L1 BIO 09.01 ISO A.5.18 CIS 5.1.1

Azure Identity: Lifecycle Workflows Configuratie En Automatisering

📅 2025-01-27
•
⏱️ 35 minuten lezen
•
🔴 Must-Have

💼 Management Samenvatting

Microsoft Entra ID Lifecycle Workflows is een geavanceerde identity governance-oplossing die organisaties in staat stelt om identiteitslevenscyclusprocessen volledig te automatiseren, van onboarding van nieuwe medewerkers tot offboarding van vertrekkende medewerkers en alles daartussenin. Voor Nederlandse overheidsorganisaties biedt Lifecycle Workflows een gestructureerde en gecontroleerde manier om identiteitsbeheer te automatiseren op basis van HR-gegevens, waardoor handmatige fouten worden geminimaliseerd, compliance wordt gewaarborgd en beveiligingsrisico's worden verminderd.

Aanbeveling
IMPLEMENT
Risico zonder
High
Risk Score
9/10
Implementatie
80u (tech: 32u)
Van toepassing op:
✓ Azure AD
✓ Entra ID
✓ Microsoft 365

Traditioneel identiteitsbeheer binnen overheidsorganisaties kenmerkt zich vaak door handmatige, tijdrovende processen waarbij IT-beheerders gebruikersaccounts handmatig aanmaken wanneer nieuwe medewerkers starten, toegang handmatig aanpassen wanneer medewerkers van functie wisselen, en accounts handmatig deactiveren wanneer medewerkers de organisatie verlaten. Deze handmatige processen zijn niet alleen inefficiënt en foutgevoelig, maar leiden ook tot beveiligingsrisico's wanneer accounts niet tijdig worden gedeactiveerd, wanneer toegang niet correct wordt aangepast na functiewijzigingen, of wanneer nieuwe medewerkers niet tijdig toegang krijgen tot de benodigde resources. Het resultaat is een verhoogd risico op onbevoegde toegang, verlaten accounts die actief blijven, en niet-naleving van compliance-vereisten zoals de Baseline Informatiebeveiliging Overheid (BIO) en de NIS2-richtlijn. Lifecycle Workflows lost deze problemen fundamenteel op door identiteitslevenscyclusprocessen volledig te automatiseren op basis van HR-gegevens of andere databronnen. Wanneer een nieuwe medewerker wordt toegevoegd aan het HR-systeem, wordt automatisch een workflow geactiveerd die een gebruikersaccount aanmaakt, de juiste groepen toewijst, licenties toekent en toegang configureert. Wanneer een medewerker van functie wisselt, wordt automatisch een workflow geactiveerd die toegang aanpast op basis van de nieuwe functie. Wanneer een medewerker de organisatie verlaat, wordt automatisch een workflow geactiveerd die het account deactiveert, toegang intrekt en resources overdraagt. Deze geautomatiseerde aanpak zorgt ervoor dat identiteitsbeheer consistent, tijdig en gecontroleerd wordt uitgevoerd, waardoor beveiligingsrisico's worden geminimaliseerd en compliance-vereisten worden nageleefd.

PowerShell Modules Vereist
Primary API: Microsoft Graph API
Connection: Connect-MgGraph
Required Modules: Microsoft.Graph.Identity.Governance

Implementatie

Deze control implementeert een volledig geconfigureerd Lifecycle Workflows-programma voor Microsoft Entra ID, waarbij workflows worden ontworpen en geconfigureerd voor verschillende identiteitslevenscyclusscenario's binnen de organisatie. De implementatie omvat het opzetten van workflows voor onboarding van nieuwe medewerkers die automatisch gebruikersaccounts aanmaken, groepen toewijzen, licenties toekennen en toegang configureren op basis van afdeling, functie en locatie. Voor offboarding worden workflows geconfigureerd die automatisch accounts deactiveren, toegang intrekken, licenties verwijderen en resources overdragen wanneer medewerkers de organisatie verlaten. Voor functiewijzigingen worden workflows geconfigureerd die automatisch toegang aanpassen wanneer medewerkers van afdeling, functie of locatie wisselen. Alle workflows worden geconfigureerd met triggers op basis van HR-gegevens via Microsoft Entra Connect of andere HR-integraties, waarbij workflows automatisch worden geactiveerd wanneer relevante wijzigingen worden gedetecteerd in de HR-databron. De implementatie omvat ook het configureren van goedkeuringsworkflows voor kritieke acties, het instellen van foutafhandeling en retry-logica, en het configureren van monitoring en rapportage om de effectiviteit van workflows te volgen.

Vereisten

Voor het succesvol implementeren van een volledig geconfigureerd Lifecycle Workflows-programma zijn verschillende technische en organisatorische vereisten noodzakelijk die zorgvuldig moeten worden overwogen voordat het proces wordt gestart. De belangrijkste technische vereiste is het beschikken over Azure AD Premium P2-licenties voor alle gebruikers die deel uitmaken van het lifecycle workflows-proces, inclusief gebruikers die worden beheerd via workflows en beheerders die workflows configureren en beheren. Deze licenties zijn essentieel voor het gebruik van de Lifecycle Workflows-functionaliteit binnen Microsoft Entra ID, die het mogelijk maakt om gestructureerde, geautomatiseerde identiteitslevenscyclusprocessen op te zetten die volledig kunnen worden gecontroleerd en geauditeerd. Zonder deze licenties zijn organisaties volledig aangewezen op handmatige processen, wat niet alleen tijdrovend is maar ook aanzienlijk foutgevoeliger kan zijn en moeilijk te schalen naar grote aantallen gebruikers en complexe organisatiestructuren.

