Zelfstudie: Co-beheer inschakelen voor bestaande Configuration Manager-clients

Door co-beheer te gebruiken, kunt u de gevestigde processen voor het gebruik van Configuration Manager voor het beheren van pc's in uw organisatie behouden. Tegelijkertijd investeert u in de cloud door Intune te gebruiken voor beveiliging en moderne inrichting.

In deze zelfstudie stelt u gezamenlijk beheer in van uw Windows-apparaten die al zijn ingeschreven in Configuration Manager. Deze zelfstudie gaat ervan uit dat u Configuration Manager al gebruikt voor het beheren van uw Windows-apparaten.

Gebruik deze zelfstudie in de volgende gevallen:

• U hebt een on-premises Active Directory waarmee u verbinding kunt maken met Microsoft Entra-id in een hybride Microsoft Entra-configuratie.

  Als u geen hybride Microsoft Entra-id kunt implementeren waarmee uw on-premises AD wordt gekoppeld aan Microsoft Entra ID, volgt u onze begeleidende zelfstudiegids, Co-beheer inschakelen voor nieuwe Windows-apparaten op internetbasis.

• U hebt bestaande Configuration Manager-clients die u wilt koppelen aan de cloud.

In deze zelfstudie:

Vereisten

Azure-services en -omgeving

• Azure-abonnement (gratis proefversie)

• Microsoft Entra ID P1 of P2

• Microsoft Intune-abonnement

  Tip

  Een Enterprise Mobility + Security (EMS)-abonnement omvat zowel Microsoft Entra ID P1 of P2 als Microsoft Intune. EMS-abonnement (gratis proefversie).

Als dit nog niet aanwezig is in uw omgeving, configureert u tijdens deze zelfstudie Microsoft Entra Connect tussen uw on-premises Active Directory en uw Microsoft Entra-tenant.

On-premises infrastructuur

• Een ondersteunde versie van Configuration Manager Current Branch
• De MDM-machtiging (Mobile Device Management) ingesteld op Intune

Machtigingen

Gebruik in deze zelfstudie de volgende machtigingen om taken uit te voeren:

• Een account voor een domeinbeheerder op uw on-premises infrastructuur

• Een account dat een volledige beheerder is voor alle bereiken in Configuration Manager

• Een account dat een globale beheerder is in Microsoft Entra ID

  • Zorg ervoor dat u een Intune-licentie toewijst aan het account dat u gebruikt om u aan te melden bij uw tenant. Anders mislukt de aanmelding met het foutbericht Er is een onverwachte fout opgetreden.

  Belangrijk

  De rol Microsoft Entra globale beheerder is een zeer bevoorrechte rol en mag alleen worden gebruikt wanneer een andere rol niet kan worden gebruikt. Voor deze functie is de rol van globale beheerder vereist. Voor andere functies raadt Microsoft aan rollen met de minste machtigingen te gebruiken. Zie Grondbeginselen van op rollen gebaseerd beheer voor Configuration Manager voor meer informatie.

Hybride Microsoft Entra-id instellen

Wanneer je een hybride Microsoft Entra ID instelt, stel je in feite de integratie in van een on-premises AD met Microsoft Entra ID met behulp van Microsoft Entra Connect en Active Directory Federated Services (ADFS). Met een geslaagde configuratie kunnen uw werknemers zich naadloos aanmelden bij externe systemen met hun lokale AD-referenties.

Microsoft Entra Connect instellen

Hybride Microsoft Entra ID vereist configuratie van Microsoft Entra Connect om computeraccounts in je on-premises Active Directory (AD) en het apparaatobject in Microsoft Entra ID gesynchroniseerd te houden.

Vanaf versie 1.1.819.0 biedt Microsoft Entra Connect je een wizard om Microsoft Entra hybride deelname te configureren. Het gebruik van deze wizard vereenvoudigt het configuratieproces.

Als je Microsoft Entra Connect wilt configureren, heb je referenties van een globale beheerder voor Microsoft Entra ID nodig. De volgende procedure moet niet worden beschouwd als gezaghebbend voor het instellen van Microsoft Entra Connect, maar wordt hier geboden om de configuratie van co-beheer tussen Intune en Configuration Manager te stroomlijnen. Zie Microsoft Entra hybride deelname configureren voor beheerde domeinen in de Microsoft Entra-documentatie voor de gezaghebbende inhoud hierover en gerelateerde procedures voor het instellen van Microsoft Entra ID.

Een hybride join voor Microsoft Entra configureren met Microsoft Entra Connect

1. Download en installeer de nieuwste versie van Microsoft Entra Connect (1.1.819.0 of hoger).

2. Start Microsoft Entra Connect en selecteer vervolgens Configureren.

3. Selecteer op de pagina Extra takende optie Apparaatopties configureren en selecteer vervolgens Volgende.

4. Selecteer op de pagina Overzicht de optie Volgende.

5. Voer op de pagina Verbinding maken met Microsoft Entra-id de referenties van een globale beheerder voor Microsoft Entra-id in.

6. Selecteer op de pagina Apparaatopties Microsoft Entra hybride deelname configureren en selecteer vervolgens Volgende.

7. Selecteer op de pagina Apparaatbesturingssystemen de besturingssystemen die worden gebruikt door apparaten in uw Active Directory-omgeving en selecteer vervolgens Volgende.

   U kunt de optie selecteren om Windows-apparaten met een lagere versie van een domein te ondersteunen, maar houd er rekening mee dat co-beheer van apparaten alleen wordt ondersteund voor Windows-apparaten.

8. Voer op de SCP-pagina de volgende stappen uit voor elk on-premises forest waarvoor Microsoft Entra Connect het serviceverbindingspunt (SCP) configureert, en selecteer vervolgens Volgende:

   1. Selecteer het bos.
   2. Selecteer de verificatieservice. Als u een federatief domein hebt, selecteert u de AD FS-server, tenzij uw organisatie uitsluitend Windows-clients heeft, u computer/apparaat-synchronisatie hebt geconfigureerd of uw organisatie gebruikmaakt van SeamlessSSO.
   3. Klik op Toevoegen om de beheerdersreferenties van het bedrijf in te voeren.

9. Als u een beheerd domein hebt, slaat u deze stap over.

   Voer op de pagina Federatieconfiguratie de referenties van uw ADFS-beheerder in en selecteer Volgende.

10. Selecteer Configureren op de pagina Klaar om te configureren en selecteer Configureren.

11. Selecteer Afsluiten op de pagina Configuratie voltooien.

Als u problemen ondervindt bij het voltooien van de hybride deelname aan Microsoft Entra voor Windows-apparaten die lid zijn van een domein, raadpleegt u Problemen oplossen met de hybride deelname van Microsoft Entra voor huidige Windows-apparaten.

Clientinstellingen configureren om klanten te leiden zich te registreren met Microsoft Entra-id

Gebruik clientinstellingen om Configuration Manager-clients te configureren voor automatische registratie met Microsoft Entra ID.

1. Open de Configuration Manager-console>Overzicht van de>beheerclient>Instellingen en bewerk vervolgens de standaardinstellingen van de client.

2. Selecteer Cloudservices.

3. Stel op de pagina Standaardinstellingen de optie Nieuwe Windows 10-apparaten die aan een domein zijn toegevoegd met Microsoft Entra-id automatisch registreren in op Ja.

4. Selecteer OK om deze configuratie op te slaan.

Automatische inschrijving van apparaten bij Intune configureren

Stel vervolgens de automatische inschrijving van apparaten in bij Intune. Bij automatische inschrijving worden apparaten die u met Configuration Manager beheert, automatisch ingeschreven bij Intune.

Met automatische inschrijving kunnen gebruikers ook hun Windows-apparaten inschrijven bij Intune. Apparaten worden geregistreerd wanneer een gebruiker zijn of haar werkaccount toevoegt aan zijn persoonlijke apparaat of wanneer een apparaat dat eigendom is van het bedrijf wordt toegevoegd aan Microsoft Entra ID.

1. Meld u aan bij de Azure Portal en selecteer Microsoft Entra ID>Mobility (MDM en MAM)>Microsoft Intune.

2. Configureer het gebruikersbereik van MDM. Geef een van de volgende opties op om te configureren welke apparaten van gebruikers worden beheerd door Microsoft Intune en accepteer de standaardwaarden voor de URL-waarden.

   • Sommige: Selecteer de groepen die hun Windows-apparaten automatisch kunnen inschrijven

   • Alle: alle gebruikers kunnen hun Windows-apparaten automatisch inschrijven

   • Geen: Automatische inschrijving van MDM uitschakelen

   Belangrijk

   Als het MAM-gebruikersbereik en automatische MDM-inschrijving (MDM-gebruikersbereik) beide zijn ingeschakeld voor een groep, is alleen MAM ingeschakeld. Alleen MAM (Mobile Application Management) wordt toegevoegd voor gebruikers in die groep wanneer ze op de werkplek deelnemen aan een persoonlijk apparaat. Apparaten worden niet automatisch geregistreerd bij MDM.

   Wanneer Configuration Manager is ingesteld om apparaten in te schrijven bij Intune, moet u nog steeds het MDM-gebruikersbereik voor apparaattokeninschrijving wijzigen. Configuration Manager gebruikt de MDM-URL's die worden opgeslagen in de sitedatabase om te controleren of de client behoort tot de verwachte Intune-tenant.

3. Selecteer Opslaan om de configuratie van automatische inschrijving te voltooien.

4. Ga terug naar Mobiliteit (MDM en MAM) en selecteer vervolgens Microsoft Intune-inschrijving.

   Opmerking

   Sommige tenants hebben deze opties mogelijk niet om te configureren.

   Microsoft Intune is hoe u de MDM-app voor Microsoft Entra ID configureert. Microsoft Intune-inschrijving is een specifieke Microsoft Entra-app die wordt gemaakt wanneer u beleid voor meervoudige verificatie toepast voor iOS- en Android-inschrijving. Zie Meervoudige verificatie vereisen voor inschrijvingen van Intune-apparaten voor meer informatie.

5. Selecteer voor het MDM-gebruikersbereik de optie Alles en vervolgens Opslaan.

Co-beheer inschakelen in Configuration Manager

Met hybride Microsoft Entra-instellingen en Configuration Manager-clientconfiguraties kunt u co-beheer inschakelen voor uw Windows-apparaten.

Een testgroep is een verzameling die een subset van uw Configuration Manager-apparaten bevat. De term pilotgroep wordt overal in de functie voor gezamenlijk beheer en configuratievensters gebruikt. Gebruik een testgroep voor de eerste tests, waarbij u zo nodig apparaten toevoegt, totdat u klaar bent om de werkbelastingen voor alle Configuration Manager-apparaten te verplaatsen. Er is geen tijdslimiet voor hoelang u een testgroep kunt gebruiken voor werkbelastingen. Als u de werkbelasting niet naar alle Configuration Manager-apparaten wilt verplaatsen, kunt u een testgroep voor onbepaalde tijd gebruiken.

Wanneer u gezamenlijk beheer inschakelt, wijst u een verzameling toe als een pilotgroep. Deze groep bevat een klein aantal clients om uw configuraties voor gezamenlijk beheer te testen. Maak een geschikte verzameling voordat u de procedure start. Vervolgens kunt u deze verzameling selecteren zonder de procedure voor het maken ervan af te sluiten. Mogelijk hebt u meerdere verzamelingen nodig omdat u voor elke werkbelasting een andere testgroep kunt toewijzen.

Co-beheer inschakelen voor versies 2111 en hoger

Vanaf Configuration Manager versie 2111 is de onboarding-ervaring voor co-management gewijzigd. Met de wizard Cloud Attach Configuration kunt u co-beheer en andere cloudfuncties eenvoudiger inschakelen. U kunt een gestroomlijnde set aanbevolen standaardinstellingen kiezen of uw cloudkoppelingsfuncties aanpassen. Er is ook een nieuwe ingebouwde apparatenverzameling voor in aanmerking komende apparaten voor gezamenlijk beheer om u te helpen klanten te identificeren. Zie Cloud Attach inschakelen voor meer informatie over het inschakelen van co-management.

Co-beheer inschakelen voor versies 2107 en eerder

Wanneer u co-beheer inschakelt, kunt u de openbare Azure-cloud, Azure Government-cloud of Azure China 21Vianet-cloud (toegevoegd in versie 2006) gebruiken. Volg deze instructies om gezamenlijk beheer in te schakelen:

1. Ga in de Configuration Manager-console naar de werkruimte Beheer , vouw Cloud Services uit en selecteer het knooppunt Cloud Attachen . Selecteer Cloud Attach configureren op het lint om de wizard Cloud Attach Configuration te openen.

   Vouw voor versie 2103 en eerder Cloud Services uit en selecteer het knooppunt Co-management . Selecteer Co-beheer configureren op het lint om de wizard Co-management Configuration te openen.

2. Kies op de onboardingpagina van de wizard voor een Azure-omgeving een van de volgende omgevingen:

   • Openbare Azure-cloud

   • Azure Government cloud

   • Azure China cloud (toegevoegd in versie 2006)

     Opmerking

     Werk de Configuration Manager-client bij naar de nieuwste versie op uw apparaten voordat u aan boord gaat naar de Azure China-cloud.

   Wanneer u de Azure China-cloud of Azure Government-cloud selecteert, is de optie Uploaden naar Microsoft Endpoint Manager-beheercentrum voor tenantkoppeling uitgeschakeld.

3. Selecteer Aanmelden. Meld je aan als globale beheerder van Microsoft Entra en selecteer vervolgens Volgende. U meldt zich eenmalig aan voor deze wizard. De referenties worden niet ergens anders opgeslagen of hergebruikt.

