Vier lagen
SSO is geen autorisatie
Entra bevestigt identiteit en kan een tweede agentwachtwoord vermijden. Het geeft niet vanzelf kanaalzicht of WebChat-configuratie. Dagelijks werk volgt het Teams-kanaal; configuratie heeft ook een adminlijst.
Acceptatie vraagt een taakmatrix: lezen, klant antwoorden, interne notitie, leden beheren, widget/kanaal wijzigen of app goedkeuren. Geen taak rechtvaardigt automatisch de hoogste Microsoft-rol.
| Laag | Controle | Test |
|---|---|---|
| Entra-identiteit | Login, account, gast | Actief/geblokkeerd, MFA en tenantbeleid |
| Team en kanaal | Zicht en deelname | Standaard/privé/gedeeld, leden en historie |
| Teams-rol | Owner, lid, gast, moderator | Leden, apps, kanalen en antwoord scheiden |
| WebChat-admins | Kanaalconfiguratie | E-mail in lijst, lidmaatschap en intrekking |
| App/flow-identiteit | Goedkeuring, connectors en automatisering | Owner, geheim, runtime, vervanging en offboarding |
Kanaaltype
Standaard, privé en gedeeld veranderen het publiek
Standaard is doorgaans zichtbaar voor teamleden; privé beperkt tot gekozen leden; gedeeld kan personen uit andere teams of organisaties opnemen. Zicht, owners, gasten, apps, opslag en intrekking verschillen.
Microsoft vermeldt dat een nieuw privékanaallid eerdere gesprekken kan zien. Verwijdering uit het team verwijdert privélidmaatschap; bij terugkeer moet dat opnieuw. Privé vervangt geen need-to-know en bewaarbeleid.
Joiner, mover, leaver
Beheer de hele levenscyclus
- 01
Beperk joiner
Ken alleen benodigd team/kanalen toe; test agent, interne notitie en admin los.
- 02
Herzie mover
Verwijder oude kanalen en adminrechten vóór nieuw bereik.
- 03
Blokkeer leaver
Deactiveer Entra en trek team, kanaal, gast, groep, app en access package in.
- 04
Sluit productpaden
Controleer WebChat-admins, flow owners, verbindingen, serviceaccounts, secrets, Meta en Tag Manager.
- 05
Bewijs intrekking
Weiger login, oude sessie, Teams Mobile, directe link, backend en API/flow.
Least privilege
Acht rollen vóór productie
- Agent antwoordt zonder leden of instellingen te beheren.
- WebChat-admin wijzigt iets en verliest recht na verwijdering uit lijst of kanaal.
- Teams-owner beheert leden zonder onnodige tenantrol.
- Gast of externe ziet alleen expliciet bereik; antwoord en historie apart testen.
- Gebruiker buiten kanaal bereikt thread noch backend.
- Mover verliest oude kanalen en krijgt alleen nieuw bereik.
- Leaver verliest web, desktop, mobiel, links, flows, connectors en beheer op tijd.
- Twee owners borgen continuïteit; hogere rechten zijn tijdelijk en traceerbaar.