Break glass account in Entra ID: opzet en monitoring

Elke Microsoft-tenant heeft een manier nodig om binnen te komen als de normale manier stuk is. Een break glass account is die nooddeur: een sterk bevoorrecht account, buiten je gebruikelijke authenticatieflow gehouden, waarmee een beheerder weer controle krijgt als Conditional Access verkeerd staat, je federatie met de identity provider breekt, of multi-factor authenticatie voor iedereen tegelijk onbereikbaar wordt. Een goede break glass account setup is een van die taken die theoretisch aanvoelt totdat het dat niet meer is, en dan is het te laat om een fout nog te herstellen.

Het lastige aan break glass accounts is dat ze in een ongemakkelijke positie zitten. Ze moeten precies de controles omzeilen waar je voor al het andere op vertrouwt, wat ze een aantrekkelijk doelwit maakt als ze slecht beheerd worden. Onbewaakt zijn ze precies het soort permanente, hoogbevoegde toegang dat security reviews zouden moeten opsporen. Dit artikel loopt door hoe je break glass accounts correct opzet, waarvan je ze moet uitsluiten, en hoe je ze monitort zodat ze een vangnet blijven in plaats van een blinde vlek.

Waarom je een break glass account nodig hebt

Conditional Access, MFA-afdwinging en Privileged Identity Management zijn kernonderdelen van een moderne Entra ID security posture. Het zijn ook precies de zaken die je kunnen buitensluiten als er iets misgaat.

De uitsluitingsscenario's zijn reëel

Een aantal situaties komt terug bij Microsoft-tenants van elke omvang:

• Een Conditional Access policy is verkeerd geconfigureerd en blokkeert alle sign-ins, inclusief die van beheerders.
• Je MFA-provider of het telefoonnetwerk ligt eruit, en niemand kan een tweede factor voltooien.
• Federatie met een on-prem identity provider breekt, waardoor elk gefedereerd account wordt afgesneden.
• De laatste overgebleven Global Administrator verlaat het bedrijf of verliest toegang tot zijn apparaat.

Elk van deze situaties kan ervoor zorgen dat je niet kunt inloggen en het probleem dat je blokkeert niet kunt oplossen. Precies daarvoor bestaat een break glass account.

Het is geen optie, en geen gemakszuchtig account

Een break glass account is geen gedeeld IT-wachtwoord voor dagelijkse beheertaken, en ook geen manier om MFA te omzeilen omdat dat lastig is. Het bestaat voor één doel: toegang herstellen wanneer elke normale weg heeft gefaald. Het anders gebruiken ondermijnt precies het vangnet waar je op je slechtste dag op rekent.

Een break glass account correct opzetten

Gebruik cloud-only accounts, geen gesynchroniseerde

Een break glass account moet een cloud-only Entra ID-account zijn, nooit gesynchroniseerd vanuit on-prem Active Directory. Als je on-prem omgeving of je hybride sync het probleem is, gaat een gesynchroniseerd account daarmee mee onderuit. Cloud-only accounts vermijden ook afhankelijkheid van federatie, wat weer een ander single point of failure wegneemt.

Wijs de rol direct toe, niet via PIM

Dit is het detail waar de meeste mensen over struikelen. Privileged Identity Management is uitstekend voor just-in-time, tijdsgebonden bevoorrechte toegang, maar een break glass account moet zijn Global Administrator-rol permanent en direct toegewezen krijgen, niet als eligible via PIM. Als PIM zelf niet beschikbaar is tijdens een storing, is een account dat afhankelijk is van PIM-activatie nutteloos precies op het moment dat je het nodig hebt.

Sluit het uit van Conditional Access

Elke Conditional Access policy die mogelijk sign-in kan blokkeren, MFA-vereisten, locatiebeperkingen, device compliance checks, moet je break glass accounts expliciet uitsluiten. De eigen richtlijnen van Microsoft raden aan om een aparte Conditional Access policy te maken die break glass accounts uitsluit van alle andere policies, zodat één verkeerd geconfigureerde regel elders niet ook de nooddeur op slot zet.

Gebruik sterke, unieke credentials die offline bewaard worden

Genereer een lang, willekeurig, uniek wachtwoord (32+ tekens is een gangbare aanbeveling) en bewaar het ergens fysiek beveiligd en toegangsgecontroleerd, zoals een verzegelde envelop in een kluis, in plaats van in een password manager die aan hetzelfde identity systeem hangt dat mogelijk uitligt. Gebruik je in plaats van een wachtwoord een fysieke security key, pas dan hetzelfde principe van offline, gecontroleerde opslag toe.

Maak minimaal twee accounts aan

Eén break glass account is een single point of failure. Twee accounts, apart bewaard, waar mogelijk bij verschillende beheerders, geven je redundantie als één credential kwijtraakt, vergeten wordt of gecompromitteerd is.

Monitoring: het deel dat de meeste tenants overslaan

Het account opzetten is de makkelijke helft. De lastigere discipline is ervoor zorgen dat een slapend noodaccount niet stilletjes een permanente, onbewaakte beheerder wordt.

Alarmeer bij elke sign-in, direct

Een break glass account zou nooit tijdens normale operatie moeten inloggen. Configureer een sign-in log alert (via Microsoft Sentinel, een SIEM, of een eenvoudige Logic App op het sign-in log) die afgaat zodra een van beide accounts authenticeert. Als niemand die sign-in verwachtte, wil je dat binnen enkele minuten weten, niet tijdens de volgende kwartaalreview.

Review de accounts op een vast schema

Ook al zouden de accounts slapend moeten blijven, ze vragen nog steeds om een terugkerende controle: werkt de credential nog, klopt de roltoewijzing nog, is het account per ongeluk toch in een Conditional Access policy terechtgekomen waarvan het uitgesloten had moeten zijn. Een kwartaalreview is een redelijke basis.

Roteer credentials na elk gebruik, en periodiek sowieso

Als een break glass account ooit gebruikt wordt, roteer dan direct daarna de credential als onderdeel van de incident review. Ook als het nooit gebruikt wordt, beperkt roteren op een vast schema (jaarlijks is gangbaar) hoe lang een gelekte of vergeten credential geldig blijft.

Houd de documentatie actueel, en buiten de systemen die het beschermt

Documenteer precies welke accounts break glass accounts zijn, waar de credentials bewaard worden, en wie geautoriseerd is ze te gebruiken, en bewaar die documentatie ergens dat niet afhankelijk is van het identity systeem dat de accounts juist moeten redden.

Onderdeel setup	Aanbevolen aanpak	Waarom het telt
Type account	Cloud-only, niet gesynchroniseerd	Overleeft on-prem- of federatiestoring
Roltoewijzing	Permanent, direct toegewezen	Niet geblokkeerd als PIM onbeschikbaar is
Conditional Access	Expliciet uitgesloten	Een verkeerd geconfigureerde policy sluit het niet buiten
Credentials	Sterk, uniek, offline bewaard	Niet afhankelijk van een password manager die mogelijk uitligt
Aantal accounts	Minimaal twee	Redundantie tegen één kwijtgeraakte credential
Monitoring	Realtime sign-in alert	Elk gebruik wordt binnen minuten onderzocht

Waar break glass past binnen bredere access governance

Break glass accounts zijn een smalle, specifieke control, maar ze vallen binnen een bredere discipline: precies weten wie permanente, bevoorrechte toegang heeft en waarom. Datzelfde gebrek aan overzicht dat een break glass account jarenlang onbewaakt laat, is meestal hetzelfde gebrek dat gewone bevoorrechte rollen ongemerkt laat opstapelen.

Permanente privileges zijn het patroon om in de gaten te houden

Een break glass account is bewust een permanent, niet-verlopend bevoorrecht account, en precies daarom vraagt het strakkere monitoring dan alles wat via de tijdsgebonden PIM-elevatie loopt. Diezelfde logica geldt breder: elk account met permanente, hoogbevoegde toegang verdient periodieke review, of het nu een noodaccount is of een service account waar niemand meer naar heeft omgekeken sinds het werd aangemaakt.

Access reviews sluiten de cirkel

Een terugkerende access review-cyclus, die niet alleen reguliere gebruikers maar ook bevoorrechte en noodaccounts meeneemt, is wat "we hebben dit ooit opgezet" omzet in "we weten dat dit nog klopt". De access review-functionaliteit van ServiceChanger laat je break glass en andere bevoorrechte accounts opnemen in een terugkerende reviewcadans naast je reguliere Entra ID- en on-prem AD-reviews, zodat een account zoals dit niet tussen jaarlijkse audits door valt.

Het routinewerk automatiseren geeft ruimte voor de uitzonderingen

De meeste toegangsbeslissingen in een mid-market Microsoft-omgeving vragen niet dit niveau van handmatige zorg, ze volgen voorspelbare patronen op basis van afdeling, rol of locatie. De access-automatisering van ServiceChanger regelt dat routinematige toewijzingswerk via attribuut-gebaseerde regels, wat precies de ruimte vrijmaakt voor de handvol accounts, zoals break glass accounts, die echt handmatige aandacht verdienen.

FAQ

Hoeveel break glass accounts moeten we hebben? Twee is de gangbare aanbeveling van Microsoft en de meeste security-experts. Eén account is een single point of failure; twee geven je redundantie als een credential kwijtraakt of één account een probleem heeft, zonder onnodige wildgroei te creëren.

Moet een break glass account MFA gebruiken? Nee. Break glass accounts worden juist uitgesloten van MFA- en Conditional Access-vereisten omdat ze bestaan om toegang te herstellen wanneer precies die systemen onbeschikbaar zijn. Dat compenseer je met sterke, unieke, offline bewaarde credentials en strikte, realtime monitoring van elke sign-in.

Kan een break glass account een gesynchroniseerd on-prem account zijn? Dat zou niet moeten. Een cloud-only account voorkomt afhankelijkheid van je on-prem Active Directory of hybride sync, en beide kunnen nou juist de reden zijn waarom je noodtoegang nodig hebt.

Hoe vaak moeten break glass credentials geroteerd worden? Direct na elk daadwerkelijk gebruik, en op een vast schema ongeacht gebruik, meestal jaarlijks. Dat beperkt de periode waarin een verouderde of mogelijk blootgestelde credential geldig blijft.

Break glass accounts zijn een klein onderdeel van je Entra ID-omgeving, maar ze dragen een onevenredig groot risico als ze slordig worden opgezet of onbewaakt blijven. Zet de opzet één keer goed neer, monitor consistent, en neem het op in hetzelfde governance-ritme als de rest van je bevoorrechte toegang. Voor het bredere plaatje van hoe je toegang verantwoordbaar houdt binnen je Microsoft-tenant, lees onze gids over access governance en compliance. Voor meer over aanverwante controls, bekijk onze artikelen over Entra ID of onze access control berichten.

Wil je zien hoe ServiceChanger break glass en andere bevoorrechte accounts opneemt in een terugkerende access review-cyclus naast je dagelijkse Entra ID- en on-prem AD-governance, neem contact op om het in actie te zien.