Microsoft AZ-900: Identiteit, Toegang & Beveiliging — Studiegids

By Laurynas Brazys · 23 July 2026 · #microsoft #az-900 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure AZ-900 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Identiteit, toegang en beveiliging in Azure zijn gecentreerd rond Microsoft Entra ID voor identiteitsbeheer, Azure RBAC en Privileged Identity Management voor autorisatie, en platformcontroles die secrets beschermen en workloads versterken. Sterke authenticatie en op risico gebaseerde beleidsregels verminderen accountovernames, terwijl centrale opslag van secrets en beveiliging aan de netwerkrand veelvoorkomende aanvalspaden afsluiten. Continu posture management stuurt vervolgens de herstelacties aan voor misconfiguraties op grote schaal. Een samenhangend ontwerp verbindt deze elementen: gezaghebbende identiteiten die gesynchroniseerd zijn vanuit on-premises of beheerd worden in de cloud; afdwingbare toegangsbeleidsregels gekoppeld aan het risico van apparaten en sessies; rollen met de minste privileges (least-privilege) met just-in-time escalatie; secrets en sleutels geïsoleerd van de applicatiecode; en gelaagde verdedigingsmechanismen die application firewalls, DDoS-mitigatie en op dreigingen gebaseerde aanbevelingen omvatten. Het resultaat is een verdedigbare, auditeerbare omgeving die is afgestemd op bedrijfs- en regelgevingsvereisten.

Microsoft Entra ID: gebruikers, groepen en hybride synchronisatie

Microsoft Entra ID is de cloud-identiteitsservice voor gebruikers, apparaten, applicaties en service principals. Gebruikers kunnen ‘cloud-only’ zijn of gesynchroniseerd worden vanuit on-premises directory’s. Groepen organiseren de toegang, met ondersteuning voor security groups en Microsoft 365 groups. Dynamisch groepslidmaatschap vereenvoudigt de levenscyclus door groepen automatisch te vullen op basis van gebruikers- of apparaatattributen (bijvoorbeeld alle gebruikers in afdeling = Financiën), wat een zuivere afbakening van app-toegang en beleid mogelijk maakt zonder handmatige updates. Hybride organisaties verbinden hun on-premises Active Directory met behulp van Microsoft Entra Connect. Password hash synchronization is de eenvoudigste en meest veerkrachtige aanmeldmethode, die cloudauthenticatie biedt met hashes die on-premises worden afgeleid en volgens een schema worden gesynchroniseerd. Pass-through authentication houdt de wachtwoordvalidatie on-premises via lichtgewicht agents wanneer regelgeving of beleidsbeperkingen dit vereisen, en kan worden gecombineerd met Seamless SSO voor intranetervaringen. Voor grote of gedistribueerde omgevingen biedt Microsoft Entra Cloud Sync een lichtgewicht, op agents gebaseerde aanpak met ondersteuning voor meerdere forests en vereenvoudigde operaties. Op groepen gebaseerde licentieverlening, app-toewijzingen en roltoewijzingen bouwen voort op deze primitieven. Externe gebruikers kunnen worden uitgenodigd via cross-tenant access (B2B collaboration), terwijl Conditional Access, access reviews en levenscyclusbeleid worden toegepast om het risico van inactieve gasten te verminderen. Aanmeldings-, audit- en provisioning-logs bieden traceerbaarheid en kunnen worden geëxporteerd naar een Log Analytics workspace of SIEM voor retentie en analyse.

Primair gebruik
- Cloud-only gebruikers: Greenfield cloud-identiteit
- Gesynchroniseerde gebruikers (PHS): Meest voorkomende hybride aanmelding
- Gesynchroniseerde gebruikers (PTA): Hybride waarbij wachtwoorden on-prem moeten blijven
- Dynamische groepen: Geautomatiseerde afbakening van toegang
Latentie om wijzigingen door te voeren
- Cloud-only gebruikers: Onmiddellijk
- Gesynchroniseerde gebruikers (PHS): Minuten (synchronisatiefrequentie)
- Gesynchroniseerde gebruikers (PTA): Vrijwel real-time (via agent)
- Dynamische groepen: Vrijwel real-time (evaluatie van regels)
Veerkracht als on-prem offline is
- Cloud-only gebruikers: Geen impact
- Gesynchroniseerde gebruikers (PHS): Geen impact op aanmelden
- Gesynchroniseerde gebruikers (PTA): Afhankelijk van beschikbaarheid PTA-agent
- Dynamische groepen: Geen impact
Typische scenario’s
- Cloud-only gebruikers: Startups, pilot-workloads
- Gesynchroniseerde gebruikers (PHS): Brede hybride implementaties
- Gesynchroniseerde gebruikers (PTA): Gereguleerde workloads, on-prem wachtwoordbeleid
- Dynamische groepen: Licentietoewijzing, targeting voor Conditional Access

Authenticatie en risicobeheer: MFA, Conditional Access, passwordless, SSPR, Identity Protection en access reviews

Sterke authenticatie begint met multi-factor authenticatie (MFA) en evolueert naar phishing-resistente, wachtwoordloze (passwordless) methoden. Microsoft Authenticator, sms/spraak, FIDO2-beveiligingssleutels, Windows Hello for Business en authenticatie op basis van certificaten (certificate-based authentication) dekken een spectrum van zekerheid en bruikbaarheid. Conditional Access is de beleidsengine die risico’s met betrekking tot gebruiker, apparaat, app, locatie en sessie koppelt aan beslissingen om toegang te verlenen, uit te dagen of te blokkeren. Kernpatronen omvatten het vereisen van MFA voor alle interactieve gebruikers, het blokkeren van verouderde protocollen, het afdwingen van conforme of hybrid-joined apparaten voor waardevolle apps, en het gebruiken van aanmeldingsrisico’s (sign-in risk) om ‘step-up’ authenticatie te activeren. Self-Service Password Reset (SSPR) vermindert de belasting van de helpdesk doordat gebruikers hun wachtwoorden kunnen resetten of wijzigen met geconfigureerde authenticatiemethoden. In hybride omgevingen werkt ‘password writeback’ on-premises AD veilig bij. Het combineren van SSPR en MFA biedt een uniform portaal en een geconvergeerde registratie, wat de onboarding en het herstel van gebruikers stroomlijnt. Beleidsregels moeten veilige methoden, een minimumaantal methoden en registratiedeadlines specificeren. Microsoft Entra ID Protection voegt machine-gestuurde detectie van risicovolle gebruikers en risicovolle aanmeldingen toe. Risicobeleid kan automatisch een wachtwoordwijziging vereisen bij een hoog gebruikersrisico of MFA afdwingen bij een gemiddeld of hoger aanmeldingsrisico, waardoor de ‘dwell time’ voor gecompromitteerde accounts wordt verkort. Beheerders beoordelen risicodetecties en bevestigen, negeren of verhelpen gebeurtenissen, terwijl de integratie met Conditional Access van risico een eersteklas controlemiddel maakt. Access reviews zorgen voor periodieke en geautomatiseerde hercertificering van de toegang van gebruikers, groepen, apps en geprivilegieerde rollen — cruciaal voor gastaccounts en groepen met een hoog risico — en kunnen resultaten automatisch afdwingen wanneer beoordelaars niet reageren.

Alleen wachtwoord
- Factortype: Kennis
- Phishing-resistent: Nee
- Offline ondersteuning: Ja (cached domeinreferenties)
- Gebruikelijk voor: Verouderde/niet-kritieke apps
- Licentie-opmerkingen: Inbegrepen; niet aanbevolen als enige methode
MFA sms/spraak OTP
- Factortype: Bezit (telefoon)
- Phishing-resistent: Nee
- Offline ondersteuning: Beperkt (telefoonbereik)
- Gebruikelijk voor: Basis-MFA, breed bereik
- Licentie-opmerkingen: Vereist Entra ID P1 voor handhaving via CA
Authenticator-app (push/code)
- Factortype: Bezit
- Phishing-resistent: Gedeeltelijk (’number matching’ beperkt het risico)
- Offline ondersteuning: Beperkt
- Gebruikelijk voor: Gangbare MFA
- Licentie-opmerkingen: P1 voor CA; functies zoals ’number matching’ aanbevolen
Windows Hello for Business
- Factortype: Biometrie/pincode + apparaatgebonden sleutel
- Phishing-resistent: Ja
- Offline ondersteuning: Ja (domain-joined/cached)
- Gebruikelijk voor: Werkstations, hybrid join
- Licentie-opmerkingen: Inbegrepen bij Windows/Entra; CA-beleid vereist P1
FIDO2-beveiligingssleutel
- Factortype: Hardwaregebonden sleutel
- Phishing-resistent: Ja
- Offline ondersteuning: Ja
- Gebruikelijk voor: Gedeelde kiosken, beheerders, hoge zekerheid
- Licentie-opmerkingen: Entra ID-ondersteuning inbegrepen; CA vereist P1
Authenticatie op basis van certificaten (CBA)
- Factortype: Certificaat
- Phishing-resistent: Ja
- Offline ondersteuning: Ja
- Gebruikelijk voor: Sterk gereguleerde omgevingen, smartcards
- Licentie-opmerkingen: CBA in Entra; beleid met P1/P2

Autorisatie met Azure RBAC en Privileged Identity Management (PIM)

Azure role-based access control (RBAC) regelt wie welke acties kan uitvoeren op welke resources binnen het beheervlak (management plane). Toewijzingen worden gemaakt op een ‘scope’ — management group, subscription, resource group of resource — en worden naar beneden overgeërfd. Ingebouwde rollen zoals Owner, Contributor, Reader en meer granulaire rollen zoals Virtual Machine Contributor, Key Vault Administrator of Storage Blob Data Reader bieden opties voor ’least privilege’. Aangepaste rollen (custom roles) verfijnen machtigingen verder met specifieke Azure Resource Manager-acties wanneer de ingebouwde rollen te grofmazig zijn. Een effectief autorisatieontwerp segmenteert workloads in resource groups die zijn afgestemd op applicatiegrenzen, wijst standaard de Reader-rol toe en verhoogt contributierechten alleen waar nodig. Roltoewijzing op basis van groepen vereenvoudigt het levenscyclusbeheer, en activity logs in combinatie met Azure Monitor-alerts bieden toezicht op wijzigingen in roltoewijzingen. Gebruik voor data-plane-scenario’s (bijvoorbeeld Storage blob-data of Key Vault-geheimen) de corresponderende data-access-rollen in plaats van grofmazige managementrollen. Privileged Identity Management (PIM) voegt just-in-time, tijdgebonden verhoging van rechten toe voor zowel Azure RBAC-rollen als Microsoft Entra-directoryrollen. Gebruikers zijn ‘Eligible’ (in aanmerking komend) voor een rol en moeten deze activeren — met MFA, goedkeuringen, ticketnummers en een rechtvaardiging — voordat ze geprivilegieerde taken uitvoeren. PIM dwingt een begin- en eindtijd voor toewijzingen af, beperkt permanente toegang (‘standing access’) en legt de activeringsgeschiedenis vast. Access reviews binnen PIM zorgen ervoor dat de geschiktheid (’eligibility’) en permanente toewijzingen niet afwijken, en alerts signaleren risicovolle configuraties zoals een permanente Global Administrator of Owner op subscriptions.

Primaire functie
- Azure RBAC: Autoriseert acties op Azure-resources
- PIM voor Azure RBAC: Just-in-time verhoging van rechten voor resource-rollen
- PIM voor Entra-rollen: Just-in-time verhoging van rechten voor tenant-/directory-rollen
Scope
- Azure RBAC: Management group → resource
- PIM voor Azure RBAC: Gelijk aan de RBAC-doelscope
- PIM voor Entra-rollen: Tenant-breed (directory-rollen)
Toegangsmodel
- Azure RBAC: Permanente toewijzing (‘standing assignment’)
- PIM voor Azure RBAC: ‘Eligible’ → geactiveerd met controles
- PIM voor Entra-rollen: ‘Eligible’ → geactiveerd met controles
Typische controles
- Azure RBAC: Roldefinitie + scope
- PIM voor Azure RBAC: MFA, goedkeuring, tijdslimiet, reden, ticket
- PIM voor Entra-rollen: MFA, goedkeuring, tijdslimiet, reden, access reviews
Licenties
- Azure RBAC: Inbegrepen
- PIM voor Azure RBAC: Entra ID P2
- PIM voor Entra-rollen: Entra ID P2

Geheimen, sleutels en certificaten met Azure Key Vault

Azure Key Vault centraliseert de opslag van applicatiegeheimen, certificaten en cryptografische sleutels om credentials uit code en templates te verwijderen. Geheimen zoals connection strings en API-sleutels worden opgehaald via TLS met behulp van Azure SDK’s of REST, terwijl certificaten het importeren, genereren en automatisch vernieuwen via geïntegreerde certificaatautoriteiten ondersteunen. Sleutels maken encryptie-at-rest en cryptografische operaties mogelijk, inclusief envelope-encryptie voor applicatiedata en door de klant beheerde sleutels (customer-managed keys) voor services zoals Azure Storage, SQL Database en Disk Encryption Sets. Toegang tot Key Vault wordt op twee niveaus (planes) afgedwongen. Het management plane gebruikt Azure RBAC om te bepalen wie de kluis kan configureren. Het data plane kan het moderne Azure RBAC voor Key Vault of verouderde access policies gebruiken; voor nieuwe implementaties heeft Azure RBAC de voorkeur vanwege consistentie en auditing. Soft delete en purge protection zijn standaard ingeschakeld om onbedoeld of kwaadwillig verlies te voorkomen, en private endpoints met firewallregels beperken de netwerktoegang. Managed identities voor Azure-resources elimineren ingebedde credentials door workloads identiteitsgebaseerde toegang tot geheimen te verlenen. Voor een hogere mate van zekerheid biedt Azure Key Vault Managed HSM single-tenant, FIPS 140-2 Level 3 gevalideerde HSM’s voor sleuteloperaties met toegewijde capaciteit en strikte rollenscheiding. Operationele hygiëne omvat het versioneren van geheimen, rotatiebeleid, automatische rotatie van certificaten en het exporteren van diagnostische logs naar een SIEM. Wijs beperkte data-plane rollen toe, zoals Key Vault Secrets User of Key Vault Crypto Officer, om de ‘blast radius’ te minimaliseren.

Primair gebruik
- Key Vault (multi-tenant): Geheimen, certificaten, sleutels voor de meeste apps
- Managed HSM: Alleen sleuteloperaties met hoge zekerheid
Isolatie
- Key Vault (multi-tenant): Multi-tenant service
- Managed HSM: Single-tenant, toegewijde HSM’s
FIPS-niveau
- Key Vault (multi-tenant): 140-2 Level 2 (servicegrens)
- Managed HSM: 140-2 Level 3
Data-plane model
- Key Vault (multi-tenant): Azure RBAC of access policies
- Managed HSM: RBAC-achtig rolmodel specifiek voor HSM
Veelvoorkomende integraties
- Key Vault (multi-tenant): App Service, AKS, Storage CMK, SQL TDE, Disk Encryption Sets
- Managed HSM: Betalingen, gereguleerde crypto, ondertekening met strikte controles

Beveiligingspostuur, Defender for Cloud, Secure Score, WAF en DDoS-bescherming

Microsoft Defender for Cloud levert cloud security posture management (CSPM) en workloadbescherming voor Azure, multicloud en hybride omgevingen. Het beoordeelt continu resources aan de hand van beveiligingsstandaarden, genereert een Secure Score met geprioriteerde aanbevelingen en gebruikt Azure Policy voor governance op grote schaal. Het inschakelen van Defender-plannen voegt dreigingsdetectie en -bescherming toe voor servers, containers, databases, storage, Key Vault en PaaS-services, inclusief agent-gebaseerde EDR op servers en dreigingsdetectie voor Kubernetes. Het Regulatory Compliance-dashboard koppelt controles aan raamwerken zoals ISO 27001, NIST en CIS, wat audits versnelt. Aan de rand van het netwerk en de applicatie (edge) biedt Azure native DDoS-mitigatie en een web application firewall (WAF). DDoS Protection wordt per virtueel netwerk ingeschakeld, profileert automatisch normaal verkeer en mitigeert volumetrische en protocol-aanvallen op openbare IP-adressen. De IP Protection SKU is kosteneffectief voor kleinere omgevingen met enkele openbare endpoints, terwijl Network Protection (Standard) alle openbare IP’s in een beschermd VNet dekt en kostenbescherming en Rapid Response-ondersteuning omvat. WAF werkt op Layer 7 op Azure Application Gateway (regionaal) of Azure Front Door (globaal), met beheerde regelsets, anomaly scoring, bot-bescherming en aangepaste regels. Voer WAF uit in de preventiemodus om actief te blokkeren, en combineer het met private origins en Zero Trust-toegang voor ‘defense in depth’. Combineer deze services voor een gelaagde verdediging: DDoS om overstromingen (floods) op te vangen, WAF om OWASP Top 10 en misbruikpatronen te stoppen, NSG’s en Azure Firewall om oost-west- en noord-zuid-verkeer te beperken, en Defender for Cloud om configuratiehiaten te dichten en dreigingen te detecteren. Voer diagnostische gegevens van WAF, DDoS en resource-logs in Log Analytics of Microsoft Sentinel in voor correlatie en respons.

DDoS Basic (platform)
- Reikwijdte: Globaal platform
- Primaire functie: Baseline multi-tenant mitigatie
- Meest geschikt voor: Alle openbare services
- Belangrijkste kenmerken: Altijd actieve baseline, geen configuratie
DDoS IP Protection
- Reikwijdte: Per openbaar IP-adres
- Primaire functie: DDoS-mitigatie voor geselecteerde endpoints
- Meest geschikt voor: Kleine omgevingen, dev/test, single-IP-apps
- Belangrijkste kenmerken: Adaptieve tuning, aanvalsanalyses
DDoS Network Protection
- Reikwijdte: Per VNet (alle openbare IP’s)
- Primaire functie: Uitgebreide DDoS met ondersteuning
- Meest geschikt voor: Productie-VNet’s met veel endpoints
- Belangrijkste kenmerken: Kostenbescherming, Rapid Response, mitigatierapporten
WAF on Application Gateway v2
- Reikwijdte: Regionale L7
- Primaire functie: Dreigingsmitigatie op applicatielaag bij de gateway
- Meest geschikt voor: Regionale apps, private backends
- Belangrijkste kenmerken: OWASP CRS, aangepaste regels, bot-mitigatie
WAF on Azure Front Door
- Reikwijdte: Globale L7 CDN/accelerator
- Primaire functie: Globale edge-bescherming en -acceleratie
- Meest geschikt voor: Internetgerichte globale apps/API’s
- Belangrijkste kenmerken: WAF-beleid, geo-filtering, rate limits

Praktijkprobleem: Contoso Retail’s veilige hybride uitrol met op risico gebaseerde toegang en gelaagde verdediging

Scenario: Contoso Retail heeft 120 winkels met een on-premises AD-forest en lanceert een nieuw, op Azure gebaseerd e-commerceplatform. Medewerkers zullen interne beheerportals benaderen vanaf bedrijfsapparaten, terwijl leveranciers en marketingbureaus gasttoegang nodig hebben. Het bedrijf moet het aantal wachtwoordgerelateerde helpdesk-telefoontjes verminderen, phishingbestendige aanmelding voor beheerders afdwingen, applicatiegeheimen beschermen en seizoensgebonden verkeerspieken en aanvalscampagnes weerstaan—dit alles met behoud van auditbewijs voor PCI DSS-controles.

Uitdaging: Ontwerp een identity-first security-architectuur die bestaande identiteiten behoudt, adaptieve toegang afdwingt, geheimen uit code verwijdert, permanente privileges minimaliseert en netwerkrandbeveiliging implementeert voor een wereldwijd bereikbare web-frontend.

Aanbevolen aanpak:

Implementeer Microsoft Entra Connect met wachtwoord-hashsynchronisatie en Seamless SSO. Configureer een staging-server voor rollback en synchroniseer geselecteerde OU’s om de scope te beperken.
Creëer dynamische beveiligingsgroepen voor Financiën, Winkeloperaties en Beheerders op basis van on-prem-attributen; gebruik op groepen gebaseerde app-toewijzingen en licenties.
Activeer Conditional Access: vereis MFA voor alle gebruikers; blokkeer verouderde authenticatie; vereis compliant of hybrid-joined apparaten voor beheerportals; dwing een op aanmeldingsrisico gebaseerde MFA-uitdaging af en blokkeer toegang vanuit landen waar Contoso niet aanwezig is.
Rol wachtwoordloos aanmelden uit voor gebruikers met privileges met behulp van FIDO2-beveiligingssleutels en Windows Hello for Business; stel nummervergelijking verplicht voor Authenticator-pushmeldingen totdat de overstap naar wachtwoordloos volledig is.
Activeer SSPR met password writeback en vereis twee veilige methoden voor een reset; voeg de registratie samen met die van MFA om de frictie voor gebruikers te verminderen.
Activeer het beleid voor gebruikersrisico en aanmeldingsrisico van Microsoft Entra ID Protection om automatisch wachtwoordwijzigingen te vereisen bij een hoog gebruikersrisico en om riskante aanmeldingen van gemiddeld en hoger niveau uit te dagen.
Zet Access Reviews op voor gastgebruikers in groepen voor partners en voor alle rollen die in aanmerking komen voor PIM, met automatische toepassing van verwijderingsbeslissingen bij geen reactie.
Implementeer Azure RBAC met het ’least privilege’-principe op het niveau van de resourcegroep per applicatie; wijs toe via groepen. Gebruik activity log-waarschuwingen voor wijzigingen in roltoewijzingen.
Onboard abonnementen naar PIM; maak Owner- en Contributor-toewijzingen ‘Eligible’ met goedkeuring, MFA en activeringsvensters van 4 uur; vereis ticketnummers en een rechtvaardiging.
Provisioneer Azure Key Vault met private endpoints en Azure RBAC voor data-plane-toegang. Sla app-geheimen en certificaten op; activeer rotatiebeleid; geef de door het systeem toegewezen managed identity van de web-app leestoegang tot de vereiste geheimen.
Voorzie de e-commercesite van een Azure Front Door Standard-frontend met WAF in preventiemodus en een WAF-beleid dat gebruikmaakt van de nieuwste beheerde regelset en geo-filtering; beperk de toegang tot de origin via private endpoints of streng beveiligde openbare IP-adressen.
Activeer DDoS Network Protection op het productie-VNet dat de openbare IP’s voor API’s en gateways host; configureer diagnostiek en waarschuwingen.
Schakel de Microsoft Defender for Cloud-plannen in voor Servers, Containers, App Service, SQL en Key Vault. Gebruik Secure Score-verbeteracties om ontbrekende MFA op abonnementen, openbare opslagtoegang en zwakke TLS op App Gateway te herstellen.
Stream Entra-aanmeldings-, audit-, WAF-, DDoS- en Defender-waarschuwingen naar een Log Analytics-workspace en Microsoft Sentinel voor detectie en respons. Maak playbooks om tokens uit te schakelen en een wachtwoordreset af te dwingen bij een bevestigde accountcompromittering.

Azure-onderbouwing: Dit ontwerp behoudt de identiteitsautoriteit on-premises en maakt tegelijkertijd een veerkrachtige cloud-aanmelding mogelijk met wachtwoord-hashsynchronisatie. Conditional Access en Identity Protection zetten statische MFA om in adaptieve, risicogestuurde handhaving, terwijl wachtwoordloos aanmelden wachtwoordphishing uit het traject voor geprivilegieerde toegang verwijdert. RBAC met groepstoewijzingen en PIM elimineert permanente beheerdersrechten en zorgt voor volledige auditeerbaarheid. Key Vault en managed identities verwijderen geheimen uit code en pipelines. Azure Front Door WAF en DDoS Protection zetten een gelaagde edge-verdediging op voor een wereldwijde aanwezigheid, en Defender for Cloud met Secure Score stimuleert continue verharding en dreigingsdetectie voor alle compute- en datadiensten.

← Opslag · Alle domeinen · Kostenbeheer →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →