Microsoft Intune is een cloudgebaseerd endpointmanagementplatform waarmee organisaties apparaten, applicaties, configuraties en bepaalde beveiligingsinstellingen centraal kunnen beheren. Maar hoe werkt Microsoft Intune precies nadat een laptop, smartphone of tablet bij de organisatie wordt aangemeld?
In de praktijk bestaat Intune uit een keten van verschillende onderdelen. Identiteit, device enrollment, groepen, configuratieprofielen, applicaties, compliance policies en beveiligingsinstellingen werken samen om uiteindelijk te bepalen hoe een apparaat wordt ingericht en beheerd.
In dit artikel bekijken we stap voor stap hoe Microsoft Intune werkt en wat er gebeurt vanaf het moment dat een gebruiker of apparaat onderdeel wordt van de beheeromgeving.
Hoe werkt Microsoft Intune in eenvoudige woorden?
Microsoft Intune werkt vanuit de cloud.
IT-beheerders configureren centraal welke instellingen, applicaties en beveiligingsregels moeten gelden voor bepaalde gebruikers en apparaten.
Een vereenvoudigd proces ziet er als volgt uit:
Gebruiker → Identiteit → Apparaat → Enrollment → Intune → Groepen → Policies → Applicaties → Compliance → Beveiliging en toegang
Een apparaat wordt eerst gekoppeld aan de juiste beheeromgeving. Vervolgens bepaalt Intune welke configuraties voor dat apparaat of die gebruiker relevant zijn.
Het apparaat ontvangt deze configuraties, voert ze waar mogelijk uit en rapporteert statusinformatie terug.
Hierdoor kan IT grote aantallen apparaten centraal beheren zonder ieder endpoint afzonderlijk te configureren.
Stap 1: de identiteit van de gebruiker
Een moderne Microsoft-omgeving begint meestal met de identiteit van de gebruiker.
Daarvoor speelt Microsoft Entra ID een belangrijke rol.
Een gebruiker heeft bijvoorbeeld een zakelijk account zoals:
voornaam.achternaam@organisatie.nl
Aan deze identiteit kunnen onder andere licenties, groepen, rollen en toegangsrechten gekoppeld zijn.
Wanneer de gebruiker zich aanmeldt op een bedrijfsapparaat, kan deze identiteit vervolgens worden gebruikt binnen de bredere Microsoft-beheeromgeving.
Dat is belangrijk omdat Intune-configuraties niet alleen aan apparaten, maar ook aan gebruikers kunnen worden toegewezen.
Stap 2: het apparaat
Naast de gebruiker moet Intune weten welk apparaat wordt gebruikt.
Dat kan bijvoorbeeld zijn:
- een Windows 11-laptop;
- een Mac;
- een iPhone;
- een iPad;
- een Android-smartphone;
- een Android-tablet.
Het apparaat krijgt binnen de beheeromgeving een eigen identiteit en status.
IT kan vervolgens onder andere zien welk besturingssysteem wordt gebruikt, wie het apparaat gebruikt en welke beheerstatus van toepassing is.
Welke informatie beschikbaar is en welke acties mogelijk zijn, hangt af van het platform en het gekozen beheermodel.
Stap 3: device enrollment
Een belangrijk begrip binnen Intune is device enrollment.
Enrollment is het proces waarmee een apparaat onder het gekozen beheer van de organisatie wordt gebracht.
De exacte methode verschilt per apparaat en scenario.
Voor Windows kan bijvoorbeeld gebruik worden gemaakt van verschillende enrollmentmethoden, waaronder scenario’s in combinatie met Windows Autopilot.
Voor Apple-apparaten kunnen Apple Business Manager en Automated Device Enrollment een rol spelen.
Voor Android bestaan verschillende Android Enterprise-modellen.
Het juiste enrollmentmodel hangt onder andere af van:
- het besturingssysteem;
- wie eigenaar is van het apparaat;
- of het een nieuw of bestaand apparaat is;
- het gewenste beveiligingsniveau;
- de gewenste gebruikerservaring.
Een goed ontworpen Intune-omgeving begint daarom met een duidelijke enrollmentstrategie.
Stap 4: Intune bepaalt wat van toepassing is
Zodra een apparaat correct binnen de beheeromgeving beschikbaar is, moet worden bepaald welke configuraties het ontvangt.
Dat gebeurt onder andere via assignments.
Een configuratie kan bijvoorbeeld worden toegewezen aan:
- een groep gebruikers;
- een groep apparaten;
- een bredere doelgroep;
- een specifieke selectie via ondersteunde filters en targetingmechanismen.
Dit lijkt eenvoudig, maar assignmentdesign is een van de belangrijkste onderdelen van een schaalbare Intune-omgeving.
Wanneer een organisatie honderden policies zonder duidelijke structuur maakt, kan troubleshooting later zeer complex worden.
Stap 5: groepen structureren het beheer
Groepen spelen daarom een belangrijke rol.
Stel dat een organisatie drie typen Windows-apparaten heeft:
Standaardwerkplekken
IT-beheerwerkplekken
Kiosk-apparaten
Niet ieder apparaat moet dezelfde configuratie ontvangen.
De organisatie kan groepen gebruiken om verschillende policies en applicaties aan de juiste doelgroepen toe te wijzen.
Groepen kunnen statisch of, afhankelijk van het scenario, dynamisch worden opgebouwd.
Een goede groepsarchitectuur helpt om Intune overzichtelijk en schaalbaar te houden.
Stap 6: configuration profiles
Na enrollment kunnen configuraties naar het apparaat worden gestuurd.
Daarvoor gebruikt Intune onder andere configuration profiles en andere policytypen.
Hiermee kan IT centraal instellingen beheren.
Voor Windows kunnen dit bijvoorbeeld instellingen zijn voor:
- Microsoft Edge;
- OneDrive;
- Wi-Fi;
- VPN;
- Windows Hello for Business;
- apparaatbeperkingen;
- beveiliging;
- certificaten;
- gebruikerservaring.
In plaats van een beheerder die dezelfde instelling handmatig op 500 laptops configureert, kan een centrale policy worden gemaakt.
De relevante apparaten ontvangen vervolgens deze configuratie.
Stap 7: Settings Catalog
Binnen Microsoft Intune is de Settings Catalog een belangrijke manier om configuratie-instellingen te definiëren.
De Settings Catalog bevat een groot aantal beschikbare instellingen voor ondersteunde platforms en scenario’s.
Een beheerder kan zoeken naar de gewenste instelling en deze toevoegen aan een policy.
Hiermee kunnen relatief gerichte configuratieprofielen worden opgebouwd.
Een belangrijk ontwerpprincipe is echter:
Maak policies logisch en beheersbaar.
Een enkele gigantische policy met honderden niet-gerelateerde instellingen kan technisch werken, maar later moeilijk te beheren en troubleshooten zijn.
Aan de andere kant kan een omgeving met honderden extreem kleine policies eveneens onnodig complex worden.
Er moet dus een beheersbare balans worden gevonden.
Stap 8: applicaties distribueren
Naast configuraties kan Intune applicaties naar apparaten en gebruikers distribueren.
Denk bijvoorbeeld aan:
- Microsoft 365 Apps;
- Microsoft Store-apps;
- Win32-applicaties;
- mobiele applicaties;
- interne bedrijfsapplicaties.
Een applicatie kan bijvoorbeeld als Required worden toegewezen.
Intune probeert de applicatie dan op de relevante apparaten te installeren.
Een andere mogelijkheid is de applicatie beschikbaar maken zodat gebruikers deze zelf via Company Portal kunnen installeren.
Hoe werkt een Win32-applicatie in Intune?
Voor Windows-beheer zijn Win32-applicaties bijzonder belangrijk.
Een applicatie wordt voorbereid voor distributie via Intune.
Daarbij moeten verschillende onderdelen correct worden geconfigureerd.
Bijvoorbeeld:
- installatiecommando;
- uninstallcommando;
- requirements;
- detection rules;
- dependencies;
- assignments.
Vooral detection rules zijn belangrijk.
Na installatie moet Intune kunnen bepalen of de applicatie daadwerkelijk aanwezig is.
Dat kan bijvoorbeeld gebeuren door te controleren op:
- een bestand;
- een map;
- een registrywaarde;
- een MSI-productcode;
- een aangepast detectiescript.
Een verkeerde detection rule kan ervoor zorgen dat een technisch succesvolle installatie toch als mislukt wordt gerapporteerd.
Stap 9: het apparaat synchroniseert met Intune
Intune werkt niet alsof een beheerder rechtstreeks vanaf een console permanent verbonden is met ieder endpoint.
Apparaten communiceren periodiek met de relevante Microsoft-cloudservices.
Tijdens deze communicatie kunnen onder andere nieuwe policies, applicatieopdrachten en statuswijzigingen worden verwerkt.
Daarom is een belangrijke les bij Intune-beheer:
Niet iedere wijziging is onmiddellijk zichtbaar op ieder apparaat.
Wanneer een beheerder een policy wijzigt, betekent dat niet noodzakelijk dat alle apparaten de wijziging enkele seconden later hebben toegepast.
Dit is belangrijk bij troubleshooting.
Stap 10: het apparaat verwerkt de configuratie
Nadat een apparaat relevante configuraties heeft ontvangen, moeten deze lokaal worden verwerkt.
Afhankelijk van de policy en het platform kan vervolgens een bepaalde instelling worden toegepast.
Daarna wordt statusinformatie teruggerapporteerd.
Een beheerder kan daardoor bijvoorbeeld statussen tegenkomen zoals:
- succeeded;
- failed;
- pending;
- not applicable;
- conflict.
De exacte statusmogelijkheden verschillen per workload.
Een status is bovendien slechts het begin van troubleshooting.
Wanneer een policy Failed aangeeft, moet nog worden onderzocht waarom.
Stap 11: compliance policies
Configuratie en compliance zijn niet hetzelfde.
Een configuration profile probeert een bepaalde instelling te configureren.
Een compliance policy beoordeelt of een apparaat aan bepaalde voorwaarden voldoet.
Stel dat een organisatie vereist dat Windows-laptops versleuteld moeten zijn.
De organisatie kan vervolgens compliancevoorwaarden definiëren waarmee wordt gecontroleerd of apparaten aan de relevante eisen voldoen.
Een apparaat kan vervolgens bijvoorbeeld worden beschouwd als:
Compliant
of
Non-compliant
afhankelijk van de geconfigureerde voorwaarden en gerapporteerde status.
Wat gebeurt er wanneer een apparaat non-compliant is?
Een veelvoorkomend misverstand is dat Intune automatisch alle toegang blokkeert zodra een apparaat non-compliant wordt.
Zo eenvoudig is het niet.
Compliance bepaalt in eerste instantie de compliance-status op basis van de ingestelde regels.
Wat met die status gebeurt, hangt af van de verdere architectuur.
Hier komt bijvoorbeeld Conditional Access in beeld.
Stap 12: Conditional Access
Conditional Access kan signalen gebruiken om te bepalen onder welke voorwaarden een gebruiker toegang krijgt tot bepaalde resources.
Een organisatie kan bijvoorbeeld een toegangsmodel ontwerpen waarbij een ondersteund apparaat compliant moet zijn voordat toegang tot bepaalde cloudapplicaties wordt toegestaan.
De keten wordt dan:
Intune → Compliance-status → Conditional Access → Toegangsbeslissing
Daarmee ontstaat een belangrijke koppeling tussen endpoint management en identity security.
