Microsoft MD-102: Identiteit, toegang en voorwaardelijke toegang — Studiegids

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Endpoint Administrator Associate MD-102 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Identiteit, toegang en voorwaardelijke toegang in Microsoft 365 bepalen hoe gebruikers, apparaten en apps worden geauthenticeerd en geautoriseerd voor bedrijfsresources. Azure AD Conditional Access (CA) evalueert signalen zoals de status van de gebruiker en het apparaat, locatie en risico om controles af te dwingen zoals MFA, een compliant apparaat, app-bescherming en sessiebeperkingen. Op risico gebaseerde beleidsregels van Azure AD Identity Protection automatiseren het herstel voor gecompromitteerde gebruikers en risicovolle aanmeldingen. Primary Refresh Tokens (PRT’s) zorgen voor naadloze single sign-on op apparaten die aan Azure AD zijn gekoppeld, terwijl Enterprise State Roaming productieve gebruikerservaringen over verschillende apparaten heen behoudt. Privileged Identity Management dwingt just-in-time rechtenverhoging af voor beheerders. Tot slot is een goed gestructureerde Azure AD-groepenstrategie fundamenteel voor nauwkeurige targeting in zowel Intune als Conditional Access.

Conditional Access: voorwaarden, toekenningscontroles, benoemde locaties en MFA-strategie

Conditional Access evalueert voorwaarden en past toekennings-/sessiecontroles toe om een ja/nee-beslissing te produceren bij het uitgeven van een token. CA-beleidsregels worden geëvalueerd na de primaire authenticatie en voordat een toegangstoken wordt uitgegeven.

Belangrijke voorwaarden die u moet beheersen:

Gebruiker en groep: Bepaal op wie het beleid van toepassing is. Gebruik include/exclude-logica voor pilots en om ‘break-glass’-accounts uit te sluiten.
Cloud-apps of -acties: Selecteer specifieke apps (bijv. Exchange Online, SharePoint Online, aangepaste bedrijfsapps) of gebruikersacties (beveiligingsinfo registreren).
Apparaatplatform en apparaatstatus: Filter op besturingssysteem en vereis apparaatcompliance of een hybrid Azure AD join om te voldoen aan de Zero Trust-apparaatvereisten. Apparaatcompliance wordt gesignaleerd door Intune en vereist dat het apparaat wordt geëvalueerd en als compliant wordt gemarkeerd.
Locaties: Gebruik benoemde locaties om op land/regio of IP-bereiken in of uit te sluiten. Markeer vertrouwd netwerkverkeer (egress) als ‘vertrouwd’ om controles te versoepelen waar dat gepast is.
Client-apps: Maak onderscheid tussen moderne auth-clients (browser, moderne Office-clients) en verouderde protocollen (IMAP/POP/SMTP/ActiveSync basic). Om alleen verouderde authenticatie te blokkeren terwijl moderne auth is toegestaan, gebruik je de Client-apps-voorwaarde plus een ‘Block’-toekenningscontrole voor verouderde clients.
Aanmeldingsrisico en gebruikersrisico: Neem risicosignalen van Identity Protection op om step-up- of blokkeerbeslissingen te activeren op het moment van aanmelden of op basis van accountcompromittering.

Toekenningscontroles (grant controls) definiëren waaraan moet worden voldaan voor toegang:

Multi-factor authenticatie vereisen
Vereisen dat het apparaat als compliant is gemarkeerd
Hybrid Azure AD joined apparaat vereisen
Wachtwoordwijziging vereisen (risicoherstel)
Gebruiksvoorwaarden vereisen
Goedgekeurde client-app en/of app-beschermingsbeleid vereisen (voor MAM zonder enrollment)

Sessiecontroles (session controls) bepalen het gedrag na authenticatie:

Aanmeldingsfrequentie en persistente browsersessie
Conditional Access App Control (via Microsoft Defender for Cloud Apps) voor real-time sessie-inspectie
Standaardinstellingen voor tolerantie uitschakelen waar hoge zekerheid vereist is