Een tweede kritieke vereiste betreft het beschikken over een betrouwbare en actuele HR-databron die kan worden gebruikt als trigger voor lifecycle workflows. Deze HR-databron moet beschikken over accurate en tijdige informatie over medewerkers, inclusief startdatums, einddatums, functies, afdelingen, locaties en andere relevante attributen die nodig zijn voor het configureren van workflows. Voor organisaties die Microsoft Entra Connect gebruiken voor synchronisatie met on-premises Active Directory, moeten HR-attributen correct worden gesynchroniseerd naar Microsoft Entra ID. Voor organisaties die cloudgebaseerde HR-systemen gebruiken zoals Workday of SuccessFactors, moeten deze systemen correct zijn geconfigureerd voor integratie met Microsoft Entra ID via Microsoft Entra Connect of andere integratiemethoden. Zonder een betrouwbare HR-databron kunnen workflows niet correct worden geactiveerd, wat kan leiden tot situaties waarin nieuwe medewerkers niet tijdig toegang krijgen, vertrekkende medewerkers niet worden gedeactiveerd, of functiewijzigingen niet worden doorgevoerd.

Het identificeren en toewijzen van geschikte workflowbeheerders vormt een derde essentiële vereiste die cruciaal is voor de effectiviteit en beheersbaarheid van het lifecycle workflows-programma. Workflowbeheerders zijn verantwoordelijk voor het ontwerpen, configureren, testen en beheren van workflows binnen de organisatie. Deze beheerders moeten beschikken over een goed begrip van de identiteitslevenscyclusprocessen binnen de organisatie, de HR-datastructuur en attributen, en de beveiligingsvereisten die gelden voor verschillende typen toegang. Workflowbeheerders moeten worden geselecteerd op basis van hun technische expertise en organisatorische verantwoordelijkheid, waarbij bijvoorbeeld IT-beheerders verantwoordelijk zijn voor technische workflows, HR-medewerkers voor HR-gerelateerde workflows, en beveiligingsfunctionarissen voor beveiligingsgerelateerde workflows. Deze beheerders moeten worden opgeleid in het gebruik van Lifecycle Workflows en moeten toegang hebben tot de Microsoft Entra ID-portal met de benodigde bevoegdheden voor workflowbeheer.

Een vastgesteld en duidelijk gedocumenteerd proces voor het ontwerpen en beheren van workflows is eveneens cruciaal voor het succes van lifecycle workflows en moet zorgvuldig worden afgestemd op de specifieke behoeften en risicoprofiel van de organisatie. Dit proces moet in detail specificeren hoe nieuwe workflows worden ontworpen, welke triggers worden gebruikt, welke acties worden uitgevoerd, welke goedkeuringsworkflows worden geconfigureerd voor kritieke acties, en hoe fouten worden afgehandeld. Het proces moet ook voorzien in een mechanisme voor het testen van workflows voordat zij in productie worden genomen, waarbij workflows eerst worden getest met een beperkte groep gebruikers of in een testomgeving om te verifiëren dat workflows correct functioneren en geen onbedoelde gevolgen hebben. Daarnaast moet het proces een duidelijke werkverdeling definiëren tussen workflowbeheerders, die verantwoordelijk zijn voor het ontwerp en beheer van workflows, HR-medewerkers, die verantwoordelijk zijn voor het waarborgen van accurate HR-gegevens, en beveiligingsteams, die verantwoordelijk zijn voor het toezicht en de controle op compliance met beveiligingsbeleid.

Ten slotte moet een duidelijk gedefinieerd en gedocumenteerd proces worden opgesteld voor het monitoren en onderhouden van workflows. Dit proces moet in detail specificeren hoe workflows worden gemonitord om te verifiëren dat zij correct functioneren, hoe fouten worden gedetecteerd en opgelost, hoe workflows worden bijgewerkt wanneer organisatorische behoeften veranderen, en hoe rapportage wordt gegenereerd voor management en compliance-doeleinden. Het proces moet ook voorzien in een mechanisme voor het regelmatig herzien en bijwerken van bestaande workflows wanneer HR-datastructuren veranderen, wanneer beveiligingsvereisten evolueren, of wanneer zakelijke behoeften verschuiven. Door deze processen te documenteren en te volgen kunnen organisaties ervoor zorgen dat lifecycle workflows effectief blijven functioneren en blijven voldoen aan de behoeften van de organisatie en compliance-vereisten.

Implementatie

Gebruik PowerShell-script lifecycle-workflows.ps1 (functie Invoke-Remediation) – Configureert Lifecycle Workflows voor onboarding, offboarding en functiewijzigingen.

De implementatie van een volledig geconfigureerd Lifecycle Workflows-programma begint met het navigeren naar de Microsoft Entra ID-portal en het selecteren van de Identity Governance-sectie, gevolgd door de Lifecycle Workflows-functionaliteit. Vanuit dit menu worden workflows aangemaakt die automatisch worden geactiveerd wanneer specifieke gebeurtenissen plaatsvinden in de HR-databron, zoals het toevoegen van een nieuwe medewerker, het wijzigen van een functie, of het verwijderen van een medewerker. Elke workflow moet een duidelijke naam en beschrijving krijgen die aangeeft welk scenario wordt geautomatiseerd, welke triggers worden gebruikt, en welke acties worden uitgevoerd wanneer de workflow wordt geactiveerd.

Voor onboarding van nieuwe medewerkers worden workflows geconfigureerd die automatisch worden geactiveerd wanneer een nieuwe gebruiker wordt toegevoegd aan Microsoft Entra ID of wanneer specifieke HR-attributen worden ingesteld, zoals een startdatum. De workflow begint met het verifiëren van de gebruiker en het verzamelen van relevante informatie uit HR-attributen, zoals afdeling, functie en locatie. Vervolgens worden automatisch acties uitgevoerd zoals het toewijzen van de gebruiker aan relevante beveiligingsgroepen en Microsoft 365-groepen op basis van afdeling en functie, het toekennen van licenties op basis van functie en locatie, het configureren van mailboxinstellingen, en het verzenden van welkomstberichten met instructies voor eerste aanmelding. Voor gevoelige functies kunnen goedkeuringsworkflows worden geconfigureerd waarbij een manager of beveiligingsfunctionaris de workflow moet goedkeuren voordat toegang wordt verleend.