Conditional Access vereist echter zorgvuldig ontwerp.
Een foutieve policy kan gebruikers buitensluiten of juist toegang toestaan die niet gewenst is.
Daarom moeten Conditional Access-wijzigingen gecontroleerd worden getest.
Stap 13: endpoint security
Intune kan daarnaast worden gebruikt om verschillende endpoint security-instellingen te beheren.
Afhankelijk van het platform, de architectuur en licenties kan beleid worden ingericht rond onderwerpen zoals:
- Microsoft Defender Antivirus;
- Windows Firewall;
- BitLocker;
- Attack Surface Reduction;
- account protection;
- security baselines;
- endpoint privilege management.
Hiermee wordt endpointbeheer onderdeel van een bredere beveiligingsarchitectuur.
Stap 14: rapportage naar Intune
Beheer werkt in twee richtingen.
Intune stuurt configuraties naar endpoints, maar endpoints leveren ook statusinformatie terug.
IT kan daardoor bijvoorbeeld onderzoeken:
- welke apparaten geregistreerd zijn;
- welke apparaten compliant zijn;
- welke configuraties succesvol zijn toegepast;
- welke applicaties zijn geïnstalleerd;
- waar fouten optreden;
- welke apparaten aandacht nodig hebben.
Goede rapportage is essentieel wanneer honderden of duizenden apparaten worden beheerd.
Hoe weet Intune welke policy een apparaat moet krijgen?
Dit wordt voornamelijk bepaald door targeting en assignments.
Stel:
Policy A → Alle Windows-testapparaten
Policy B → Finance-gebruikers
Applicatie C → Alle medewerkers
Een Windows-laptop van een Finance-medewerker kan daardoor meerdere configuraties ontvangen.
Dit is normaal.
Het wordt problematisch wanneer verschillende policies conflicterende instellingen proberen toe te passen.
Daarom moet de assignmentarchitectuur goed worden ontworpen en gedocumenteerd.
Gebruikersgroepen versus apparaatgroepen
Een belangrijke ontwerpbeslissing is of configuraties worden toegewezen aan gebruikers of apparaten.
Er bestaat geen universeel antwoord.
Sommige configuraties horen logisch bij een gebruiker.
Andere horen bij het apparaat, onafhankelijk van wie erop inlogt.
Bij het ontwerpen van Intune moet daarom steeds worden gevraagd:
Is deze configuratie gekoppeld aan de persoon of aan het endpoint?
Een consequente strategie maakt troubleshooting aanzienlijk eenvoudiger.
Hoe werkt Intune bij een nieuwe laptop?
Een sterk vereenvoudigd voorbeeld:
Een nieuwe medewerker ontvangt een Windows 11-laptop.
De organisatie gebruikt Windows Autopilot.
Tijdens de eerste configuratie meldt de medewerker zich aan met het zakelijke account.
Vervolgens kan het proces bijvoorbeeld bestaan uit:
1. Apparaat wordt geïdentificeerd
↓
2. Autopilot-profiel wordt toegepast
↓
3. Enrollment in de beheeromgeving
↓
4. Relevante Intune-policies worden bepaald
↓
5. Beveiligingsinstellingen worden toegepast
↓
6. Verplichte applicaties worden geïnstalleerd
↓
7. Compliance wordt geëvalueerd
↓
8. Gebruiker krijgt de ingerichte werkplek
In een goed ontworpen omgeving kan hierdoor aanzienlijk minder handmatige IT-configuratie nodig zijn.
Hoe werkt Intune bij een bestaande laptop?
Niet iedere Intune-implementatie begint met nieuwe apparaten.
Bestaande Windows-laptops kunnen onderdeel zijn van een migratie naar modern management.
Dat vraagt extra aandacht.
Er kunnen namelijk al configuraties bestaan vanuit:
- Active Directory;
- Group Policy;
- Configuration Manager;
- scripts;
- lokale instellingen;
- andere managementtools.
Wanneer daar Intune-policies bovenop worden geplaatst, kunnen overlap en conflicten ontstaan.
Een migratie moet daarom beginnen met inventarisatie en rationalisatie.
Hoe werkt Intune voor thuiswerkers?
Een van de voordelen van cloudgebaseerd endpointmanagement is dat apparaten niet voortdurend op het lokale bedrijfsnetwerk hoeven te zijn.
Een thuiswerkende medewerker kan via internet communiceren met relevante Microsoft-cloudservices.
Hierdoor kan IT onder andere configuraties en applicaties beheren zonder dat de medewerker dagelijks op kantoor komt.
Dit is een belangrijk verschil met bepaalde traditionele beheerarchitecturen die sterk afhankelijk zijn van het interne netwerk of VPN.
Wat gebeurt er als Intune niet werkt zoals verwacht?
Dan begint troubleshooting.
Een beheerder moet systematisch bepalen waar in de keten het probleem ontstaat.
Bijvoorbeeld:
Identiteit
↓
Licentie
↓
Enrollment
↓
Device
↓
Group membership
↓
Assignment
↓
Filter
↓
Policy
↓
Lokale verwerking
↓
Reporting
Wanneer alleen naar de foutmelding wordt gekeken, kan de werkelijke oorzaak worden gemist.
Voorbeeld: Intune-policy wordt niet toegepast
Stel dat een configuratieprofiel niet op een laptop verschijnt.
Mogelijke oorzaken zijn onder andere:
- het apparaat zit niet in de verwachte groep;
- de gebruiker zit niet in de juiste groep;
- de assignment is verkeerd;
- een filter sluit het apparaat uit;
- de policy is niet van toepassing;
- er bestaat een configuratieconflict;
- het apparaat heeft nog niet gesynchroniseerd;
- er is lokaal een probleem met de verwerking.
Het probleem “policy wordt niet toegepast” heeft dus niet één standaardoplossing.
De volledige keten moet worden onderzocht.
Waarom een goede Intune-architectuur belangrijk is
Het is relatief eenvoudig om een paar Intune-policies te maken.
De echte uitdaging ontstaat wanneer de omgeving groeit.
Stel dat een organisatie uiteindelijk beschikt over:
- 800 apparaten;
- 150 applicaties;
- 100 configuration profiles;
- meerdere compliance policies;
- verschillende Conditional Access-policies;
- tientallen groepen;
- meerdere beheerders.
Zonder duidelijke architectuur kan de omgeving snel moeilijk beheersbaar worden.
Daarom moeten vanaf het begin afspraken bestaan over:
- naamgeving;
- groepen;
- assignments;
- documentatie;
- testprocedures;
- beheerrollen;
- change management;
- uitzonderingen;
- lifecycle management.
Werk met deployment rings
Een belangrijke best practice is gefaseerde deployment.
Bijvoorbeeld:
Ring 0 — IT Test
Ring 1 — Pilot
Ring 2 — Early Production
Ring 3 — Production
Nieuwe configuraties worden eerst getest op een klein aantal apparaten.
Pas wanneer de resultaten goed zijn, wordt de deployment uitgebreid.
Dit vermindert het risico dat een foutieve configuratie direct de volledige organisatie raakt.
Documenteer waarom een policy bestaat
Een goede Intune-policy heeft niet alleen een naam.
Er moet ook duidelijk zijn waarom de policy bestaat.
Documenteer bijvoorbeeld:
- doel;
- eigenaar;
- doelgroep;
- businessreden;
- securityreden;
- configuratie;
- uitzonderingen;
- afhankelijkheden;
- testprocedure;
- laatste reviewdatum.
Dit helpt enorm wanneer maanden later een probleem moet worden onderzocht.
