De opdracht
De organisatie blokkeert met Conditional Access alle aanmeldingen van buiten het Schengengebied. Dat beschermt goed tegen misbruik, maar zorgt ook voor werk zodra een medewerker tijdelijk vanuit bijvoorbeeld Curacao, Japan of Turkije wil werken.
Iedere uitzondering moest handmatig worden toegevoegd aan de policy en, nog belangrijker, ook weer handmatig worden verwijderd. Dat laatste werd regelmatig vergeten, waardoor uitzonderingen bleven bestaan en het beveiligingsniveau langzaam uitholde.
De aanpak
Samen met de klant is een eenvoudig aanvraagproces ontworpen. Een servicedeskmedewerker vult een lijst in met alle benodigde gegevens, zoals de gebruiker, het land en de begin- en einddatum.
Power Automate start vervolgens een PowerShell script dat via Microsoft Graph de uitzondering toevoegt aan de policy en deze op de einddatum automatisch weer verwijdert. Alle acties worden gelogd en er gaat een bevestiging naar de beheerder en de gebruiker.
De flow draait volgens een vast schema en controleert dagelijks of er uitzonderingen moeten worden geactiveerd of opgeruimd. Handmatige nazorg is daarmee verleden tijd.
Het resultaat
Tijdelijke toegang vanuit een land buiten het Schengengebied is nu een kwestie van minuten in plaats van een ticket dat dagen openstaat.
Uitzonderingen verlopen vanzelf, waardoor de policy weer doet waarvoor hij bedoeld is. De beheerders hebben volledig inzicht in wie wanneer en waarom een uitzondering heeft gehad.
Wat eerst een terugkerend klusje met risico was, gebeurt nu automatisch en netjes gelogd.