   Belangrijk

   De rol Microsoft Entra globale beheerder is een zeer bevoorrechte rol en mag alleen worden gebruikt wanneer een andere rol niet kan worden gebruikt. Voor deze functie is de rol van globale beheerder vereist. Voor andere functies raadt Microsoft aan rollen met de minste machtigingen te gebruiken. Zie Grondbeginselen van op rollen gebaseerd beheer voor Configuration Manager voor meer informatie.

4. Kies op de pagina Activering de volgende instellingen:

   • Automatische inschrijving in Intune: hiermee wordt automatische clientinschrijving in Intune ingeschakeld voor bestaande Configuration Manager-clients. Met deze optie kunt u medebeheer inschakelen voor een subset van klanten. Zo kunt u gezamenlijk beheer in eerste instantie testen en vervolgens gefaseerd samen beheren. Als de gebruiker een apparaat uitschrijft, wordt het apparaat opnieuw ingeschreven bij de volgende evaluatie van het beleid.

     • Pilot: alleen de Configuration Manager-clients die lid zijn van de Intune-verzameling voor automatische inschrijving worden automatisch ingeschreven bij Intune.
     • Alle: Schakel automatische inschrijving in voor alle clients met ondersteunde Windows-versies.
     • Geen: Automatische inschrijving uitschakelen voor alle klanten.

   • Automatische Intune-inschrijving: deze verzameling moet alle clients bevatten die u in co-beheer wilt introduceren. Het is in wezen een superset van alle andere ensceneringscollecties.

   

   Automatische inschrijving is niet onmiddellijk voor alle klanten mogelijk. Dit gedrag helpt de inschrijving beter op te schalen voor grote omgevingen. Configuration Manager past de inschrijving willekeurig toe op basis van het aantal clients. Als uw omgeving bijvoorbeeld 100.000 klanten heeft en u deze instelling inschakelt, duurt het aantal dagen dat de registratie plaatsvindt.

   Een nieuw apparaat met gezamenlijk beheer wordt nu automatisch ingeschreven bij de Microsoft Intune-service op basis van het Microsoft Entra-apparaattoken. Er hoeft niet te worden gewacht totdat een gebruiker zich heeft aangemeld bij het apparaat om de automatische inschrijving te starten. Deze wijziging helpt om het aantal apparaten met de inschrijvingsstatus Aanmelding van een gebruiker in behandeling te verminderen. Ter ondersteuning van dit gedrag moet het apparaat beschikken over ondersteunde Windows-versies. Zie Inschrijvingsstatus co-management voor meer informatie.

   Als u al apparaten hebt die zijn ingeschreven voor gezamenlijk beheer, worden nieuwe apparaten nu direct geregistreerd nadat ze aan de vereisten voldoen.

5. Voor internetapparaten die al zijn geregistreerd bij Intune, kopieert u de opdracht en slaat u deze op op de pagina Activering . Gebruik deze opdracht om de Configuration Manager-client te installeren als een app in Intune voor internetapparaten. Als u deze opdracht nu niet opslaat, kunt u op elk moment de configuratie voor gezamenlijk beheer controleren om deze opdracht op te halen.

   Tip

   De opdracht wordt alleen weergegeven als aan alle vereisten wordt voldaan, zoals het instellen van een gateway voor cloudbeheer.

6. Kies op de pagina Werkbelastingen voor elke werkbelasting de apparaatgroep die u wilt verplaatsen voor beheer met Intune. Zie voor meer informatie Werkbelasting.

   Als u alleen co-beheer wilt inschakelen, hoeft u niet nu van workload te wisselen. U kunt later overschakelen naar een andere werkbelasting. Zie De werkbelasting wijzigen voor meer informatie.

   • Intune testen: hiermee wordt de bijbehorende werkbelasting alleen omgeschakeld voor de apparaten in de testverzamelingen die u opgeeft op de pagina Staging . Elke werkbelasting kan een verschillende testverzameling hebben.
   • Intune: schakelt de bijbehorende werkbelasting voor alle gezamenlijk beheerde Windows-apparaten.

   Belangrijk

   Voordat u overschakelt naar workloads, moet u ervoor zorgen dat u de bijbehorende workload goed configureert en implementeert in Intune. Zorg ervoor dat werkbelastingen altijd worden beheerd door een van de beheerprogramma's voor uw apparaten.

7. Geef op de pagina Staging de testcollectie op voor elk van de werkbelastingen die zijn ingesteld voor de Intune-test.

   

8. Voltooi de wizard om gezamenlijk beheer in te schakelen.

Verwante onderwerpen

• Co-beheer bewaken in Configuration Manager
• Onmiddellijke waarde
• Voorwaardelijke toegang