparametriseerde initiatieven.

Geavanceerde Machtigingen en Workload Identity Federation

Microsoft Entra Permissions Management (CIEM) detecteert menselijke en machine-identiteiten en hun effectieve machtigingen in Azure, AWS en Google Cloud. Het bouwt een op activiteiten gebaseerde machtigingengrafiek om ongebruikte, buitensporige en toxische combinaties van privileges te identificeren. Gebruik inzichten om rollen de juiste omvang te geven (right-sizing), slapende toegang te verwijderen en het ’least privilege’-principe af te dwingen voor service principals, managed identities en gebruikers. Access Explorer toont wie wat kan doen op welke resource; geautomatiseerde herstelworkflows kunnen onnodige rechten op grote schaal intrekken, waardoor de ‘blast radius’ wordt verkleind en aan compliance-audits wordt voldaan.

Workload Identity Federation elimineert de noodzaak voor secrets voor non-Azure workloads die Azure API’s moeten aanroepen. In plaats van client secrets op te slaan in CI/CD, creëer je een ‘federated credential’ op een app-registratie/service principal die een specifieke externe issuer (bijvoorbeeld GitHub Actions OIDC) vertrouwt en de ‘subject’- en ‘audience’-claims beperkt (bijvoorbeeld repo, branch of environment). De externe workload wisselt zijn kortlevende OIDC-token in voor een Azure-toegangstoken om de identiteit van de service principal aan te nemen. Dit zorgt voor kortstondige, gescoopte credentials zonder de overhead van secret-rotatie en met granulaire vertrouwensgrenzen. Voor Kubernetes kun je federatie combineren met Azure Workload Identity, zodat pods ‘projected’ OIDC-tokens ontvangen die gekoppeld zijn aan service accounts die mappen naar ‘federated credentials’, wat het beheer van secrets verder reduceert.

Praktijkscenario

Starbucks moet de identiteits- en governancestrategie moderniseren, veilige toegang voor partners mogelijk maken en SSO voor on-premise applicaties behouden. Ze hebben meerdere Azure-abonnementen in verschillende regio’s, draaien legacy SAP- en intranetapplicaties on-premise met Integrated Windows Authentication, bouwen mobiele consumentenapps en gebruiken GitHub Actions voor CI/CD.

Een hiërarchie van managementgroepen en basiscontroles opzetten

Creëer een root-hiërarchie met platform, landing zones per business unit en sandboxes. Wijs Azure Policy-initiatieven toe op hogere niveaus voor tagging, regiobeperkingen en security-baselines. Gebruik Azure Blueprints om landing zones te implementeren met ingebouwde policy-toewijzingen, roltoewijzingen voor platformteams en een resourcegroepstructuur. Locks in de blueprint beschermen de gedeelde platformresources. Gekozen om governance te centraliseren en consistente, auditeerbare omgevingen te garanderen.

Administratie volgens het ’least-privilege’-principe implementeren

Configureer PIM met ’eligible assignments’ voor Azure AD-rollen en Azure-resourcerollen via ‘privileged access groups’. Vereis MFA, een rechtvaardiging en goedkeuring voor rollen met een hoge impact, en beperk de activeringsduur. Plan driemaandelijkse ‘access reviews’ voor geprivilegieerde groepen en enterprise-apps met automatische toepassing van beslissingen. Geselecteerd om permanente privileges te minimaliseren en attestatie te automatiseren.

Adaptieve, risicogebaseerde toegang afdwingen

Activeer Identity Protection ‘user risk’- en ‘sign-in risk’-policies om een wachtwoordreset af te dwingen bij een hoog gebruikersrisico en MFA te vereisen bij een gemiddeld en hoog inlogrisico. Bouw Conditional Access met ’named locations’ om de IP-adressen van het bedrijfsnetwerk te vertrouwen en geografische locaties met een hoog risico te beperken; vereis ‘compliant’ of ‘hybrid-joined’ apparaten voor gevoelige apps; pas ‘app-enforced restrictions’ toe op SharePoint en Exchange om downloads op onbeheerde apparaten te beperken; en stel de ‘sign-in frequency’ in op 8 uur voor finance-workloads. Deze combinatie biedt sterke beveiliging zonder constante frictie voor de gebruiker.

Toegang voor externe partners beheren

Gebruik Entitlement Management ‘access packages’ voor leveranciers en consultants, inclusief Azure RBAC via groepen, vereiste apps en SharePoint-resources. Configureer ‘connected organizations’ voor de tenants van partners en stel lifecycle-policies in met een vervaldatum van 90 dagen en terugkerende ‘access reviews’ die automatisch gebruikers verwijderen die niet reageren. Gekozen om onboarding/offboarding te automatiseren zonder handmatig gastbeheer.

On-premise applicaties veilig publiceren

Implementeer Azure AD Application Proxy-connectors in twee datacenters, plaats ze in ‘connector groups’ en configureer Azure AD-pre-authenticatie. Activeer Kerberos Constrained Delegation voor SAP- en intranetsites om IWA SSO te behouden. Pas Conditional Access toe op deze enterprise-apps. Geselecteerd om afhankelijkheid van VPN te vermijden en moderne controles uit te breiden naar legacy-apps.

Consumentenapplicaties beveiligen

Implementeer Azure AD B2C met ingebouwde ‘user flows’ voor aanmelden/registreren en wachtwoordherstel, en integreer sociale IdP’s zoals Apple en Google. Voeg voor use-cases van het loyaliteitsprogramma ‘custom policies’ toe om REST API’s aan te roepen voor identiteitsverificatie (‘identity proofing’) en tokens te verrijken met aangepaste attributen. Gekozen om consumentenidentiteiten te scheiden van personeelsidentiteiten en wereldwijd te kunnen schalen.

Machtigingen de juiste omvang geven en secrets uit CI/CD verwijderen

Implementeer Microsoft Entra Permissions Management om buitensporige machtigingen voor gebruikers, managed identities en service principals in verschillende clouds te ontdekken en op basis van activiteit de juiste omvang toe te passen (‘activity-based rightsizing’). Configureer Workload Identity Federation voor GitHub Actions door ‘federated credentials’ te creëren die beperkt zijn tot de Starbucks-organisatie/repo/branch en alleen de noodzakelijke rollen toe te kennen op de doelabonnementen. Geselecteerd om langlevende secrets te elimineren en ’least privilege’ continu af te dwingen.

Alle domeinen · Gegevensopslag en Databaseoplossingen →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →