SSPR — Self-Service Password Reset

SSPR (Self-Service Password Reset) stelt gebruikers in staat om zelfstandig hun Microsoft 365 wachtwoord en/of MFA te resetten zonder tussenkomst van een ICT-beheerder. Dit vermindert de werkdruk voor ICT.

Elke beheerder die SSPR wil gebruiken, moet eerst een tenant-autorisatie instellen. Dit is een eenmalige actie die de verbinding tussen EduDisplay en uw Microsoft 365-tenant tot stand brengt. Start in het portaal via SSPR → Autorisatie.

Stap 1: Ga naar Autorisatie

Stap 2: Tenant autoriseren

Stap 3: Admin consent verlenen

Stap 4: Rechten beperken

Beperk daarna het bereik tot alleen leerlingen via een Administrative Unit — zie Rechten beperken.

SSPR werkt al met delegated Graph-rechten. De app-machtiging zegt alleen: “mag authenticatiemethoden beheren voor alle gebruikers die de aangemelde beheerder mag beheren”. Het bereik (bijvoorbeeld alleen leerlingen) stelt u in Microsoft Entra in — niet via een losse beveiligingsgroep als rol-scope.

Kan het niet met een Entra-groep?

Nee — niet als scope voor MFA-/wachtwoordbeheer. U kunt de rol Authentication Administrator niet zo toewijzen dat die automatisch alleen geldt voor leden van bijvoorbeeld de groep “Leerlingen”.

• Een groep als lid van een Administrative Unit toevoegen zorgt er alleen voor dat de groep zelf beheerd kan worden — niet de MFA of het wachtwoord van de groepsleden.
• Een role-assignable group bepaalt wie de beheerrol krijgt, niet op welke gebruikers die rol mag handelen (dat blijft directory-breed of AU-scoped).

Wel: Administrative Unit

Microsoft ondersteunt scoping van rollen zoals Authentication Administrator op een Administrative Unit (AU). Alleen gebruikers die lid zijn van die AU vallen binnen het bereik.

1. Maak in Entra een Administrative Unit, bijvoorbeeld “Leerlingen SSPR”.
2. Voeg de leerling-accounts direct toe als AU-leden (handmatig, via bulk, of met een dynamische AU op gebruikersattributen).
3. Wijs de rol Authentication Administrator toe aan het account waarmee u in EduDisplay op Tenant Autoriseren klikt, met scope = die Administrative Unit. (Na admin consent volgt automatisch de Microsoft-login voor de delegated tokens.)
4. Autoriseer opnieuw in EduDisplay met dat account via Tenant Autoriseren (of, bij een bestaande koppeling, via de knop Tokens).
5. Test: MFA-reset voor een leerling in de AU moet lukken; voor een medewerker buiten de AU moet Entra weigeren (403).

Groep “Leerlingen” toch gebruiken?

Een groep is nuttig als bron om de AU te vullen, maar is niet de Entra-scope zelf:

• Dynamische Administrative Unit: regels op dezelfde attributen als uw leerlingengroep (bijv. afdeling, employeeType, custom attribute). Leden blijven automatisch actueel.
• Periodieke sync: script of automation die leden van de groep “Leerlingen” als directe gebruikers in de AU zet (groepslidmaatschap alleen is niet voldoende voor MFA-scope).

Wachtwoord én MFA

Werk met least privilege. Voor MFA: minimaal Authentication Administrator (eventueel AU-scoped). Voor wachtwoord-reset: minimaal Password Administrator of Helpdesk Administrator (eveneens te scopen op een Administrative Unit). Gebruik geen Global Administrator voor de dagelijkse SSPR-tokens.

Meer informatie (Microsoft)

• Administrative units in Microsoft Entra ID
• Assign Microsoft Entra roles with administrative unit scope

Via de SSPR-instellingenpagina kunt u het wachtwoordbeleid, de verificatiefactoren en andere opties configureren voor uw SSPR-implementatie.

Toegang tot instellingen

Wachtwoordbeleid

Verificatiefactoren

ICT-beheerderbadges

Badgebeheer

ICT-beheerders kunnen badges toevoegen die gebruikt worden voor verificatie tijdens wachtwoord- en MFA-resets.

1. Klik op Badge Toevoegen in de instellingen
2. Scan uw badge met een badgelezer of voer de badge-ID handmatig in
3. Geef de badge een beschrijvende naam
4. De badge kan nu gebruikt worden voor verificatie

Gebruikersfoto's

Aangepaste portalen

Aanbevolen configuratie voor scholen