Goedgekeurde apps voor Windows-apparaten beheren met het beleid App-beheer voor Bedrijven en Beheerde installatieprogramma's voor Microsoft Intune

Elke dag verschijnen er nieuwe kwaadaardige bestanden en apps in het wild. Wanneer ze worden uitgevoerd op apparaten in uw organisatie, vormen ze een risico dat moeilijk te beheren of te voorkomen is. U kunt beleidsregels van Microsoft Intune App Control for Business gebruiken om te voorkomen dat ongewenste apps worden uitgevoerd op uw beheerde Windows-apparaten.

Het beleid voor app-beheer voor bedrijven van Intune maakt deel uit van de eindpuntbeveiliging en maakt gebruik van de Windows ApplicationControl Configuration Service Provider (CSP) om toegestane apps op Windows-apparaten te beheren.

Ook beschikbaar via het beleid voor app-beheer voor bedrijven, kunt u het beleid voor beheerd installatieprogramma gebruiken om de uitbreiding voor Intune beheer als een beheerd installatieprogramma aan uw tenant toe te voegen. Met deze uitbreiding als beheerd installatieprogramma worden de apps die u implementeert via Intune, automatisch getagd door het installatieprogramma. Getagde apps worden door uw beleid voor app-beheer voor bedrijven geïdentificeerd als veilige apps die mogen worden uitgevoerd op uw apparaten.

• De Intune-beheerextensie is een Intune-service die de Windows MDM-functies voor Windows-apparaten aanvult. Het vergemakkelijkt de installatie van Win32-apps en PowerShell-scripts op beheerde apparaten.

• Een beheerd installatieprogramma gebruikt een AppLocker-regel om toepassingen die u installeert te labelen als vertrouwd door uw organisatie Zie Apps toestaan die zijn geïnstalleerd door een beheerd installatieprogramma in de documentatie over Windows-beveiliging voor meer informatie.

  U hoeft geen beheerd installatieprogramma te gebruiken om beleid van App-beheer voor Bedrijven te gebruiken.

De informatie in dit artikel kan u helpen:

• Configureer de Intune Management Extension als een beheerd installatieprogramma.
• Configureer app-beheer voor bedrijvenbeleid voor eindpuntbeveiliging.

Zie Windows Defender-toepassingsbeheer in de documentatie van de Windows-beveiliging voor gerelateerde informatie.

Van toepassing op:

• Windows

Vereisten

Apparaten

De volgende apparaten worden ondersteund voor beleid van app-beheer voor bedrijven wanneer ze zijn ingeschreven bij Intune:

• Windows Enterprise of Education:

  • Windows 10 versie 1903 of hoger
  • Windows 11

• Windows Professional:

  • Windows 10 met KB5019959
  • Windows 11:
    • Versie 22H2 met KB5019980
    • Versie 21H2 met KB5019961

• Windows 11 SE:

  • Windows 11 SE wordt alleen ondersteund voor onderwijstenants. Zie App-beheer voor bedrijven-beleid voor onderwijstenants verderop in dit artikel voor meer informatie.

• Azure Virtual Desktop (AVD):

  • AVD-apparaten worden ondersteund voor het gebruik van beleid voor app-beheer voor bedrijven
  • Als u AVD-apparaten met meerdere sessies wilt gebruiken, gebruikt u het knooppunt App-beheer voor Bedrijven in Endpoint Security. App-beheer voor bedrijven is echter uitsluitend binnen het bereik van het apparaat.

• Apparaten met gezamenlijk beheer:

  • Als u beleid voor toepassingsbeheer voor bedrijven wilt ondersteunen op apparaten die samen worden beheerd, stelt u de schuifregelaar voor de schuifregelaar Endpoint Protection in op Intune.

Windows Defender-app-beheer voor bedrijven

Zie de Windows-editie- en licentievereisten in Over toepassingsbeheer voor Windows in de documentatie over Windows-beveiliging.

Toegangsbeheer op basis van rollen

Als u beleid voor app-beheer voor bedrijven wilt beheren, moet aan een account een rol Intune op rollen gebaseerd toegangsbeheer (RBAC) zijn toegewezen die voldoende machtigingen en rechten bevat om een gewenste taak uit te voeren.

Hier volgen de beschikbare taken met de vereiste machtigingen en rechten.

• Het gebruik van een beheerd installatieprogramma inschakelen - Accounts moeten de rol van Intune beheerder krijgen. Het inschakelen van het installatieprogramma is een eenmalige gebeurtenis.

  Belangrijk

  Microsoft raadt u aan rollen met zo min mogelijk machtigingen te gebruiken. Dit helpt de beveiliging voor uw organisatie verbeteren. De Intune-beheerder en soortgelijke accounts zijn zeer bevoorrechte rollen die moeten worden beperkt tot scenario's waarin geen andere rol kan worden gebruikt.

• Beleid App-beheer voor bedrijven beheren: accounts moeten de machtiging App-beheer voor bedrijven hebben, waaronder rechten voor verwijderen, lezen, toewijzen, maken, bijwerken en weergeven van rapporten.

• Rapporten weergeven voor het beleid App-beheer voor Bedrijven - Accounts moeten over een van de volgende machtigingen en rechten beschikken:

  • De machtiging App-beheer voor Bedrijven met Rapporten weergeven.
  • De organisatiemachtiging met Lezen.

Zie Toegangsbeheer op basis van rollen voor eindpuntbeveiliging voor hulp bij het toewijzen van het juiste machtigingsniveau en rechten voor het beheren van het beleid van Intune-app-beheer voor bedrijven.

Cloudondersteuning voor de overheid

Intune-eindpuntbeveiliging Het beleid voor toepassingsbeheer en het configureren van een beheerd installatieprogramma worden ondersteund in de volgende onafhankelijke cloudomgevingen:

• Wolken voor de Amerikaanse overheid
• 21Vianet

Aan de slag met beheerde installatieprogramma's

Met App-beheer voor bedrijven voor eindpuntbeveiliging van Intune kunt u beleidsregels gebruiken om de uitbreiding voor Intune beheer toe te voegen als een beheerd installatieprogramma op uw beheerde Windows-apparaten.

Nadat u een beheerd installatieprogramma op een apparaat hebt ingeschakeld, worden alle volgende toepassingen die u via Intune op Windows-apparaten implementeert, gemarkeerd met het label voor beheerd installatieprogramma. De code geeft aan dat de app is geïnstalleerd door een bekende bron en dat deze kan worden vertrouwd. De labels voor beheerde installatieprogramma's van apps worden vervolgens gebruikt door App-beheer voor bedrijvenbeleid om automatisch te identificeren dat apps zijn goedgekeurd om te worden uitgevoerd op apparaten in uw omgeving.

Het beleid van App-beheer voor bedrijven is een implementatie van Windows Defender-toepassingsbeheer (WDAC). Voor meer informatie over WDAC en app-tagging, zie Over toepassingsbeheer voor Windows en de WDAC-taghandleiding voor toepassings-id's (AppId) in de documentatie voor Windows Defender-toepassingsbeheer.

Overwegingen voor het gebruik van een beheerd installatieprogramma:

• U implementeert een of meer beleidsregels voor App-beheer voor bedrijven voor een beheerd installatieprogramma op verschillende groepen beheerde Windows-apparaten.

  Tip

  Op 18 augustus 2025 heeft Intune één tenantbreed beleid voor het toevoegen van een beheerd installatieprogramma aan Windows-apparaten vervangen door een nieuw beleidsontwerp dat de toewijzing van een beheerd installatieprogramma aan geselecteerde groepen ondersteunt. Als het tenantbrede beleid vóór 18 augustus van kracht was, wordt dat beleid geconverteerd naar een beleid dat is gericht op alle apparaten, wat gelijk is aan de oorspronkelijke configuratie. Als u liever een uitgebreidere implementatie van het beheerde installatieprogramma gebruikt, kunt u het bestaande beleid verwijderen en vervolgens nieuw beleid maken om specifieke groepen te targeten of specifieke bereiktags te gebruiken.

• Nadat Windows-apparaten een beleid hebben ontvangen waarmee de extensie Intune Management wordt toegevoegd als beheerd installatieprogramma, worden alle apps die u via Intune op deze apparaten implementeert, gemarkeerd met het beheerde installatieprogramma.

• Als u wilt voorkomen dat nieuwe apparaten een beheerd installatieprogramma toevoegen, kunt u beleid bewerken om groepen apparaten uit te sluiten of het beleid voor beheerd installatieprogramma uit Intune verwijderen. Uitsluiting van een beleid of verwijdering van een beleid betekent echter niet dat het beheerde installatieprogramma wordt verwijderd van apparaten waarop het eerder is toegevoegd.

• Deze tag heeft op zichzelf geen effect op welke apps op uw apparaten kunnen worden uitgevoerd. De tag wordt alleen gebruikt wanneer u ook WDAC-beleid toewijst dat bepaalt welke apps mogen worden uitgevoerd op uw beheerde apparaten.

• Omdat er geen tagging met terugwerkende kracht is, worden alle apps op uw apparaten die zijn geïmplementeerd voordat het beheerde installatieprogramma werd ingeschakeld, niet getagd. Als u een WDAC-beleid toepast, moet u expliciete configuraties opnemen om deze niet-gecodeerde apps uit te voeren.

• U kunt een beleid uitschakelen om te voorkomen dat volgende apps worden gelabeld met het beheerde installatieprogramma. Apps die eerder zijn geïnstalleerd en getagd, blijven getagd. Zie De uitbreiding voor Intune Management verwijderen als een beheerd installatieprogramma verderop in dit artikel voor informatie over het handmatig opschonen van een beheerd installatieprogramma na het uitschakelen van het beleid.

Meer informatie over hoe Intune het beheerde installatieprogramma heeft ingesteld, vindt u in de documentatie bij Windows-beveiliging.

Een beheerd installatieprogramma toevoegen aan uw tenant

U kunt een of meer beleidsregels voor beheerde installatieprogramma's maken om het beheerde installatieprogramma toe te voegen aan groepen apparaten. Wanneer u meer dan één beleid maakt, moet u rekening houden met het volgende, dat van toepassing is op apparaten waarop meer dan één beheerd installatiebeleid van toepassing is:

• Als voor één beleid de instelling Inschakelen Intune Beheerde extensie als Beheerd installatieprogramma is ingesteld op Ingeschakeld, past het apparaat de configuratie toe als ingeschakeld.
• Bereiktags van meer dan één beleid zijn van toepassing op een apparaat als een superset van die reikmatcodes.

De volgende procedure begeleidt u bij het toevoegen van de Intune Management Extension als een beheerd installatieprogramma voor uw tenant:

1. Ga in het Microsoft Intune-beheercentrum naar Endpoint security>App Control for Business>, selecteer het tabblad Beheerd installatieprogramma en selecteer vervolgens Maken. De werkstroom Beheerd installatiebeleid maken wordt geopend.

   

2. Voer op de pagina Basisinformatie de volgende eigenschappen in:

   • Naam: een unieke beschrijvende naam voor het beleid. Geef profielen een naam, zodat u ze later gemakkelijk kunt terugvinden.
   • Beschrijving: voer een beschrijving in voor het profiel. Deze instelling is optioneel, maar wordt aanbevolen.

3. Stel in InstellingenIntune Beheerde extensie inschakelen als beheerd installatieprogramma in op Ingeschakeld, de standaardinstelling. Wanneer dit beleid is ingeschakeld, maken apparaten met dit beleid gebruik van het beheerde installatieprogramma. Wanneer dit is uitgeschakeld, wordt het beheerde installatieprogramma niet actief gebruikt op het apparaat.

   Tip

   U kunt een beleid op elk gewenst moment bewerken om de waarde van Intune Beheerde extensie inschakelen als beheerd installatieprogramma te bewerken.

4. U kunt desgewenst alle gewenste bereiktags selecteren die u wilt toepassen op de Bereiktags.

5. Voor toewijzingen kunt u apparaatgroepen opnemen in en uitsluiten van het beleid. Selecteer Volgende om door te gaan.

   Tip

   Hoewel u beveiligingsgroepen kunt targeten waartoe mogelijk gebruikers behoren, worden alleen de apparaten in de beveiligingsgroep gericht en ontvangen ze het beheerde installatiebeleid. Dit komt omdat beleidsregels voor beheerde installatieprogramma's alleen van toepassing zijn op het bereik van apparaten.