Best practices voor de levenscyclus van beleid:

Begin met de modus ‘Alleen rapporteren’ (report-only) om de impact te valideren
Gebruik beleidssjablonen voor veelvoorkomende scenario’s (bijv. verouderde auth blokkeren, beheerdersrollen beschermen)
Neem altijd noodtoegangsaccounts op die CA omzeilen
Combineer ‘apparaatcompliance vereisen’ met Intune-compliancebeleid om controles op besturingssysteem, versleuteling, AV en jailbreak/root af te dwingen

Benoemde locaties en vertrouwde IP-bereiken:

Benoemde locaties kunnen landen/regio’s zijn (gebaseerd op IP-naar-geo) of specifieke IPv4/IPv6 CIDR-bereiken. Door een benoemde locatie als vertrouwd te markeren, kan deze worden gebruikt als uitsluiting of om controles te versoepelen (bijv. MFA omzeilen in vertrouwde kantoren). Alleen openbare egress-IP’s zijn effectief; private IP’s achter NAT zijn extern niet zichtbaar.
Identity Protection kan vertrouwde benoemde locaties als lager risico behandelen voor detecties van onbekende aanmeldingen. Houd een gezaghebbende lijst van bedrijfs-egress-IP’s bij en houd deze actueel om valse positieven te voorkomen.

MFA-strategie—per-user MFA versus Conditional Access MFA:

Per-user MFA (verouderd) dwingt MFA statisch af op het gebruikersobject en ondersteunt ‘MFA overslaan voor vertrouwde IP’s’ alleen via de klassieke instellingen. Het mist contextuele evaluatie en granulaire targeting, en conflicteert met CA-prompts.
Conditional Access MFA is de aanbevolen aanpak. Het past MFA toe op basis van voorwaarden zoals de gevoeligheid van de app, de apparaatstatus en het risico. Het integreert met Identity Protection voor op risico gebaseerde prompts en ondersteunt moderne authenticatieclients.
Migratie-advies: Stel per-user MFA in op ‘Uitgeschakeld’ (Disabled), implementeer op CA gebaseerd MFA-beleid en vertrouw op het gecentraliseerde beleid voor authenticatiemethoden voor de registratie en handhaving van methoden (bijv. Authenticator, FIDO2, SMS). Gebruik door het systeem geprefereerde MFA en ’number matching’ om push-goedkeuringen te versterken.

Identity Protection, gebruikers- en aanmeldingsrisico, en de rol van PRT in naadloze SSO

Azure AD Identity Protection (AIP) berekent probabilistisch risico met machine learning en Microsoft threat intelligence:

Aanmeldingsrisico evalueert elke authenticatie in realtime (bv. onbekende aanmeldingseigenschappen, atypisch reizen, IP-adres gelinkt aan malware, anoniem IP-adres).
Gebruikersrisico weerspiegelt de waarschijnlijkheid dat een identiteit gecompromitteerd is (bv. gelekte referenties, herhaalde afwijkende aanmeldingen).

Beleidsregels:

Beleid voor aanmeldingsrisico: Dwing bij een gemiddeld/hoog aanmeldingsrisico “MFA vereisen” of “Toegang blokkeren” af. Dit is ideaal voor step-up op het moment van risicovolle authenticaties.
Beleid voor gebruikersrisico: Dwing bij een gemiddeld/hoog gebruikersrisico “Wachtwoordwijziging vereisen” of “Toegang blokkeren” af. Dit herstelt gecompromitteerde identiteiten door een veilige wachtwoordreset via SSPR/MFA af te dwingen.
Integraties: Configureer CA-beleid met “Aanmeldingsrisico” of “Gebruikersrisico” als voorwaarden voor nauwkeurige controle per app. Sluit break-glass-accounts uit. Gebruik benoemde vertrouwde locaties om fout-positieven te verminderen.
Licenties en audit: Identity Protection vereist Azure AD Premium P2. Gebruik de risicodetecties en de onderzoeksworkflow om risico’s te bevestigen, te negeren of te herstellen, en exporteer logs naar een SIEM.

