Offboarding in Entra ID: voorkom dat oud-medewerkers toegang houden

Denk aan Outlook op een telefoon die nog is ingelogd. Met sessies intrekken maak je een belangrijke extra stap om toegang af te sluiten.

Revoke sessions maakt alle refresh tokens van de gebruiker ongeldig, en ook de sessiecookies in zijn browser. Technisch zet het de eigenschap signInSessionsValidFromDateTime op nu: alles wat daarvoor is uitgegeven, telt niet meer. Elke app die een nieuw token wil, moet de gebruiker opnieuw laten aanmelden, en met een uitgeschakeld account lukt dat niet.

• In het beheercentrum: Entra ID, Users, kies de gebruiker en klik op de overzichtspagina op Revoke sessions.
• In PowerShell: Revoke-MgUserSignInSession -UserId <id of UPN> uit de module Microsoft.Graph.Users.Actions.
• Via Microsoft Graph: POST /users/{id}/revokeSignInSessions, met de permissie User.RevokeSessions.All.

Microsoft meldt dat het intrekken een paar minuten kan duren. Twee dingen doet het niet: access tokens die al zijn uitgegeven blijven geldig tot ze verlopen, behalve bij apps die Continuous Access Evaluation ondersteunen (zie hieronder). En voor gastgebruikers werkt het niet, omdat die zich aanmelden bij hun eigen organisatie.

Sommige Microsoft-diensten reageren sneller op een geblokkeerd account dan andere applicaties. Dat verschil is belangrijk als je zeker wilt weten wanneer toegang eindigt.

Met Continuous Access Evaluation (CAE) praat Entra ID direct met de dienst die het token ontvangt. Bij een aantal kritieke gebeurtenissen laat Entra ID de dienst weten dat de tokens van deze gebruiker niet meer gelden, ook als ze nog niet verlopen zijn. De client krijgt dan een claim challenge en moet opnieuw aanmelden. Microsoft noemt deze gebeurtenissen:

• het account is verwijderd of uitgeschakeld;
• het wachtwoord is gewijzigd of gereset;
• MFA is voor de gebruiker aangezet;
• een beheerder heeft alle refresh tokens ingetrokken (revoke sessions);
• Entra ID Protection ziet een hoog gebruikersrisico.

Dit werkt voor Exchange Online, SharePoint Online en Teams, met clients die het ondersteunen, zoals de actuele versies van Outlook, Teams en OneDrive. Het staat los van Conditional Access en werkt dus in elke tenant. Microsoft streeft naar bijna direct, maar noemt een vertraging tot 15 minuten.

Een account is meer dan een gebruikersnaam en wachtwoord. Denk ook aan gedeelde mailboxen, apparaten en toegang in andere systemen.

Zijn de tokens weg, dan is de directe toegang dicht. Maar een account bestaat uit meer dan aanmelden. Dit blijft staan tot iemand het opruimt:

Met een vaste volgorde voorkom je dat toegang openblijft of belangrijke gegevens te vroeg verdwijnen.

De volgorde doet ertoe: eerst de deur dicht, dan de tokens weg, dan opruimen. Werk je hybride, met accounts uit Active Directory, begin dan in AD. Een gesynchroniseerd account zet je in AD uit; de status komt bij de volgende sync in Entra ID aan, en met de stappen in Entra ID hoef je daar niet op te wachten. Bij een gewoon vertrek doe je alles op de laatste werkdag; bij een vertrek met ruzie of een vermoeden van misbruik doe je stap 1 tot en met 4 meteen.

1. 1Hybride: in Active Directory. Schakel het account uit met Disable-ADAccount en reset het wachtwoord. Microsoft raadt aan het twee keer te resetten, tegen pass-the-hash; kun je ervan uitgaan dat het account niet is overgenomen, dan is één keer genoeg.
2. 2Aanmelden blokkeren in Entra ID (AccountEnabled op false).
3. 3Sessies intrekken met Revoke-MgUserSignInSession.
4. 4Apparaten uitschakelen die op de gebruiker staan, en waar nodig een wipe via Intune. Is het een eigen telefoon, wis dan alleen de bedrijfsgegevens uit de beheerde apps.
5. 5MFA-methoden verwijderen, zodat een later heropend account opnieuw moet registreren.
6. 6De mailbox: doorsturen en inboxregels met doorsturen weghalen, een automatisch antwoord met de nieuwe contactpersoon, en de mailbox omzetten naar een gedeelde mailbox of rechten geven aan de opvolger. Hoe dat werkt, staat in rechten op een gedeelde mailbox.
7. 7Eigenaarschap overdragen van groepen, Teams en app-registraties waar de vertrekker eigenaar van was, en het account uit groepen en applicatietoewijzingen halen.
8. 8Toestemmingen voor apps intrekken die de gebruiker zelf heeft gegeven.
9. 9Licenties vrijgeven. Mail, contacten en agenda blijven daarna 30 dagen bewaard. Zie licentie intrekken bij uitdienst.
10. 10Na de bewaartermijn verwijderen. Een verwijderd account staat 30 dagen bij de verwijderde gebruikers en is in die tijd terug te zetten. Een gesynchroniseerd account verwijder je in AD.

