Microsoft 365 tenantbeheer uitgelegd

Een oud medewerker blijkt nog beheerrechten te hebben. Niemand weet wie het maildomein ooit heeft gekoppeld. Een nieuwe app vraagt toegang tot alle bestanden en iemand klikt op akkoord. Zulke situaties ontstaan zelden door slechte bedoelingen. Ze ontstaan omdat niemand het geheel van de Microsoft 365 omgeving echt overziet.

Dat geheel heet de tenant. In dit artikel leggen we uit wat een tenant is, wie erin mag beheren en welke taken je niet moet laten liggen. Zo weet je waar jouw organisatie staat.

Wat is een Microsoft 365 tenant precies?

Een tenant is de eigen, afgeschermde omgeving van jouw organisatie binnen Microsoft 365. Denk aan een kantoorgebouw met een eigen toegangssysteem. Alle gebruikers, groepen, licenties, mailboxen en bestanden horen bij dat gebouw. Andere organisaties kunnen er niet zomaar in.

Elke tenant heeft een unieke naam, bijvoorbeeld jouwbedrijf.onmicrosoft.com. Daarnaast koppel je je eigen domeinnaam, zodat medewerkers met hun gewone mailadres werken. Achter de schermen draait de identiteitsdienst Microsoft Entra ID. Die bepaalt wie je bent en waar je bij mag.

Tenantbeheer gaat dus over de instellingen die voor de hele organisatie gelden. Een voorbeeld: de keuze of medewerkers externe gasten mogen uitnodigen. Een ander voorbeeld: de vraag of inloggen zonder extra verificatie nog is toegestaan. Zulke keuzes werken door in Teams, SharePoint, Outlook en OneDrive tegelijk.

Veel organisaties richten hun tenant in bij de start en kijken er daarna nauwelijks meer naar. Dat gaat jaren goed, tot er iets misgaat. Een tenant is geen eenmalig project. Het is een omgeving die meebeweegt met je mensen en je werkwijze.

Beheerrollen: wie mag wat in je tenant?

De eerste vraag bij tenantbeheer is simpel: wie heeft welke rechten? In veel MKB bedrijven hebben te veel mensen de hoogste rechten. Vaak is dat gewoon zo gegroeid. De collega die ooit de installatie deed, kreeg alle rechten en hield ze.

Microsoft werkt met beheerrollen. Elke rol geeft precies genoeg rechten voor één taak. Zo hoeft niemand meer te kunnen dan nodig is. Hieronder zie je een aantal veelgebruikte rollen.

Het belangrijkste principe heet least privilege. Je geeft iemand alleen de rechten die nodig zijn voor zijn werk. Een medewerker die wachtwoorden reset, heeft geen Global Administrator nodig.

Plan daarnaast twee noodaccounts, ook wel break glass accounts genoemd. Dat zijn beheeraccounts met een heel lang wachtwoord, bewaard op een veilige plek. Je gebruikt ze alleen als normale inlog niet meer werkt. Denk aan een storing in de verificatie of een beheerder die onbereikbaar is. Zonder zo’n noodaccount kun je buitengesloten raken uit je eigen tenant.

Gebruik voor dagelijks werk bovendien aparte beheeraccounts. Een beheerder leest zijn mail dus niet met het account waarmee hij de tenant beheert. Als zijn mail wordt gehackt, blijft de tenant veilig.

Identiteit en wijzigingen onder controle houden

Een tenant leeft. Mensen komen en gaan, afdelingen veranderen en er komen nieuwe apps bij. Zonder vaste routine sluipt er rommel in. Drie onderdelen verdienen vaste aandacht.

In dienst en uit dienst netjes regelen

Het uitschakelen van een account bij vertrek lijkt vanzelfsprekend. In de praktijk gaat het mis bij tijdelijke krachten, stagiairs en externe adviseurs. Hun accounts blijven maanden actief, soms met toegang tot gevoelige teams. Leg vast wie een vertrek meldt en wie het account afsluit. Bepaal ook wat er met mailbox en bestanden gebeurt.

Apps en toestemmingen bewaken

Medewerkers kunnen apps koppelen aan hun Microsoft 365 account. Zo krijgt een handige planningstool soms leesrechten op mail en bestanden. Je kunt instellen dat een beheerder eerst moet goedkeuren. Dat kost weinig moeite en voorkomt veel ellende.

Wijzigingen vastleggen

Elke aanpassing aan de tenant krijgt een korte notitie. Wat is veranderd, wanneer en waarom? Dat klinkt streng, maar het scheelt veel zoekwerk. Stel dat Teams ineens anders werkt na een wijziging in de instellingen. Dan zie je meteen wat er is aangepast en kun je het terugdraaien.

Test grote wijzigingen eerst met een kleine groep gebruikers. Denk aan een nieuwe regel voor inloggen of een andere deelinstelling. Een proefgroep van vijf mensen laat zien of het werkt, voordat iedereen er last van heeft.

Backup en monitoring: wat Microsoft wel en niet doet

Een veelvoorkomende misvatting is dat Microsoft alles voor je regelt. Microsoft zorgt voor de beschikbaarheid van de dienst. De data, de rechten en de instellingen blijven jouw verantwoordelijkheid. Dat heet gedeelde verantwoordelijkheid.

Een voorbeeld maakt dit duidelijk. Een medewerker verwijdert per ongeluk een hele SharePoint site. Of een kwaadwillende wist na een gehackt account duizenden bestanden. Microsoft heeft een prullenbak met een beperkte bewaartermijn, maar dat is geen volwaardige backup. Na die termijn zijn de gegevens weg.

Daarom werkt De Koning ICT in Modern Workplace+ met Microsoft 365 als basis en een aanvullende backupoplossing van AvePoint. Zo kun je losse bestanden, mailboxen of complete sites terugzetten, ook als de eigen bewaartermijn van Microsoft is verlopen. De kracht zit in het combineren van Microsoft met gespecialiseerde diensten die iets toevoegen.

Hetzelfde geldt voor monitoring. Microsoft geeft veel meldingen, maar iemand moet ze lezen en beoordelen. Een melding over een verdachte inlog om drie uur ’s nachts heeft weinig waarde als niemand meekijkt. Huntress voegt daarom menselijke monitoring toe, ook buiten kantooruren. Meer over die aanpak lees je op onze pagina over beveiliging.

Daarnaast hoort een vast controlemoment bij goed beheer. Kijk dagelijks of backups gelukt zijn. Bekijk maandelijks wie beheerrechten heeft. Loop elk kwartaal de belangrijkste instellingen na. Zo vang je afwijkingen op voordat ze een probleem worden.

Zelf beheren of uitbesteden?

Veel MKB bedrijven hebben geen eigen specialist voor Microsoft 365. Vaak doet een collega het erbij, naast zijn eigenlijke werk. Dat werkt zolang er niets bijzonders gebeurt. Het wordt lastig bij een incident, een audit of een grote wijziging.

Er zijn grofweg drie manieren om tenantbeheer te organiseren. Welke het beste past, hangt af van je situatie.

1. Je doet alles zelf. Dit past bij organisaties met een eigen ICT team dat kennis van Microsoft 365 bijhoudt.
2. Je doet het dagelijkse werk zelf en laat een partner meekijken bij beveiliging en grotere wijzigingen.
3. Je laat het beheer volledig uitvoeren door een partner met een abonnement.

Er is geen vaste beste keuze. Het hangt af van de grootte van je organisatie, je kennis en je tijd. Bij organisaties met 50 tot 250 werkplekken zien we vaak de tweede of derde vorm. Dan blijft er geen kennis hangen bij één persoon en is er altijd iemand bereikbaar.

Let bij een partner op een paar punten. Krijg je direct een expert aan de lijn in plaats van een robot? Blijft de beheerdocumentatie van jou, zodat je nooit vastzit aan één leverancier? En bekijkt de partner ook je omgeving en context, niet alleen de techniek? De Koning ICT werkt zo, zonder vendor lock in, met korte lijnen en dagelijkse controle van omgevingen en backups. Het beheer van de tenant sluit aan op het werkplekbeheer, omdat apparaten en accounts samen de werkplek vormen.

Grip op je tenant begint met overzicht

Tenantbeheer klinkt technisch, maar de kern is eenvoudig. Weet wie waar bij mag. Leg vast wat je verandert. Zorg dat je gegevens terug te halen zijn en dat iemand meekijkt als er iets gebeurt. Met deze basis voorkom je de meeste problemen die we in de praktijk tegenkomen.

Begin klein. Controleer deze week wie beheerrechten heeft en of er noodaccounts zijn. Dat kost een uur en geeft direct inzicht. Wil je weten hoe jouw tenant ervoor staat of hoe je het beheer anders inricht? De Koning ICT denkt graag met je mee, zonder verplichtingen en zonder standaardverhaal. Je vindt ons via de website of belt gewoon even.

Veelgestelde vragen over microsoft 365 tenantbeheer uitgelegd

Hoeveel Global Administrators mag een tenant hebben?

Houd het aantal klein, bij voorkeur twee tot vier personen. Dan heeft elke beheerder genoeg backup, maar blijft het risico beperkt. Voeg daar twee noodaccounts aan toe die je alleen in noodgevallen gebruikt. Geef alle andere beheerders een rol die past bij hun taak.

Is een backup van Microsoft 365 echt nodig?

Ja, in de meeste gevallen wel. Microsoft zorgt voor de beschikbaarheid van de dienst, maar jij blijft verantwoordelijk voor je gegevens. Verwijderde bestanden zijn maar beperkte tijd terug te halen. Een aparte backup, bijvoorbeeld met AvePoint, geeft je de ruimte om ook later nog gegevens te herstellen.

Hoe vaak moet ik mijn tenantinstellingen controleren?

Doe een kleine controle elke maand en een grondige controle elk kwartaal. Kijk bij de maandelijkse controle naar beheerrechten, nieuwe apps en accounts van vertrokken medewerkers. Loop bij de kwartaalcontrole de beveiligingsinstellingen, het delen van bestanden en de backups na.