Entra ID

Wat is Entra ID?

Microsoft Entra ID is de cloudgebaseerde identiteits- en toegangsbeheerdienst van Microsoft, die gebruikers, apparaten en applicaties authenticeert en bepaalt wie onder welke voorwaarden toegang krijgt tot Microsoft 365, Azure en duizenden andere applicaties. Tot juli 2023 heette de dienst Azure Active Directory (Azure AD). Ondanks die oude naam is Entra ID een ander product dan het on-premises Active Directory: het werkt vooral met webprotocollen zoals OAuth 2.0, OpenID Connect en SAML in plaats van Kerberos en LDAP. Voor IT/OT-organisaties is Entra ID vooral relevant als centrale poort voor toegang op afstand, beheerportalen en cloudtoepassingen, en als bouwsteen van een Zero Trust-architectuur.

🧠 Hoe werkt Entra ID?

Elke organisatie krijgt in Entra ID een eigen tenant: een afgeschermde directory met gebruikers, groepen, apparaten en geregistreerde applicaties. Een aanmelding verloopt in vier stappen:

1. Aanmelden - de gebruiker of het apparaat meldt zich aan bij de Microsoft-aanmeldservice met een werk- of schoolaccount.
2. Authenticatie - Entra ID controleert wachtwoord, passkey, certificaat of app-melding, eventueel aangevuld met MFA.
3. Beoordeling - Conditional Access-beleid weegt signalen zoals gebruiker, groep, locatie, apparaatstatus, applicatie en aanmeldrisico, en besluit: toestaan, extra factor eisen of blokkeren.
4. Token - bij akkoord geeft Entra ID een ondertekend token uit, waarmee de applicatie de gebruiker vertrouwt zonder zelf wachtwoorden te kennen (single sign-on).

Rollen en rechten binnen de tenant worden toegekend via RBAC. Met Privileged Identity Management (PIM) krijgen beheerders hun rol pas tijdelijk na activering, in plaats van permanent.

🔄 Wat is het verschil tussen Entra ID en Active Directory?

Microsoft koos de nieuwe naam mede om verwarring met Windows Server Active Directory weg te nemen. De twee vullen elkaar aan, maar werken fundamenteel anders:

Veel organisaties draaien een hybride opzet: Microsoft Entra Connect (of het lichtere Cloud Sync) synchroniseert accounts uit Active Directory naar Entra ID. Voor de aanmelding zijn drie methoden mogelijk:

• Password hash synchronization (PHS) - Entra ID controleert een afgeleide hash van het wachtwoord; synchronisatie gebeurt elke twee minuten en er is geen lokale aanmeldinfrastructuur nodig.
• Pass-through authentication (PTA) - lichte agents (Microsoft adviseert er drie) controleren het wachtwoord tegen de lokale domeincontrollers.
• Federatie - een eigen identiteitsprovider zoals AD FS handelt de aanmelding af, met servers in de DMZ.

Microsoft adviseert PHS altijd aan te zetten, ook naast PTA of federatie, zodat aanmelden blijft werken als de lokale infrastructuur uitvalt, bijvoorbeeld na een ransomware-aanval.

📅 Welke licenties en mijlpalen zijn belangrijk?

Entra ID wordt in verschillende niveaus geleverd. De beveiligingsfuncties die voor OT-toegang ertoe doen, zitten grotendeels in de betaalde varianten:

Microsoft 365 E3 bevat P1, Microsoft 365 E5 bevat P2. Belangrijke data in de geschiedenis van de dienst:

• 11 juli 2023 - aankondiging van de nieuwe naam; op 1 oktober 2023 volgden de licentienamen. Aanmeld-URL’s, API’s en bibliotheken bleven gelijk.
• 30 september 2024 - de on-premises Azure Multi-Factor Authentication Server verwerkt geen MFA-verzoeken meer. Koppelingen tussen VPN en MFA lopen sindsdien via de cloud.
• Oktober 2024 - verplichte MFA voor aanmelding bij de Azure-portal, het Entra-beheercentrum en het Intune-beheercentrum (fase 1).
• 1 oktober 2025 - fase 2: verplichte MFA voor wijzigingen via Azure CLI, PowerShell, infrastructure-as-code en de REST-API. Uitstel was mogelijk tot uiterlijk 1 juli 2026.

🏭 Hoe wordt Entra ID ingezet in OT-omgevingen?

In de procesautomatisering staat Entra ID zelden dieper in het Purdue Model dan de grens tussen IT en OT. De gebruikelijke toepassingen:

• VPN met MFA via RADIUS - de VPN-gateway stuurt een RADIUS-verzoek naar een Windows NPS-server; die controleert het wachtwoord tegen Active Directory en roept via de NPS-extensie Entra MFA aan. De NPS-server heeft alleen uitgaand TCP 443 nodig. Microsoft adviseert een VPN-time-out van minstens 60 seconden, zodat de gebruiker tijd heeft om de melding te bevestigen.
• Toegang voor leveranciers - externe servicemonteurs krijgen een gastaccount (B2B) met eigen MFA, tijdgebonden groepslidmaatschap en een apart Conditional Access-beleid, in plaats van een gedeeld account.
• Single sign-on op webportalen - SCADA-webclients, historian-dashboards, MES-toepassingen en IIoT-platformen die OpenID Connect of SAML ondersteunen, laten de aanmelding aan Entra ID over.
• VPN-vervanging - Microsoft Entra Private Access geeft per applicatie toegang via een client en een connector die alleen uitgaande verbindingen opzet, zodat geen inkomende poort in de firewall nodig is.
• Jumphosts - beheerders melden zich met Entra ID en MFA aan op een jumpserver in de IDMZ en gaan van daaruit met een apart OT-account verder.