Primary Refresh Token (PRT) en naadloze SSO op Azure AD joined-apparaten:

De PRT is een apparaatgebonden, gebruikersgerichte refresh token die wordt aangemaakt tijdens het aanmelden op het apparaat (Azure AD joined of hybrid Azure AD joined). Deze bevindt zich in de credential stack van het besturingssysteem en wordt beschermd door TPM indien beschikbaar.
De PRT maakt SSO naar Azure AD-geïntegreerde apps mogelijk via de Web Account Manager (WAM) en MSAL, waardoor herhaalde prompts worden geëlimineerd. Wanneer de initiële aanmelding voldeed aan MFA, draagt de PRT een MFA-claim die kan voldoen aan de CA-vereiste “MFA vereisen” zonder een nieuwe prompt, totdat de aanmeldingsfrequentie verloopt of het beleid verandert.
Verlenging en beveiliging: De PRT wordt periodiek verlengd en kan worden uitgedaagd met een nonce om de aanwezigheid van het apparaat te bevestigen. Het intrekken van de apparaatregistratie of het uitschakelen van de gebruiker maakt de uitgifte van volgende tokens ongeldig.
Relatie tot Seamless SSO: Azure AD Seamless SSO (op Kerberos gebaseerd via Azure AD Connect) is voornamelijk voordelig voor domeingekoppelde machines op het bedrijfsnetwerk die PHS/PTA gebruiken. Azure AD joined-apparaten vertrouwen op de PRT voor SSO; je hebt geen Seamless SSO nodig voor AADJ-apparaten om SSO naar cloudresources te bereiken.

Enterprise State Roaming, PIM en groepsstrategie voor nauwkeurige targeting

Enterprise State Roaming (ESR):

ESR synchroniseert ondersteunde Windows-instellingen en bepaalde app-instellingen voor Azure AD-gebruikers over Azure AD joined- en hybrid Azure AD joined-apparaten. Voorbeelden zijn personalisatie, taal en sommige Windows-app-instellingen; geen documenten of willekeurige bestanden.
Schakel ESR in via de Azure AD-tenantinstellingen en scope dit naar alle of geselecteerde gebruikers. Data wordt versleuteld tijdens overdracht en in rust (at rest) in Azure; sleutels zijn tenant-scoped. ESR vermindert de herconfiguratietijd bij vervanging van apparaten of Autopilot-provisioning en is een aanvulling op, maar geen vervanging van, profielbeheeroplossingen.

Privileged Identity Management (PIM) voor just-in-time beheerderstoegang:

PIM (Azure AD P2) maakt gebruikers ’eligible’ (in aanmerking komend) in plaats van permanent toegewezen aan geprivilegieerde rollen (bv. Global Administrator, Intune Administrator, Security Administrator) of privileged access groups (PAGs).
Activering kan MFA, een rechtvaardiging, ticketnummers en goedkeuring vereisen, en kan tijdsgebonden zijn met een afgedwongen begin- en eindtijd. Het genereert onveranderlijke auditrecords en alarmering bij buitensporige activering.
Gebruik PIM om permanente privileges te verminderen, de ‘blast radius’ te beperken en aan compliance te voldoen. Maak voor Intune beheerders ’eligible’ voor de rol Intune Administrator of voor een PAG waaraan gescoped Intune RBAC is toegekend. Vereis goedkeuring voor rollen met een hoge impact en beperk activering tot werkuren.