6. Controleer uw instellingen voor Controleren + maken en selecteer vervolgens Maken om uw wijzigingen op te slaan en het beleid te implementeren op leden van de toegewezen groepen. Het beleid wordt ook weergegeven in de lijst met beleid.

Nadat u het beheerde installatieprogramma hebt toegevoegd, moet u mogelijk tot 10 minuten wachten voordat het nieuwe beleid aan uw tenant wordt toegevoegd. Selecteer Vernieuwen om het beheercentrum regelmatig bij te werken, totdat het beschikbaar is.

Wanneer het beleid gereed is, wordt het weergegeven op het tabblad Beheerd installatieprogramma met de status Actief. Op apparaten kan een wachttijd van maximaal 30 minuten worden gezien voordat het beleid wordt afgeleverd.

Voordat het beleid effect heeft, moet u een beleid voor app-besturing voor bedrijven maken en implementeren om regels op te geven waarvoor apps kunnen worden uitgevoerd op uw Windows-apparaten.

Zie Apps toestaan die zijn geïnstalleerd door een beheerd installatieprogramma in de documentatie bij Windows-beveiliging voor meer informatie.

• Beheerde installatieprogramma's kunnen gestopt of uitgeschakeld App-Locker beleid (op doel-pc's) inschakelen dat wordt afgedwongen vanuit het groepsbeleidsobject.

De Intune Management Extension verwijderen als beheerd installatieprogramma

Als dat nodig is, kunt u instellen dat de Intune Management Extension niet meer wordt geconfigureerd als beheerd installatieprogramma voor uw tenant. Hiervoor moet u elk beleid van het beheerde installatieprogramma uitschakelen. Nadat een beleid is uitgeschakeld, kunt u ervoor kiezen aanvullende opschoningsacties te gebruiken.

Het beleid voor Intune Management Extension uitschakelen (vereist)

De volgende configuratie is vereist voor het configureren van een beleid dat stopt met het toevoegen van de Intune Management Extension als een beheerd installatieprogramma aan apparaten.

1. Ga in het beheercentrum naarApp-beheer voor eindpuntbeveiliging> voor bedrijven>, selecteer het tabblad Beheerd installatieprogramma en selecteer vervolgens het beleid dat u wilt bewerken.

2. Bewerk het beleid en wijzig Intune Beheerde extensie inschakelen als beheerd installatieprogramma in Uitgeschakeld en sla het beleid op.

Nieuwe apparaten worden niet geconfigureerd met de Intune Management Extension als beheerd installatieprogramma. Hiermee wordt de Intune Management Extension als beheerd installatieprogramma niet verwijderd van apparaten die al zijn geconfigureerd voor het gebruik ervan.

De Intune Management Extension verwijderen als een beheerd installatieprogramma op apparaten (optioneel)

Als optionele opschoningsstap kunt u een script uitvoeren om de Intune Management Extension te verwijderen als een beheerd installatieprogramma op apparaten waarop de uitbreiding al is geïnstalleerd. Deze stap is optioneel omdat deze configuratie geen effect heeft op apparaten, tenzij u ook App-beheer voor bedrijven-beleid gebruikt dat verwijst naar het beheerde installatieprogramma.

1. Download het CatCleanIMEOnly.ps1 PowerShell-script. Dit script is beschikbaar vanaf https://aka.ms/intune_WDAC/CatCleanIMEOnlydownload.microsoft.com.

2. Voer dit script uit op apparaten waarop de Intune Management Extension is ingesteld als beheerd installatieprogramma. Met dit script wordt alleen de Intune Management Extension verwijderd als beheerd installatieprogramma.

3. Start de Intune Management Extension-service opnieuw om de bovenstaande wijzigingen door te voeren.

U kunt dit script uitvoeren met Intune, PowerShell-scripts of andere methoden van uw keuze.

Alle AppLocker-beleidsregels van een apparaat verwijderen (optioneel)

Als u alle Windows AppLocker-beleidsregels van een apparaat wilt verwijderen, kunt u het PowerShell-scriptCatCleanAll.ps1 gebruiken. Dit script verwijdert niet alleen de Intune Management Extension als beheerd installatieprogramma, maar alle beleidsregels op basis van Windows AppLocker van een apparaat. Voordat u dit script gebruikt, moet u het AppLocker-beleid begrijpen dat uw organisatie gebruikt.