Wat bewust niet in Entra ID hoort: lokale aanmelding op HMI’s, controllers en engineering stations. Die moeten blijven werken als de internetverbinding wegvalt. Daarvoor dient een apart, lokaal OT-domein of lokale accounts, zonder synchronisatie met de IT-tenant.

🔐 Hoe beveiligt u Entra ID voor IT/OT-toegang?

Entra ID is een aantrekkelijk doelwit: wie een beheerdersaccount overneemt, heeft in één keer toegang tot alles wat eraan gekoppeld is. Dat bleek in 2023 bij de Storm-0558-aanval, waarbij aanvallers met een gestolen Microsoft-ondertekeningssleutel tokens vervalsten en de mailboxen van zo’n 25 organisaties binnendrongen. De Amerikaanse Cyber Safety Review Board publiceerde daar in april 2024 een kritisch rapport over. Praktische maatregelen:

• Phishingbestendige MFA - gebruik passkeys (FIDO2) of certificaten voor beheerders en OT-toegang; sms en spraak zijn zwakker tegen phishing.
• Blokkeer verouderde authenticatie - protocollen zonder MFA-ondersteuning omzeilen anders elk Conditional Access-beleid.
• Least Privilege met PIM - geen permanente globale beheerders; rollen tijdelijk activeren met goedkeuring en reden.
• Noodaccounts - minstens twee cloud-only accounts op het onmicrosoft.com-domein, beveiligd met een passkey, uitgesloten van blokkerend beleid en minstens elke 90 dagen getest.
• Logging - stuur aanmeld- en auditlogs door naar een SIEM zoals Microsoft Sentinel, omdat de standaard bewaartermijn maar 7 of 30 dagen is.
• Scheiding - synchroniseer geen OT-beheeraccounts naar de IT-tenant en beperk wat een cloudaccount in het OT-netwerk kan bereiken met netwerksegmentatie, VLAN’s en firewallregels.

🧭 Welke eisen sluiten aan bij Entra ID?

Entra ID is een middel, geen doel; het helpt wel om eisen uit regelgeving en normen aantoonbaar in te vullen:

• NIS2 en de Cyberbeveiligingswet - artikel 21 van NIS2 noemt beleid voor toegangsbeheer en het gebruik van multifactorauthenticatie expliciet als zorgplichtmaatregel. Conditional Access en MFA-rapportages zijn daarvoor bruikbaar bewijs.
• IEC 62443-3-3 - systeemeis SR 1.1 vraagt unieke identificatie en authenticatie van gebruikers; de uitbreidingen vragen MFA voor onbetrouwbare netwerken (security level 3) en voor alle netwerken (security level 4). Entra ID kan dat afdekken voor de toegang van buitenaf, niet voor het OT-netwerk zelf.
• ISO 27001 - de beheersmaatregelen voor toegangsbeheer, authenticatie-informatie en geprivilegieerde rechten sluiten direct aan op Conditional Access en PIM.

❓ Veelgestelde vragen

Is Entra ID hetzelfde als Azure AD?

Ja, Entra ID is de nieuwe naam van Azure Active Directory sinds juli 2023. De functies, licenties en prijzen bleven gelijk; alleen de naam en de licentienamen veranderden. Entra ID is wel een ander product dan het on-premises Active Directory.

Vervangt Entra ID een lokale Active Directory?

Niet automatisch. Entra ID beheert identiteiten voor cloudapplicaties en kan Windows-apparaten rechtstreeks aanmelden, maar biedt geen Kerberos-domein, Group Policy of LDAP voor oudere systemen. In OT-omgevingen blijft een lokale Active Directory of lokale accounts daarom meestal nodig.

Kan Entra ID werken in een geïsoleerd OT-netwerk?

Nee, Entra ID is een clouddienst en vraagt een internetverbinding voor elke aanmelding. Systemen die moeten blijven werken bij uitval van de verbinding, zoals HMI’s en engineering stations, horen daarom niet afhankelijk te zijn van Entra ID.

Hoe koppel ik een VPN aan Entra ID MFA?

De gangbare route is de NPS-extensie: de VPN-gateway stuurt een RADIUS-verzoek naar een Windows NPS-server, die het wachtwoord tegen Active Directory controleert en daarna Entra MFA aanroept. Dit vraagt een Entra ID P1- of P2-licentie. VPN-gateways die SAML of OpenID Connect ondersteunen, kunnen ook rechtstreeks met Entra ID koppelen.

Welke Entra ID-licentie is nodig voor Conditional Access?

Conditional Access vraagt Entra ID P1, dat onder meer in Microsoft 365 E3 en Business Premium zit. Risicogebaseerd beleid en Privileged Identity Management vragen Entra ID P2. Zonder betaalde licentie biedt Entra ID Free alleen security defaults als basisbescherming met MFA.

Wat is het verschil tussen Entra ID en Microsoft Entra?

Microsoft Entra is de productfamilie voor identiteit en netwerktoegang. Entra ID is daarin de kerndienst voor identiteiten; andere onderdelen zijn onder meer ID Governance, External ID, Verified ID, Internet Access en Private Access.

📌 Samengevat

Entra ID, voorheen Azure AD, is de clouddienst van Microsoft voor identiteit en toegang en vormt de centrale poort voor externe toegang, beheerportalen en cloudtoepassingen in IT/OT-omgevingen. Met MFA, Conditional Access en PIM ondersteunt Entra ID Zero Trust en de eisen uit NIS2 en IEC 62443, maar lokale aanmelding binnen het OT-netwerk hoort niet van de cloud af te hangen.