Voor offboarding van vertrekkende medewerkers worden workflows geconfigureerd die automatisch worden geactiveerd wanneer een gebruiker wordt verwijderd uit Microsoft Entra ID of wanneer specifieke HR-attributen worden ingesteld, zoals een einddatum. De workflow begint met het verifiëren van de gebruiker en het verzamelen van relevante informatie, zoals de einddatum en de reden voor vertrek. Vervolgens worden automatisch acties uitgevoerd zoals het deactiveren van het gebruikersaccount, het intrekken van alle toegang tot groepen en applicaties, het verwijderen van licenties, het blokkeren van aanmeldingen, het configureren van mailboxinstellingen voor overdracht of verwijdering, het verwijderen van de gebruiker uit alle groepen, en het verzenden van afscheidsberichten. Voor kritieke functies kunnen goedkeuringsworkflows worden geconfigureerd waarbij een manager of beveiligingsfunctionaris de workflow moet goedkeuren voordat toegang wordt ingetrokken, om te waarborgen dat belangrijke resources niet per ongeluk worden verwijderd.

Voor functiewijzigingen worden workflows geconfigureerd die automatisch worden geactiveerd wanneer specifieke HR-attributen worden gewijzigd, zoals afdeling, functie of locatie. De workflow begint met het detecteren van de wijziging en het verzamelen van zowel de oude als de nieuwe waarden. Vervolgens worden automatisch acties uitgevoerd zoals het verwijderen van de gebruiker uit groepen die gerelateerd zijn aan de oude functie of afdeling, het toevoegen van de gebruiker aan groepen die gerelateerd zijn aan de nieuwe functie of afdeling, het aanpassen van licenties wanneer de nieuwe functie andere licenties vereist, en het bijwerken van gebruikersattributen. Voor gevoelige functiewijzigingen kunnen goedkeuringsworkflows worden geconfigureerd waarbij een manager of beveiligingsfunctionaris de wijziging moet goedkeuren voordat toegang wordt aangepast.

Alle workflows worden geconfigureerd met triggers op basis van HR-gegevens via Microsoft Entra Connect of andere HR-integraties. Triggers kunnen worden geconfigureerd om workflows te activeren wanneer gebruikers worden toegevoegd, wanneer gebruikers worden verwijderd, wanneer specifieke attributen worden gewijzigd, of wanneer specifieke voorwaarden worden voldaan. Voor elke trigger kunnen voorwaarden worden geconfigureerd die bepalen wanneer de workflow daadwerkelijk wordt geactiveerd, zoals alleen voor gebruikers binnen specifieke afdelingen, alleen voor gebruikers met specifieke functies, of alleen wanneer specifieke attributen aanwezig zijn. Deze conditionele logica zorgt ervoor dat workflows alleen worden geactiveerd wanneer dit relevant is, waardoor onnodige workflowexecuties worden voorkomen en de prestaties worden geoptimaliseerd.

Na het configureren van workflows moeten goedkeuringsworkflows worden geconfigureerd voor kritieke acties die extra controle vereisen. Goedkeuringsworkflows kunnen worden geconfigureerd voor acties zoals het toekennen van gevoelige toegang, het intrekken van toegang voor kritieke gebruikers, of het uitvoeren van bulkacties. Goedkeurders kunnen worden toegewezen als managers, als beveiligingsfunctionarissen, of als specifieke gebruikers of groepen. Wanneer een goedkeuringsworkflow wordt geactiveerd, ontvangen goedkeurders een melding met details over de actie die moet worden goedgekeurd, en kunnen zij de actie goedkeuren of afwijzen. Alleen wanneer een actie wordt goedgekeurd, wordt de workflow voortgezet en worden de geplande acties uitgevoerd.

Foutafhandeling en retry-logica vormen een essentieel onderdeel van workflowconfiguratie om te waarborgen dat workflows betrouwbaar functioneren, zelfs wanneer tijdelijke fouten optreden. Foutafhandeling kan worden geconfigureerd om workflows automatisch opnieuw uit te voeren wanneer fouten optreden, met configuratie van het maximum aantal retry-pogingen en de wachttijd tussen pogingen. Voor kritieke fouten kunnen workflows worden geconfigureerd om meldingen te verzenden naar beheerders of om workflows te pauzeren totdat fouten handmatig zijn opgelost. Daarnaast moeten workflows worden geconfigureerd met logging en auditfunctionaliteit om alle workflowexecuties, acties en fouten vast te leggen voor compliance-doeleinden en troubleshooting.

Na het configureren van alle workflows is het essentieel om workflows te testen voordat zij in productie worden genomen. Testen moet worden uitgevoerd met een beperkte groep gebruikers of in een testomgeving om te verifiëren dat workflows correct functioneren, dat triggers correct worden geactiveerd, dat acties correct worden uitgevoerd, en dat geen onbedoelde gevolgen optreden. Na succesvolle tests kunnen workflows worden geactiveerd voor productiegebruik, waarbij workflows geleidelijk worden uitgerold naar verschillende afdelingen of gebruikersgroepen om te waarborgen dat workflows stabiel functioneren voordat zij volledig worden geïmplementeerd.

Compliance en Naleving

Lifecycle Workflows vormen een fundamentele en onmisbare vereiste binnen meerdere belangrijke beveiligings- en compliance-frameworks die wereldwijd worden erkend en toegepast. De CIS Microsoft 365 Benchmark versie 1.4.0 specificeert in controle 5.1.1 expliciet dat toegangsrechten automatisch moeten worden ingetrokken wanneer gebruikers de organisatie verlaten of wanneer toegang niet langer nodig is. Deze controle valt onder het niveau L1, wat betekent dat deze als basisbeveiligingsmaatregel wordt beschouwd en door alle organisaties moet worden geïmplementeerd. Lifecycle Workflows bieden de geautomatiseerde mechanismen die nodig zijn om aan deze vereisten te voldoen door automatisch toegang in te trekken wanneer gebruikers worden verwijderd, door automatisch toegang aan te passen wanneer functies worden gewijzigd, en door te waarborgen dat nieuwe gebruikers tijdig toegang krijgen tot de benodigde resources.