1. Download het CatCleanAll.ps1 PowerShell-script. Dit script is beschikbaar op [https://aka.ms/intune_WDAC/CatCleanAll](/ https:/aka.ms/intune_WDAC/CatCleanAll) van download.microsoft.com.

2. Voer dit script uit op apparaten waarop de Intune Management Extension is ingesteld als beheerd installatieprogramma. Met dit script worden de Intune Management Extension als beheerd installatieprogramma en AppLocker-beleid van het apparaat verwijderd.

3. Start de Intune Management Extension-service opnieuw om de bovenstaande wijzigingen door te voeren.

U kunt dit script uitvoeren met Intune, PowerShell-scripts of andere methoden van uw keuze.

Aan de slag met beleid voor app-beheer voor bedrijven

Met Intune App-beheerbeleid voor eindpuntbeveiliging voor bedrijven kunt u beheren welke apps op uw beheerde Windows-apparaten mogen worden uitgevoerd. Alle apps die niet expliciet mogen worden uitgevoerd op grond van een beleid, worden geblokkeerd, tenzij u het beleid hebt geconfigureerd voor gebruik van een controlemodus. Met de controlemodus kunnen alle apps worden uitgevoerd en worden de details ervan lokaal vastgelegd op de client.

Om te beheren welke apps zijn toegestaan of geblokkeerd, gebruikt Intune de Windows ApplicationControl CSP op Windows-apparaten.

Wanneer u een beleid voor app-besturingselementen voor bedrijven maakt, moet u een indeling voor configuratie-instellingen kiezen:

• XML-gegevens invoeren : wanneer u xml-gegevens wilt invoeren, moet u het beleid voorzien van een reeks aangepaste XML-eigenschappen waarmee het beleid voor app-beheer voor bedrijven wordt gedefinieerd.

• Ingebouwde besturingselementen : dit is de eenvoudigste manier om te configureren, maar blijft een krachtige keuze. Met de ingebouwde besturingselementen kunt u eenvoudig alle apps goedkeuren die zijn geïnstalleerd door een beheerd installatieprogramma en Windows-onderdelen en store-apps vertrouwen.

  Meer informatie over deze opties vindt u in de gebruikersinterface bij het maken van beleid en wordt ook beschreven in de volgende procedure waarin u wordt begeleid bij het maken van beleid.

Nadat u een beleid voor app-beheer voor bedrijven hebt gemaakt, kunt u het bereik van dat beleid uitbreiden door aanvullend beleid te maken waarmee meer regels in XML-indeling worden toegevoegd aan dat oorspronkelijke beleid. Wanneer u aanvullend beleid gebruikt, wordt naar het oorspronkelijke beleid verwezen als het basisbeleid.

Beleid voor het maken van een app-besturingselement voor Bedrijven

Gebruik de volgende procedure om een succesvol beleid voor app-besturing voor bedrijven te maken. Dit beleid wordt beschouwd als een basisbeleid als u aanvullend beleid maakt om het vertrouwensbereik dat u met dit beleid definieert uit te breiden.

1. Meld u aan bij het Microsoft Intune-beheercentrum en ga naar Eindpuntbeveiliging>: App-beheer voor bedrijven>, selecteer het tabblad >App-beheer voor bedrijven en selecteer vervolgens Beleid maken. Beleidsregels voor app-beheer voor bedrijven worden automatisch toegewezen aan een platformtype.

   

2. Voer in de basisbeginselen de volgende eigenschappen in:

   • Naam: een unieke beschrijvende naam voor het beleid. Geef profielen een naam, zodat u ze later gemakkelijk kunt terugvinden.
   • Beschrijving: voer een beschrijving in voor het profiel. Deze instelling is optioneel, maar wordt aanbevolen.

3. Kies in de configuratie-instellingen een indeling voor configuratie-instellingen:

   XML-gegevens invoeren : bij deze optie moet u aangepaste XML-eigenschappen opgeven voor het definiëren van uw beleid voor app-beheer voor bedrijven. Als u deze optie selecteert maar geen XLM-eigenschappen aan het beleid toevoegt, fungeert deze als Niet geconfigureerd. Niet-geconfigureerd beleid van App Control for Business resulteert in standaardgedrag op een apparaat, zonder extra opties van de CSP ApplicationControl.

   Ingebouwde besturingselementen : bij deze optie wordt aangepast XML niet gebruikt in het beleid. Configureer in plaats daarvan de volgende instellingen:

   • Vertrouwen van Windows-onderdelen inschakelen en store-apps – Wanneer deze instelling is ingeschakeld (de standaardinstelling), kunnen op beheerde apparaten Windows-onderdelen en Store-apps worden uitgevoerd, evenals andere apps die u mogelijk als vertrouwd configureert. Apps die door dit beleid niet zijn gedefinieerd als vertrouwd, worden geblokkeerd.

     Deze instelling ondersteunt ook een modus Alleen controle . Met de controlemodus worden alle gebeurtenissen vastgelegd in de lokale clientlogboeken, maar de uitvoering van apps wordt niet geblokkeerd.

   • Aanvullende opties selecteren om apps te vertrouwen: voor deze instelling kun je een of beide van de volgende opties selecteren:

     • Vertrouw apps met een goede reputatie: met deze optie kunnen apparaten betrouwbare apps uitvoeren, zoals gedefinieerd in de Microsoft Intelligent Security Graph. Zie Gerenommeerde apps toestaan met Intelligent Security Graph (ISG) in de documentatie van Windows-beveiliging voor meer informatie over het gebruik van de Intelligent Security Graph (ISG).

     • Apps van beheerde installatieprogramma's vertrouwen : met deze optie kunnen apparaten de apps uitvoeren die zijn geïmplementeerd door een geautoriseerde bron, een beheerd installatieprogramma. Dit geldt voor apps die u implementeert via Intune nadat u de Intune Management Extension hebt geconfigureerd als een beheerd installatieprogramma.

       Het gedrag voor alle andere apps en bestanden die niet zijn opgegeven door regels in dit beleid, is afhankelijk van de configuratie van Vertrouwen van Windows-onderdelen inschakelen en store-apps:

       • Als deze optie is ingeschakeld, worden bestanden en apps geblokkeerd voor uitvoering op apparaten.
       • Als deze optie is ingesteld op Alleen controle, worden bestanden en apps alleen in lokale clientlogboeken gecontroleerd.

   

4. Selecteer op de pagina Bereiktags de gewenste bereiktags die u wilt toepassen en selecteer vervolgens Volgende.

5. Selecteer voor toewijzingen de groepen die het beleid ontvangen, maar houd er rekening mee dat WDAC-beleid alleen van toepassing is op het apparaatbereik. Selecteer Volgende om door te gaan.

   Raadpleeg Gebruikers- en apparaatprofielen toewijzen voor meer informatie over het toewijzen van profielen.

6. Controleer de instellingen voor Controleren + maken en selecteer vervolgens Maken. Wanneer u Maken selecteert, worden uw wijzigingen opgeslagen en wordt het profiel toegewezen. Het beleid wordt ook weergegeven in de lijst met beleid.

Aanvullend beleid gebruiken

Met een of meer aanvullende beleidsregels kunt u een basisbeleid voor app-beheer voor bedrijven uitbreiden om de vertrouwenssfeer van dat beleid te vergroten. Met een aanvullend beleid kan slechts één basisbeleid worden uitgebreid, maar met meerdere aanvullende beleidsregels kan hetzelfde basisbeleid worden uitgebreid. Wanneer u aanvullend beleid toevoegt, mogen de toepassingen die zijn toegestaan volgens het basisbeleid en het bijbehorende aanvullende beleid worden uitgevoerd op apparaten.

Aanvullend beleid moet de XML-indeling hebben en moet verwijzen naar de beleids-id van het basisbeleid.

De beleids-id van een basisbeleid voor app-besturingselementen voor bedrijven wordt bepaald door de configuratie van het basisbeleid:

• Basisbeleid dat is gemaakt met behulp van een aangepaste XML-code , heeft een unieke PolicyID die is gebaseerd op die XML-configuratie.

