Hoe beheer ik meerdere Fabric-tenants voor verschillende business units?

Het beheer van meerdere Fabric-tenants voor verschillende business units werkt het best wanneer elke business unit een eigen, afgebakende workspace-structuur krijgt binnen één centrale tenant, aangestuurd vanuit een gedeeld governance-model. In de meeste organisaties is één Microsoft Fabric-tenant per organisatie de norm, terwijl business units worden gescheiden op workspace-niveau met strikte toegangscontroles. Dit artikel beantwoordt de meest gestelde vragen over multi-tenant Fabric-beheer, van basisconcepten tot veelgemaakte fouten en de keuze tussen intern en uitbesteed beheer.

Wat is het verschil tussen een Fabric-tenant en een workspace?

Een Fabric-tenant is de hoogste beheerslaag binnen Microsoft Fabric en is gekoppeld aan één Azure Active Directory-omgeving. Een workspace is een projectruimte binnen die tenant waar teams data, rapporten en pipelines beheren. De tenant bepaalt de grenzen van het platform; workspaces bepalen de grenzen van toegang en samenwerking binnen die tenant.

In de praktijk betekent dit dat een organisatie doorgaans één tenant heeft, maar tientallen of zelfs honderden workspaces kan inrichten. Elke workspace kan worden toegewezen aan een specifieke afdeling, project of business unit. De tenant-beheerder stelt de globale instellingen in, zoals welke functies beschikbaar zijn en welke externe deelmogelijkheden zijn toegestaan. Workspace-beheerders regelen vervolgens wie toegang heeft tot hun specifieke omgeving.

Het onderscheid is cruciaal voor Microsoft Fabric databasebeheer: beslissingen op tenant-niveau hebben organisatiebrede impact, terwijl workspace-beslissingen lokaal blijven. Een fout op tenant-niveau kan alle business units raken; een fout op workspace-niveau blijft beperkt tot die ene omgeving.

Hoe structureer je meerdere Fabric-tenants voor aparte business units?

De meest effectieve structuur voor het beheren van Fabric-tenants per business unit is een gelaagde aanpak: één organisatiebrede tenant met per business unit een eigen set workspaces, gegroepeerd in een logische naamgevingsconventie en beveiligd met rolgebaseerde toegang. Meerdere aparte tenants per business unit worden zelden aanbevolen omdat dit de governance sterk bemoeilijkt.

Bij het inrichten van workspaces per business unit helpt het om de volgende principes te hanteren:

Consistente naamgeving: gebruik een prefix per business unit, zoals “BU-Finance-” of “BU-Logistiek-“, zodat beheerders in één oogopslag zien welke workspace bij welke afdeling hoort.
Capaciteiten toewijzen: koppel elke groep workspaces aan een eigen Fabric-capaciteit zodat prestaties en kosten per business unit inzichtelijk blijven.
Omgevingen scheiden: maak voor elke business unit aparte workspaces voor ontwikkeling, test en productie om onbedoelde overschrijving van productiedata te voorkomen.
Datadomein-eigenaarschap: wijs per business unit een workspace-eigenaar aan die verantwoordelijk is voor toegangsbeheer en datakwaliteit binnen die omgeving.

Wanneer er werkelijk behoefte is aan volledige isolatie, bijvoorbeeld vanwege strikte regelgeving of concurrentiegevoelige data tussen divisies, kan een aparte tenant per business unit worden overwogen. Dit brengt echter aanzienlijk meer beheerlast met zich mee en vereist dubbele licenties en separate governance-processen.

Welke rollen en rechten gelden voor tenant-overschrijdend beheer?

Voor tenant-overschrijdend beheer zijn de Fabric-beheerdersrol en de capaciteitsbeheerder de twee meest kritische rollen. De Fabric-beheerder heeft toegang tot de gehele tenant en kan instellingen, capaciteiten en gebruikers organisatiebreed beheren. Capaciteitsbeheerders opereren op het niveau van een specifieke capaciteit en kunnen workspaces toewijzen en prestaties bewaken.

Binnen workspaces gelden vier standaardrollen:

Admin: volledige controle over de workspace, inclusief het beheren van leden en het verwijderen van de workspace.
Member: kan content toevoegen, bewerken en publiceren, en anderen uitnodigen.
Contributor: kan content aanmaken en bewerken, maar heeft geen beheerbevoegdheden.
Viewer: kan content alleen lezen en bekijken.

Voor organisaties met meerdere business units is het verstandig om een centrale beheergroep in Azure AD aan te maken die als Fabric-beheerder fungeert. Zo blijft het overzicht bewaard zonder dat individuele business units toegang krijgen tot elkaars omgevingen. Service principal-accounts zijn nuttig voor geautomatiseerde processen die over meerdere workspaces heen opereren.

Hoe monitor je prestaties en gebruik over meerdere Fabric-tenants?

Prestaties en gebruik over meerdere Fabric-workspaces monitor je het meest effectief via de Microsoft Fabric Capacity Metrics-app, gecombineerd met de ingebouwde activiteitenlogboeken in de Fabric-beheerportal. Deze tools geven inzicht in capaciteitsverbruik, workload-verdeling en gebruikersactiviteit per workspace en per business unit.

De Capacity Metrics-app toont realtime en historisch verbruik van compute-eenheden (CU’s) per capaciteit. Zo zie je welke workspaces de meeste resources verbruiken en of bepaalde business units structureel tegen de capaciteitslimieten aanzitten. Dit maakt het mogelijk om capaciteit bij te sturen voordat prestatieproblemen ontstaan.

Aanvullend biedt de Fabric-beheerportal auditlogs waarmee je kunt zien wie welke acties heeft uitgevoerd, wanneer datasets zijn vernieuwd en waar fouten zijn opgetreden. Voor organisaties die behoefte hebben aan gecentraliseerde rapportage over alle business units, is het mogelijk om deze logs via de REST API of Azure Monitor te exporteren naar een centrale dataopslag voor verdere analyse.

Wat zijn veelgemaakte fouten bij het opzetten van Fabric-tenant governance?

De meest voorkomende fout bij Fabric-tenant governance is het ontbreken van een duidelijk eigenaarschapsmodel: workspaces worden aangemaakt zonder aangewezen beheerder, waardoor niemand verantwoordelijk is voor toegangscontrole of datakwaliteit. Dit leidt tot ongecontroleerde groei van workspaces en beveiligingsrisico’s.

Andere veelgemaakte fouten zijn:

Te ruime standaardrechten: wanneer alle medewerkers standaard als Member of Contributor worden toegevoegd, verlies je controle over wie data kan aanpassen of publiceren.
Geen naamgevingsconventie: zonder consistente namen worden workspaces snel onoverzichtelijk, vooral bij tientallen business units.
Capaciteit niet per business unit toewijzen: als alle workspaces dezelfde capaciteit delen, kan één drukke afdeling de prestaties van alle andere beïnvloeden.
Geen scheiding van omgevingen: het gebruik van één workspace voor zowel ontwikkeling als productie vergroot de kans op onbedoelde fouten in productiedata.
Tenant-instellingen niet gereviewd: standaard staan sommige Fabric-instellingen open voor extern delen of het publiceren van content naar internet. Dit moet bewust worden beoordeeld en vaak uitgeschakeld.

Voor organisaties in de publieke sector gelden aanvullende eisen rondom datasoevereiniteit en toegangslogging. Meer hierover is te vinden in de context van Microsoft Fabric voor de overheid, waar compliance-vereisten extra aandacht vragen bij het inrichten van governance.

Wanneer is uitbesteed Fabric-beheer beter dan intern beheer?

Uitbesteed Fabric-beheer is beter dan intern beheer wanneer de interne IT-afdeling de benodigde specialistische kennis mist, de organisatie snel wil opschalen zonder langdurige wervingstrajecten, of wanneer 24/7 monitoring en proactief ingrijpen vereist zijn maar intern niet haalbaar is. Voor organisaties met meerdere business units en complexe governance-eisen is uitbesteding vaak de meest kostenefficiënte keuze.

Intern beheer is zinvol wanneer de organisatie al beschikt over ervaren Fabric- en data-engineers, de omgeving relatief eenvoudig is en er voldoende capaciteit is om monitoring, patching en incidentafhandeling zelf op te pakken. Zodra de complexiteit toeneemt, door meer business units, strengere compliance-eisen of hogere beschikbaarheidseisen, verschuift de balans richting uitbesteding.

Een hybride model is ook mogelijk: de interne afdeling beheert de dagelijkse werkzaamheden binnen workspaces, terwijl een externe partij de tenant-governance, capaciteitsplanning en proactieve monitoring voor haar rekening neemt.

Hoe DBA helpt met Fabric-tenant beheer

Wij begeleiden organisaties bij het opzetten en beheren van complexe Microsoft Fabric-omgevingen, inclusief multi-tenant structuren voor meerdere business units. Onze aanpak is concreet en gericht op duurzame governance:

Inrichten van een workspace-structuur met duidelijke naamgeving, rollenmodel en capaciteitstoewijzing per business unit
Opzetten van een centraal governance-framework inclusief auditlogging en toegangsbeleid
Proactieve monitoring van capaciteitsverbruik en prestaties over alle workspaces
24/7 ondersteuning bij incidenten, patching en herstelprocessen
Advies over licentieoptimalisatie en kostenbeheersing per business unit

Of je nu net begint met Microsoft Fabric of een bestaande omgeving wilt professionaliseren, wij denken graag met je mee. Neem contact op voor een vrijblijvend gesprek over jouw situatie.