Azure AD-groepen voor targeting in Intune en CA:

Toegewezen groepen (Assigned groups): Statisch lidmaatschap, ideaal voor pilots en wanneer attributen niet volstaan. Administratief eenvoudig en deterministisch.
Dynamische gebruikersgroepen: Lidmaatschap wordt berekend op basis van gebruikersattributen (bv. afdeling, usageLocation, jobTitle). Het beste voor gebruikersgerichte beleidsregels, app-toewijzingen en licentiebeheer. Vereist Azure AD Premium P1.
Dynamische apparaatgroepen: Lidmaatschap gebaseerd op apparaatattributen (bv. deviceOSType, deviceOwnership, enrollmentProfileName, deviceCategory). Het beste voor apparaatgerichte beleidsregels en app-implementaties.
Richtlijnen voor targeting in Intune:
- Gebruik gebruikersgroepen voor gebruikersgebaseerd beleid (bv. app-beschermingsbeleid, toewijzingen van Office-apps) en apparaatgroepen voor apparaatgebaseerde profielen (bv. configuratie, compliance).
- Geef de voorkeur aan Intune-apparaatfilters voor zeer nauwkeurige scoping over “Alle apparaten”-toewijzingen heen om wildgroei van groepen en vertragingen bij de evaluatie te verminderen.
- Voor Conditional Access, scope het beleid op gebruikers en workload-identiteiten; gebruik apparaatfilters binnen CA wanneer je de handhaving moet verfijnen op basis van apparaateigenschappen, en vereis “apparaat compliant” of “hybrid joined” om de apparaatstatus (posture) af te dwingen.
Hygiëne: Vermijd het gebruik van geneste groepen die onvoorspelbare vertragingen in dynamische evaluatie veroorzaken. Monitor de verwerking van lidmaatschappen en ontwerp fallback-uitsluitingen voor break-glass- of serviceaccounts.

Alles samenbrengen: veilige moderne toegangspatronen

Een robuust patroon voor cloud-first eindpunten:

Blokkeer verouderde authenticatie met een CA-beleid met de voorwaarde ‘Client-apps’ gericht op verouderde protocollen en een ‘Blokkeren’-toegangsbeheer.
Dwing MFA af op basis van CA-beleid, gericht op gevoeligheid (bijv. MFA vereisen voor Exchange/SharePoint en alle beheerportals). Schakel MFA per gebruiker uit om conflicten te voorkomen.
Vereis apparaatnaleving voor desktopplatforms met sessiebeheer voor aanmeldingsfrequentie. Voor mobiele BYOD, vereis goedgekeurde client-apps en app-beschermingsbeleid zonder inschrijving (enrollment).
Maak gebruik van Identity Protection: vereis MFA voor gemiddeld aanmeldingsrisico, blokkeer hoog aanmeldingsrisico en vereis een wachtwoordwijziging voor gemiddeld/hoog gebruikersrisico.
Gebruik benoemde locaties om frictie op vertrouwde bedrijfsnetwerken te verminderen, terwijl apparaatnaleving en sessiebeheer waar nodig worden afgedwongen.
Zorg ervoor dat Azure AD joined-apparaten een PRT verkrijgen voor naadloze SSO, ondersteund door Intune-naleving en signalen van Defender for Endpoint, indien van toepassing.
Beheer beheerderstoegang met PIM en voer periodieke toegangsbeoordelingen uit.

Praktisch Probleemscenario

Fabrikam, Inc. rolt Azure AD joined Windows 11-laptops met Intune-beheer uit naar een wereldwijd personeelsbestand. De beveiliging vereist het blokkeren van verouderde authenticatie, het afdwingen van MFA op basis van risico, het verplichten van conforme apparaten voor toegang tot Microsoft 365, het inschakelen van SSO en het minimaliseren van frictie voor gebruikers door frequente prompts. Beheerders mogen hun rechten alleen verhogen wanneer dat nodig is. Gebruikers moeten hun desktoppersonalisatie behouden op nieuwe apparaten.

Implementeer een Conditional Access-baseline

Maak een CA-beleid ‘Blokkeer verouderde auth’: richt op alle gebruikers, sluit twee break-glass-accounts uit, richt op alle cloud-apps, stel ‘Client-apps’ in op verouderde protocollen en verleen ‘Blokkeren’. Waarom: Dit blokkeert nauwkeurig alleen verouderde protocollen terwijl moderne authenticatietoegang behouden blijft.

