Microsoft Entra Tenant Governance

Hoeveel tenants heeft jouw organisatie eigenlijk? Een productietenant, een testomgeving, misschien een demo-tenant die drie jaar geleden door een enthousiaste collega is aangemaakt en sindsdien nooit meer is aangeraakt. De meeste organisaties beheren tientallen, soms honderden tenants. En niet allemaal zijn ze zichtbaar voor IT. Microsoft maakte deze week Microsoft Entra Tenant Governance algemeen beschikbaar: een oplossing die belooft die wildgroei weer onder controle te brengen.

Waarom gecentraliseerd tenantbeheer zo belangrijk is

Tenants vormen de kern van je organisatie: ze bevatten je identiteiten, applicaties, data en cloud- en AI-diensten. Het beveiligen van die tenants is dan ook niet zomaar een securitymaatregel. Het is een voorwaarde voor een veilige, betrouwbare omgeving waarin AI-gedreven werkprocessen kunnen draaien.

In de praktijk werken de meeste bedrijven met een lappendeken aan tenants: primaire, productie-, test- en demo-tenants. Soms komen daar ook tenants bij die medewerkers zelf hebben aangemaakt, zonder tussenkomst van IT. Naarmate de tijd verstrijkt, ontstaat er configuratiedrift in de primaire tenant. Beveiligingsrisico's nemen daardoor sluipenderwijs toe. Tegelijkertijd blijven onbeheerde of verouderde tenants vaak onzichtbaar voor centrale IT, wat het aanvalsoppervlak onnodig vergroot. Microsoft Entra Tenant Governance pakt dit probleem bij de kern aan: alle tenants worden zichtbaar en beheersbaar. Zo kunnen security- en identiteitsteams consistente beveiligingsstandaarden afdwingen, en behoren shadow tenants tot het verleden.

Eén oplossing, vier bouwstenen

De oplossing komt voort uit Microsofts eigen ervaring met een geavanceerd beveiligingsincident. Ze helpt organisaties de stap te zetten van reactief incidentmanagement naar proactieve, schaalbare governance, gedurende de hele levenscyclus van een tenant. Vier onderdelen vormen samen deze aanpak.

Allereerst is er de mogelijkheid om gerelateerde tenants te ontdekken. Organisaties krijgen inzicht in welke tenants er binnen hun omgeving bestaan en hoe deze zich tot elkaar verhouden. Zo worden blinde vlekken opgespoord voordat ze uitgroeien tot incidenten. Vervolgens kunnen organisaties governance-relaties opzetten. Gerelateerde tenants worden dan onder controle gebracht via least-privileged, cross-tenant gedelegeerd beheer. Dit maakt ook multi-tenant beheer van agents en Microsoft Defender XDR mogelijk. Het derde onderdeel is configuratiebeheer van tenants. Organisaties definiëren hierbij baselines die de gewenste staat van configuratie-instellingen vastleggen, onder andere voor Microsoft Defender, Microsoft Entra, Exchange Online, Intune, Purview en Teams. Vervolgens wordt continu gemonitord of tenants aan die baseline blijven voldoen. Tot slot is er veilige tenant-creatie. Hiermee hebben organisaties vanaf dag één controle over wie nieuwe tenants mag aanmaken, met automatische governance-relaties als resultaat.

Wat er sinds de preview is verbeterd

Sinds de publieke preview heeft Microsoft flink doorontwikkeld. Zo zijn de limieten voor configuratiemonitors en snapshots per tenant fors verhoogd. Klanten met ID Governance, Entra Suite of Microsoft E7-licenties hebben nu hogere dagelijkse en maandelijkse limieten. Ook is de tenant-discovery verrijkt, waardoor organisaties dieper inzicht krijgen in gerelateerde tenants binnen hun omgeving. Daarnaast is configuratiemonitoring vereenvoudigd met nieuwe ervaringen in het beheerportaal, die nog in preview zijn. Hierdoor wordt het eenvoudiger om monitors op basis van snapshots aan te maken en de juiste rechten te waarborgen. Verder zijn de mogelijkheden voor gedelegeerd beheer uitgebreid. Dat versoepelt het wisselen tussen en beheren van meerdere tenants. En veilige tenant-creatie is uitgebreid naar toegevoegde tenants onder legacy-facturatiemodellen, zoals Enterprise Agreement en Pay-As-You-Go.

Zo werkt het in de praktijk

Om te laten zien hoe dit er in de praktijk uitziet, gebruikt Microsoft het voorbeeld van een fictief bedrijf: Caldova. Aan de hand van twee scenario's wordt duidelijk hoe Tenant Governance zowel losstaande als primaire tenants helpt beheersen.

Scenario 1: een onbeheerde testtenant onder controle brengen

Een medewerker heeft een testtenant aangemaakt om een nieuwe functie uit te proberen. Volledig buiten het zicht van centrale IT. Met Tenant Governance ontdekt het team deze tenant via een gedeeld factuuraccount. Via een aanvraag- en goedkeuringsproces brengen ze de tenant onder governance. Vervolgens definiëren ze een configuratiebaseline door simpelweg een snapshot van de primaire tenant te nemen. Vanaf dat moment wordt continu gemonitord op afwijkingen, zodat het team gericht kan bijsturen zodra de configuratie afwijkt van de gewenste staat.

Scenario 2: de primaire tenant compliant houden

Dit scenario laat zien dat ook de primaire tenant aandacht verdient. Dit is de tenant waar elke medewerker dagelijks op vertrouwt. Tijdens een audit blijkt dat de tenant niet langer voldoet aan de vereisten voor apparaatnaleving. Het team had eerder al een snapshot gemaakt van de tenant in een goedgekeurde, compliant staat. Daardoor wordt de afwijking in de Intune-nalevingsbeleidsregel razendsnel gedetecteerd en teruggedraaid. Zonder deze vorm van driftmonitoring had het team audit-logs moeten doorspitten. Ze hadden dan moeten gissen of een wijziging kwaadaardig of per ongeluk was, en de bedoelde configuratie handmatig moeten reconstrueren. Nu ligt de goedgekeurde baseline gewoon vast, en komen afwijkingen vanzelf naar boven.

Governance die verder reikt dan Entra alleen

Naarmate organisaties AI-agents breder inzetten, vormt multi-tenant governance de basis om die agents veilig te beheren. Microsoft Agent 365 biedt hiervoor een multi-tenant agentbeheerfunctie, die nog in preview is. Dankzij Microsoft Entra Tenant Governance kunnen organisaties hiermee risicovolle agents over tenants heen prioriteren, en een consistente uitrol bewaken. Zodra er een governance-relatie bestaat tussen een beherende en beheerde tenant, kunnen beheerders aan de slag vanuit het Microsoft 365 beheercentrum. Ze krijgen dan het overzicht van agents, kunnen risicovolle agents identificeren, en agents installeren of blokkeren in de beheerde tenant.

Ook buiten Entra werkt het governance-relatiemodel door. Beheerders van Microsoft Defender en Sentinel kunnen gedelegeerde toegang gebruiken binnen de Defender multi-tenant beheerervaring. Zo beheren ze klantomgevingen centraal, inclusief beveiligingsincidenten, meldingen en configuraties. Dit stelt partners, zoals MSP's en MSSP's, in staat om klanttenants veilig te beheren. En dat zonder dat daarvoor volledige beheerdersrechten nodig zijn.

Conclusie

Wildgroei aan tenants is voor veel organisaties inmiddels realiteit. En die wildgroei brengt reële risico's met zich mee: verouderde configuraties, onzichtbare shadow tenants en een steeds groter wordend aanvalsoppervlak. Microsoft Entra Tenant Governance biedt hiervoor een structurele oplossing. Van het in kaart brengen van gerelateerde tenants tot het continu bewaken van configuratiedrift. Daarmee vormt het een belangrijke stap richting een veilige, AI-klare basisinfrastructuur. Nu de functionaliteit algemeen beschikbaar is, is dit hét moment om te bepalen hoe jouw organisatie hier gebruik van kan maken.

Wil je weten hoe je grip krijgt op jouw volledige tenant-omgeving, en welke aanpak het beste past bij jouw organisatie? Neem gerust contact met ons op. We denken graag met je mee over hoe je deze verandering soepel en veilig kunt doorvoeren.