> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Microsoft Entra ID-integratie instellen

> Koppel Microsoft Entra ID aan Living Security voor activiteit op het gebied van identiteiten, aanmeldingen, risico's, apparaten en aanvalssimulaties.

export const EgressIpAllowlistBothSets = ({system}) => <Warning>
    <strong>{system} vereist twee sets adressen, niet één.</strong> Living Security genereert het toegangstoken van deze
    integratie op de eigen infrastructuur en vernieuwt dit continu, waardoor het verkeer voor de installatie en het verkeer voor synchronisatie via verschillende netwerken uitgaan. Zet beide sets op de allowlist in {system} en
    laat beide sets staan — dit is niet alleen tijdens de installatie vereist.
    <br />
    <br />
    <strong>Synchronisatieverkeer van de integratie</strong> — in elke regio gelijk:
    <br />
    <code>52.34.139.153/32</code>, <code>54.69.127.183/32</code>, <code>44.247.133.183/32</code>,{' '}
    <code>52.26.211.56/32</code>
    <br />
    <br />
    <strong>Platformverkeer</strong> — gebruik alleen de rij voor de regio waarin uw
    organisatie wordt gehost:
    <br />
    Verenigde Staten: <code>98.91.60.249/32</code>, <code>13.216.91.102/32</code>
    <br />
    Europese Unie: <code>34.246.236.210/32</code>, <code>52.31.102.238/32</code>
    <br />
    <br />
    Als u alleen de set voor synchronisatie op de allowlist zet, wordt de installatie nooit voltooid. Als u alleen de platformset op de allowlist zet, slaagt
    de installatie, maar mislukt elke synchronisatie. Zie{' '}
    <a href="/nl/integrations/managing/egress-ip-addresses">
      Uitgaande IP-adressen van Integraties configureren
    </a>{' '}
    voor beide foutsignaturen en het wijzigingsbeleid.
  </Warning>;

export const PublicIntegrationNextSteps = () => <>
    <hr />
    <h2>Gerelateerde bronnen</h2>
    <ul>
      <li>
        <a href="/nl/signals/data-sources">Lees hoe integratiegegevens worden omgezet in Human Risk Management-signalen</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/integrations">Ontdek de integraties van Living Security</a>
      </li>
      <li>
        <a href="https://app.livingsecurity.ai/">Open het Living Security Platform</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/request-demo/">Vraag een demo van Living Security aan</a>
      </li>
    </ul>
  </>;

export const HandoffPaths = () => <Tabs>
    <Tab title="Gedelegeerde configuratie (aanbevolen voor geheime sleutels)">
      Nodig de systeembeheerder met beperkte rechten uit voor het platform. Deze voert de
      inloggegevens rechtstreeks in; u hoeft het geheim nooit zelf te verwerken.
    </Tab>
    <Tab title="Overdracht van inloggegevens">
      Stuur de beheerder de pagina van de provider. Deze richt de inloggegevens in en geeft ze aan
      u terug; u voert ze vervolgens in via het dialoogvenster Connect.
    </Tab>
  </Tabs>;

export const ConnectInPlatform = ({tile, children}) => <Step title="Voer de inloggegevens in het Living Security Platform in">
    <p>
      Uit te voeren door degene die toegang heeft tot Living Security — de programma-eigenaar, of de
      systeembeheerder als deze is uitgenodigd (gedelegeerde installatie).
    </p>
    <ol>
      <li>
        Ga naar <strong>instellingen → Integraties → Catalog</strong>, zoek de tegel{' '}
        <strong>{tile}</strong> en klik op <strong>verbinden</strong>.
      </li>
      <li>
        Vul de onderstaande velden in en klik vervolgens op <strong>verbinden</strong>.
      </li>
    </ol>
    {children}
  </Step>;

export const SystemAdminBanner = ({system, recommendDelegated}) => <Note>
    <p>
      <strong>Deze handleiding is bedoeld voor uw {system}-beheerder.</strong> Hierin wordt beschreven hoe u API-referenties aanmaakt in {system}. Hiervoor is beheerderstoegang tot {system} vereist, niet tot het
      Living Security Platform.
    </p>
    <p>
      Als u de <strong>programma-eigenaar</strong> van Living Security bent en {system} niet beheert,
      stuur deze pagina dan door naar de persoon die dat wel doet. Die persoon voltooit deel A en geeft de referenties aan u terug
      (of voert ze rechtstreeks in als u diegene hebt uitgenodigd voor het platform).
      {recommendDelegated && <>
          {' '}Omdat tijdens de installatie gevoelig sleutelmateriaal wordt gegenereerd, raden wij het{' '}
          <strong>gedelegeerde installatietraject</strong> aan, zodat het geheim nooit naar u wordt teruggestuurd.
        </>}
    </p>
  </Note>;