Voor Nederlandse overheidsorganisaties is de Baseline Informatiebeveiliging Overheid (BIO) van bijzonder en kritiek belang, aangezien deze baseline specifiek is ontwikkeld voor de Nederlandse publieke sector en verplicht is voor alle overheidsorganisaties. BIO-controle 09.01 vereist expliciet en zonder uitzondering dat toegangsrechten automatisch worden ingetrokken wanneer gebruikers de organisatie verlaten of wanneer toegang niet langer nodig is. Deze controle maakt een integraal onderdeel uit van het toegangsbeheerproces en is gericht op het voorkomen van verlaten accounts die actief blijven, het handhaven van het principe van minimale bevoegdheden, en het waarborgen dat toegangsrechten actueel en gerechtvaardigd blijven. Lifecycle Workflows bieden de gestructureerde en geautomatiseerde processen die nodig zijn om aan deze BIO-vereisten te voldoen door automatisch toegang in te trekken wanneer gebruikers worden verwijderd, door automatisch toegang aan te passen wanneer functies worden gewijzigd, en door te waarborgen dat nieuwe gebruikers tijdig toegang krijgen.

De internationale standaard ISO 27001:2022 bevat in controle A.5.18 specifieke en gedetailleerde vereisten voor de beoordeling van gebruikers toegangsrechten en in controle A.9.2 vereisten voor gebruikers toegangsbeheer. Deze controles vereisen dat organisaties regelmatig en systematisch de toegangsrechten van alle gebruikers beoordelen en onnodige of ongebruikte toegang onmiddellijk intrekken om te voorkomen dat deze toegang wordt misbruikt of onopgemerkt blijft bestaan. De standaard benadrukt sterk het belang van een volledig gestructureerd en gedocumenteerd proces waarbij toegangsrechten worden geëvalueerd op basis van de huidige functie, verantwoordelijkheden en werkzaamheden van de gebruiker, en waarbij alle wijzigingen worden gedocumenteerd, geautoriseerd en gecontroleerd. Implementatie van Lifecycle Workflows helpt organisaties niet alleen te voldoen aan deze ISO-vereisten, maar draagt ook aanzienlijk bij aan het behalen en behouden van ISO 27001-certificering door gestructureerde, geautomatiseerde en volledig geauditeerde toegangsbeheerprocessen te bieden.

De Europese NIS2-richtlijn bevat in Artikel 21 specifieke en bindende vereisten voor toegangsbeheer en toegangsbeoordeling. De richtlijn vereist expliciet dat organisaties passende en effectieve maatregelen treffen voor toegangsbeheer, inclusief automatische intrekking van toegang wanneer gebruikers de organisatie verlaten of wanneer toegang niet langer nodig is. Voor Nederlandse organisaties die onder de reikwijdte van NIS2 vallen, is het implementeren van geautomatiseerde toegangsbeheerprocessen niet alleen een best practice of aanbeveling, maar een wettelijke verplichting die moet worden nageleefd. Lifecycle Workflows bieden de geautomatiseerde mechanismen die nodig zijn om aan deze NIS2-vereisten te voldoen door automatisch toegang in te trekken wanneer gebruikers worden verwijderd, door automatisch toegang aan te passen wanneer functies worden gewijzigd, en door te waarborgen dat nieuwe gebruikers tijdig toegang krijgen. Niet-naleving van NIS2-vereisten kan leiden tot aanzienlijke financiële boetes, die kunnen oplopen tot miljoenen euro's, evenals ernstige reputatieschade en mogelijke gevolgen voor de continuïteit van bedrijfsvoering.

De Algemene Verordening Gegevensbescherming (AVG) bevat in Artikel 32 specifieke vereisten voor beveiliging van verwerking, waarbij organisaties passende technische en organisatorische maatregelen moeten treffen om persoonsgegevens te beveiligen. Automatische intrekking van toegang wanneer gebruikers de organisatie verlaten vormt een essentieel onderdeel van deze maatregelen, omdat verlaten accounts die actief blijven een significant beveiligingsrisico vormen en kunnen leiden tot onbevoegde toegang tot persoonsgegevens. Lifecycle Workflows helpen organisaties te voldoen aan AVG-vereisten door automatisch toegang in te trekken wanneer gebruikers worden verwijderd, door te waarborgen dat alleen geautoriseerde personen toegang hebben tot persoonsgegevens, en door volledige auditlogging te bieden van alle toegangswijzigingen voor compliance-doeleinden.

Monitoring

Gebruik PowerShell-script lifecycle-workflows.ps1 (functie Invoke-Monitoring) – Controleert de configuratie en status van Lifecycle Workflows en workflowexecuties.

Effectieve monitoring van Lifecycle Workflows is essentieel om te waarborgen dat het identiteitslevenscyclusprogramma correct blijft functioneren en dat organisaties altijd beschikken over actuele en gerechtvaardigde toegangstoewijzingen. Monitoring omvat het continu volgen van de status van alle actieve workflows, het verifiëren dat workflows tijdig worden geactiveerd en voltooid, het controleren van de effectiviteit van workflowacties, het detecteren en oplossen van workflowfouten, en het waarborgen dat workflows voldoen aan compliance-vereisten.

