Oplossen met één klik
Standaard leest Rollout alleen. Met "oplossen met één klik" mag Rollout een paar vaste dingen in een klanttenant doen: een licentie toewijzen, iemand aan een groep toevoegen of een laptop aan een medewerker koppelen. Alleen met toestemming, vier ogen en een plan dat niet meer kan veranderen.
Professional Plus, Enterprise en proeflicenties. Standaard staat het uit; een beheerder zet het per organisatie aan.
Wat wel en wat nooit
| Wijziging | Terugdraaien | Recht van de schrijf-app |
|---|---|---|
| Licentie uit het rolprofiel toewijzen | Licentie weghalen | LicenseAssignment.ReadWrite.All |
| Toevoegen aan een groep uit het profiel, of aan de toewijzingsgroep van een vereiste app | Uit die groep halen | GroupMember.ReadWrite.All |
| Autopilot-laptop aan de medewerker koppelen | Ontkoppelen | DeviceManagementServiceConfig.ReadWrite.All |
Nooit: accounts aanmaken of verwijderen, rollen, wachtwoorden, MFA-methoden, Conditional Access, beleid, mailboxen of apps. De database én de server weigeren alles wat niet in dit lijstje staat.
Van plan tot uitvoering
Scroll hierheen of druk op afspelen.
Dertien lagen
Elke laag staat op zichzelf; faalt er één, dan gebeurt er niets.
- Aparte schrijf-app, alleen voor tenants die in beide allowlists staan, nooit met een clientgeheim.
- Precies drie rechten: heeft de schrijf-app er één meer, dan voert Rollout niets uit.
- Alleen wat bij het project hoort: licenties en groepen uit de rolprofielen. Groepen die beheerdersrollen kunnen krijgen, dynamische groepen en groepen uit on-premises AD worden altijd geweigerd.
- Eerst lezen, dan schrijven.
- Vier ogen, gecontroleerd in de database.
- Stap-op-verificatie bij goedkeuren en bij aanzetten.
- Verzegeld plan met vingerafdruk.
- Kort geldig en eenmalig: twee uur, één keer.
- Limieten: max. 200 wijzigingen per plan, 50 plannen per dag, 10 uitvoeringen per uur, stoppen na 5 fouten op rij.
- Noodstoppen: per organisatie (knop) en per installatie (
EXECUTION_DISABLED=1). - Licentie wordt op de server gecontroleerd.
- Alles vastgelegd in het auditlog, met melding naar Teams.
- Terugdraaien alleen van wat Rollout echt veranderde.
Inrichten (eenmalig per MSP)
Doe dit alleen voor klanten die er schriftelijk mee hebben ingestemd, bijvoorbeeld in de verwerkersovereenkomst.
- App-registratie Rollout – Write
In je eigen tenant, multitenant, zonder omleidings-URI. Geef hem een federatieve referentie voor je Vercel-project (net als bij stap 3), nooit een clientgeheim.
- Precies drie rechten
Toepassingsmachtigingen:
LicenseAssignment.ReadWrite.All,GroupMember.ReadWrite.AllenDeviceManagementServiceConfig.ReadWrite.All. Niets meer. - Omgevingsvariabelen
GRAPH_WRITE_CLIENT_ID(moet een andere app zijn dan de lees-app),GRAPH_WRITE_FEDERATION=vercelenGRAPH_WRITE_ALLOWED_TENANTSmet alleen de tenants waar dit mag. - Toestemming van de klant en aanzetten
De klant geeft toestemming aan de schrijf-app (zelfde flow als bij lezen). Daarna zet een beheerder in Rollout Oplossen met één klik aan; dat vraagt opnieuw aanmelden.