<SystemAdminBanner system="Microsoft Entra ID" />

<HandoffPaths />

## Wat deze integratie bijdraagt

Microsoft Entra ID kan genormaliseerde activiteit aanleveren op het gebied van identiteiten, aanmeldingen, risico's, apparaten en aanvalssimulaties. Beoordeelde voorbeelden zijn:

* `account.compromised` — account gemarkeerd als gecompromitteerd
* `auth.login.unusual` — meldt zich aan vanuit ongebruikelijke contexten
* `phishing.simulation.clicked` — heeft op een simulatie geklikt zonder deze te melden

Dit zijn representatieve voorbeelden en geen garantie dat elke gebeurtenis in elke tenant beschikbaar is. Zie [hoe integratiegegevens signalen worden](/nl/signals/data-sources).

## Wat Living Security nodig heeft

| Referentie | Beschrijving |
| - | - |
| **Tenant-ID** | De UUID van de directory (tenant) uit uw Microsoft Entra admin center |
| **Klant-ID** | De UUID van de toepassing (client) die wordt toegewezen wanneer u de app registreert |
| **Clientgeheim** | Een geheime referentie die u genereert onder uw app-registratie — in het verbindingsdialoogvenster heet dit veld **API-sleutel** |
| **Graph API-host** | De hostnaam van Microsoft Graph (commercieel: `graph.microsoft.com`) |
| **Authority-host** | De hostnaam van de Microsoft Entra-authority (commercieel: `login.microsoftonline.com`) |

**Scopes (Application permissions):**

| Machtiging | Gebruikt voor |
| - | - |
| `User.Read.All` | Gebruikersdirectory |
| `SecurityAlert.Read.All` | Beveiligingsmeldingen |
| `AuditLog.Read.All` | Aanmeldlogboeken en registratiegegevens voor MFA |
| `Policy.Read.ConditionalAccess` | Details over voorwaardelijke toegang bij elke aanmelding — welke beleidsregels van toepassing waren en welke toekenningsbeheer ze afdwongen. MFA-detectie is hiervan afhankelijk |
| `AttackSimulation.Read.All` | Resultaten van Attack Simulation Training |
| `Device.Read.All` | Apparaatobjecten in Entra ID, inclusief apparaten die niet door Intune worden beheerd |
| `DeviceManagementManagedDevices.Read.All` | Door Intune beheerde apparaten |
| `IdentityRiskEvent.Read.All` | Risicodetecties van Identity Protection, inclusief gelekte referenties |
| `GroupMember.ReadWrite.All` | **Optioneel.** Acties voor groepslidmaatschap — hiermee kan een Playbook een persoon toevoegen aan of verwijderen uit een Microsoft Entra ID-groep |

### U bepaalt wat deze verbinding kan doen

Deze verbinding leest gegevens. Ze kan ook *acties uitvoeren* in uw directory, maar alleen als u dat toestaat.

Elke bovenstaande machtiging behalve de laatste is alleen-lezen. Als u alleen die machtigingen verleent, kan de verbinding nooit iets in uw tenant wijzigen — het platform detecteert dit en biedt groepsacties dan helemaal niet aan.

Voeg `GroupMember.ReadWrite.All` toe en acties voor groepslidmaatschap worden beschikbaar voor gebruik in Playbooks. Er gebeurt niets uit zichzelf: u moet nog steeds kiezen welke groepen het platform mag aanraken (zie hieronder) en een Playbook bouwen dat deze gebruikt.

U kunt op elk moment van gedachten veranderen. Het toevoegen of verwijderen van een machtiging in Microsoft Entra ID en het opnieuw verlenen van beheerderstoestemming is voldoende — u hoeft geen referenties opnieuw in te voeren in het platform en uw gegevenssynchronisaties blijven gewoon doorlopen. De wijziging is binnen ongeveer een uur van kracht.

