SharePoint Audit · Voor de IT-beheerder

Welke toegang de audit vraagt.

Op het toestemmingsscherm van Microsoft staat alleen Microsofts eigen omschrijving van een permissie, niet de technische naam en niet waarvoor hij gebruikt wordt. Deze pagina zet ze naast elkaar, zodat je kunt beoordelen wat je toestaat voordat je akkoord geeft.

De scan draait centraal en voert alleen leesopdrachten uit. Eén permissie is ruimer dan lezen; hieronder staat waarom die nodig is. Aan jouw kant is het één keer toestemming geven.

01, Grenzen

Wat er niet gebeurt

Er wordt niets geïnstalleerd in je omgeving. Er komen geen scripts, agents of Azure-resources bij je te staan.
Er verandert niets aan instellingen, rechten, groepen, sites of data. De scan voert uitsluitend leesopdrachten uit.
Er wordt geen bestandsinhoud gelezen. De audit gaat over wie waar bij kan, niet over wat er in de documenten staat.
Er worden geen e-mails, chats of gesprekken gelezen. Die permissies worden niet gevraagd en zitten niet op de registratie.
De toegang is niet permanent: je trekt hem op elk moment in via Entra ID, onder Bedrijfstoepassingen.

02, De zwaarste

Waarom er “volledig beheer” op het scherm staat

De eerste regel op het toestemmingsscherm is Volledig beheer over alle siteverzamelingen (Sites.FullControl.All). Dat leest zwaarder dan het is, en het is terecht dat je daarover valt.

De beheer-API van SharePoint accepteert app-toegang uitsluitend met deze permissie. Een alleen-lezen variant bestaat daar niet: Microsoft biedt hem niet aan. De lichtere varianten zijn gemeten, Sites.Read.All en Sites.Manage.All. Met geen van beide is een tenant-breed overzicht op te halen.

Wat daartegenover staat: de scripts voeren uitsluitend leesopdrachten uit, elke aanroep wordt gelogd en de scriptcode is geversioneerd. Wil je de code inzien voordat je toestemming geeft, dan kan dat.

03, Per permissie

Wat er wordt opgehaald en wat ervan afhangt

Per permissie staat wat ermee wordt uitgelezen en wat je in het rapport mist als je hem niet verleent. Een paar checks hangen af van je licenties: Entra ID P1 of P2, of Microsoft Purview. Heb je die niet, dan levert de permissie niets op en zegt het rapport dat er ook bij, in plaats van er een conclusie aan te verbinden.

SharePoint Online (1)

Op het toestemmingsschermVolledig beheer over alle siteverzamelingenSites.FullControl.All
Wat er wordt opgehaald
Alle SharePoint-sites en OneDrives van de organisatie: wie welke rechten heeft, waar de overerving is doorbroken, welke deellinks er bestaan en wie de eigenaar is.
Zonder deze permissie
Het grootste deel. Zonder deze permissie is er geen toegangsoverzicht, geen zoekfunctie op site of persoon, en geen enkele bevinding over rechten, sharing of eigenaarschap.

Microsoft Graph (19)

