EndpointPilot

Microsoft Intune kan worden gebruikt om apparaten, applicaties, configuraties, compliance en verschillende beveiligingsinstellingen centraal te beheren. Voor veel organisaties begint Intune bij het beheer van Windows-laptops, maar het platform ondersteunt veel meer onderdelen van een moderne werkplek.

Met Microsoft Intune kunt u bijvoorbeeld Windows 11-apparaten configureren, bedrijfsapplicaties distribueren, smartphones beheren, compliance policies toepassen, BitLocker configureren en endpoint security-beleid centraal uitrollen.

Maar wat kunt u precies met Microsoft Intune beheren?

In dit artikel bekijken we de belangrijkste beheergebieden en leggen we uit hoe deze binnen een moderne IT-omgeving met elkaar samenwerken.

Wat kunt u beheren met Microsoft Intune?

De mogelijkheden van Microsoft Intune kunnen grofweg worden onderverdeeld in een aantal belangrijke beheergebieden:

• apparaten;
• besturingssystemen;
• configuraties;
• applicaties;
• compliance;
• endpoint security;
• mobiele applicaties en bedrijfsgegevens;
• Windows provisioning;
• updates;
• remote device actions.

Intune moet daarbij niet worden gezien als een verzameling volledig onafhankelijke functies.

De grootste waarde ontstaat wanneer deze onderdelen onderdeel worden van één samenhangende endpointmanagementarchitectuur.

1. Windows-apparaten beheren met Intune

Windows is voor veel organisaties het belangrijkste platform binnen Microsoft Intune.

Een organisatie kan Windows 11-laptops en desktops centraal onder beheer brengen en vervolgens verschillende configuraties toepassen.

Denk bijvoorbeeld aan:

• beveiligingsinstellingen;
• Windows Hello for Business;
• BitLocker;
• Windows Firewall;
• Microsoft Defender-configuraties;
• Microsoft Edge;
• OneDrive;
• applicaties;
• updatebeleid;
• compliance policies.

Hiermee kan IT een standaard Windows-werkplek definiëren.

In plaats van iedere computer afzonderlijk te configureren, wordt centraal bepaald welke configuratie voor een bepaalde groep apparaten of gebruikers moet gelden.

2. macOS-apparaten beheren

Microsoft Intune kan ook worden gebruikt voor het beheer van ondersteunde macOS-apparaten.

Dat is interessant voor organisaties waar Windows en Apple naast elkaar worden gebruikt.

Afhankelijk van het beheerscenario kan IT bijvoorbeeld bepaalde:

• configuraties;
• compliance-eisen;
• applicaties;
• beveiligingsinstellingen;
• certificaten;

naar beheerde Macs distribueren.

Voor Apple-beheer kan ook de integratie met Apple-diensten zoals Apple Business Manager relevant zijn.

Een belangrijk aandachtspunt is dat Windows- en macOS-beheer niet identiek zijn.

Een policyarchitectuur moet daarom rekening houden met de mogelijkheden en beperkingen van ieder platform.

3. iPhones en iPads beheren

iPhones en iPads worden binnen veel organisaties gebruikt voor toegang tot:

• e-mail;
• Microsoft Teams;
• SharePoint;
• OneDrive;
• bedrijfsapplicaties;
• andere zakelijke cloudservices.

Daardoor worden mobiele apparaten onderdeel van de securityarchitectuur.

Met Intune kunnen ondersteunde iOS- en iPadOS-apparaten binnen verschillende beheermodellen worden opgenomen.

Welke mate van beheer wenselijk is, hangt onder andere af van de vraag:

Is het apparaat eigendom van de organisatie of van de medewerker?

Voor een volledig zakelijke iPhone kan een ander beheermodel worden gekozen dan voor een privé-iPhone waarop alleen enkele zakelijke applicaties worden gebruikt.

4. Android-apparaten beheren

Ook Android kan via Microsoft Intune worden beheerd.

