License follows role: licenties koppelen aan rollen

License follows role is een simpel idee waar bijna elk IT-team het in theorie mee eens is, en in de praktijk moeite mee heeft: de Microsoft 365-licentie die iemand heeft, zou moeten passen bij de rol die diegene nu vervult, niet bij de rol waarvoor hij twee jaar en één promotie geleden werd aangenomen. Als die koppeling losraakt, betaal je voor premium-licenties op inactieve accounts, of erger nog, mis je dat iemand in een gevoelige rol nooit de security-toevoeging kreeg die zijn functie eigenlijk vereist.

De reden dat het misgaat is bijna nooit een gebrek aan beleid. De meeste organisaties hebben wel een grof idee van welke licentielaag bij welke rol hoort. Het probleem is dat niemand de toewijzing herbeoordeelt na die eerste keer. Iemand stapt over van Sales naar Sales Operations, houdt zijn oude licentie, krijgt nieuwe groepslidmaatschappen voor de nieuwe rol, en de licentie sluit stilletjes niet meer aan op de werkelijkheid. Vermenigvuldig dat met een paar honderd medewerkers en een paar jaar aan wisselingen, en de licentie-uitgaven weerspiegelen niet meer wie er daadwerkelijk wat gebruikt.

Dit artikel kijkt naar wat er nodig is om licentiebehoefte gekoppeld te houden aan rol en groepslidmaatschap terwijl mensen instromen, doorstromen en uitstromen, en waar Entra ID-aanmeldgegevens in het plaatje passen om die verschuiving op te vangen voordat het een weggegooide regel op de volgende verlenging wordt.

Waarom licentietoewijzing losraakt van de rol

Licentietoewijzing gebeurt meestal één keer, op het moment dat iemand instroomt. IT (of een geautomatiseerde onboarding-flow) checkt de functietitel, kiest een licentielaag en gaat verder. Dat is de juiste eerste stap. Het probleem zit in wat er daarna gebeurt, of eigenlijk: wat er niet gebeurt.

Een paar patronen zie je in bijna elke mid-market Microsoft-omgeving:

• Promoties en zijwaartse overstappen triggeren geen licentie-review. De functietitel, groepslidmaatschappen en verantwoordelijkheden van iemand veranderen, maar niemand komt terug om te checken of de licentielaag nog past.
• Projectrollen of tijdelijke functies houden hun opgewaardeerde licentie na afloop van het project. Een project van zes maanden dat Power BI Pro-toegang nodig had, komt zelden met een herinnering om die in maand zeven weer weg te halen.
• Vertrekkers worden uitgeschakeld, niet gecontroleerd op licentie. Het account wordt correct uitgeschakeld, maar de licentie, nog steeds gekoppeld, blijft hangen tot iemand het opmerkt tijdens een audit of een verlenging.
• Handmatige licentietoewijzing leunt op iemands geheugen van de koppeling. Als degene die het oorspronkelijke beleid heeft opgesteld is vertrokken, zit de koppeling in zijn hoofd, niet in een systeem.

Niets van dit alles is nalatigheid. Het is het natuurlijke gevolg van licentietoewijzing behandelen als een eenmalige taak in plaats van iets dat dezelfde levenscyclus volgt als groepslidmaatschap.

License follows role: wat "koppelen aan attributen" in de praktijk betekent

De oplossing spiegelt hoe attribute-based access control (ABAC) al werkt voor groeps- en rollidmaatschap: in plaats van dat een persoon bepaalt wat iemand nodig heeft, beoordeelt een regel attributen zoals afdeling, functietitel en locatie, en volgt de juiste groepslidmaatschap automatisch. Licentiebehoefte kan op dezelfde manier worden benaderd, ook al loopt de daadwerkelijke SKU-toewijzing nog steeds via je eigen Microsoft-licentietooling.

Hoe de koppeling rol-groep-licentie werkt

1. Definieer de attribuutregel. Een combinatie van afdeling, functietitel of locatie koppelt aan een vaste set groepen, op dezelfde manier als bij toegang tot een file share of Teams.
2. Laat groepslidmaatschap de rol continu weerspiegelen. Als attributen veranderen (een promotie, een overstap, een nieuwe leidinggevende), wordt groepslidmaatschap automatisch bijgewerkt, in plaats van te wachten tot iemand het opmerkt.
3. Gebruik groepslidmaatschap als signaal voor licentiebehoefte. Als de groepen voor "Sales Operations Analyst" nu een Power BI-workspacegroep bevatten, is dat een sterk, actueel signaal dat deze persoon een licentielaag met Power BI-toegang nodig heeft, beoordeeld op basis van werkelijk gebruik in plaats van een statische aanname vanaf de aannamedatum.

Wat er verandert als iemand van rol wisselt

Als groepslidmaatschap automatisch wordt bijgewerkt bij een rolwijziging, wordt de mismatch in licentie bijna direct zichtbaar, in plaats van pas achttien maanden later tijdens een licentie-audit. Je automatiseert niet de licentiewissel zelf; je dicht het gat tussen "de rol van deze persoon is veranderd" en "iemand heeft dat daadwerkelijk opgemerkt".

Voor een breder beeld van hoe attribuutgestuurde regels toegang actueel houden over de hele identiteitslevenscyclus, zie ons overzicht Identity & Access Management.

Waar licentie-verschuiving echt gebeurt: instromers, doorstromers, uitstromers

Vrijwel alle licentieverspilling concentreert zich rond de drie levenscyclusmomenten die IT al bijhoudt voor toegang: instroom, doorstroom en uitstroom.

Instromers

De instroom is meestal het makkelijkste onderdeel om goed te doen, omdat het een bewust, zichtbaar moment is. Het risico hier is over-provisioning: een nieuwe medewerker de meest uitgebreide licentielaag geven "voor de zekerheid", in plaats van de laag die zijn werkelijke rol en groepslidmaatschappen vragen.

Doorstromers

Doorstroom is waar license follows role zichzelf terugverdient. Een overstap of promotie verandert de attributen van iemand, en als groepslidmaatschap attribuutgestuurd is, verschijnen de nieuwe groepen automatisch. Dat is het moment om de huidige licentielaag te vergelijken met de huidige groepslidmaatschap, niet over zes maanden.

Uitstromers

Offboarding schakelt het account uit en verwijdert toegang, maar de licentie is een aparte regel die zijn eigen controle nodig heeft. Een uitgeschakeld account dat nog een betaalde seat bezet, is een van de meest voorkomende, en meest eenvoudig te voorkomen, bronnen van licentieverspilling in elke Microsoft-tenant. Toegang en groepslidmaatschap aan de uitstroomkant lopen via dezelfde attribuutgestuurde regels die instromers en doorstromers beheren, en dat is ook het natuurlijke moment om de licentie te markeren voor terugwinning.

Van licentiegebruik naar een sturingssignaal

Rolkoppeling vertelt je hoe een licentielaag er op papier uit zou moeten zien. Werkelijke Entra ID-aanmeldactiviteit vertelt je wat er daadwerkelijk gebeurt. Samen maken die twee van license follows role een werkende controle in plaats van een beleidsdocument dat niemand checkt.

Signaal	Wat het je vertelt	Wat je ermee doet
Rol en groepslidmaatschap	Welke licentielaag bij de rol zou moeten horen	Stel de verwachte basislijn per rol vast
Aanmeldactiviteit voor premium-apps	Of de licentie daadwerkelijk gebruikt wordt	Markeer ongebruikte seats voor review
Contract- en seat-register	Hoeveel seats je bezit versus hoeveel er toegewezen zijn	Stem de volgende verlenging goed af
Recente rolwijziging	Of de huidige licentie nog past bij de nieuwe rol	Trigger een licentie-review, niet alleen een groepsupdate

Precies hier past de licentiemodule van ServiceChanger: die volgt Microsoft-licentiegebruik op basis van echte Entra ID-aanmeldactiviteit, houdt een contract- en seat-register bij, en markeert ongebruikte seats, over- of onderbenutting en aflopende contracten. Het geeft je het inzicht en de sturing om precies te weten welke seats je kunt terugwinnen en welke rollen te weinig licentie hebben. De daadwerkelijke SKU-toewijzing en -verwijdering loopt nog steeds via je eigen Microsoft-tooling; de module zorgt ervoor dat je altijd weet waar de mismatches zitten.

Een license-follows-role-beleid bouwen dat standhoudt

Een beleid dat alleen op papier bestaat, overleeft de eerste reorganisatie niet. Een paar praktische stappen maken het duurzaam:

• Verankaar licentielagen aan dezelfde attributen die groepslidmaatschap sturen, zodat één regelset beide dekt, in plaats van een aparte licentiespreadsheet bij te houden.
• Beoordeel de licentiepassing zodra een rolbepalend attribuut wijzigt, niet op een vaste jaarlijkse cyclus. Een promotie in maart hoort niet te wachten op een audit in januari.
• Check aanmeldactiviteit vóór de verlenging, niet erna. Contracten zijn het makkelijkst goed af te stemmen in de weken voordat ze verlengen, terwijl de beslissing nog invloed heeft.
• Behandel vertrekkers als een licentiegebeurtenis, niet alleen als een toegangsgebeurtenis. Het account uitschakelen is nodig maar niet voldoende; de seat moet terug de pool in.

FAQ

Betekent license follows role dat licenties automatisch worden toegewezen? Niet vanzelf. Groepslidmaatschap en toegang volgen automatisch uit rolattributen via ABAC-regels. De licentietoewijzing zelf loopt nog steeds via je Microsoft-licentietooling; wat verandert is dat je een helder, actueel signaal krijgt zodra een licentie niet meer bij een rol past, gebaseerd op werkelijke groepslidmaatschap en aanmeldgegevens.

Hoe vaak moet je de licentiepassing beoordelen? Zodra een rolbepalend attribuut wijzigt (promotie, overstap, afdelingswisseling), in plaats van op een vast schema. Beoordelen op het moment van wijziging vangt mismatches binnen weken op, in plaats van bij de volgende jaarlijkse audit.

Wijst ServiceChanger Microsoft-licentie-SKU's toe of trekt die in? Nee. ServiceChanger rapporteert over licentiegebruik op basis van echte Entra ID-aanmeldactiviteit, onderhoudt een contract- en seat-register, en markeert ongebruikte, overbenutte of aflopende licenties. De daadwerkelijke toewijzing en verwijdering van licenties loopt via je eigen Microsoft-tools.

Wat is de grootste bron van licentieverspilling in de meeste organisaties? Licenties die na de eerste toewijzing nooit meer worden beoordeeld, vooral rond rolwijzigingen en vertrek. Een licentie van een vertrekker die maandenlang ongebruikt blijft staan, is het meest voorkomende en makkelijkst op te lossen geval.

Licentiebehoefte gekoppeld houden aan rol is geen eenmalige opschoning, het is een gewoonte die elke promotie, overstap en elk vertrek moet overleven. Wil je een helderder, continu actueel beeld van hoe licentiegebruik zich verhoudt tot werkelijke rollen en groepslidmaatschap in je tenant? Plan een demo of lees meer over licentiebeheer en lifecycle-automatisering op de blog.