[Microsoft Entra ID] - Ervaringen & Discussie

[Blokker_1999]

Ik heb gelukkig een test tenant om mee te spelen en te proberen, voordeel van een Visual Studio subscription te hebben

[Blokker_1999]

Nope, not gonna work. De setting voorkomt dat gebruikers uitgenodigd kunnen worden, maar eenmaal uitgenodigd, en daarna op de block list, blokkeert het hun authenticatie naar de externe tenant niet.

[HKLM_]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 18:49:
Nope, not gonna work. De setting voorkomt dat gebruikers uitgenodigd kunnen worden, maar eenmaal uitgenodigd, en daarna op de block list, blokkeert het hun authenticatie naar de externe tenant niet.

Ik denk dat jij dit niet kan doen vanuit je tenant, als zij met een guest account aanmelden op een andere tenant (AVD) dan ligt de autorisatie bij de andere tenant en zijn zij in charge m.b.t conditional access bijvoorbeeld.

Enige waar ik nog aan denk is iets met IP whitelisting (hun IP's) van hun AVD aan jullie kant maar dat is wel een beetje beunhazen denk ik.

[ Voor 11% gewijzigd door HKLM_ op 28-03-2026 19:08 ]

[Blokker_1999]

Klopt, daar lijkt het op. Rottigste is dat ik wel netjes op de bron tenant in de sign-in logs kan zien dat er een authenticatie plaatsvindt, en die gaat ook netjes door mijn standaard CA policies, maar ik krijg geen controle om selectief om te springen met welke gebruikers naar welke externe tenant mogen. Had MS nu ook niet even de resource tenant als een mogelijk doelwit aan de CA policies kunnen toevoegen? Dan was dit in 5 seconden opgelost. Want voor inkomende guest gebruikers kan je wel policies aanmaken, zelfs per tenant als je wenst.

Wat mis ik mijn vorige werkgever, waar we dit soort problemen niet op een technische manier probeerden op te lossen, maar puur met geschreven policies.

[ Voor 12% gewijzigd door Blokker_1999 op 28-03-2026 19:11 ]

[F_J_K]

Dat laatste is hier sowieso aan de orde, als de andere kant zich verantwoordelijk heeft gemaakt voor de autorisaties.

[HKLM_]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 19:10:
Klopt, daar lijkt het op. Rottigste is dat ik wel netjes op de bron tenant in de sign-in logs kan zien dat er een authenticatie plaatsvindt, en die gaat ook netjes door mijn standaard CA policies, maar ik krijg geen controle om selectief om te springen met welke gebruikers naar welke externe tenant mogen. Had MS nu ook niet even de resource tenant als een mogelijk doelwit aan de CA policies kunnen toevoegen? Dan was dit in 5 seconden opgelost. Want voor inkomende guest gebruikers kan je wel policies aanmaken, zelfs per tenant als je wenst.

Wat mis ik mijn vorige werkgever, waar we dit soort problemen niet op een technische manier probeerden op te lossen, maar puur met geschreven policies.

Geen idee of het past maar even droppen: Kan je dan niet een conditional access policy maken welke vanuit de network selectie een block doet naar de IP'adressen van de klant zijn AVD met standaard een block access tenzij je vanuit jullie proces in een CA wordt gezet welke het wel toe staat?

[Gr4mpyC3t]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 12:13:
Eens zien of hier nog iemand een idee heeft.

Om ondersteuning te geven op de het product dat wij verkopen aan onze klanten (en dat zijn grote bedrijven, geen consumentenspul) hebben we een standaard oplossing om aan de servers bij de klant te komen, maar we zijn flexibel. Wij hebben evenwel de vereiste dat wij van onze kant uit, op automatische wijze, onze gebruikers (zowel support specialisten als consultants in geval van implementaties) toegang moeten kunnen geven en ontnemen. Heb je geen project, ticket of bug, dan hoor je geen toegang te hebben tot die klant.

1 van onze klanten wenst nu evenwel geen gebruik te maken van onze standaard oplossing omdat dat niet in hun beveiligingsmodel past maar wil dat onze mensen gaan verbinden via Azure Virtual Desktops met behulp van een guest account in hun tenant. Ik zie evenwel geen enkele mogelijkheid langs mijn kant om accounts wel of geen toestemming te geven om als guest aan te melden in die specifieke tenant. Weet er iemand of daar wel een mogelijkheid voor is?

Als die organisatie dat wil, dan zit je al snel in de Identity Governance hoek, waar zij onder andere met Access Packages aan de slag moeten.

De access package is dan de aanvraag/onboarding van je collega’s in de tenant van de klant, waarna via automatische groepslidmaatschap (op basis van die access package) iets met Privileged Identity Management moet gebeuren.

Maar dat is nogal een proces en kom ik eerlijk gezegd weinig tegen bij organisaties. Dan moet zo’n klant wel in staat zijn om zo’n proces te bedenken en ook om te zetten in techniek.

Ik wil dat best wat verder uitdiepen voor je als ik tenminste je vraag goed begrepen heb.