Lifecycle Workflows in Entra ID: hoe het werkt, wat het vraagt en waar het ophoudt

Er zijn vier soorten triggers, plus de mogelijkheid om een workflow met de hand te starten:

De scope is een regel op attributen, net als bij een dynamische groep: department -eq "Zorg" of employeeType -eq "Employee". Bij elke run kijkt de workflow opnieuw wie aan de regel voldoet; wie er niet meer aan voldoet, wordt overgeslagen. Hoe je zulke regels op HR-gegevens bouwt, lees je in dynamische groepen op HR-attributen.

Microsoft levert ruim dertig ingebouwde taken. Een workflow heeft er maximaal 25. De belangrijkste:

Bij de taken horen voorwaarden die je pas tegenkomt als het misgaat:

• Groepen toevoegen werkt voor Microsoft 365-groepen en cloud-only securitygroepen. Mail-enabled groepen, distributielijsten, dynamische groepen en groepen uit Active Directory vallen erbuiten.
• Licenties toewijzen vraagt een usageLocation op de gebruiker. Hoe dat werkt, staat in licenties toewijzen.
• De Temporary Access Pass gaat per mail naar de manager. Heeft de manager nog geen account of geen mailadres, dan komt de code nergens aan. Meer over de TAP in Temporary Access Pass.
• Account aan- of uitzetten werkt niet voor gebruikers met een Entra-beheerdersrol.

Alles daarbuiten, zoals een mailbox omzetten naar een gedeelde mailbox, een ticket bij de servicedesk of een account in een applicatie zonder SCIM, regel je met een custom task extension. Die roept een Azure Logic App aan, die je zelf bouwt, host en onderhoudt.

Joiner en leaver hebben een datum. Een overplaatsing niet. Microsofts mover-sjablonen gaan daarom af op een gewijzigd veld of een gewijzigd groepslidmaatschap, en hun taken zijn vooral: de manager inlichten en oude toegangspakketten weghalen.

Welke toegang er bij de nieuwe functie hoort, beantwoordt de workflow niet. Dat ontwerp je apart, meestal in access packages of in groepen per functie. Zonder dat ontwerp krijgt iemand die van afdeling wisselt alleen een mail aan zijn manager, en blijft de oude toegang staan tot iemand hem opruimt. Hoe je groepen zo inricht dat ze bij een functie passen, lees je in Entra ID-groepen voor roltoegang.

1. 1Controleer of de datums gevuld zijn. Haal een paar gebruikers op met Get-MgUser -UserId <upn> -Property employeeHireDate,employeeLeaveDateTime en kijk of de datums kloppen met HR.
2. 2Ga in het Entra-beheercentrum naar Identity Governance → Lifecycle workflows → Create workflow en kies een sjabloon, bijvoorbeeld "Onboard new-hire employee".
3. 3Stel de trigger in (bijvoorbeeld 0 dagen op employeeHireDate) en de scope (bijvoorbeeld employeeType -eq "Employee").
4. 4Pas de taken aan: welke groepen, welke Teams, welke licentie.
5. 5Test met Run on demand op een testgebruiker en lees het resultaat in de workflowgeschiedenis.
6. 6Zet de planning aan. Pas dan gaat de workflow vanzelf af, standaard elke drie uur.

Connect-MgGraph -Scopes "User.Read.All","User-LifeCycleInfo.Read.All"

$vanaf = (Get-Date).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
$tot   = (Get-Date).AddDays(7).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")

Get-MgUser -All -Property displayName,department,employeeHireDate `
  -Filter "employeeHireDate ge $vanaf and employeeHireDate le $tot" `
  -ConsistencyLevel eventual -CountVariable aantal |
  Select-Object DisplayName, Department, EmployeeHireDate

Lifecycle Workflows zijn een goede uitvoerder binnen Entra ID. Drie dingen liggen buiten de functie:

• Het startsein. De workflows lezen datums en velden; ze halen ze niet uit je HR-systeem. Voor Workday en SAP SuccessFactors heeft Microsoft een eigen koppeling, voor andere HR-systemen bouw je die zelf, bijvoorbeeld met API-driven inbound provisioning.
• De rollen. Welke groepen, licenties en applicaties bij een functie horen, leg je vast in een apart ontwerp buiten de workflow, dat bij elke reorganisatie bijgewerkt moet worden.
• Alles buiten Entra ID. Active Directory op locatie, de mailbox, de servicedesk en applicaties zonder SCIM vragen een Logic App per taak.

Gebruik je Entra ID als enige doel, staat je HR-data al netjes in Entra en heb je de Governance-licentie toch al, dan kom je met Lifecycle Workflows een heel eind. Hoe Microsofts route en Joinly zich verder tot elkaar verhouden, staat in Joinly naast Entra ID Governance.