Microsoft ondersteunt hiervoor verschillende Android Enterprise-scenario’s.

Denk bijvoorbeeld aan:

• persoonlijk apparaat met Work Profile;
• volledig beheerd zakelijk apparaat;
• corporate-owned apparaat met een persoonlijk profiel;
• dedicated device-scenario’s.

Het juiste model hangt af van het gebruik van het apparaat.

Een smartphone van een medewerker die ook privé wordt gebruikt vraagt om een andere aanpak dan een Android-tablet die uitsluitend als bedrijfsapparaat in een magazijn wordt gebruikt.

5. Bedrijfsapplicaties beheren

Application Management is een van de belangrijkste Intune-workloads.

IT kan applicaties centraal distribueren naar gebruikers en apparaten.

Denk bijvoorbeeld aan:

• Microsoft 365 Apps;
• Microsoft Edge;
• Microsoft Store-applicaties;
• Win32-applicaties;
• mobiele applicaties;
• interne bedrijfsapplicaties.

Hierdoor hoeft software niet op ieder apparaat afzonderlijk te worden geïnstalleerd.

Een applicatie kan bijvoorbeeld als verplicht worden toegewezen.

Wanneer een relevant apparaat onder beheer komt, kan Intune proberen de applicatie automatisch te installeren.

6. Win32-applicaties beheren

Voor Windows-omgevingen zijn Win32-applicaties bijzonder belangrijk.

Veel traditionele bedrijfssoftware kan als Win32-app voor Intune worden voorbereid.

Een beheerder moet daarbij onder andere nadenken over:

• install command;
• uninstall command;
• install behavior;
• requirements;
• detection rules;
• dependencies;
• supersedence;
• assignments.

Vooral detection rules zijn belangrijk.

Intune moet na de installatie kunnen vaststellen of de applicatie daadwerkelijk aanwezig is.

Wanneer de detectielogica niet correct is, kan een succesvolle installatie toch als mislukt worden gerapporteerd.

Daarom verdient application packaging een eigen beheerproces.

7. Applicaties beschikbaar stellen via Company Portal

Niet iedere applicatie hoeft automatisch te worden geïnstalleerd.

Sommige software is alleen nodig voor bepaalde medewerkers.

Intune kan dergelijke applicaties beschikbaar maken via Company Portal.

Een gebruiker kan vervolgens zelf een beschikbare applicatie installeren.

Dat kan bijvoorbeeld nuttig zijn voor:

• specialistische software;
• optionele tools;
• applicaties die slechts door een kleine gebruikersgroep worden gebruikt.

Hierdoor kan IT meer selfservice aanbieden zonder dat gebruikers volledige lokale vrijheid nodig hebben om willekeurige bedrijfssoftware te installeren.

8. Configuration Profiles beheren

Een groot deel van endpointbeheer draait om configuratie.

Met Intune kunnen organisaties instellingen centraal beheren via verschillende policytypen, waaronder configuration profiles.

Denk bijvoorbeeld aan configuraties voor:

• Windows;
• Microsoft Edge;
• OneDrive;
• Wi-Fi;
• VPN;
• certificaten;
• Windows Hello for Business;
• apparaatbeperkingen.

Het doel is een gewenste configuratiestandaard te definiëren.

In plaats van:

We hopen dat iedere laptop ongeveer hetzelfde is ingesteld.

wordt het uitgangspunt:

Dit is de configuratie die voor deze categorie apparaten moet gelden.

Dat is een fundamenteel verschil tussen handmatig en centraal endpointbeheer.

9. Settings Catalog gebruiken

Voor veel configuraties kan binnen Intune gebruik worden gemaakt van de Settings Catalog.

Hiermee kunnen beheerders uit beschikbare instellingen de configuraties selecteren die binnen een policy nodig zijn.

Dit biedt veel flexibiliteit.

Die flexibiliteit creëert echter ook een architectuurvraag.

Hoe verdeelt u instellingen over policies?

Een organisatie kan bijvoorbeeld kiezen voor afzonderlijke logisch opgebouwde policies voor:

• browserconfiguratie;
• OneDrive;
• security;
• Windows experience;
• netwerkconfiguratie.

Een consistente structuur maakt beheer en troubleshooting later eenvoudiger.

10. Compliance beheren

Configuratie vertelt een apparaat wat de gewenste instelling is.

Compliance beoordeelt of het apparaat aan bepaalde voorwaarden voldoet.

Dat zijn twee verschillende functies.

Een organisatie kan bijvoorbeeld compliance-eisen definiëren rond:

• besturingssysteemversie;
• wachtwoordvereisten;
• versleuteling;
• apparaatstatus;
• bepaalde securitysignalen.

Het apparaat wordt vervolgens op basis van de ingestelde regels geëvalueerd.

Daaruit kan een compliance-status ontstaan.

11. Non-compliant apparaten beheren

Wanneer een apparaat niet aan de ingestelde compliance-eisen voldoet, kan het als non-compliant worden gerapporteerd.

Dat is belangrijke informatie voor IT.

Maar non-compliant betekent niet automatisch:

Intune blokkeert het apparaat onmiddellijk.

Wat er uiteindelijk gebeurt, hangt af van de volledige architectuur.

Compliance-status kan bijvoorbeeld worden gebruikt in combinatie met Conditional Access.

Daarmee kan een organisatie bepalen onder welke voorwaarden toegang tot bepaalde bedrijfsresources wordt toegestaan.

12. BitLocker beheren

BitLocker is Microsofts technologie voor schijfversleuteling binnen Windows.

Voor zakelijke laptops is encryptie belangrijk omdat apparaten:

• verloren kunnen raken;
• gestolen kunnen worden;
• buiten kantoor worden gebruikt;
• vertrouwelijke bedrijfsgegevens kunnen bevatten.

Intune kan worden gebruikt om bepaalde BitLocker-instellingen centraal te beheren.

Daarmee kan een organisatie proberen een consistente encryptiestandaard voor beheerde Windows-apparaten te realiseren.

13. Microsoft Defender Antivirus beheren

Intune kan binnen ondersteunde scenario’s worden gebruikt voor het configureren van Microsoft Defender Antivirus-instellingen.

Een organisatie kan bijvoorbeeld centraal securitybeleid definiëren in plaats van afhankelijk te zijn van handmatige lokale configuratie.

Endpointbeveiliging bestaat echter uit meer dan antivirus alleen.

Daarom moet Defender-configuratie worden bekeken als onderdeel van een bredere endpoint security-strategie.

14. Windows Firewall beheren

Ook Windows Firewall-instellingen kunnen onderdeel zijn van centraal endpointbeheer.

Firewallbeleid kan belangrijk zijn voor het beperken van ongewenste netwerkcommunicatie.

Zoals bij andere securitypolicies geldt:

Test wijzigingen voordat ze breed worden uitgerold.

Een te agressieve firewallconfiguratie kan legitieme applicaties of bedrijfsprocessen verstoren.

Daarom is een gefaseerde deploymentstrategie belangrijk.

15. Attack Surface Reduction beheren

Attack Surface Reduction-regels, vaak afgekort tot ASR, kunnen helpen om bepaalde gedragingen die regelmatig bij aanvallen worden misbruikt te beperken.

ASR kan krachtige beveiligingsmaatregelen bieden.

Maar deze instellingen kunnen ook impact hebben op bestaande applicaties en processen.

Een verstandige aanpak bestaat daarom uit:

Inventariseren → Testen → Monitoren → Gefaseerd uitrollen

In plaats van alle mogelijke beveiligingsregels direct organisatiebreed af te dwingen.

16. Security Baselines beheren

Microsoft biedt security baselines die als uitgangspunt kunnen dienen voor bepaalde beveiligingsconfiguraties.

Een baseline is echter geen universele configuratie die zonder analyse op iedere organisatie kan worden toegepast.

Iedere omgeving heeft andere:

• applicaties;
• gebruikers;
• processen;
• legacy-afhankelijkheden;
• securityvereisten.

Een security baseline moet daarom worden beoordeeld, getest en waar nodig aangepast aan de omgeving.

17. Windows Hello for Business beheren

Windows Hello for Business kan onderdeel zijn van een moderne authenticatiestrategie.

Gebruikers kunnen bijvoorbeeld gebruikmaken van sterke authenticatiemechanismen die gekoppeld zijn aan het apparaat.

Intune kan worden gebruikt voor bepaalde configuraties rond Windows Hello for Business.

Dit onderwerp raakt zowel endpointmanagement als identity security en moet daarom in samenhang met de bredere Microsoft-architectuur worden ontworpen.

18. Wi-Fi configuraties beheren

Een praktische toepassing van Intune is het centraal configureren van draadloze netwerken.

In plaats van iedere gebruiker handmatig instructies te geven voor het instellen van een bedrijfsnetwerk, kunnen ondersteunde Wi-Fi-configuraties centraal worden uitgerold.

Afhankelijk van het ontwerp kunnen ook certificaten en authenticatie een rol spelen.

Dit kan onboarding vereenvoudigen en configuratiefouten verminderen.

19. VPN-configuraties beheren

Voor organisaties die VPN gebruiken, kunnen bepaalde VPN-configuraties via endpointmanagement worden beheerd.

Dit kan vooral relevant zijn voor hybride werkplekken.

Het feit dat Intune cloudgebaseerd is betekent overigens niet automatisch dat een organisatie geen VPN meer nodig heeft.

Dat hangt af van welke interne applicaties en resources nog via private bedrijfsnetwerken toegankelijk moeten zijn.

20. Certificaten beheren

Certificaten worden binnen bedrijfsomgevingen voor verschillende doeleinden gebruikt.

Bijvoorbeeld:

• Wi-Fi-authenticatie;
• VPN;
• device authentication;
• bepaalde bedrijfsapplicaties.

Intune kan onderdeel zijn van een architectuur waarmee certificaten naar beheerde endpoints worden gedistribueerd.

Certificaatbeheer kan technisch complex worden en vereist daarom zorgvuldig ontwerp van de volledige certificaatinfrastructuur.

21. Windows Autopilot beheren

Windows Autopilot is nauw verbonden met modern Windows endpointmanagement.

Met Autopilot kunnen organisaties het provisioningproces van Windows-apparaten automatiseren.

Daarbij kunnen onder andere worden gebruikt:

• Autopilot deployment profiles;
• device groups;
• group tags;
• Enrollment Status Page;
• Intune policies;
• applicaties.

Een goed ontworpen Autopilot-proces kan de hoeveelheid handmatige voorbereiding van nieuwe laptops aanzienlijk verminderen.

22. Windows-updates beheren

Windows-apparaten moeten structureel worden bijgewerkt.

Binnen modern Microsoft endpointmanagement kunnen organisaties beleid definiëren rond Windows-updates en deployment.

Daarbij is het verstandig om niet alle apparaten exact hetzelfde moment wijzigingen te laten ontvangen.

Een ringmodel kan bijvoorbeeld bestaan uit:

IT Test

↓

Pilot

↓

Early Production

↓

Production

Problemen kunnen hierdoor worden ontdekt voordat een wijziging de volledige organisatie bereikt.

23. BYOD en bedrijfsgegevens beheren

Bij Bring Your Own Device gebruikt een medewerker een persoonlijk apparaat voor zakelijke werkzaamheden.

Dat creëert een spanningsveld.

De organisatie wil bedrijfsinformatie beschermen.

