Vijf Conditional Access-regels die elk MKB nodig heeft

5 min lezen · Bijgewerkt op 20 oktober 2026

Met Conditional Access bepaal je in Microsoft Entra ID onder welke voorwaarden iemand mag inloggen. Microsoft biedt sjablonen die je als basis kunt gebruiken. Deze vijf regels vormen een goede start.

Wat heb je nodig?

Conditional Access vraagt een licentie voor Microsoft Entra ID P1 of P2. Microsoft 365 Business Premium en Microsoft 365 E3 bevatten Microsoft Entra ID P1.

Heb je geen P1? Gebruik dan de standaardinstellingen voor beveiliging (security defaults). Die zijn beschikbaar zonder extra licentie. Microsoft noemt ze de aanbevolen basis voor elke organisatie. Zet ze pas uit als je overstapt op Conditional Access. Staat er nog MFA per gebruiker aan (de oude methode)? Dan moet je IT-beheerder die eerst uitzetten.

De vijf regels

1. MFA voor alle gebruikers. Elke inlog op elke app vraagt een tweede factor. Microsoft heeft hiervoor het sjabloon Require multifactor authentication for all users.
2. Blokkeer verouderde authenticatie. Microsoft rekent dit tot de basisregels die elke organisatie samen zou moeten invoeren. Het sjabloon heet Block legacy authentication.
3. Phishingbestendige MFA voor beheerders. Accounts met beheerrollen zijn een geliefd doelwit. Microsoft adviseert de ingebouwde sterkte Phishing-resistant MFA, zoals een passkey of FIDO2-sleutel, voor onder meer de Global Administrator, Exchange Administrator en SharePoint Administrator.
4. Vereis een beheerd apparaat of MFA. Gebruik het sjabloon Require compliant or Microsoft Entra hybrid joined device or multifactor authentication for all users. Toegang mag dan alleen vanaf een beheerd apparaat dat aan je nalevingsregels voldoet. Anders is MFA nodig.
5. Twee noodaccounts, uitgesloten en bewaakt. Zie de volgende paragraaf.

Registreer phishingbestendige methoden voor je beheerders voordat je regel 3 aanzet. Anders loop je het risico dat je jezelf buitensluit.

Noodaccounts: uitsluiten en bewaken

Een fout in een regel kan alle beheerders buitensluiten. Microsoft adviseert daarom minimaal twee noodaccounts (break-glass-accounts). Dit zijn accounts in de cloud op het onmicrosoft.com-domein, met de rol Global Administrator.

• Sluit ze uit van elke regel die inloggen blokkeert of beperkt, bijvoorbeeld via een aparte groep.
• Beveilig ze met een andere methode dan je gewone beheerders, zoals een FIDO2-sleutel.
• Laat elke inlog op deze accounts een melding geven. Microsoft beschrijft hoe je dat doet met de aanmeldlogboeken in Azure Monitor.
• Test ze minimaal elke 90 dagen en na wijzigingen in het IT-team.

Eerst testen in report-only

Een regel vanuit een sjabloon staat standaard in de modus report-only. De regel blokkeert dan niets, maar je ziet in de aanmeldlogboeken wat er zou gebeuren. Laat je IT-beheerder elke regel eerst zo testen. Zet hem pas aan als de resultaten kloppen.

Let op: een sjabloon sluit alleen het account uit van degene die de regel maakt. Andere uitzonderingen, zoals je noodaccounts, voeg je zelf toe.

Checklist

• Controleer of je Microsoft Entra ID P1 hebt, bijvoorbeeld via Business Premium.
• Maak twee noodaccounts aan en stel meldingen in.
• Registreer phishingbestendige methoden voor beheerders.
• Maak de vijf regels aan in report-only.
• Bekijk de aanmeldlogboeken en zet de regels daarna aan.
• Zet de security defaults uit zodra je regels actief zijn.

Bronnen

• Microsoft Learn: Conditional Access templates
• Microsoft Learn: Require phishing-resistant multifactor authentication for Microsoft Entra administrator roles
• Microsoft Learn: Manage emergency access admin accounts
• Microsoft Learn: Set up multifactor authentication for users