MSP FAQ: hoe beheer je toegang over tenants heen zonder god-admin

Een veelvoorkomend faalpatroon in MSP-operaties is een technicus- of automatisatieaccount met permanente beheerdersrechten in elke klanttenant — een "god-admin" die van één gecompromitteerde credential een inbreuk op het hele klantenbestand maakt. Microsofts Granular Delegated Admin Privileges (GDAP)-model, gebouwd voor zijn eigen partnerecosysteem, illustreert het alternatief.

Wat GDAP verandert

Vóór GDAP konden de admin-agents van een partner voor onbepaalde tijd de rol van Global Administrator in de tenant van een klant aannemen. GDAP vervangt dat door toegang die zowel granulair is — afgebakend tot specifieke beheerrollen — als tijdsgebonden, en het vereist dat de klant die toegang expliciet verleent in plaats van automatisch overneemt. Microsofts eigen rolbegeleiding gaat verder en koppelt elke beheertaak aan de ingebouwde rol met de minste privileges die die taak kan uitvoeren, in plaats van standaard een brede admin-rol te kiezen omdat dat handig is.

Hetzelfde model toepassen buiten Microsoft 365

Het GDAP-patroon is te generaliseren naar elke SaaS-stack die een MSP namens een klant beheert: elke klanttenant moet zijn eigen governance-grens zijn, technicus- en automatisatie-identiteiten moeten gescheiden zijn, en verhoogde toegang moet verlopen in plaats van blijven bestaan. Een MSP-forumthread van de Non-Human Identity Management Group verwoordt het onderliggende risico helder: zwakke tenant-isolatie verandert operationeel gemak in gedeeld risico voor elke klant op het platform.

Een praktische checklist

• Geen permanente Global Administrator of gelijkwaardige rol die alle klanttenants omspant.
• Baken partner-/technicusrollen per klant af en beoordeel ze volgens een vast schema.
• Houd een apart break-glass-pad aan met tijdsgebonden verhoging gekoppeld aan een ticket.
• Geef automatisering een eigen identiteit met minimale rechten, los van die van een technicus.
• Bewaar per-tenant auditlogs die per klant doorzoekbaar zijn.

De les reikt verder dan Microsoft 365: welk platform een MSP ook gebruikt om klanttenants te bereiken, toegang moet afgebakend, tijdsgebonden en per klant zijn — niet één enkele admin-identiteit die elke deur opent.

Bronnen: Microsoft Learn — Introduction to GDAP, Non-Human Identity Management Group — multi-tenant SaaS management for MSPs.