De medewerker wil privacy op het persoonlijke apparaat behouden.

Daarom kunnen application-managementscenario’s relevant zijn waarbij de nadruk ligt op zakelijke applicaties en gegevens in plaats van volledige controle over het privéapparaat.

Een BYOD-strategie moet daarom zowel technisch als organisatorisch worden ontworpen.

24. App Protection Policies beheren

App Protection Policies kunnen worden gebruikt om bepaalde bedrijfsgegevens binnen ondersteunde applicaties te beschermen.

Een organisatie kan bijvoorbeeld regels definiëren rond de manier waarop zakelijke gegevens tussen applicaties worden gebruikt.

Dit is vooral relevant binnen bepaalde mobiele en BYOD-scenario’s.

De exacte mogelijkheden zijn afhankelijk van platform, applicatie, licenties en gekozen architectuur.

25. Remote actions uitvoeren

Voor beheerde apparaten zijn verschillende remote actions beschikbaar.

Afhankelijk van het platform en scenario kan een beheerder bijvoorbeeld een apparaat laten synchroniseren of bepaalde beheeracties uitvoeren.

Sommige acties kunnen grote gevolgen hebben.

Daarom moeten organisaties duidelijk vastleggen:

• welke beheerders remote actions mogen uitvoeren;
• wanneer deze acties zijn toegestaan;
• welke goedkeuring nodig is;
• hoe acties worden geregistreerd.

Dit is niet alleen een technische maar ook een governancevraag.

26. Device inventory en status bekijken

Een belangrijk voordeel van centraal endpointbeheer is zichtbaarheid.

IT kan informatie verzamelen over de beheerde apparaten en hun status.

Dat helpt bij vragen zoals:

• Welke apparaten hebben we?
• Welk besturingssysteem gebruiken ze?
• Welke apparaten zijn niet compliant?
• Welke policies falen?
• Welke applicaties hebben installatieproblemen?
• Welke apparaten zijn mogelijk verouderd?

Intune vervangt daarmee niet noodzakelijk een volledig IT-assetmanagementplatform, maar levert wel belangrijke endpointinformatie.

27. Beheerrollen en RBAC beheren

Niet iedere IT-beheerder moet volledige toegang tot de gehele Intune-omgeving hebben.

Role-Based Access Control, oftewel RBAC, helpt om beheertaken en bevoegdheden te scheiden.

Een servicedeskmedewerker heeft bijvoorbeeld andere rechten nodig dan een security engineer.

Een goede RBAC-architectuur ondersteunt het principe van least privilege:

Geef beheerders alleen de rechten die zij daadwerkelijk nodig hebben.

Wat kan Intune niet beheren?

Het is minstens zo belangrijk om de grenzen van Intune te begrijpen.

Microsoft Intune is geen volledige vervanging voor iedere IT-beheeroplossing.

Het vervangt bijvoorbeeld niet automatisch:

• IT-servicemanagement;
• volledig assetmanagement;
• backup;
• netwerkmonitoring;
• identity governance;
• SIEM;
• security awareness;
• vulnerability management in zijn volledige breedte;
• bedrijfscontinuïteitsmanagement.

Intune is een belangrijk onderdeel van endpointmanagement, maar blijft onderdeel van een bredere IT-architectuur.

Hoe komen alle Intune-onderdelen samen?

Een moderne werkplek kan bijvoorbeeld als volgt worden opgebouwd:

Gebruiker

↓

Microsoft Entra ID

↓

Windows-apparaat

↓

Windows Autopilot

↓

Microsoft Intune

↓

Configuration Profiles

↓

Applications

↓

Endpoint Security

↓

Compliance

↓

Conditional Access

↓

Microsoft 365 en bedrijfsapplicaties

Dit laat zien waarom Intune meer is dan alleen device management.

Het vormt een verbindende beheerlaag tussen apparaten, configuratie, applicaties, compliance en beveiliging.

