Provisioning in Entra ID: hoe komen medewerkers automatisch in de juiste systemen?

Dit is de bekende hybride situatie: het account bestaat lokaal en moet ook in Microsoft 365 beschikbaar zijn.

In een hybride omgeving is AD de plek waar het account ontstaat, en brengt de sync het naar de cloud. Entra Connect Sync draait standaard elke 30 minuten, Entra Cloud Sync elke twee minuten. Een gesynchroniseerd account heeft AD als bron, dus wijzigingen doe je daar.

De sync maakt geen accounts aan op basis van HR, en geen van beide maakt gebruikers aan in AD vanuit de cloud. Cloud Sync kan wel groepen uit Entra ID naar AD provisionen. De verschillen tussen de twee, soft en hard match en het verplaatsen van de source of authority staan in Entra Connect of Cloud Sync.

Hier begint het proces bij de medewerker, niet bij een handmatige aanvraag aan IT.

Inbound provisioning draait de richting om: het HR-systeem is de bron, en de provisioning service maakt het account aan, werkt het bij en zet het uit. Er zijn twee varianten.

• De kant-en-klare apps voor Workday en SuccessFactors. Microsoft haalt de gegevens zelf op, zowel naar Entra ID als naar AD op locatie.
• API-driven inbound provisioning voor elk ander system of record: een ander HR-pakket, een salarisadministratie, een CSV-export of een SQL-tabel. Jij (of een leverancier) stuurt de gegevens als SCIM-bulkverzoek naar een bulkUpload-endpoint, en de provisioning service doet de vergelijking en de mutatie. Hoe dat werkt, wat de limieten zijn en wat je zelf moet bouwen, staat in API-driven inbound provisioning.

Moet het account in AD op locatie komen, dan installeer je de Microsoft Entra provisioning agent op een Windows-server in je netwerk. De provisioning service geeft de opdracht, de agent voert hem uit in AD, en de sync die je al hebt brengt het account daarna naar Entra ID. Voor cloud-only accounts is geen agent nodig.

Een account in Entra ID is pas het begin als iemand ook in andere systemen moet kunnen werken.

Outbound provisioning zet accounts vanuit Entra ID door naar de applicaties die je gebruikt. Voor veel apps staat er een connector in de galerij van enterprise apps; heeft een app een eigen SCIM 2.0-endpoint, dan kun je die zelf koppelen. Wat SCIM is en hoe het werkt, lees je in SCIM begrijpen.

1. 1Open de app in het Entra-beheercentrum onder Enterprise apps en kies Provisioning. Zet de modus op Automatic en vul de tenant-URL en het token van de app in.
2. 2Bepaal de scope. Meestal is dat Sync only assigned users and groups: alleen wie aan de app is toegewezen, krijgt een account. Groepen toewijzen vraagt P1 of hoger.
3. 3Controleer de attribuutmappings en het matchingattribuut waarop Entra ID een bestaand account in de app herkent.
4. 4Zet een notificatieadres in, test met Provision on demand voor een paar gebruikers en start de provisioning.

• Geneste groepen tellen niet mee. De provisioning service leest alleen de directe leden van een toegewezen groep.
• Uit de scope is uitschakelen. Haal je iemand uit de groep die aan de app hangt, dan zet de service het account in de app uit. Dat geldt ook voor dynamische groepen: een verkeerd veld en iemand verliest zijn toegang.
• Na de eerste ronde draait de service incrementele cycli die alleen de wijzigingen sinds de vorige ronde verwerken. Het interval verschilt per app.
• Quarantaine: mislukken bijna alle aanroepen, bijvoorbeeld door een verlopen token, dan gaat de koppeling in quarantaine. De service probeert het dan steeds minder vaak, tot eens per dag, en zet de koppeling na vier weken uit.

Voor applicaties op locatie zonder SCIM gebruikt Microsoft dezelfde provisioning agent, met connectors voor LDAP, SQL, REST of SOAP en PowerShell. Daar heb je P1 voor nodig.

Sommige stappen vragen meer dan het aanmaken van een account, bijvoorbeeld goedkeuringen of een taak op de eerste werkdag.

Provisioning maakt het account. Wat er daarna moet gebeuren, regel je met Lifecycle Workflows: workflows voor joiners, movers en leavers die starten op een datum of een wijziging. Ze plannen op employeeHireDate en employeeLeaveDateTime, en de tenant verwerkt ze volgens een schema dat standaard elke drie uur loopt. Je kunt tot 50 workflows maken.

Entitlement management gaat over toegang in pakketten: een access package bundelt groepen, apps en SharePoint-sites, met een goedkeuring en een einddatum. Met een auto-assignment policy krijgt iedereen die aan een regel voldoet het pakket vanzelf. Lifecycle Workflows hebben een licentie voor Entra ID Governance nodig, en ook de automatische toewijzing van access packages zit in Governance.

Wil je weten hoe dit zich verhoudt tot een platform dat vanuit HR werkt, dan staat de vergelijking op Joinly naast Microsoft Entra ID Governance.

Alle routes die over de provisioning service lopen, schrijven naar de provisioninglogs: Entra ID, Enterprise apps, Provisioning logs. Daar zie je per gebruiker wat er is gelezen, vergeleken en geschreven, en waarom iets mislukte. Wijzigingen aan de configuratie zelf, zoals een nieuwe mapping of een gestopte koppeling, staan in de auditlogs.

Connect-MgGraph -Scopes "AuditLog.Read.All"

$sinds = (Get-Date).AddDays(-1).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
Get-MgAuditLogProvisioning -Filter "activityDateTime ge $sinds" -All |
  Where-Object { $_.ProvisioningStatusInfo.Status -eq "failure" } |
  Select-Object ActivityDateTime, ProvisioningAction,
    @{ n = "Wie";  e = { $_.SourceIdentity.DisplayName } },
    @{ n = "Fout"; e = { $_.ProvisioningStatusInfo.ErrorInformation.Reason } }

Microsoft biedt krachtige bouwstenen. Maar iemand moet nog steeds bepalen welke gegevens leidend zijn, welke rollen erbij horen en wat er bij een wijziging moet gebeuren.

Microsoft levert het transport: van AD naar de cloud, van HR naar Entra ID, van Entra ID naar de apps. Wat erin gaat, komt uit de bron. Een sync kopieert wat er in AD staat, ook als het fout is. Een inbound koppeling maakt het account dat HR aanlevert, met de afdeling die HR heeft ingevuld. Een outbound koppeling geeft toegang aan wie in de groep zit. Lifecycle Workflows starten op een datum die iemand moet invullen.

Daarom begint goede provisioning bij de vraag waar de gegevens vandaan komen, en wie bepaalt wat er bij een functie hoort. Hoe je die groepen opzet, lees je in Entra ID-groepen inrichten voor roltoegang. Welke velden alles sturen, staat in gebruikersattributen in Entra ID.