<Note>
  **Acties voor groepslidmaatschap zijn bovendien beperkt tot groepen die u aanwijst.** Na het koppelen kiest een beheerder op de verbinding een expliciete toegestane lijst (allowlist) van groepen. Zolang die lijst niet bestaat, zijn groepsacties niet beschikbaar, zelfs niet als de machtiging is verleend — dus `GroupMember.ReadWrite.All` betekent nooit "elke groep in de tenant".

  Kies die groepen zorgvuldig: vermijd groepen die beheerdersrollen, bevoorrechte toegang of licentierechten verlenen.
</Note>

**Vereiste rol:** **Application Administrator** of **Global Administrator** in Microsoft Entra ID

<Note>
  **Twee van deze machtigingen zijn recent toegevoegd.** Als u Microsoft Entra ID hebt gekoppeld voordat ze in deze lijst stonden, voegt u ze toe aan uw bestaande app-registratie en **verleent u opnieuw beheerderstoestemming** — Microsoft vereist dat toestemming opnieuw wordt verleend wanneer machtigingen wijzigen. Alle andere gegevensstromen blijven in de tussentijd normaal werken.

  `Policy.Read.ConditionalAccess` — zonder deze machtiging verwijdert Microsoft de details over voorwaardelijke toegang uit elk aanmeldrecord. Het record meldt nog steeds dat een beleid voor voorwaardelijke toegang is nageleefd, maar de lijst met beleidsregels is leeg. Er mislukt niets en er volgt geen waarschuwing: aanmeldgegevens blijven binnenkomen en de verbinding blijft gezond. Het platform kan alleen niet bepalen welke aanmeldingen zijn voldaan met multifactorauthenticatie, waardoor MFA-activiteit van deze verbinding leeg blijft.

  `IdentityRiskEvent.Read.All` — voor het lezen van risicodetecties is ook een licentie voor **Microsoft Entra ID P1 of P2** vereist. Detectie van gelekte referenties is zelf beschikbaar in elk niveau, inclusief P1; de premiumdetecties worden onder P2 gerapporteerd als `generic`.
</Note>

### Vereisten

* U moet beschikken over **Application Administrator**- of **Global Administrator**-toegang in Microsoft Entra ID om toepassingen te registreren en beheerderstoestemming te verlenen.

***

## Deel A — In Microsoft Entra ID

*Uw Microsoft Entra ID-beheerder voert deze stappen uit.*

<Steps>
  <Step title="Een nieuwe toepassing registreren">
    1. Meld u aan bij het [Microsoft Entra admin center](https://entra.microsoft.com).
    2. Ga in de navigatie links naar **Entra ID** → **App registrations**.
    3. Klik op **New registration**.
    4. Voer een duidelijke naam in voor de app, zoals `Living Security Platform`.
    5. Selecteer onder **Supported account types** de optie **Accounts in this organizational directory only**.
    6. Laat **Redirect URI** leeg — deze integratie gebruikt de client credentials flow.
    7. Klik op **Register**.

    Noteer na de registratie de volgende waarden op de pagina **Overview**:

    * **Application (client) ID**
    * **Directory (tenant) ID**
  </Step>

  <Step title="Microsoft Graph-toepassingsmachtigingen toevoegen">
    1. Klik op de pagina **Overview** van uw app in het linkermenu op **API permissions**.
    2. Klik op **Add a permission**.
    3. Selecteer **Microsoft Graph**.
    4. Selecteer **Application permissions**.
    5. Zoek elke onderstaande machtiging op, selecteer deze en klik vervolgens op **Add permissions**:
       * `User.Read.All`
       * `SecurityAlert.Read.All`
       * `AuditLog.Read.All`
       * `Policy.Read.ConditionalAccess`
       * `AttackSimulation.Read.All`
       * `Device.Read.All`
       * `DeviceManagementManagedDevices.Read.All`
       * `IdentityRiskEvent.Read.All`
    6. Voeg `GroupMember.ReadWrite.All` **alleen toe als** u wilt dat Playbooks het groepslidmaatschap kunnen wijzigen. Sla deze stap over om deze verbinding alleen-lezen te houden.

    <Note>
      Dit zijn de minimale machtigingen voor alle gegevensstromen. Als u slechts een deel van de stromen wilt inschakelen, kunt u de machtigingen voor stromen die u niet gebruikt weglaten.
    </Note>
  </Step>

  <Step title="Beheerderstoestemming verlenen">
    Voor toepassingsmachtigingen is expliciete beheerderstoestemming vereist.

