Gebruik één werkruimte per klant met een consistente naamgeving (bijv. [KLANTNAAM] - BI), beperk toegangsrechten tot het minimum per werkruimte, en maak een aparte ontwikkelwerkruimte voor bouwen en testen. Dit houdt je omgeving overzichtelijk en beveiligd naarmate je portefeuille groeit.
Naamgevingsconventie: de basis
Een goede naamgeving maakt werkruimtes herkenbaar op het eerste gezicht. Gebruik een vaste structuur die klant, doel en eventueel omgeving aangeeft:
[KLANTNAAM] - BI voor de productieomgeving.
[KLANTNAAM] - Ontwikkeling voor bouwen en testen.
[KLANTNAAM] - Archive voor afgeronde projecten die je wil bewaren maar niet actief gebruikt.
Gebruik hoofdletters voor de klantnaam zodat werkruimtes makkelijk te scannen zijn in een lange lijst. Vermijd afkortingen die je over een jaar niet meer herkent.
Eén werkruimte per klant
Voor externe klanten is een strikte scheiding per werkruimte de norm. Elke werkruimte heeft zijn eigen toegangslijst, zijn eigen rapporten en zijn eigen dataverbindingen. Een klant die toegang heeft tot zijn werkruimte, kan nooit data van een andere klant zien, ook niet door foutieve instellingen.
Dit staat los van Row Level Security in rapporten. RLS is een tweede beveiligingslaag binnen een rapport. Werkruimtescheiding is de eerste laag. Gebruik beide. Meer over RLS lees je in het artikel over Row Level Security in Power BI.
Toegangsbeheer minimaliseren
Het principe van minimale rechten geldt ook in Power BI. Geef klanten de rol “Kijker” in hun werkruimte, niet “Bijdrager” of “Beheerder”. Geef collega’s alleen beheertoegang tot werkruimtes waar ze actief aan werken.
Bij grotere klantenportefeuilles loont het om beveiligingsgroepen in Azure AD te gebruiken. Maak per klant een groep aan, voeg daar de juiste gebruikers aan toe, en koppel de groep aan de werkruimte. Nieuwe medewerkers bij een klant voeg je toe aan de groep, niet handmatig aan elke werkruimte. Dat scheelt beheertijd en verkleint de kans op fouten.
Ontwikkelwerkruimte als vaste gewoonte
Bouw en test altijd in een aparte ontwikkelwerkruimte. Publiceer pas naar de productiewerkruimte als het rapport volledig getest en goedgekeurd is. Dit is de eenvoudigste manier om te voorkomen dat klanten tussenversies of foutieve data te zien krijgen.
Gebruik voor de ontwikkelwerkruimte dezelfde naamgeving als de productiewerkruimte, maar met de toevoeging ”- Ontwikkeling”. Zo weet iedereen in het team direct waar hij moet zijn. Meer over het schalen van deze aanpak naar een grotere klantenportefeuille lees je in het artikel over multi-tenancy rapportage opschalen.
Archiveren in plaats van verwijderen
Rapporten en werkruimtes van afgeronde klantprojecten verwijder je niet direct. Archiveer ze in een aparte werkruimte of mappenstructuur. Rapportages bevatten soms historische berekeningen of KPI-definities die later van pas kunnen komen, zowel voor jou als voor de klant.
Stel een archiveringsbeleid in: na zes maanden inactiviteit verhuist een werkruimte naar “Archive”. Na twee jaar maak je een exportkopie van de rapporten en verwijder je de werkruimte definitief.
Onze tip: Maak een intern document met een overzicht van al je klantenwerkruimtes, inclusief de primaire contactpersoon, de laatste updateddatum en het type rapport. Dat overzicht bespaart zoekwerk bij nieuwe medewerkers en maakt een overdracht makkelijker.
Veelgestelde vragen
Wanneer gebruik je één werkruimte voor meerdere klanten?
Alleen als klanten dezelfde data mogen zien en er geen privacy-scheiding nodig is, zoals bij een intern team dat voor meerdere afdelingen werkt. Voor externe klanten is één werkruimte per klant de standaard: het maakt toegangsbeheer en auditing eenvoudiger en verkleint het risico op datalekken.
Hoe beheer je toegangsrechten als je tientallen klanten hebt?
Gebruik beveiligingsgroepen in Azure AD in plaats van individuele gebruikersrechten. Maak per klant een groep aan en koppel die aan de werkruimte. Als een nieuwe medewerker bij een klant toegang nodig heeft, voeg je hem toe aan de groep, niet aan de werkruimte. Dat scheelt beheertijd en vermindert fouten.
Moet ik een aparte ontwikkelwerkruimte gebruiken?
Ja, altijd. Bouw en test nooit in de productiewerkruimte van een klant. Een aparte werkruimte zoals [KLANTNAAM] - Ontwikkeling voorkomt dat klanten half-afgewerkte rapporten of foutieve data te zien krijgen. Publiceer alleen naar productie als het rapport volledig getest is.