Begin niet met alles tegelijk

Een veelgemaakte fout bij nieuwe Intune-implementaties is proberen direct iedere mogelijkheid te gebruiken.

Een beter model is gefaseerd werken.

Bijvoorbeeld:

Fase 1 — Foundation

Enrollment, groepen, rollen en basisarchitectuur.

Fase 2 — Configuration

Standaard Windows-configuraties.

Fase 3 — Applications

Bedrijfsapplicaties.

Fase 4 — Compliance

Minimumvereisten voor endpoints.

Fase 5 — Security

Endpoint security en hardening.

Fase 6 — Access

Integratie met Conditional Access.

Fase 7 — Optimization

Monitoring, documentatie, lifecycle management en verdere automatisering.

Zo blijft de implementatie controleerbaar.

Veelgestelde vragen

Kan Intune Windows-laptops beheren?

Ja. Windows endpoint management is een belangrijke toepassing van Microsoft Intune.

Kan Intune Macs beheren?

Ja. Intune ondersteunt verschillende macOS-beheerscenario’s, hoewel de beschikbare mogelijkheden verschillen van Windows.

Kan Intune iPhones beheren?

Ja. Intune ondersteunt verschillende iOS- en iPadOS-beheermodellen.

Kan Intune Android beheren?

Ja. Hiervoor worden onder andere verschillende Android Enterprise-modellen ondersteund.

Kan Intune software installeren?

Ja. Ondersteunde applicaties kunnen via Intune worden gedistribueerd en toegewezen aan gebruikers of apparaten.

Kan Intune BitLocker beheren?

Ja. Intune kan worden gebruikt om relevante BitLocker-configuraties op ondersteunde Windows-apparaten centraal te beheren.

Kan Intune antivirus beheren?

Intune kan worden gebruikt voor het configureren van bepaalde Microsoft Defender Antivirus-instellingen binnen ondersteunde scenario’s.

Kan Intune Windows Firewall beheren?

Ja. Firewallbeleid kan onderdeel zijn van centraal Windows endpointmanagement.

Kan Intune Windows-updates beheren?

Intune en aanverwante Microsoft-managementmogelijkheden kunnen worden gebruikt om beleid rond Windows-updates te beheren.

Kan Intune privéapparaten beheren?

Intune ondersteunt verschillende BYOD-, MDM- en application-managementscenario’s. De juiste aanpak hangt af van eigenaarschap, privacy, beveiliging en bedrijfsvereisten.

Conclusie

Microsoft Intune kan een groot deel van het dagelijkse endpointbeheer centraliseren.

Van Windows-laptops, Macs en mobiele apparaten tot applicaties, configuration profiles, compliance, BitLocker, Microsoft Defender en Windows Autopilot: veel onderdelen van de moderne werkplek kunnen vanuit een centrale managementarchitectuur worden bestuurd.

De grootste waarde ontstaat echter niet door zoveel mogelijk Intune-functies te activeren.

De waarde ontstaat wanneer apparaten, applicaties, configuratie, compliance en security volgens een duidelijke architectuur samenwerken.

Daarom moet een Intune-omgeving niet alleen technisch worden ingericht, maar ook worden ontworpen voor beheerbaarheid, beveiliging, troubleshooting en toekomstige groei.

Heeft u een vraag over Microsoft Intune?

Weet u niet zeker hoe u een bepaald apparaat, applicatie, security policy of compliance-eis met Intune moet beheren? Of werkt een bestaande Intune-configuratie niet zoals verwacht?

Stel uw Intune-vraag. Uw eerste vraag is gratis.

Beschrijf kort wat u wilt beheren, hoe uw omgeving momenteel is ingericht en waar u tegenaan loopt. Wij bekijken uw vraag en geven u een eerste praktisch advies over de mogelijke aanpak, oorzaak of vervolgstappen.

Stel gratis uw eerste Intune-vraag →