Azure Lighthouse: waarom de organisatie van een MSP niet hetzelfde is als een tenant

Azure Lighthouse is het door Microsoft gedocumenteerde patroon waarmee een managed service provider vanuit zijn eigen tenant kan werken met Azure-resources van veel klanten, zonder dat de directory van een klant wordt samengevoegd met die van de MSP. Microsoft noemt dit Azure delegated resource management: een klant delegeert specifieke abonnementen of resourcegroepen aan opgegeven gebruikers en rollen in de tenant van de MSP, en kan die toegang op elk moment zelfstandig intrekken.

Hoe de delegatie daadwerkelijk werkt

Onder de motorkap creëert het onboarden van een klant twee resources binnen de eigen tenant van de klant: een registratiedefinitie, die beschrijft welke toegang wordt verleend en aan wie, en een registratietoewijzing, die deze activeert. Wanneer iemand in de tenant van de MSP actie probeert te ondernemen op een gedelegeerde resource, authenticeert Azure Resource Manager dat verzoek op dezelfde manier als een verzoek van een gebruiker die eigen is aan de tenant van de klant — de MSP-gebruiker heeft nooit een account nodig in de directory van de klant en wordt er ook nooit mede-eigenaar van. Klanten behouden inzicht in wat er is gedelegeerd en kunnen dit vanuit hun eigen portaal bekijken.

Waarom de terminologie voor verwarring zorgt

De eigen richtlijnen van Microsoft zijn expliciet dat "organisatie" en "tenant" niet onderling verwisselbaar zijn: één commerciële organisatie — één merk, één juridische entiteit — kan vele Microsoft Entra-tenants omvatten, één per klant, per omgeving of per overname. Lighthouse is gebouwd rond die realiteit in plaats van ertegenin: het laat één organisatie over tenants heen werken terwijl elke tenant een harde grens blijft voor identiteit en toegang. Het vervagen van dat onderscheid — "onze organisatie" behandelen alsof het één tenant zou zijn — is de fout die de architectuur van Lighthouse moet voorkomen, niet alleen documenteren.

Voor MSP's die multi-tenant tooling van welke aard dan ook bouwen of kopen, is Azure Lighthouse een nuttig referentiepunt: gedelegeerde, herroepbare toegang tot een afzonderlijke tenant is een ander, en over het algemeen veiliger, ontwerp dan het samenbrengen van meerdere klanten onder één gedeelde directory en ze te onderscheiden met vlaggen op applicatieniveau. Het onderscheid is architectonisch, geen compliancelabel — de moeite waard om te controleren in het daadwerkelijke toegangsmodel van een leverancier, niet alleen in de marketingtekst.

Bronnen: Microsoft Learn — Wat is Azure Lighthouse?, Microsoft Learn — Tenants, gebruikers en rollen in Azure Lighthouse.