    1. Klik op de pagina **API permissions** op **Grant admin consent for \<your tenant name>**.
    2. Klik in het bevestigingsdialoogvenster op **Ja**.
    3. Controleer of elke machtiging **Granted** toont in de kolom **Status**.

    <Note>
      Als de knop **Grant admin consent** grijs is, hebt u de rechten van **Privileged Role Administrator** of **Global Administrator** nodig. Beheerderstoestemming moet opnieuw worden verleend telkens wanneer u nieuwe machtigingen toevoegt.
    </Note>
  </Step>

  <Step title="Een clientgeheim aanmaken">
    1. Klik op de pagina **Overview** van uw app in het linkermenu op **Certificates & secrets**.
    2. Klik op het tabblad **Client secrets** en vervolgens op **New client secret**.
    3. Voer een beschrijving in (bijv. `Living Security Platform`).
    4. Kies een verlooptermijn die aansluit bij uw rotatiebeleid.
    5. Klik op **Add**.

    <Warning>
      **Kopieer de geheime waarde onmiddellijk.** Microsoft Entra ID toont het volledige clientgeheim slechts één keer. Als u wegnavigeert voordat u het hebt gekopieerd, moet u het geheim verwijderen en een nieuw geheim aanmaken.
    </Warning>

    Bewaar het geheim veilig. Stel een agendaherinnering in om het te vernieuwen vóór de verloopdatum — een verlopen geheim zorgt ervoor dat synchronisaties mislukken met `401 Unauthorized`.
  </Step>

  <Step title="De Graph API-host en Authority-host bepalen">
    Gebruik voor de meeste organisaties in de commerciële cloud de standaardwaarden:

    | Veld | Waarde commerciële cloud |
    | - | - |
    | **Graph API-host** | `graph.microsoft.com` |
    | **Authority-host** | `login.microsoftonline.com` |

    Gebruik voor overheids- of soevereine clouds de juiste endpoints voor uw omgeving.

    <Note>
      De Graph API-host en de Authority-host moeten bij elkaar passen — tokens van de authority van de ene cloud zijn niet geldig voor het Graph-endpoint van een andere cloud.
    </Note>
  </Step>
</Steps>

***

## Deel B — In het Living Security Platform

*De programma-eigenaar voert deze stap uit, of de systeembeheerder als die is uitgenodigd voor het platform.*

<Steps>
  <ConnectInPlatform tile="Microsoft Entra ID (Client Credentials)">
    | Veld | Waarde |
    | - | - |
    | **API-sleutel** | Het clientgeheim uit Deel A, stap 4 |
    | **Azure Tenant-ID** | De Directory (tenant) ID uit Deel A, stap 1 |
    | **Klant-ID** | De Application (client) ID uit Deel A, stap 1 |
    | **Graph API-host** | `graph.microsoft.com` (of het endpoint van uw cloud) |
    | **Authority-host** | `login.microsoftonline.com` (of het endpoint van uw cloud) |

    <img src="https://mintcdn.com/livingsecurity/oVkrOMkYmNevekTI/integrations/images/microsoft-entra-id-cc/connect-dialog.png?fit=max&auto=format&n=oVkrOMkYmNevekTI&q=85&s=2a192b0a28e753ad0e0bc0b640508136" alt="Verbindingsdialoogvenster van Living Security voor Microsoft Entra ID" style={{maxWidth: "450px"}} width="576" height="692" data-path="integrations/images/microsoft-entra-id-cc/connect-dialog.png" />
  </ConnectInPlatform>
</Steps>

U bent nu verbonden met Microsoft Entra ID (Client Credentials).

