Temporary Access Pass: nieuwe medewerkers veilig laten starten zonder wachtwoordbriefje

Je wilt dat deze methode beschikbaar is voor nieuwe medewerkers, maar wel met duidelijke grenzen.

Je kunt voor iedereen een TAP maken, maar alleen gebruikers die in het beleid zitten, kunnen er ook mee aanmelden. Zet het beleid dus eerst aan.

1. 1Meld je aan in het Microsoft Entra-beheercentrum als minstens Authentication Policy Administrator.
2. 2Ga naar Entra ID, Authentication methods, Policies en kies Temporary Access Pass.
3. 3Zet Enable aan en kies welke gebruikers of groepen erin vallen. Begin met een groep voor nieuwe medewerkers en een voor IT, en breid uit als het werkt.
4. 4Kies Configure om de levensduur, de lengte en eenmalig gebruik in te stellen (zie hieronder), en klik op Update.
5. 5Klik op Save.

Als het beleid goed staat, kan een beheerder voor een medewerker een TAP uitgeven.

Een Authentication Administrator kan een TAP maken voor gewone gebruikers, een Privileged Authentication Administrator ook voor beheerders. Geen van beiden voor zichzelf. Een Global Reader ziet dat er een TAP is, maar niet de code.

1. 1Ga naar Entra ID, Users en kies de gebruiker.
2. 2Kies Authentication methods, Add authentication method en dan Temporary Access Pass.
3. 3Stel een starttijd of een duur in en klik op Add.
4. 4Noteer de code. Na OK krijg je hem niet meer te zien.

Connect-MgGraph -Scopes "UserAuthenticationMethod.ReadWrite.All"

$tap = @{
  startDateTime     = "2026-12-01T08:00:00+01:00"
  lifetimeInMinutes = 600
  isUsableOnce      = $true
}
$resultaat = New-MgUserAuthenticationTemporaryAccessPassMethod -UserId "sanne.bakker@bedrijf.nl" -BodyParameter $tap
$resultaat.TemporaryAccessPass

# Controleren of hij er staat (de code zelf zie je hier niet meer)
Get-MgUserAuthenticationTemporaryAccessPassMethod -UserId "sanne.bakker@bedrijf.nl" |
  Select-Object StartDateTime, LifetimeInMinutes, IsUsableOnce, IsUsable, MethodUsabilityReason

POST https://graph.microsoft.com/v1.0/users/sanne.bakker@bedrijf.nl/authentication/temporaryAccessPassMethods
Content-Type: application/json

{
  "startDateTime": "2026-12-01T08:00:00+01:00",
  "lifetimeInMinutes": 600,
  "isUsableOnce": true
}

De levensduur moet binnen het minimum en maximum van het beleid vallen, anders weigert Entra ID de TAP. Een gebruiker heeft er maar één tegelijk: maak je een nieuwe, dan vervangt die de oude. Een verlopen TAP haal je weg met Remove-MgUserAuthenticationTemporaryAccessPassMethod.

Het doel is dat iemand direct een eigen, veilige aanmeldmethode instelt. Daarna is de tijdelijke code niet meer nodig.

De medewerker gaat naar mysignins.microsoft.com/security-info, vult zijn gebruikersnaam in en krijgt, als hij in het beleid zit, een veld voor de TAP. Daarna registreert hij zijn methoden. Er zijn drie gangbare routes:

• Microsoft Authenticator. In de app een werk- of schoolaccount toevoegen en aanmelden met de TAP. Vanuit de app registreert hij een passkey en aanmelden met de telefoon.
• Een nieuwe Windows-laptop. Tijdens het koppelen aan Entra ID (Entra join) meldt hij zich aan met de TAP, zonder wachtwoord, en zet hij Windows Hello for Business op. Op een laptop die al gekoppeld is, of hybride gekoppeld, moet hij eerst met een andere methode aanmelden, zoals een wachtwoord.
• Een security key (FIDO2). Aanmelden op Security info met de TAP en de sleutel toevoegen.

Valt de gebruiker ook onder het registratiebeleid van self-service password reset of het MFA-registratiebeleid van Entra ID Protection, dan stuurt Entra ID hem na de aanmelding met de TAP naar het verplichte registratiescherm. Daar kan hij volgens Microsoft geen FIDO2-sleutel en geen aanmelden met de telefoon registreren. Wil je wachtwoordloos beginnen, haal nieuwe medewerkers dan uit die beleidsregels of laat ze via de Authenticator-app registreren.

Tokens uit een aanmelding met de TAP zijn hooguit geldig tot de TAP verloopt. Een sessie die al loopt, stopt niet als de TAP verloopt; hoe lang die duurt, bepalen je Conditional Access-instellingen. Wil je dat iemand na de TAP snel opnieuw moet aanmelden met zijn eigen methode, stel dan een sign-in frequency in.

Een veilige code helpt weinig als je hem via een onveilig of verkeerd kanaal verstuurt.

Een TAP is een sterke aanmelding: wie de code heeft, kan het account overnemen tot hij verloopt. Behandel hem dus zoals je een wachtwoord zou behandelen, of strenger. De voor de hand liggende route werkt niet: de zakelijke mailbox van een nieuwe medewerker kan hij nog niet openen, want daar heeft hij juist de TAP voor nodig.

Raakt iemand zijn telefoon kwijt, dan kan hij geen MFA meer doen en dus ook zelf geen nieuwe telefoon registreren. Met een TAP los je dat op zonder MFA uit te zetten:

1. 1Controleer wie er belt. Een TAP uitgeven aan de verkeerde persoon is precies de aanval die je wilt voorkomen. Laat bijvoorbeeld de manager bevestigen.
2. 2Verwijder de oude Authenticator-registratie, zodat de kwijtgeraakte telefoon geen goedkeuringen meer kan geven: Remove-MgUserAuthenticationMicrosoftAuthenticatorMethod.
3. 3Maak een eenmalige TAP met een korte geldigheid en geef hem door via een route die niet via die telefoon loopt.
4. 4De medewerker meldt zich aan met de TAP en registreert zijn nieuwe telefoon of passkey. Controleer daarna of er geen oude methoden zijn blijven staan.

Een TAP werkt niet met de NPS-extensie en de AD FS-adapter. Gebruik je die voor VPN of oude applicaties, dan helpt een TAP daar niet.