Vereis MFA en apparaatnaleving voor Microsoft 365

Maak een CA-beleid ‘M365-toegang vereist conform apparaat of MAM’: richt op alle gebruikers, neem Exchange Online en SharePoint Online op, vereis dat het apparaat als conform is gemarkeerd voor Windows/macOS; voor iOS/Android, vereis een goedgekeurde client-app en app-beschermingsbeleid. Stel de sessiebeheer-aanmeldingsfrequentie in op 14 dagen. Waarom: Brengt beveiliging en bruikbaarheid in evenwicht door Zero Trust af te dwingen op beheerde eindpunten en MAM voor BYOD zonder inschrijving (enrollment).

Schakel op risico gebaseerde bescherming in met Identity Protection

Configureer beleid voor aanmeldingsrisico: voor gemiddeld en hoger, vereis MFA; voor hoog, blokkeer toegang.
Configureer beleid voor gebruikersrisico: voor gemiddeld en hoger, vereis een wachtwoordwijziging met SSPR+MFA. Waarom: Automatiseert real-time herstel en herstel van gecompromitteerde accounts om de reactietijd op incidenten te verkorten.

Stel benoemde locaties in

Definieer benoemde IP-bereiken voor het datacenter en de regionale kantoren van Fabrikam en markeer ze als vertrouwd. Waarom: Vermindert onnodige MFA-prompts vanaf bekende uitgaande punten (egress points) en verbetert de nauwkeurigheid van risicosignalen.

Zorg voor naadloze SSO via PRT op Azure AD joined-apparaten

Schrijf apparaten in met Windows Autopilot (Azure AD join) en Intune. Verifieer de uitgifte van PRT met

undefined

en zorg ervoor dat de tijdsynchronisatie en TPM in orde zijn. Waarom: PRT biedt apparaatgebonden SSO, voldoet aan CA MFA-claims waar van toepassing, en elimineert herhaalde prompts.

Configureer Intune-naleving en targeting met Azure AD-groepen

Maak dynamische apparaatgroepen per platform en eigendom, en pas nalevingsbeleid toe (versleuteling, minimale OS, Defender-status). Gebruik Intune-apparaatfilters om ‘Alle apparaten’-toewijzingen voor configuratieprofielen en Win32-apps te verfijnen. Waarom: Zorgt ervoor dat alleen conforme apparaten toegang krijgen, terwijl de wildgroei van groepen en de evaluatievertraging worden geminimaliseerd.

Beheer geprivilegieerde toegang met PIM

Maak Helpdesk ’eligible’ (in aanmerking komend) voor de rollen Intune Help Desk Operator en Endpoint Security Manager; maak Cloud Ops ’eligible’ voor Intune Administrator. Vereis MFA, een rechtvaardiging en activeringsvensters van 4 uur met goedkeuring voor hogere rollen. Waarom: Vermindert permanente privileges, dwingt het principe van ’least privilege’ af en zorgt voor auditeerbare activeringen.

Schakel Enterprise State Roaming in

Schakel ESR in voor alle Azure AD-gebruikers. Communiceer welke instellingen meegenomen worden (roamen) en valideer de synchronisatie op pilot-apparaten. Waarom: Behoudt de personalisatie van de gebruiker bij het vervangen van apparaten, wat de productiviteit verbetert tijdens lifecycle-gebeurtenissen.

Dit ontwerp gebruikt Conditional Access voor contextuele handhaving, Identity Protection voor geautomatiseerd risicoherstel, PRT voor frictieloze SSO op Azure AD joined-apparaten, Intune en dynamische groepen voor nauwkeurige beleidstargeting, PIM voor just-in-time beheer, en ESR voor een consistente gebruikerservaring—allemaal in lijn met Zero Trust en operationele efficiëntie.

← Eindpuntbeveiliging en Microsoft Defender · Alle domeinen · Co-beheer en hybride omgevingen →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →