Gasttoegang in Microsoft Entra ID beheren: grip op partners, rechten en verloopdata

Een accountant die tijdelijk jaarstukken nodig heeft, een marketingbureau dat in Teams samenwerkt of een leverancier die een projectsite gebruikt: externe toegang is voor veel MKB-organisaties dagelijkse praktijk. Microsoft Entra B2B-samenwerking maakt dit mogelijk zonder voor iedere externe persoon een volledig intern account te beheren.

De techniek voor uitnodigen is eenvoudig. De beheervraag is lastiger. Wie heeft de aanvraag goedgekeurd? Welke Teams, SharePoint-sites en bedrijfsapps kan de gast gebruiken? Wanneer eindigt de opdracht? En wie controleert of de toegang daarna werkelijk is ingetrokken?

Goed gastbeheer draait daarom om vier vaste onderdelen: een zakelijke reden, een interne eigenaar, een begrensde toegang en een einddatum. In deze gids lees je hoe je daarvan een werkbaar proces maakt, met en zonder Microsoft Entra ID Governance. Wil je weten waar externe toegang en andere Microsoft 365-risico's in jouw omgeving aandacht nodig hebben? Breng de belangrijkste risico's in kaart met de gratis IT-scan.

Wat een gastaccount wel en niet betekent

Bij B2B-samenwerking krijgt een externe persoon een gebruikersobject in jouw Microsoft Entra-directory. De gast meldt zich meestal aan met de identiteit van de eigen organisatie. Het gastobject in jouw tenant maakt het mogelijk om die persoon toegang te geven tot groepen, Teams, SharePoint-sites en bedrijfsapplicaties.

Een gastobject is op zichzelf nog geen volledige beschrijving van de toegang. De werkelijke rechten kunnen uit verschillende routes komen:

• lidmaatschap van een Microsoft 365-groep of Team;
• lidmaatschap van een beveiligingsgroep;
• toewijzing aan een enterprise-applicatie;
• directe rechten op een SharePoint-site, bibliotheek, map of bestand;
• een gedeelde link in SharePoint of OneDrive;
• een rol of andere beheerbevoegdheid.

Daarom is alleen de lijst met gastgebruikers controleren onvoldoende. Een actief gastobject kan geen bruikbare rechten meer hebben, terwijl een andere gast via meerdere groepen en directe machtigingen nog veel informatie kan bereiken. Een goede review verbindt identiteit, bron, zakelijke reden en eigenaar.

De gast meldt zich bij B2B doorgaans aan via de eigen organisatie. Microsoft heeft de aanmeldervaring voor gasten in 2025 gewijzigd: gebruikers worden naar de aanmeldpagina van hun thuisorganisatie geleid en keren daarna terug naar de organisatie die de bron beheert. Dat helpt gebruikers herkennen waar zij hun gegevens invoeren, maar verandert niets aan jouw verantwoordelijkheid om de toegang in de eigen tenant te begrenzen.

Leg de zakelijke basis vóór de uitnodiging vast

Iedere gasttoegang hoort een concrete reden en een verantwoordelijke medewerker te hebben. Leg minimaal deze gegevens vast:

Onderdeel	Praktische invulling
Externe persoon	Naam, organisatie en zakelijk e-mailadres
Zakelijk doel	Project, controle, leveranciersportaal of andere concrete reden
Interne eigenaar	Medewerker die de samenwerking en verlenging kan beoordelen
Benodigde bron	Specifiek Team, site, groep of applicatie
Toegangsniveau	Lezen, bewerken, deelnemen of een specifieke applicatierol
Einddatum	Verwacht projecteinde of uiterste herbeoordelingsdatum
Gevoeligheid	Soort informatie die de gast kan zien of wijzigen

Kies de interne eigenaar vanuit de bedrijfsactiviteit. IT kan de toegang technisch uitvoeren, maar de projectleider, contracteigenaar of afdelingsmanager weet of de samenwerking nog nodig is. Zonder zakelijke eigenaar verandert een review in giswerk en blijft toegang uit voorzichtigheid vaak bestaan.

Maak ook duidelijk wie gasten mag uitnodigen. Microsofts instellingen voor externe samenwerking bepalen of iedereen, alleen leden, specifieke rollen of niemand uitnodigingen mag versturen. De standaard kan ruimer zijn dan je organisatie verwacht. Een werkbaar MKB-beleid is meestal: een beperkte groep mag uitnodigen, iedere aanvraag heeft een eigenaar en uitzonderingen worden vastgelegd.

Volledig blokkeren is niet altijd veiliger. Medewerkers kunnen dan uitwijken naar privé-mail of onbeheerde deelplatforms. Richt liever een korte, controleerbare aanvraagroute in. Een goedgekeurde uitnodiging moet snel genoeg zijn om de normale manier van werken te blijven.

Beperk wat gasten in de directory kunnen zien

Onder External Identities en External collaboration settings kun je bepalen hoeveel directory-informatie gasten mogen zien. Microsoft beschrijft drie niveaus:

1. gasten hebben dezelfde directorytoegang als leden, de ruimste instelling;
2. gasten hebben beperkte toegang tot eigenschappen en lidmaatschappen, de standaardinstelling;
3. gasten zien alleen eigenschappen en lidmaatschappen van hun eigen directoryobject, de meest beperkte instelling.

De meest beperkte keuze kan passend zijn wanneer externe gebruikers geen reden hebben om andere personen, groepen of lidmaatschappen te bekijken. Test wel de werkelijke samenwerking. Een strenge directorybeperking herstelt geen te brede SharePoint-rechten en kan functionaliteit beïnvloeden die groepsinformatie nodig heeft.

Beoordeel daarnaast de instellingen voor uitnodigingen en domeinrestricties. Met een allowlist of blocklist kun je uitnodigingen voor specifieke domeinen toestaan of blokkeren. Gebruik een domeinlijst niet als enige beveiligingsmaatregel. Een toegestaan bedrijfsdomein zegt niet dat iedere medewerker van dat bedrijf jouw projectgegevens nodig heeft. De individuele aanvraag, brontoegang en einddatum blijven leidend.

Geef toegang via een beheersbare structuur

Voeg een gast toe aan het kleinste logisch passende samenwerkingsgebied. Maak voor een afgebakend project bijvoorbeeld een apart Team of een specifieke SharePoint-site. Deel niet de brede afdelingssite als een leverancier alleen drie projectdocumenten nodig heeft.

Groepsgebaseerde toegang is meestal eenvoudiger te beoordelen dan een verzameling directe rechten. Een projecteigenaar kan het lidmaatschap van één groep beoordelen, terwijl losse machtigingen op mappen en bestanden sneller buiten beeld raken. Vermijd directe rechten daarom waar een passende groep hetzelfde doel bereikt.

Controleer bij Teams ook de achterliggende SharePoint-structuur. Een standaardkanaal gebruikt de site van het Team. Privé- en gedeelde kanalen hebben een eigen lidmaatschapsmodel en kunnen aparte SharePoint-sites gebruiken. De gids externe gasten uitnodigen in Microsoft Teams behandelt de gebruikerskant. Voor de onderliggende machtigingen helpt SharePoint-machtigingen correct instellen.

Let apart op deelkoppelingen. Een netjes beheerd gastaccount voorkomt niet dat een link met brede of anonieme toegang een tweede route naar hetzelfde document biedt. Neem daarom zowel identiteitsrechten als SharePoint- en OneDrive-deelinstellingen op in controles van gevoelige projecten.

Gebruik cross-tenant access settings bewust

Voor samenwerking met andere Microsoft Entra-organisaties bieden cross-tenant access settings meer gerichte sturing. Je kunt inbound toegang naar jouw bronnen en outbound toegang van jouw medewerkers naar andere organisaties beheren. Je kunt standaardinstellingen gebruiken en voor belangrijke partners een organisatiespecifieke configuratie maken.

Deze instellingen kunnen ook bepalen of jouw tenant MFA-claims of apparaatclaims van een partner vertrouwt. Dat kan dubbele verificatie voorkomen, maar vertrouwen moet een expliciet besluit zijn. Controleer wie bij de partner het identiteits- en apparaatbeleid beheert, leg vast welke claims je accepteert en test het resultaat met een representatieve gebruiker.

Verander een algemene inbound- of outboundstandaard niet direct naar blokkeren. Microsoft waarschuwt dat dit bestaande bedrijfskritische toegang kan verbreken. Breng eerst sign-ins en gebruikte applicaties in kaart, bespreek uitzonderingen met de proceseigenaren en voer de wijziging gefaseerd uit.

Houd rekening met de samenhang tussen instellingen. Microsoft controleert bij uitnodigingen zowel domeinrestricties als cross-tenant access settings. Een domein op een blocklist blijft geblokkeerd. Een domein op een allowlist kan alsnog door cross-tenant beleid worden tegengehouden. Test dus de volledige keten en niet alleen één scherm.

Bescherm de aanmelding zonder de samenwerking te breken

Externe gebruikers melden zich aan vanaf apparaten en netwerken die jouw organisatie meestal niet beheert. Multifactor-authenticatie en Conditional Access zijn daarom belangrijke beschermingslagen. Lees voor een veilige basis ook Conditional Access: drie basisregels.

Bepaal per samenwerking welk risico acceptabel is. Voor een projectsite met algemene marketingbestanden kan het beleid anders zijn dan voor een financiële applicatie of directiedocumenten. Mogelijke voorwaarden zijn MFA, een beperkt applicatiebereik, toegestane locaties of vertrouwde apparaatclaims van een specifieke partner.

Test beleid eerst met een kleine groep en een noodscenario. Een externe partij gebruikt mogelijk een ander authenticatieproces dan interne medewerkers. Controleer de aanmelding vanaf het apparaat en de locatie die de gast werkelijk gebruikt. Kijk daarna in de sign-in logs of het bedoelde beleid is toegepast.

MFA is geen vervanging voor minimale rechten. Het voorkomt dat een gestolen wachtwoord direct genoeg is, maar een correct aangemelde gast kan nog steeds te veel data zien als het lidmaatschap verkeerd is ingericht.

Kies een reviewmodel dat bij de licentie past

Voor veel MKB-organisaties is een kwartaalreview een bruikbaar vertrekpunt. Kortlopende of gevoelige projecten kunnen een maandelijkse beoordeling nodig hebben. Een jaarlijkse review is meestal te traag voor leveranciers en tijdelijke projectteams.

Beoordeel per gast en per bron:

1. bestaat de zakelijke reden nog;
2. werkt de persoon nog voor de genoemde organisatie;
3. is de interne eigenaar nog verantwoordelijk en bereikbaar;
4. welke groepen, Teams, sites en apps geven toegang;
5. past het toegangsniveau nog bij de opdracht;
6. wanneer was er voor het laatst relevante samenwerking;
7. moet de toegang worden verlengd, beperkt of verwijderd.

Microsoft Entra Access Reviews kan beoordelingen voor groepen en applicaties ondersteunen. Gasten kunnen hun eigen toegang beoordelen, of een aangewezen eigenaar kan dat doen. Voor Microsoft 365-groepen zijn ook terugkerende reviews mogelijk. Microsoft noemt Microsoft Entra ID P2 of Microsoft Entra ID Governance als vereiste voor het beschreven gastreviewscenario. Controleer de actuele licenties voor jouw tenant en het gekozen type review.

Laat zelfbeoordeling niet automatisch de enige beslisregel zijn voor gevoelige data. Een gast kan bevestigen dat toegang handig is, maar de interne eigenaar moet vaststellen of er nog een contractuele of zakelijke noodzaak bestaat.

Bepaal vooraf wat er met niet beantwoorde reviews gebeurt. Automatisch verwijderen kan goed werken als eigenaarschap, communicatie en uitzonderingen op orde zijn. Zonder voorbereiding kan het een actieve samenwerking verstoren. Microsoft ondersteunt in bepaalde reviews het automatisch toepassen van resultaten en kan geweigerde gastaccounts eerst blokkeren en later verwijderen. Test dat met een niet-kritieke groep voordat je het breed inzet.

Heb je geen passende licentie, voer dezelfde cyclus handmatig uit. Exporteer of registreer per bron de gasten, eigenaar, einddatum en het besluit. Het hulpmiddel is minder belangrijk dan een vaste frequentie, een duidelijke beslisser en bewijs dat de uitkomst werkelijk is uitgevoerd.

Gebruik access packages bij terugkerende partnerinstroom

Handmatige uitnodigingen werken prima voor enkele bekende personen. Bij een partnerrelatie met regelmatige wisselingen wordt het proces al snel onoverzichtelijk. Microsoft Entra entitlement management kan dan toegang bundelen in een access package.