De basis van monitoring wordt gevormd door regelmatige verificatie van de status van alle actieve workflows via de Microsoft Entra ID-portal of via PowerShell met behulp van de Microsoft Graph API. Beheerders moeten wekelijks controleren hoeveel workflows er actief zijn, hoeveel workflowexecuties er hebben plaatsgevonden, hoeveel workflows succesvol zijn voltooid, hoeveel workflows zijn mislukt, en hoeveel workflows wachten op goedkeuring. Deze verificatie kan worden geautomatiseerd via PowerShell-scripts die de status van alle workflows controleren en waarschuwingen genereren wanneer ongebruikelijke patronen worden gedetecteerd, zoals een hoog aantal mislukte workflowexecuties of workflows die langdurig wachten op goedkeuring.

Naast het controleren van de status van workflows moeten organisaties regelmatig verifiëren dat workflows tijdig worden geactiveerd wanneer relevante gebeurtenissen plaatsvinden in de HR-databron. Dit kan worden gedaan door workflowexecuties te monitoren die real-time inzicht geven in wanneer workflows worden geactiveerd, welke triggers worden gebruikt, en welke acties worden uitgevoerd. Organisaties moeten processen implementeren voor het regelmatig uitvoeren van deze verificaties, waarbij dagelijks wordt gecontroleerd of workflows tijdig worden geactiveerd en waarbij waarschuwingen worden gegenereerd wanneer vertragingen worden gedetecteerd die kunnen wijzen op problemen met HR-datasynchronisatie of workflowconfiguratie.

Voor organisaties die goedkeuringsworkflows hebben geconfigureerd, is het essentieel om te monitoren of goedkeuringsworkflows tijdig worden voltooid en dat acties niet onnodig lang wachten op goedkeuring. Dit omvat het controleren van welke workflows wachten op goedkeuring, welke goedkeurders nog moeten reageren, en hoeveel tijd er nog rest tot de vervaldatum van de goedkeuring. Problemen met goedkeuringsworkflows kunnen leiden tot situaties waarin workflows niet worden voltooid, wat kan resulteren in nieuwe medewerkers die niet tijdig toegang krijgen of vertrekkende medewerkers die niet worden gedeactiveerd. Organisaties moeten processen implementeren voor het monitoren van goedkeuringsworkflows, waarbij dagelijks wordt gecontroleerd of goedkeuringen tijdig worden voltooid en waarbij waarschuwingen worden gegenereerd wanneer vertragingen worden gedetecteerd.

Workflowfouten vormen een kritiek aandachtspunt voor monitoring, omdat fouten kunnen leiden tot situaties waarin workflows niet correct worden uitgevoerd, wat kan resulteren in nieuwe medewerkers die niet tijdig toegang krijgen, vertrekkende medewerkers die niet worden gedeactiveerd, of functiewijzigingen die niet worden doorgevoerd. Monitoring van workflowfouten omvat het controleren van alle mislukte workflowexecuties, het analyseren van foutmeldingen om de oorzaak te identificeren, en het waarborgen dat fouten worden opgelost en workflows opnieuw worden uitgevoerd wanneer nodig. Organisaties moeten processen implementeren voor het regelmatig uitvoeren van deze verificaties, waarbij dagelijks wordt gecontroleerd of er workflowfouten zijn opgetreden en waarbij waarschuwingen worden gegenereerd wanneer kritieke fouten worden gedetecteerd die onmiddellijke aandacht vereisen.

Daarnaast moeten organisaties processen implementeren voor het monitoren van de effectiviteit van workflows door te analyseren of workflows de beoogde resultaten bereiken. Dit omvat het controleren of nieuwe medewerkers tijdig toegang krijgen, of vertrekkende medewerkers tijdig worden gedeactiveerd, of functiewijzigingen tijdig worden doorgevoerd, en of workflows geen onbedoelde gevolgen hebben. Door deze analyses regelmatig uit te voeren kunnen organisaties identificeren waar workflows kunnen worden verbeterd, waar aanvullende workflows nodig zijn, en waar bestaande workflows moeten worden aangepast om beter te voldoen aan organisatorische behoeften.

Remediatie

Gebruik PowerShell-script lifecycle-workflows.ps1 (functie Invoke-Remediation) – Herstelt of configureert Lifecycle Workflows wanneer deze ontbreken of onjuist zijn geconfigureerd.

Remediatie van Lifecycle Workflows omvat het opzetten van nieuwe workflows wanneer deze ontbreken, het corrigeren van configuratiefouten in bestaande workflows, en het waarborgen dat alle identiteitslevenscyclusscenario's worden afgedekt door passende workflows. Het is belangrijk om te realiseren dat wanneer Lifecycle Workflows niet zijn geconfigureerd, organisaties niet beschikken over geautomatiseerde processen om identiteitslevenscyclusprocessen te beheren, wat kan resulteren in handmatige, tijdrovende en foutgevoelige processen waarbij nieuwe medewerkers niet tijdig toegang krijgen, vertrekkende medewerkers niet worden gedeactiveerd, of functiewijzigingen niet worden doorgevoerd.

Wanneer Lifecycle Workflows ontbreken, kunnen nieuwe workflows worden aangemaakt via de Microsoft Entra ID-portal door te navigeren naar Identity Governance, Lifecycle Workflows, en vervolgens Workflows te selecteren. De configuratiewizard leidt gebruikers door het volledige opzetten van de workflow, waarbij alle benodigde instellingen worden geconfigureerd, inclusief triggers, voorwaarden, acties, goedkeuringsworkflows, foutafhandeling en monitoring. Na het voltooien van de configuratie wordt de workflow geactiveerd en begint automatisch te functioneren wanneer relevante gebeurtenissen plaatsvinden in de HR-databron.

Voor bestaande workflows met configuratiefouten kunnen de instellingen worden bijgewerkt via de Microsoft Entra ID-portal door te navigeren naar het specifieke workflow en de instellingen te bewerken. Dit omvat het aanpassen van triggers wanneer workflows niet correct worden geactiveerd, het bijwerken van voorwaarden wanneer workflows worden geactiveerd voor onjuiste gebruikers, het corrigeren van acties wanneer workflows onjuiste acties uitvoeren, en het aanpassen van goedkeuringsworkflows wanneer goedkeuringsprocessen niet effectief zijn. Het is belangrijk om te verifiëren dat alle wijzigingen correct zijn toegepast en dat workflows correct blijven functioneren na de wijzigingen, inclusief het testen van workflows met een beperkte groep gebruikers voordat wijzigingen volledig worden doorgevoerd.

