Entra ID Conditional Access analyzer
Plak geëxporteerde Conditional Access-policies om te controleren op ontbrekende admin-MFA, niet-geblokkeerde legacy-auth en te brede scopes.
Draait in je browser · er wordt niets verstuurdEntra IDNieuw
Alles draait in je browser. Er wordt niets verstuurd, ook geen groep-ID’s, rol-ID’s of policynamen uit je export.
Zo gebruik je het
- Voer in Graph Explorer (of een script) een GET-aanvraag uit naar "https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies".
- Kopieer de JSON-respons.
- Plak die in de tool.
- Bekijk de bevindingen en de policytabel, en exporteer het rapport indien nodig.
Veelvoorkomende situaties
Exporteer alle policies en controleer of admin-MFA en een legacy-authenticatieblokkade daadwerkelijk aanwezig en afgedwongen zijn, niet alleen geconfigureerd in report-only-modus.
Plak een conceptpolicy om te bevestigen dat er een noodaccount is uitgesloten voordat je hem van report-only naar ingeschakeld zet.
Uitleg
Plak de JSON-uitvoer van "GET /identity/conditionalAccess/policies" uit de Microsoft Graph API (bijvoorbeeld uit Graph Explorer, of een script met de Microsoft.Graph PowerShell-module), en de tool controleert de hele set policies op veelvoorkomende hiaten: geen policy die multi-factor authenticatie vereist voor beheerders, legacy-authenticatieprotocollen die niet geblokkeerd zijn, policies zonder enige grant- of session-control, en een policy gericht op "All users" zonder uitsluitingen, wat het risico geeft dat iedereen (inclusief beheerders) buitengesloten wordt als er iets misgaat. Daarnaast worden uitgeschakelde en report-only policies en exacte duplicaten gemeld. Alles draait lokaal; groep-ID’s, rol-ID’s en policynamen verlaten je browser nooit.
🔒 Je invoer blijft in je browser en wordt nergens naartoe gestuurd.
Veelgestelde vragen
Maakt dit verbinding met mijn tenant?
Nee. Er zijn geen inloggegevens en geen API-aanroepen. Je exporteert de policies zelf, bijvoorbeeld met Graph Explorer of de Microsoft.Graph PowerShell-module, en plakt de JSON hier.
Hoe bepaalt de tool of een policy beheerders dekt?
De tool zoekt naar een policy die een bekende bevoegde directory-rol bevat (zoals Global Administrator, via zijn role-template-ID, die gelijk is in alle tenants) of de rolwaarde "All", gericht is op alle applicaties, ingeschakeld is, en MFA vereist. Een policy gericht op alleen specifieke apps of een groep in plaats van een rol voldoet niet aan deze controle, ook al dekt die effectief dezelfde beheerders.
Waarom wordt een policy met "alle gebruikers, geen uitsluitingen" gemeld, ook als die prima lijkt?
Het is een best-practice-waarschuwing, niet per se een misconfiguratie. Microsoft adviseert om minstens één noodaccount ("break-glass") uit te sluiten van brede policies, zodat een fout in de policy, een storing in een vereiste control (zoals een MFA-provider), of een onverwachte voorwaarde-match niet alle accounts in één keer buitensluit.
Simuleert dit wat er zou gebeuren voor een specifieke gebruiker of aanmelding?
Nee, deze versie controleert de policyset zelf op structurele hiaten en risico’s. De tool evalueert geen hypothetische aanmelding tegen groeplidmaatschappen, apparaatstatus of risicoscores zoals de echte Conditional Access-engine dat zou doen.
Wat nu?
Een probleem gevonden of een suggestie? Laat het ons weten