Een access package kan groepen, Teams, SharePoint-sites en enterprise-applicaties combineren. Een beleid bepaalt wie mag aanvragen, wie goedkeurt, hoe lang de toewijzing duurt en of een access review nodig is. Daardoor ontstaat een herhaalbaar pad van aanvraag tot afloop.

Een praktisch pakket voor een accountantscontrole kan bijvoorbeeld toegang geven tot één projectgroep, één SharePoint-site en één applicatie, met goedkeuring door de financieel manager en een vaste verloopdatum. Wanneer de toewijzing eindigt, wordt de toegang uit dat pakket verwijderd.

Microsoft beschrijft ook beheer van de gastlevenscyclus nadat de laatste access-package-toewijzing afloopt. Afhankelijk van de tenantinstellingen kan het gastaccount eerst worden geblokkeerd en later verwijderd. Let op bestaande gasten die buiten entitlement management zijn uitgenodigd. Zij zijn niet automatisch volledig onder die levenscyclus gebracht en kunnen andere rechten behouden.

Gebruik access packages daarom niet als reden om de broninventaris over te slaan. Controleer of de gast nog directe rechten, andere groepslidmaatschappen of een tweede pakket heeft voordat het account wordt verwijderd.

Maak offboarding aantoonbaar

Wanneer de samenwerking eindigt, trek je eerst de toegang tot groepen, Teams, sites en applicaties in. Controleer daarna rechtstreeks verleende SharePoint-rechten en actieve deelkoppelingen. Verwijder of blokkeer het gastobject wanneer er geen andere geldige toegang meer bestaat.

Leg per offboarding minimaal vast:

• wie de beëindiging heeft bevestigd;
• welke groepen, sites en apps zijn gecontroleerd;
• welke rechten en links zijn ingetrokken;
• wanneer sessies of aanmeldmogelijkheden zijn beëindigd;
• wie de eindcontrole heeft uitgevoerd;
• welke zakelijke informatie behouden moest blijven.

Verwijder niet eerst gedachteloos het object en sluit daarna het ticket. Een zorgvuldig proces kijkt ook naar bestanden, projectnotities en goedkeuringen die de gast heeft gemaakt. Bepaal wat in het bedrijfsdossier moet blijven en wie daarvan eigenaar wordt.

Bij een urgente intrekking kan het nodig zijn actieve sessies te beëindigen. Houd rekening met verwerkingstijd van groeps- en beleidswijzigingen. Controleer na de wijziging met logs of een gecontroleerde toegangstest dat de bron werkelijk niet meer bereikbaar is.

Stuur op uitzonderingen en verlopen toegang

Een managementrapport hoeft niet lang te zijn. Toon per maand of kwartaal ten minste:

Signaal	Gewenste uitkomst
Gasten zonder interne eigenaar	Naar nul brengen
Toegang zonder eind- of reviewdatum	Herstellen of intrekken
Reviews over de deadline	Escaleren naar proceseigenaar
Gasten met brede of directe rechten	Herontwerpen via groepen
Niet beantwoorde uitnodigingen	Reden controleren en opruimen
Verwijderde of beperkte toegang	Als bewijs van uitgevoerde governance bewaren
Afwijkingen in partnerbeleid	Eigenaar en hersteldatum vastleggen

Dit maakt gastbeheer zichtbaar als operationeel proces. Het helpt bij vragen vanuit ISO 27001, NIS2, accountantscontroles en klantcontracten, omdat je niet alleen beleid kunt tonen maar ook recente besluiten en uitgevoerde intrekkingen.

Koppel uitzonderingen aan een ticket of register. Noteer waarom de standaard niet past, wie het risico accepteert en wanneer de uitzondering vervalt. Een uitzondering zonder einddatum is in de praktijk een nieuwe, ongedocumenteerde standaard.

Veelgemaakte fouten

Alleen de gastenlijst beoordelen. De lijst toont identiteiten, niet alle effectieve rechten. Neem groepen, Teams, SharePoint, apps en deelkoppelingen mee.

Iedere medewerker laten uitnodigen zonder eigenaar. De samenwerking start snel, maar niemand weet later wie verlenging mag goedkeuren.