Voor workflows die zijn mislukt of die fouten hebben gegenereerd, moeten fouten worden geanalyseerd om de oorzaak te identificeren en op te lossen. Fouten kunnen worden veroorzaakt door problemen met HR-datasynchronisatie, door onjuiste workflowconfiguratie, door ontbrekende machtigingen, of door tijdelijke serviceproblemen. Na het identificeren en oplossen van de oorzaak moeten workflows opnieuw worden uitgevoerd om te verifiëren dat fouten zijn opgelost en dat workflows correct functioneren. Voor kritieke workflows die herhaaldelijk falen, moeten workflows worden onderzocht en aangepast om te waarborgen dat zij betrouwbaar functioneren.

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# ================================================================================ AZURE POWERSHELL SCRIPT - Nederlandse Baseline voor Veilige Cloud ================================================================================ .SYNOPSIS Lifecycle Workflows Configuration .DESCRIPTION CIS Microsoft 365 Benchmark - Control 5.1.1 Controleert en configureert Lifecycle Workflows voor geautomatiseerd identiteitslevenscyclusbeheer met workflows voor onboarding, offboarding en functiewijzigingen op basis van HR-gegevens. .NOTES Filename: lifecycle-workflows.ps1 Author: Nederlandse Baseline voor Veilige Cloud Version: 1.0 CIS Control: 5.1.1 Requires: Azure AD Premium P2, Microsoft.Graph.Identity.Governance #> #Requires -Version 5.1 #Requires -Modules Microsoft.Graph.Identity.Governance [CmdletBinding()] param( [Parameter(Mandatory = $false)] [switch]$Monitoring, [Parameter(Mandatory = $false)] [switch]$Remediation, [Parameter(Mandatory = $false)] [switch]$Revert, [Parameter(Mandatory = $false)] [switch]$WhatIf ) $ErrorActionPreference = 'Stop' Write-Host "`n========================================" -ForegroundColor Cyan Write-Host "Lifecycle Workflows Configuration" -ForegroundColor Cyan Write-Host "Nederlandse Baseline voor Veilige Cloud" -ForegroundColor Cyan Write-Host "========================================`n" -ForegroundColor Cyan function Connect-RequiredServices { <# .SYNOPSIS Maakt verbinding met Microsoft Graph #> try { $context = Get-MgContext -ErrorAction SilentlyContinue if (-not $context -or $context.Scopes -notcontains "IdentityLifecycleWorkflows.ReadWrite.All") { Write-Host "Connecting to Microsoft Graph..." -ForegroundColor Gray Connect-MgGraph -Scopes "IdentityLifecycleWorkflows.ReadWrite.All", "Directory.Read.All", "Group.ReadWrite.All", "User.ReadWrite.All" -ErrorAction Stop -NoWelcome Write-Host " [OK] Connected to Microsoft Graph" -ForegroundColor Green } else { Write-Host " [OK] Already connected to Microsoft Graph" -ForegroundColor Green } } catch { Write-Host " [FAIL] Failed to connect to Microsoft Graph: $_" -ForegroundColor Red throw } } function Invoke-Monitoring { <# .SYNOPSIS Controleert de configuratie en status van Lifecycle Workflows #> try { Connect-RequiredServices Write-Host "Checking Lifecycle Workflows configuration..." -ForegroundColor Gray # Haal alle Lifecycle Workflows op $workflows = Get-MgIdentityGovernanceLifecycleWorkflow -All -ErrorAction Stop $result = @{ totalWorkflows = 0 enabledWorkflows = 0 onboardingWorkflows = 0 offboardingWorkflows = 0 transferWorkflows = 0 workflowsWithApproval = 0 compliant = $false } if ($workflows) { $result.totalWorkflows = $workflows.Count Write-Host "`n Found $($workflows.Count) workflow(s):" -ForegroundColor Cyan foreach ($workflow in $workflows) { $isEnabled = $workflow.State -eq "Enabled" if ($isEnabled) { $result.enabledWorkflows++ } Write-Host " - $($workflow.DisplayName)" -ForegroundColor $(if ($isEnabled) { "Green" } else { "Yellow" }) Write-Host " State: $($workflow.State)" -ForegroundColor $(if ($isEnabled) { "Green" } else { "Yellow" }) Write-Host " Category: $($workflow.Category)" -ForegroundColor Gray # Controleer workflow type if ($workflow.DisplayName -match "onboard|onboarding|new.*employee|start") { $result.onboardingWorkflows++ Write-Host " Type: Onboarding" -ForegroundColor Cyan } elseif ($workflow.DisplayName -match "offboard|offboarding|terminat|leav|exit") { $result.offboardingWorkflows++ Write-Host " Type: Offboarding" -ForegroundColor Cyan } elseif ($workflow.DisplayName -match "transfer|move|change|update") { $result.transferWorkflows++ Write-Host " Type: Transfer/Change" -ForegroundColor Cyan } # Haal workflow tasks op om goedkeuringsworkflows te controleren try { $tasks = Get-MgIdentityGovernanceLifecycleWorkflowTask -LifecycleWorkflowId $workflow.Id -ErrorAction SilentlyContinue if ($tasks) { $approvalTasks = $tasks | Where-Object { $_.Category -eq "joiner" -or $_.Category -eq "leaver" -or $_.Category -eq "mover" } if ($approvalTasks) { $result.workflowsWithApproval++ Write-Host " - Approval workflow configured" -ForegroundColor Cyan } } } catch { Write-Host " - [INFO] Could not check approval workflows" -ForegroundColor Gray } # Controleer workflow execution summary try { $executionSummary = Get-MgIdentityGovernanceLifecycleWorkflowRunSummary -LifecycleWorkflowId $workflow.Id -ErrorAction SilentlyContinue if ($executionSummary) { Write-Host " Execution Summary:" -ForegroundColor Gray Write-Host " Successful: $($executionSummary.SuccessfulRuns)" -ForegroundColor Green Write-Host " Failed: $($executionSummary.FailedRuns)" -ForegroundColor $(if ($executionSummary.FailedRuns -gt 0) { "Red" } else { "Green" }) Write-Host " Total: $($executionSummary.TotalRuns)" -ForegroundColor Gray } } catch { Write-Host " - [INFO] Could not retrieve execution summary" -ForegroundColor Gray } } } else { Write-Host " [WARNING] No workflows found" -ForegroundColor Yellow } Write-Host "`n Summary:" -ForegroundColor Cyan Write-Host " Total Workflows: $($result.totalWorkflows)" -ForegroundColor White Write-Host " Enabled Workflows: $($result.enabledWorkflows)" -ForegroundColor White Write-Host " Onboarding Workflows: $($result.onboardingWorkflows)" -ForegroundColor White Write-Host " Offboarding Workflows: $($result.offboardingWorkflows)" -ForegroundColor White Write-Host " Transfer/Change Workflows: $($result.transferWorkflows)" -ForegroundColor White Write-Host " Workflows with Approval: $($result.workflowsWithApproval)" -ForegroundColor White # Bepaal compliance status if ($result.totalWorkflows -gt 0 -and $result.enabledWorkflows -gt 0 -and $result.onboardingWorkflows -gt 0 -and $result.offboardingWorkflows -gt 0) { $result.compliant = $true Write-Host "`n [OK] COMPLIANT" -ForegroundColor Green Write-Host " Lifecycle Workflows zijn geconfigureerd met workflows voor" -ForegroundColor Cyan Write-Host " onboarding, offboarding en functiewijzigingen" -ForegroundColor Cyan exit 0 } else { Write-Host "`n [WARNING] PARTIALLY COMPLIANT" -ForegroundColor Yellow Write-Host " Aanbevolen: Configureer Lifecycle Workflows volledig:" -ForegroundColor Yellow if ($result.totalWorkflows -eq 0) { Write-Host " - Maak workflows aan voor identiteitslevenscyclusscenario's" -ForegroundColor Gray } if ($result.enabledWorkflows -eq 0) { Write-Host " - Activeer workflows voor productiegebruik" -ForegroundColor Gray } if ($result.onboardingWorkflows -eq 0) { Write-Host " - Configureer onboarding workflows voor nieuwe medewerkers" -ForegroundColor Gray } if ($result.offboardingWorkflows -eq 0) { Write-Host " - Configureer offboarding workflows voor vertrekkende medewerkers" -ForegroundColor Gray } if ($result.transferWorkflows -eq 0) { Write-Host " - Configureer transfer workflows voor functiewijzigingen" -ForegroundColor Gray } exit 1 } } catch { Write-Host "`n [FAIL] ERROR: $_" -ForegroundColor Red Write-Host " Error Details: $($_.Exception.Message)" -ForegroundColor Red Write-Host "`n Note: Lifecycle Workflows vereist Azure AD Premium P2 licenties" -ForegroundColor Yellow exit 2 } } function Invoke-Remediation { <# .SYNOPSIS Configureert Lifecycle Workflows wanneer deze ontbreken .DESCRIPTION Deze functie biedt richtlijnen voor het handmatig configureren van Lifecycle Workflows via de Microsoft Entra ID-portal, omdat geautomatiseerde configuratie complex is en specifieke zakelijke vereisten vereist. #> try { Connect-RequiredServices Write-Host "Lifecycle Workflows Configuration" -ForegroundColor Gray Write-Host "`n [INFO] Lifecycle Workflows configuratie vereist handmatige stappen" -ForegroundColor Yellow Write-Host " via de Microsoft Entra ID-portal vanwege complexiteit en" -ForegroundColor Gray Write-Host " specifieke zakelijke vereisten." -ForegroundColor Gray Write-Host "`n Configuratiestappen:" -ForegroundColor Cyan Write-Host " 1. Navigeer naar: https://entra.microsoft.com" -ForegroundColor White Write-Host " 2. Ga naar: Identity Governance > Lifecycle Workflows" -ForegroundColor White Write-Host " 3. Start met het aanmaken van onboarding workflows" -ForegroundColor White Write-Host " 4. Configureer offboarding workflows" -ForegroundColor White Write-Host " 5. Configureer transfer workflows voor functiewijzigingen" -ForegroundColor White Write-Host "`n Aanbevolen configuraties:" -ForegroundColor Cyan Write-Host "`n Onboarding Workflows:" -ForegroundColor Yellow Write-Host " - Trigger: Nieuwe gebruiker toegevoegd of startdatum bereikt" -ForegroundColor Gray Write-Host " - Acties: Groepen toewijzen, licenties toekennen, mailbox configureren" -ForegroundColor Gray Write-Host " - Goedkeuring: Optioneel voor gevoelige functies" -ForegroundColor Gray Write-Host " - Foutafhandeling: Configureer retry-logica en meldingen" -ForegroundColor Gray Write-Host "`n Offboarding Workflows:" -ForegroundColor Yellow Write-Host " - Trigger: Gebruiker verwijderd of einddatum bereikt" -ForegroundColor Gray Write-Host " - Acties: Account deactiveren, toegang intrekken, licenties verwijderen" -ForegroundColor Gray Write-Host " - Goedkeuring: Aanbevolen voor kritieke functies" -ForegroundColor Gray Write-Host " - Mailbox: Configureer overdracht of verwijdering" -ForegroundColor Gray Write-Host " - Foutafhandeling: Configureer retry-logica en meldingen" -ForegroundColor Gray Write-Host "`n Transfer/Change Workflows:" -ForegroundColor Yellow Write-Host " - Trigger: HR-attributen gewijzigd (afdeling, functie, locatie)" -ForegroundColor Gray Write-Host " - Acties: Groepen aanpassen, licenties bijwerken, attributen bijwerken" -ForegroundColor Gray Write-Host " - Goedkeuring: Optioneel voor gevoelige functiewijzigingen" -ForegroundColor Gray Write-Host " - Foutafhandeling: Configureer retry-logica en meldingen" -ForegroundColor Gray Write-Host "`n Workflow Triggers configureren:" -ForegroundColor Yellow Write-Host " - HR-databron: Zorg voor correcte synchronisatie met Microsoft Entra ID" -ForegroundColor Gray Write-Host " - Attributen: Gebruik HR-attributen zoals department, jobTitle, employeeType" -ForegroundColor Gray Write-Host " - Voorwaarden: Configureer voorwaarden voor specifieke afdelingen/functies" -ForegroundColor Gray Write-Host "`n Goedkeuringsworkflows configureren:" -ForegroundColor Yellow Write-Host " - Goedkeurders: Wijs managers, beveiligingsfunctionarissen of groepen toe" -ForegroundColor Gray Write-Host " - Vervaldatum: Stel vervaldatum in voor goedkeuringsaanvragen" -ForegroundColor Gray Write-Host " - Escalatie: Configureer escalatie wanneer goedkeuring niet tijdig plaatsvindt" -ForegroundColor Gray Write-Host "`n Foutafhandeling configureren:" -ForegroundColor Yellow Write-Host " - Retry-logica: Configureer maximum aantal retry-pogingen" -ForegroundColor Gray Write-Host " - Wachttijd: Stel wachttijd in tussen retry-pogingen" -ForegroundColor Gray Write-Host " - Meldingen: Configureer meldingen naar beheerders bij kritieke fouten" -ForegroundColor Gray Write-Host "`n Monitoring configureren:" -ForegroundColor Yellow Write-Host " - Logging: Zorg voor volledige auditlogging van workflowexecuties" -ForegroundColor Gray Write-Host " - Rapportage: Configureer regelmatige rapportage over workfloweffectiviteit" -ForegroundColor Gray Write-Host " - Waarschuwingen: Configureer waarschuwingen voor mislukte workflows" -ForegroundColor Gray Write-Host "`n [INFO] Na configuratie, voer -Monitoring uit om te verifiëren" -ForegroundColor Cyan Write-Host " [INFO] Test workflows eerst met een beperkte groep gebruikers" -ForegroundColor Yellow Write-Host " [INFO] Monitor workflowexecuties regelmatig voor fouten" -ForegroundColor Yellow Write-Host " [INFO] Zorg voor accurate HR-gegevens voor betrouwbare workflowtriggers" -ForegroundColor Yellow exit 0 } catch { Write-Host "`n [FAIL] ERROR: $_" -ForegroundColor Red Write-Host " Error Details: $($_.Exception.Message)" -ForegroundColor Red exit 2 } } function Invoke-Revert { <# .SYNOPSIS Verwijdert Lifecycle Workflows (NIET AANBEVOLEN!) #> try { Write-Host "⚠️ WARNING: Verwijderen van Lifecycle Workflows is een BEVEILIGINGSRISICO!" -ForegroundColor Red Write-Host "Dit verwijdert geautomatiseerd identiteitslevenscyclusbeheer en verhoogt het" -ForegroundColor Red Write-Host "risico op verlaten accounts, onbevoegde toegang en niet-naleving van" -ForegroundColor Red Write-Host "compliance-vereisten`n" -ForegroundColor Red if (-not $WhatIf) { Write-Host "Gebruik -WhatIf om te zien wat zou worden verwijderd" -ForegroundColor Yellow Write-Host "Verwijdering van Lifecycle Workflows moet handmatig via de portal" -ForegroundColor Yellow Write-Host "worden uitgevoerd na zorgvuldige overweging en goedkeuring." -ForegroundColor Yellow } exit 0 } catch { Write-Host "ERROR: $_" -ForegroundColor Red exit 2 } } try { if ($Revert) { Invoke-Revert } elseif ($Monitoring) { Invoke-Monitoring } elseif ($Remediation) { Invoke-Remediation } else { Write-Host "Usage:" -ForegroundColor Yellow Write-Host " -Monitoring Controleer Lifecycle Workflows configuratie" -ForegroundColor Gray Write-Host " -Remediation Toon configuratie-instructies" -ForegroundColor Gray Write-Host " -Revert Waarschuwing voor verwijdering (NIET AANBEVOLEN!)" -ForegroundColor Red Write-Host "`n Voorbeeld:" -ForegroundColor Cyan Write-Host " .\lifecycle-workflows.ps1 -Monitoring" -ForegroundColor White } } catch { throw } finally { Write-Host "`n========================================`n" -ForegroundColor Cyan }

Risico zonder implementatie

Risico zonder implementatie
High: Kritiek – Zonder geautomatiseerde Lifecycle Workflows blijven organisaties afhankelijk van handmatige, tijdrovende en foutgevoelige processen waarbij nieuwe medewerkers niet tijdig toegang krijgen, vertrekkende medewerkers niet worden gedeactiveerd, of functiewijzigingen niet worden doorgevoerd. Dit leidt tot verlaten accounts die actief blijven, onbevoegde toegang, en niet-naleving van compliance-vereisten zoals BIO 09.01, ISO 27001 A.5.18 en NIS2 Artikel 21.

Management Samenvatting

Implementeer Lifecycle Workflows voor geautomatiseerd identiteitslevenscyclusbeheer met workflows voor onboarding, offboarding en functiewijzigingen op basis van HR-gegevens. Vereist Azure AD Premium P2. Implementatietijd: 80 uur.