Microsoft Intune is een keten
De belangrijkste les is dat Microsoft Intune niet als een verzameling losse instellingen moet worden gezien.
Het is een beheerketen waarin meerdere componenten samenwerken.
Een vereenvoudigd model is:
Identity
↓
Enrollment
↓
Device
↓
Groups & Assignments
↓
Configuration
↓
Applications
↓
Compliance
↓
Security
↓
Access
↓
Monitoring & Reporting
Wanneer één onderdeel niet goed functioneert, kan dit effect hebben op de rest van de keten.
Dat verklaart waarom een systematische aanpak zo belangrijk is bij zowel implementatie als troubleshooting.
Veelgestelde vragen over hoe Microsoft Intune werkt
Moet een apparaat altijd op het bedrijfsnetwerk zijn?
Nee. Intune is cloudgebaseerd. Correct ingerichte en ondersteunde apparaten kunnen via internet communiceren met relevante Microsoft-cloudservices.
Worden Intune-wijzigingen onmiddellijk toegepast?
Niet noodzakelijk. Policies en andere opdrachten moeten worden ontvangen en verwerkt. De snelheid waarmee een wijziging zichtbaar wordt, hangt onder andere af van het platform, het type wijziging en de synchronisatie- en verwerkingscyclus.
Kan Intune automatisch software installeren?
Ja. Intune kan ondersteunde applicaties automatisch distribueren wanneer deze correct zijn geconfigureerd en aan de juiste gebruikers of apparaten zijn toegewezen.
Wat is het verschil tussen een configuration policy en compliance policy?
Een configuratiepolicy probeert instellingen op een apparaat te configureren. Een compliance policy beoordeelt of het apparaat aan gedefinieerde voorwaarden voldoet.
Blokkeert Intune automatisch een non-compliant apparaat?
Niet automatisch in iedere situatie. Compliance-status kan worden gebruikt binnen een bredere toegangsarchitectuur, bijvoorbeeld in combinatie met Conditional Access.
Waarom krijgt een apparaat een bepaalde Intune-policy?
Dat wordt bepaald door de configuratie van de policy, assignments, groepen, filters en de toepasselijkheid van de instellingen op het betreffende apparaat of de gebruiker.
Waarom duurt Intune soms even?
Intune is cloudgebaseerd beheer waarbij apparaten configuraties moeten ophalen en verwerken en vervolgens statusinformatie terugrapporteren. Daardoor zijn wijzigingen niet altijd direct overal zichtbaar.
Conclusie
Microsoft Intune werkt als een cloudgebaseerde beheerketen tussen gebruikers, apparaten, configuraties, applicaties, compliance en beveiliging.
Het proces begint bij identiteit en enrollment. Vervolgens bepalen groepen en assignments welke policies en applicaties relevant zijn. Het endpoint verwerkt deze configuraties en rapporteert statusinformatie terug naar de beheeromgeving.
Door Intune te combineren met technologieën zoals Microsoft Entra ID, Conditional Access, Windows Autopilot en Microsoft Defender kan een organisatie een moderne endpointmanagementarchitectuur opbouwen.
De grootste uitdaging is echter niet het maken van één policy. De uitdaging is het bouwen van een Intune-omgeving die na honderden policies, applicaties en apparaten nog steeds veilig, begrijpelijk en beheerbaar is.
Heeft u een vraag over Microsoft Intune?
Wordt een Intune-policy niet toegepast, synchroniseert een apparaat niet goed of loopt u tegen problemen aan met enrollment, applicaties, compliance, Windows Autopilot of Conditional Access?
Stel uw Intune-vraag. Uw eerste vraag is gratis.
Beschrijf kort wat u probeert te bereiken, wat er gebeurt en wat u al heeft gecontroleerd. Wij bekijken uw vraag en geven u een eerste praktisch advies over de mogelijke oorzaak, oplossing of vervolgstappen.
Stel gratis uw eerste Intune-vraag →