Een partnerdomein volledig vertrouwen. Een betrouwbaar bedrijf kan honderden medewerkers hebben. Beperk toegang nog steeds per persoon, groep en applicatie.

MFA als volledige oplossing zien. Sterke authenticatie beschermt de aanmelding, niet tegen te brede machtigingen.

Reviews uitvoeren zonder resultaten toe te passen. Een spreadsheet met het besluit verwijderen is geen intrekking. Controleer de technische uitvoering.

Automatisch opruimen direct breed aanzetten. Test eerst meldingen, eigenaarschap, niet beantwoorde reviews en uitzonderingen.

Een access package gelijkstellen aan alle toegang. Een gast kan buiten het pakket nog directe of andere groepsrechten hebben.

Veelgestelde vragen

Kan een gast alle gebruikers en groepen in onze organisatie zien?

Dat hangt af van de ingestelde guest user access restrictions en de gebruikte applicatie. Microsoft biedt onder meer een meest beperkte instelling waarbij gasten alleen hun eigen directoryobject kunnen bekijken. Test ook de toegang tot Teams, SharePoint en apps, want directoryzichtbaarheid bepaalt niet alle gegevensrechten.

Moet iedere gast een Microsoft-account hebben?

Nee. Microsoft Entra B2B ondersteunt verschillende identiteiten. De gast gebruikt vaak het account van de eigen organisatie. Welke route beschikbaar is, hangt af van de thuisorganisatie en jouw External ID-configuratie.

Kunnen we MFA van een partnerorganisatie vertrouwen?

Dat kan via organisatiespecifieke cross-tenant access settings. Leg bewust vast welke tenant en claims je vertrouwt. Test de aanmelding en controleer de sign-in logs voordat je een bestaande controle vervangt.

Hoe vaak moeten we gasttoegang beoordelen?

Per kwartaal is voor veel organisaties een praktisch begin. Kies een kortere cyclus voor gevoelige informatie, kortlopende projecten of partners met veel personeelswisselingen. Koppel de eerste review bij voorkeur aan de verwachte einddatum van de opdracht.

Is het verwijderen van een gastaccount genoeg?

Nee. Controleer ook groepslidmaatschappen, Teams, SharePoint-sites, enterprise-apps, directe rechten en deelkoppelingen. Kijk bovendien of zakelijke bestanden en besluiten correct zijn overgedragen.

Welke licentie is nodig voor Access Reviews?

Microsoft noemt voor het beschreven gastreviewscenario Microsoft Entra ID P2 of Microsoft Entra ID Governance. Andere review- en automatiseringsfuncties kunnen aanvullende voorwaarden hebben. Controleer daarom de actuele licentiepagina voor het precieze scenario.

Wanneer is entitlement management de moeite waard?

Vooral wanneer dezelfde partnergroep vaker toegang aanvraagt, wanneer meerdere bronnen samen moeten worden toegekend of wanneer goedkeuring, verloopdata en reviews in één proces moeten zitten. Voor één incidentele gast kan een gecontroleerde handmatige uitnodiging eenvoudiger zijn.

Gebruikte Microsoft-bronnen

De productwerking en governance-aanpak zijn op 24 oktober 2026 gecontroleerd tegen officiële Microsoft Learn-documentatie. De bronlinks bevatten geen trackingparameters:

• Configure external collaboration settings for B2B
• Manage cross-tenant access settings for B2B collaboration
• Manage guest access with access reviews
• Govern access for external users in entitlement management

Microsoft wijzigt functies, portaalnamen en licentievoorwaarden. Controleer vóór een beleidswijziging de actuele documentatie en de configuratie in je eigen tenant.

Van uitnodiging naar beheerde samenwerking

Veilige externe samenwerking ontstaat niet door gasten te verbieden. Ze ontstaat door voor iedere gast dezelfde keten te gebruiken: zakelijke reden, eigenaar, kleinste passende toegang, einddatum, review en aantoonbare intrekking.

Begin met gasten zonder eigenaar en toegang zonder einddatum. Richt daarna partnerbeleid en terugkerende reviews in. Gebruik access packages wanneer de instroom herhaalbaar wordt. Zo blijft samenwerken snel, terwijl de IT-manager grip houdt op wie welke bedrijfsinformatie kan bereiken.