# Hybride: eerst in Active Directory
Disable-ADAccount -Identity "jan.jansen"
Set-ADAccountPassword -Identity "jan.jansen" -Reset -NewPassword (Read-Host -AsSecureString "Nieuw wachtwoord 1")
Set-ADAccountPassword -Identity "jan.jansen" -Reset -NewPassword (Read-Host -AsSecureString "Nieuw wachtwoord 2")

# Entra ID
Connect-MgGraph -Scopes "User.ReadWrite.All","Directory.AccessAsUser.All"
$user = Get-MgUser -UserId "jan.jansen@bedrijf.nl"

Update-MgUser -UserId $user.Id -AccountEnabled:$false
Revoke-MgUserSignInSession -UserId $user.Id

Get-MgUserRegisteredDevice -UserId $user.Id -All | ForEach-Object {
  Update-MgDevice -DeviceId $_.Id -AccountEnabled:$false
}

Connect-MgGraph -Scopes "UserAuthenticationMethod.ReadWrite.All"

Get-MgUserAuthenticationMicrosoftAuthenticatorMethod -UserId $user.Id | ForEach-Object {
  Remove-MgUserAuthenticationMicrosoftAuthenticatorMethod -UserId $user.Id -MicrosoftAuthenticatorAuthenticationMethodId $_.Id
}
Get-MgUserAuthenticationFido2Method -UserId $user.Id | ForEach-Object {
  Remove-MgUserAuthenticationFido2Method -UserId $user.Id -Fido2AuthenticationMethodId $_.Id
}
Get-MgUserAuthenticationSoftwareOathMethod -UserId $user.Id | ForEach-Object {
  Remove-MgUserAuthenticationSoftwareOathMethod -UserId $user.Id -SoftwareOathAuthenticationMethodId $_.Id
}
Get-MgUserAuthenticationPhoneMethod -UserId $user.Id | ForEach-Object {
  Remove-MgUserAuthenticationPhoneMethod -UserId $user.Id -PhoneAuthenticationMethodId $_.Id
}

Connect-ExchangeOnline
$mb = "jan.jansen@bedrijf.nl"

Set-Mailbox -Identity $mb -ForwardingSmtpAddress $null -ForwardingAddress $null -DeliverToMailboxAndForward $false

Get-InboxRule -Mailbox $mb -IncludeHidden |
  Where-Object { $_.ForwardTo -or $_.ForwardAsAttachmentTo -or $_.RedirectTo } |
  ForEach-Object { Remove-InboxRule -Mailbox $mb -Identity $_.Identity -Confirm:$false }

Set-MailboxAutoReplyConfiguration -Identity $mb -AutoReplyState Enabled `
  -InternalMessage "Jan werkt hier niet meer. Neem contact op met Petra de Vries." `
  -ExternalMessage "Jan werkt hier niet meer. Neem contact op met Petra de Vries."

Set-Mailbox -Identity $mb -Type Shared

# Groepen en Teams waar de vertrekker eigenaar van is
Get-MgUserOwnedObject -UserId $user.Id -All |
  Where-Object { $_.AdditionalProperties["@odata.type"] -eq "#microsoft.graph.group" } |
  ForEach-Object { $_.AdditionalProperties["displayName"] }

# Een nieuwe eigenaar toevoegen
$opvolger = Get-MgUser -UserId "petra.devries@bedrijf.nl"
New-MgGroupOwnerByRef -GroupId "<groep-id>" -BodyParameter @{
  "@odata.id" = "https://graph.microsoft.com/v1.0/users/$($opvolger.Id)"
}

# Toestemmingen die de gebruiker zelf aan apps gaf
Get-MgUserOauth2PermissionGrant -UserId $user.Id -All | ForEach-Object {
  Remove-MgOauth2PermissionGrant -OAuth2PermissionGrantId $_.Id
}

Als IT pas achteraf hoort dat iemand is vertrokken, begint de beveiligingsachterstand al vóór de eerste handeling.

De commando's zijn niet het lastige deel. Het lastige deel is dat ze op de juiste dag moeten draaien, voor iedereen die vertrekt, ook als HR het een dag te laat doorgeeft of als de beheerder die het altijd doet op vakantie is. Een gemiste stap merk je niet: een doorstuurregel die blijft lopen, geeft geen foutmelding.

Microsoft heeft hiervoor Lifecycle Workflows in Microsoft Entra ID Governance. Een leaver-workflow start op de uitdienstdatum (employeeLeaveDateTime) en kent taken als het account uitschakelen, uit groepen en Teams halen, licenties weghalen, alle refresh tokens intrekken en de gebruiker na een aantal dagen verwijderen. Dat vraagt een Governance-licentie, en een uitdienstdatum die betrouwbaar in Entra ID staat. Wie die vult, en of hij klopt, is de vraag die overblijft. Mailboxregels en accounts buiten Microsoft blijven daarnaast een eigen stap.