Ga naar inhoud

Toegang, groepen en PIM

De spoke-groepen

Elke spoke krijgt vier Entra ID security groups, genoemd naar de workload en de omgeving. De bestaande groep van je team (de weergavenaam in ProductTeamGroupNames) wordt lid van deze groepen, direct of just-in-time via PIM.

Groep Azure-rol Typische leden
…_Readers Reader Iedereen in het team die mee moet kijken
…_Contributors Contributor Engineers die resources wijzigen
…_Owners Owner Weinig mensen; vooral de deployment-identiteit
…_Support Support access; altijd eligible met goedkeuring Supportmedewerkers van het platformteam

De exacte groepsnamen volgen het naming template van je platform (een gebruikelijk patroon is SG_SPOKE_<workload>_<env>_<role>).

Waar de rollen voor dienen

Rol Gebruik hem om
Reader Resources en logs te bekijken. Laag risico, dus vaak permanent toegekend.
Contributor Resources aan te maken en te wijzigen. In acc en prd is dit normaal bedoeld voor noodgevallen en korte troubleshooting, omdat wijzigingen daar via pipelines lopen.
Owner Toegang en al het andere te beheren. Weinig mensen hebben dit nodig, en de deployment-identiteit (de spoke service principal) doet meestal het werk.

Rollen worden toegekend aan groepen, niet aan individuele gebruikers. Verhoogde rollen voor personen zijn een laatste redmiddel. Dagelijkse wijzigingen lopen via de deployment-identiteit en je pipelines.

Kies hoe elke rol wordt toegekend

Per rol (Readers, Contributors, Owners) stelt het platformteam bij het aanmaken van de spoke één van drie modi in:

Modus (PIMGroupConfig) Zo krijg je de rol Gebruik het voor
nopim Permanent, via groepslidmaatschap Ontwikkeling en test; rollen met een laag risico
self-approve Wanneer je de rol activeert in PIM; zonder goedkeuring Verhoogde rollen waarvoor een audit trail genoeg is
approval Wanneer je de rol activeert in PIM en een goedkeurder akkoord geeft Production owners en contributors

Een gebruikelijke aanpak is nopim in dev en tst, en approval voor Contributors en Owners in prd. Vraag een wijziging van de modus aan via Hoe wijzig je je spoke.

Een voorbeeld per omgeving

Eén klantplatform gebruikte deze opzet. Die van jou kan anders zijn, omdat de modus per spoke wordt ingesteld.

Rol dev tst acc prd
Readers nopim nopim nopim nopim
Contributors nopim self-approve approval approval
Owners nopim approval approval approval

Reader heeft een laag risico, dus is altijd direct. dev kiest voor snelle feedback. Vanaf tst laten verhoogde rollen een audit trail achter, en vanaf acc is een tweede persoon nodig.

Wat er achter de schermen gebeurt

De spoke baseline gebruikt PIM for Groups. De groep van je team wordt lid van elke spoke-groep. In nopim-modus is het lidmaatschap actief en permanent. In self-approve- en approval-modus is het lidmaatschap eligible: je mensen hebben geen rol totdat ze die activeren, en het eindigt vanzelf. De rol zelf is altijd toegekend aan de spoke-groep op de subscription, dus het activeren van het groepslidmaatschap geeft de rol. Meer achtergrond: PIM for Groups.

Een rol activeren in PIM

  1. Open de Azure portal en ga naar Privileged Identity Management.
  2. Kies My roles en daarna Groups.
  3. Zoek de spoke-groep en kies Activate.
  4. Kies een duur (tot de maximaal toegestane), geef een duidelijke reason op en bevestig.
  5. Bij approval gaat de aanvraag naar de goedkeurders. Volg de status onder My requests: Pending, Approved, Denied of Expired.

Rolactiveringen zijn altijd tijdelijk en verlopen vanzelf. Zoek, voordat je toegang aanvraagt, de groep op met de korte naam van je workload in de PIM-lijst Groups. Geef een duidelijke reason op (bijvoorbeeld het wijzigings- of incidentnummer), want elke activering en goedkeuring wordt gelogd en kan worden geaudit.

Goedkeurders

Ben je goedkeurder, dan ontvang je een e-mail. Open PIM, kies Approve requests en daarna Groups, beoordeel de aanvraag zorgvuldig (Owner-rechten zijn gevoelig) en kies Approve of Deny met een toelichting. Houd de groep goedkeurders klein. Verhoogde rechten zouden zelden nodig moeten zijn, want normale wijzigingen lopen via pipelines.

Wie mag goedkeuren hangt af van het platform. Een gebruikelijke keuze zijn de leden van de eigen teamgroep van de workload, plus een paar mensen van het platformteam. Op veel platformen kan niemand zijn eigen aanvraag goedkeuren. Na je goedkeuring krijgt de aanvrager een e-mail dat de aanvraag is goedgekeurd, en nog een als de toegang actief is.

Wie beheert de groepsleden?

Groep Beheerd door
De eigen groep van je team (in ProductTeamGroupNames) Jij, of je identityteam: voeg hier je collega's toe en verwijder ze. Zo geef je een persoon toegang.
De vier spoke-groepen Het platform. Wijzig hun leden of owners niet.

Een product owner kan het groepslidmaatschap van de groepen die hij of zij beheert regelen in het zelfservice-portaal voor groepen van Microsoft (myaccount.microsoft.com/groups), als je organisatie dat inschakelt.

Applicatiegroepen en access reviews

Sommige organisaties laten workload teams extra Entra ID-groepen aanvragen voor autorisatie op applicatieniveau, met optioneel PIM (en een automatisch aangemaakte groep goedkeurders) en periodieke access reviews (Entra ID Governance) van de leden. Biedt je platform dit aan, vraag het dan aan bij het platformteam met: groepsnaam, omschrijving, optioneel de naam van de PIM-groep en optioneel de reviewfrequentie. De MCP spoke baseline zelf maakt alleen de vier bovenstaande groepen aan.

Voor een groep met PIM noemt een aanvraag meestal ook de eligible groep (de mensen die mogen activeren) en de activeringsinstellingen. Dit zijn de Entra PIM-instellingen die platformen doorgaans laten kiezen:

Instelling Betekenis
Maximumduur Hoe lang één activering mag duren, bijvoorbeeld 8 uur
Justification Of de gebruiker een reden moet invullen
Approval Of een goedkeurder de activering moet accepteren
Multifactor authentication Of de gebruiker bij activering MFA moet uitvoeren
Ticket information Of de gebruiker een ticketnummer moet opgeven
Notifications Wie een melding krijgt van activeringen en goedkeuringen

Een klantplatform kan deze instellingen als code bewaren in een aparte repository, met één policy-bestand dat meerdere toewijzingen hergebruiken. Vraag je platformteam hoe applicatiegroepen in jouw organisatie worden aangevraagd.

Leden toevoegen met Terraform

Beheer je groepslidmaatschap als code, gebruik dan azuread_group_member en geef zowel group_object_id als member_object_id expliciet mee. Lookups zoals data "azuread_group" of data "azuread_user" vereisen directory-brede leesrechten, die de spoke service principal normaal gesproken niet heeft. Zoek eerst de object-ID's op (portal of CLI) en zet ze in je code.