Op het toestemmingsschermAdreslijstgegevens lezenDirectory.Read.All
Wat er wordt opgehaald
De basisgegevens van de omgeving: organisatienaam, geverifieerde domeinen en de afgenomen licenties.
Zonder deze permissie
De omgeving is dan niet te herkennen en licentieverspilling is niet te bepalen. Ook kan de scan de juiste SharePoint-beheer-URL niet afleiden.
Op het toestemmingsschermHet volledige profiel van alle gebruikers lezenUser.Read.All
Wat er wordt opgehaald
Accounts en gastaccounts: naam, e-mailadres, of het account actief is, en wie de gast heeft uitgenodigd.
Zonder deze permissie
Rechten zijn dan alleen aan anonieme identiteiten te koppelen. Het overzicht 'waar kan deze persoon bij' vervalt.
Op het toestemmingsschermAlle groepen lezenGroup.Read.All
Wat er wordt opgehaald
Groepen met hun eigenaren, leden en geneste groepen, inclusief Microsoft 365-groepen achter Teams en sites.
Zonder deze permissie
De belangrijkste route naar toegang. Zonder dit is niet te zien dát iemand via een groep ergens bij kan, en vervallen de bevindingen over groepen zonder eigenaar.
Op het toestemmingsschermAlle auditlogboekgegevens lezenAuditLog.Read.All
Wat er wordt opgehaald
Laatste aanmelding per account, de MFA-registratiestatus, en directory-gebeurtenissen zoals het uitnodigen van gasten.
Zonder deze permissie
Alles over inactiviteit en MFA. Accounts die niemand meer gebruikt blijven dan onzichtbaar. Vereist bovendien een Entra ID P1-licentie; ontbreekt die, dan meldt het rapport dat expliciet.
Op het toestemmingsschermAlle gebruiksrapporten lezenReports.Read.All
Wat er wordt opgehaald
Activiteit per site, per Team en per gebruiker over de afgelopen periode.
Zonder deze permissie
Sites die niemand meer gebruikt zijn dan niet aan te wijzen, en dat is de lijst waarmee opruimen begint.
Op het toestemmingsschermRead all admin report settingsReportSettings.Read.All
Wat er wordt opgehaald
Eén instelling uit je beheercentrum: of Microsoft de namen in gebruiksrapporten verbergt.
Zonder deze permissie
Staat die instelling aan, dan levert Microsoft de gebruiksrapporten zonder site-URL. De audit kan de activiteit dan niet aan een site koppelen en meldt dat de vraag welke sites ongebruikt zijn niet te beantwoorden was, in plaats van ze als in gebruik te tellen. Deze permissie laat de audit dat verschil zien in plaats van erover te gissen.
Op het toestemmingsschermRead your organization's policiesPolicy.Read.All
Wat er wordt opgehaald
Conditional Access-beleid, security defaults, wie gasten mag uitnodigen, wie apps mag registreren, en het beleid voor samenwerking met andere organisaties.
Zonder deze permissie
De hele governance-checklist: de tenant-instellingen die vaak open blijven staan en meestal met één schakelaar te verbeteren zijn.
Op het toestemmingsschermRead all applicationsApplication.Read.All
Wat er wordt opgehaald
App-registraties en gekoppelde apps, hun API-rechten en de vervaldatum van hun certificaten en secrets.
Zonder deze permissie
Apps met verstrekkende rechten op je data, en apps waarvan de sleutels verlopen of te lang geldig zijn.
Op het toestemmingsschermRead all directory RBAC settingsRoleManagement.Read.Directory
Wat er wordt opgehaald
Wie welke beheerdersrol heeft, vast toegewezen of via PIM.
Zonder deze permissie
Het aantal beheerders en de bevinding of beheerders ook nog directe rechten op content hebben.
Op het toestemmingsschermGet a list of all teamsTeam.ReadBasic.All
Wat er wordt opgehaald
Welke Teams er zijn en of ze gearchiveerd zijn.
Zonder deze permissie
Alle Teams-bevindingen, en de koppeling tussen een Team en zijn SharePoint-site.
Op het toestemmingsschermRead all teams' settingsTeamSettings.Read.All
Wat er wordt opgehaald
De instellingen per Team, waaronder of gasten zijn toegestaan.
Zonder deze permissie
Teams waar externe deelname openstaat zonder dat iemand dat nog weet.
Op het toestemmingsschermRead the names and descriptions of all channelsChannel.ReadBasic.All
Wat er wordt opgehaald
De kanalen per Team, inclusief privé- en gedeelde kanalen.
Zonder deze permissie
Privékanalen met eigen rechten die buiten het zicht van de teameigenaar vallen.
Op het toestemmingsschermRead the members of all channelsChannelMember.Read.All
Wat er wordt opgehaald
Wie er lid is van een privé- of gedeeld kanaal.
Zonder deze permissie
Wie er via een kanaal bij bestanden kan zonder lid te zijn van het Team zelf.
Op het toestemmingsschermRead the members of all teamsTeamMember.Read.All
Wat er wordt opgehaald
Leden en eigenaren per Team, en welke daarvan gasten zijn.
Zonder deze permissie
Teams met te weinig eigenaren, en externe deelnemers per Team.
Op het toestemmingsschermItems in alle siteverzamelingen lezen (preview)Sites.Read.All
Wat er wordt opgehaald
De koppeling tussen een groep of Team en de bijbehorende SharePoint-site.
Zonder deze permissie
Zonder deze koppeling zijn een Team en zijn site niet aan elkaar te verbinden en valt het overzicht uiteen.
Op het toestemmingsschermDe beveiligingsgebeurtenissen van uw organisatie lezenSecurityEvents.Read.All
Wat er wordt opgehaald
De Microsoft Secure Score van de omgeving.
Zonder deze permissie
De vergelijking van je omgeving met Microsofts eigen beveiligingsmaatstaf.
Op het toestemmingsschermAlle identiteitsgegevens van riskante gebruikers lezenIdentityRiskyUser.Read.All
Wat er wordt opgehaald
Accounts die Microsoft als risicovol markeert op grond van aanmeldgedrag, zoals een onmogelijke reis, een aanmelding vanaf een anoniem IP-adres of een wachtwoord dat in een datalek is opgedoken.
Zonder deze permissie
De controle op openstaande risicosignalen, met voorrang voor accounts die ook een beheerrol hebben. Vereist een Entra ID P2-licentie; zonder die licentie meldt het rapport dat deze check niet te beoordelen was, in plaats van hem als in orde te tellen.
Op het toestemmingsschermGet labels tenant scope.SensitivityLabels.Read.All
Wat er wordt opgehaald
Welke sensitivity labels er in de organisatie bestaan en op welke plekken ze verplicht zijn.
Zonder deze permissie
Of de labels op je sites kloppen met wat je zelf hebt afgesproken. Vereist Microsoft Purview; heb je dat niet, dan meldt het rapport dat deze check niet te beoordelen was in plaats van hem als in orde te tellen.
Op het toestemmingsschermRead Records Management configuration, labels and policiesRecordsManagement.Read.All
Wat er wordt opgehaald
Het bewaarbeleid (retention) van de organisatie en waar het geldt.
Zonder deze permissie
Of er sites zijn zonder bewaarbeleid terwijl dat er wel hoort te zijn. Vereist Microsoft Purview; heb je dat niet, dan meldt het rapport dat deze check niet te beoordelen was.

04, Daarna

Wat er met de gegevens gebeurt

De uitkomsten komen op een afgeschermde pagina, alleen bereikbaar voor de opdrachtgever: via het klantportaal of met een toegangscode. Niet via een contactformulier of een derde partij.

De toestemming blijft staan zolang je hem laat staan. Na de audit kun je hem direct intrekken. Dat doe je zelf, in je eigen Entra ID onder Bedrijfstoepassingen.

Staat je vraag hier niet bij? De lijst kan samen worden doorgelopen, en de scriptcode kan worden ingezien.

Terug naar de SharePoint Audit