***

## Probleemoplossing

<AccordionGroup>
  <Accordion title="401 Unauthorized">
    De referenties zijn ongeldig of verlopen. Controleer het volgende:

    1. Het clientgeheim is niet verlopen of vervangen
    2. Tenant-ID en Klant-ID zijn correct
    3. De Authority-host komt overeen met uw cloudomgeving
  </Accordion>

  <Accordion title="403 Forbidden">
    De app-registratie mist machtigingen of er is geen beheerderstoestemming verleend. Controleer het volgende:

    1. Alle vereiste machtigingen staan vermeld onder **API permissions**
    2. Elke machtiging toont de status **Granted** (groen vinkje)
    3. Beheerderstoestemming is verleend nadat de machtigingen zijn toegevoegd

    <Note>
      Als u na de eerste toestemming nieuwe machtigingen hebt toegevoegd, moet u de beheerderstoestemming opnieuw verlenen.
    </Note>
  </Accordion>

  <Accordion title="Lege resultaten voor specifieke gegevensstromen">
    Mogelijk ontbreekt in de app de specifieke machtiging voor die stroom:

    * Geen gebruikers → ontbrekende machtiging `User.Read.All`
    * Geen beveiligingsmeldingen → ontbrekende machtiging `SecurityAlert.Read.All`
    * Geen aanmeldlogboeken → ontbrekende machtiging `AuditLog.Read.All`
    * Geen resultaten van aanvalssimulaties → ontbrekende machtiging `AttackSimulation.Read.All`
    * Geen Entra ID-apparaten → ontbrekende machtiging `Device.Read.All`
    * Geen door Intune beheerde apparaten → ontbrekende machtiging `DeviceManagementManagedDevices.Read.All`
    * Geen risicodetecties → ontbrekende machtiging `IdentityRiskEvent.Read.All`, beheerderstoestemming niet opnieuw verleend na het toevoegen ervan, of de tenant valt onder de minimale licentie Microsoft Entra ID P1
  </Accordion>

  <Accordion title="Tokenaanvraag mislukt met invalid_client">
    De Graph API-host en de Authority-host komen mogelijk niet overeen. Beide moeten overeenkomen met dezelfde cloudomgeving (commercieel, overheid, enz.).
  </Accordion>

  <Accordion title="Groepsacties verschijnen niet in een Playbook">
    Acties voor groepslidmaatschap worden alleen aangeboden wanneer aan alle drie de volgende voorwaarden is voldaan:

    1. `GroupMember.ReadWrite.All` staat op de app-registratie, met verleende beheerderstoestemming. Als u deze onlangs hebt toegevoegd, kan het tot een uur duren.
    2. Een beheerder heeft op de verbinding een toegestane lijst (allowlist) van groepen aangewezen.
    3. De verbinding is actief en gezond.

    Als u de machtiging hebt verleend en de acties nog steeds niet beschikbaar zijn, verleent u de beheerderstoestemming opnieuw — Microsoft vereist dit telkens wanneer machtigingen wijzigen.
  </Accordion>

  <Accordion title="Voorwaardelijke toegang blokkeert de verbinding of de acties ervan">
    Als uw tenant een beleid voor voorwaardelijke toegang (Conditional Access) heeft dat op IP-adres is afgebakend, kan dit aanvragen blokkeren die de referentie van deze verbinding bevatten. De meeste tenants worden hier niet door beïnvloed — Microsoft Graph beperkt standaard niet op IP-adres. Als u wel een op IP afgebakend beleid afdwingt voor service principals, moeten voor deze integratie **twee** sets adressen worden toegestaan, omdat de installatie en de gegevenssynchronisatie vanuit verschillende netwerken verlopen.

    Living Security genereert zelf het toegangstoken van deze verbinding en vernieuwt dit continu, waardoor tokenaanvragen afkomstig zijn van de eigen adressen van het platform, niet van de adressen die uw gegevenssynchronisaties gebruiken.

    Groepsacties staan hier los van. Standaard volgen ze dezelfde route als uw gegevenssynchronisaties en komen ze van de synchronisatieadressen. Ze gaan pas via de platformadressen als een beheerder de verbinding overschakelt op directe egress.

    <EgressIpAllowlistBothSets system="Microsoft Entra ID" />

    Voeg beide sets toe aan de **named location** die uw beleid voor voorwaardelijke toegang vertrouwt of uitsluit. Tokenaanvragen bereiken `login.microsoftonline.com` en gegevensaanvragen bereiken `graph.microsoft.com`; beide moeten slagen.

    Als alleen de synchronisatieadressen zijn toegestaan, mislukt de installatie bij het verkrijgen van een token en wordt er geen verbinding aangemaakt. Als alleen de platformadressen zijn toegestaan, slaagt de installatie maar levert elke synchronisatie geen records op.
  </Accordion>
</AccordionGroup>

<PublicIntegrationNextSteps />


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.