Wat is provisioning precies?

Provisioning is de verzamelnaam voor het geautomatiseerd klaarzetten van digitale toegang: een account, licenties, groepslidmaatschappen en een werkende laptop, precies op het moment dat iemand in dienst treedt, van functie wisselt of vertrekt. Een beheerder hoeft die stappen dan niet langer zelf uit te voeren.

Microsoft werkt daarbij met drie vormen: HR-gestuurde inrichting, app-inrichting en directory-provisioning. De kaarten hieronder laten zien wat elke vorm in de praktijk doet.

Directory-provisioning is vooral relevant zolang er nog een on-premises Active Directory meesynchroniseert; zodra dat wegvalt, blijft er in de praktijk één vorm over waar dit artikel zich op richt. Voor de meeste IT- en informatiemanagers draait het gesprek dan om twee praktische zijtakken van HR-gestuurde inrichting: het inrichten van de gebruiker (user provisioning) en het inrichten van het apparaat waarop hij werkt (device provisioning). Die twee lijken op elkaar, maar lopen via andere techniek, en dat verschil is de basis voor de rest van dit artikel, net als de bredere digitale werkplek met Microsoft 365 waar provisioning een bouwsteen van is.

User provisioning versus device provisioning: het verschil

User provisioning draait om de digitale identiteit van een medewerker: het account, de licenties en de groepen waar hij lid van wordt. Bij device provisioning staat het fysieke apparaat centraal, de laptop of telefoon die zich meldt bij het beheersysteem en daar automatisch de juiste instellingen krijgt. Beide starten bij dezelfde gebeurtenis, een indiensttreding, maar lopen via aparte techniek.

De tabel hieronder zet de twee naast elkaar op de punten waar het in de praktijk om draait: wat er wordt ingericht, welke techniek dat doet, wat de trigger is en wat er misgaat zonder automatisering.

Organisaties die alleen de gebruikerskant automatiseren, lossen de helft van het probleem op. Een medewerker met een werkend account maar een laptop die drie dagen op zich laat wachten, voelt zijn eerste werkweek nog steeds als rommelig aan.

Waarom handmatig inrichten misgaat zodra je organisatie groeit

Handmatig inrichten werkt prima zolang een organisatie klein genoeg is om elke nieuwe medewerker persoonlijk te kennen; zodra het aantal indiensttredingen, functiewisselingen en vertrekmomenten toeneemt, wordt diezelfde checklist een foutbron. Stel: een organisatie groeit in twee jaar van vijftig naar tweehonderd medewerkers. Bij vijftig medewerkers kende de systeembeheerder iedereen bij naam en regelde hij een nieuw account tussendoor. Bij tweehonderd medewerkers, verspreid over meerdere afdelingen met eigen aannametempo, lopen er te veel indiensttredingen, functiewisselingen en vertrekmomenten tegelijk om nog handmatig bij te houden.

Provisioning krijgt in de praktijk vaak pas aandacht na de eerste mislukte onboarding, niet ervoor. Iemand begint zonder toegang tot het systeem dat hij die dag nodig heeft, of houdt maanden na zijn vertrek nog een actief account over omdat niemand het intrekken bijhield. Dat is geen capaciteitsprobleem van de beheerder, het is een structuurprobleem van het proces zelf.

• Inconsistente toegang. De ene nieuwe medewerker krijgt alle rechten van zijn voorganger gekopieerd, de andere mist een groep die net was toegevoegd.
• Trage onboarding. Een account dat pas op de eerste werkdag zelf wordt aangevraagd, is vaak pas na een paar dagen volledig werkend.
• Beveiligingsgaten. Een account dat na vertrek blijft bestaan, is een deur die niemand meer op slot zet.
• Tijdverlies bij de beheerder. Elk account is een losse handeling: aanmaken, licenties toewijzen, aan groepen koppelen, een laptop klaarzetten. Bij een organisatie met veel wisselingen loopt dat handmatige werk snel op tot een groot deel van een werkweek.

Zelfde medewerker, ander groeitempo: wat bij vijftig man een prima werkwijze was, is bij tweehonderd man de belangrijkste bron van rommelige toegang. Een strenger geheugensteuntje voor de beheerder lost dat niet op; het automatiseren van wat er gebeurt zodra het HR-systeem een wijziging vastlegt, wel. Governance speelt hier ook mee: het legt vast wie welke toegang mag krijgen, provisioning voert die afspraak vervolgens automatisch uit.

Hoe werkt automatische user provisioning met SCIM?

Automatische user provisioning werkt via een doorlopende synchronisatie tussen Microsoft Entra ID en de applicaties waar een medewerker toegang toe nodig heeft. Verandert er iets in Entra ID, dan volgt de gekoppelde app automatisch mee, zonder dat een beheerder iets exporteert of uploadt.

De motor achter die synchronisatie is meestal System for Cross-domain Identity Management: een open standaard waarmee systemen automatisch gebruikersgegevens met elkaar uitwisselen.. Apps die deze standaard ondersteunen, laten Entra ID automatisch accounts aanmaken, bijwerken en verwijderen. Dat gebeurt op het moment van in- of uitdiensttreding. Een beheerder hoeft dan geen CSV-bestanden meer handmatig te uploaden naar elke losse applicatie (Microsoft Learn).

Praktisch betekent dit dat je in Entra ID per applicatie een provisioningconnector instelt, koppelt welke Entra ID-groep toegang geeft tot welke app, en Entra ID zet elke wijziging vervolgens automatisch door. Een medewerker die van marketing naar sales verhuist, verliest zijn marketingtools en krijgt zijn salestools zonder dat iemand daar handmatig aan hoeft te denken.

Regel je die koppeling niet, dan blijft rechten toekennen een handmatige route per systeem, per medewerker, per wijziging; met SCIM ingericht verschuift dat werk naar één plek, de groep waar iemand in Entra ID lid van is.

Device provisioning met Windows Autopilot: van doos naar werkende laptop

Device provisioning met Windows Autopilot betekent dat een nieuwe Windows-laptop zichzelf inricht zodra de medewerker hem voor het eerst aanzet, zonder dat IT het apparaat vooraf heeft geïmaged. Autopilot is een verzameling technologieën waarmee nieuwe Windows-apparaten vooraf worden ingericht: een apparaat sluit zich automatisch aan bij Microsoft Entra ID en meldt zich automatisch aan bij Microsoft Intune, van de eindgebruiker is alleen een netwerkverbinding en een aanmelding met inloggegevens nodig (Microsoft Learn).

De leverancier of IT registreert het serienummer van het apparaat vooraf bij Autopilot. Vanaf dat moment doorloopt elke nieuwe laptop met dat serienummer hetzelfde automatische traject.

1. Apparaat wordt geregistreerd

   De leverancier of IT-afdeling registreert het serienummer bij Windows Autopilot voordat de laptop naar de medewerker gaat.

2. Medewerker meldt zich aan

   Bij de eerste keer aanzetten verbindt de laptop met wifi en logt de medewerker in met zijn Microsoft 365-account.

3. Apparaat sluit zich aan bij Entra ID

   Het apparaat herkent zichzelf als bedrijfsapparaat en registreert zich automatisch, zonder tussenkomst van een IT-medewerker.

4. Intune rolt beleid en apps uit

   Beveiligingsinstellingen, VPN-profielen en verplichte apps worden op de achtergrond geïnstalleerd, terwijl de medewerker al aan de slag kan.

Geen belletje naar de IT-afdeling nodig, geen laptop die eerst een omweg via kantoor maakt. Wie dat wil inrichten voor de eigen organisatie, regelt dat doorgaans via Microsoft Intune inrichten, waar Autopilot als onderdeel bij hoort.

Provisioning goed automatiseren, voor zowel gebruikers als apparaten, is precies waar structureel beheer begint. Hoe je die afweging maakt tussen zelf blijven doen en onze Managed Services-dienst inschakelen, hebben we uitgewerkt in een whitepaper.

Inrichting koppelen aan het HR-proces: joiner, mover, leaver

Lifecycle Workflows in Microsoft Entra ID Governance automatiseren de drie momenten in de levenscyclus van een medewerker: het account aanmaken bij indiensttreding, rechten aanpassen bij een functiewissel en toegang intrekken bij uitdiensttreding (Microsoft Learn). De functie ondersteunt tot honderd werkstromen per tenant en vereist een Microsoft Entra ID Governance- of Entra Suite-licentie (Microsoft Learn).

Dat klinkt als een IT-project, maar het begint met een simpele HR-vraag: wanneer weten wij dat iemand morgen begint? Zodra die datum ergens gestructureerd staat, in plaats van in een los mailtje aan de IT-afdeling, kan een workflow er automatisch op reageren.

Wie regelt welke functie welke rechten krijgt, is een keuze die je vastlegt in het bredere governance-beleid. Onze Microsoft 365 governance-gids beschrijft hoe je rollen en rechten structureel inricht; Lifecycle Workflows voert die afspraken vervolgens automatisch uit op het moment dat het HR-systeem een wijziging meldt.

Beheer van gebruikers en apparaten professionaliseren: de volgende stap

Provisioning goed inrichten is meestal geen los project, maar het startpunt van een bredere keuze over hoe je het beheer van je werkplek organiseert. Zodra user provisioning, device provisioning en het intrekken van toegang op elkaar aansluiten, ligt er een basis waar de rest van het beheer op verder bouwt.

Bij I-Experts merken we dat organisaties provisioning vaak als eerste testen: lukt het om dit deel van het beheer betrouwbaar te automatiseren, dan is de stap naar het uitbesteden van het bredere Microsoft 365-beheer een stuk kleiner. Wat je precies aan een partij als I-Experts overlaat en wat je zelf blijft doen, lees je in wat managed services voor je beheer betekenen.

Provisioning die op losse afspraken draait, valt vaak pas op zodra iets misgaat: een audit die vragen stelt over rechten die niemand meer kan verklaren, of een nieuwe collega die zijn eerste dag zonder de juiste toegang begint. De stellingen hieronder maken in een paar minuten zichtbaar waar dat risico bij jouw organisatie zit.

Twijfel je aan de uitkomst? Plan een vrijblijvend adviesgesprek en Bernd kijkt met je mee.

Veelgestelde vragen over provisioning