• Basisbeleidsregels die worden gemaakt met de ingebouwde besturingselementen voor App-beheer voor bedrijven, hebben een van de vier mogelijke PolicyID's die worden bepaald door de mogelijke combinaties van de ingebouwde instellingen. In de volgende tabel worden de combinaties en de bijbehorende PolicyID geïdentificeerd:

  PolicyID van een basisbeleid	Opties in WDAC-beleid (Controleren of Afdwingen)
  {A8012CFC-D8AE-493C-B2EA-510F035F1250}	App-beheerbeleid inschakelen om Windows-onderdelen en Store-apps te vertrouwen
  {D6D6C2D6-E8B6-4D8F-8223-14BE1DE562FF}	Beleid voor app-beheer inschakelen om Windows-onderdelen en Store-apps te vertrouwen En apps met een goede reputatie te vertrouwen
  {63D1178A-816A-4AB6-8ECD-127F2DF0CE47}	Beleid voor app-beheer inschakelen om Windows-onderdelen en Store-apps te vertrouwen En apps van beheerde installatieprogramma's vertrouwen
  {2DA0F72D-1688-4097-847D-C42C39E631BC}	Beleid voor app-beheer inschakelen om Windows-onderdelen en Store-apps te vertrouwen En vertrouwen op apps met een goede reputatie En vertrouwen op apps van beheerde installatieprogramma's

Hoewel twee beleidsregels voor app-beheer voor bedrijven die gebruikmaken van dezelfde configuratie van ingebouwde besturingselementen dezelfde Beleids-id hebben, kunt u verschillende aanvullende beleidsregels toepassen op basis van de toewijzingen voor uw beleid.

Kijk eens naar het volgende scenario:

• U maakt twee basisbeleidsregels die gebruikmaken van dezelfde configuratie en daarom hetzelfde beleids-id hebben. U implementeert er een voor uw managementteam en het tweede beleid voor uw helpdeskteam.

• Vervolgens maakt u aanvullend beleid waarmee andere apps kunnen worden uitgevoerd die vereist zijn voor uw managementteam. U wijst dit aanvullende beleid toe aan diezelfde groep, het managementteam.

• Daarna maakt u een tweede aanvullend beleid waarmee verschillende hulpprogramma's kunnen worden gebruikt die uw helpdeskteam nodig heeft. Dit beleid is toegewezen aan de groep Helpdesk.

Als gevolg van deze implementaties kunnen beide aanvullende beleidsregels beide exemplaren van het basisbeleid wijzigen. Vanwege de unieke en afzonderlijke toewijzingen worden met het eerste aanvullende beleid echter alleen de toegestane apps gewijzigd die zijn toegewezen aan het managementteam, terwijl het tweede beleid alleen de toegestane apps wijzigt die worden gebruikt door het helpdeskteam.

Aanvullend beleid maken

1. Gebruik de wizard Windows Defender-toepassingsbeheer of PowerShell-cmdlets om een beleid voor app-besturing voor bedrijven in XML-indeling te genereren.

   Zie aka.ms/wdacWizard of Microsoft WDAC-wizard voor meer informatie over de wizard.

   Wanneer u een beleid in de XML-indeling maakt, moet dit verwijzen naar de beleids-id van het basisbeleid.

2. Nadat het aanvullende beleid voor app-beheer voor bedrijven in de XML-indeling is gemaakt, meldt u zich aan bij het Microsoft Intune-beheercentrum en gaat u naar Eindpuntbeveiliging>: App-beheer voor bedrijven>, selecteert u het tabblad App-besturing voor bedrijven en selecteert u vervolgens Beleid maken.

3. Voer in de basisbeginselen de volgende eigenschappen in:

   • Naam: een unieke beschrijvende naam voor het beleid. Geef profielen een naam, zodat u ze later gemakkelijk kunt terugvinden.

   • Beschrijving: voer een beschrijving in voor het profiel. Deze instelling is optioneel, maar wordt aanbevolen.

4. Selecteer in Configuratie-instellingen bij Indeling van configuratie-instellingen de optie XML-gegevens invoeren en upload uw XML-bestand.

5. Selecteer voor Toewijzingen dezelfde groepen als die welke zijn toegewezen aan het basisbeleid waarop u het aanvullende beleid wilt toepassen en selecteer vervolgens Volgende.

6. Controleer de instellingen voor Controleren + maken en selecteer vervolgens Maken. Wanneer u Maken selecteert, worden uw wijzigingen opgeslagen en wordt het profiel toegewezen. Het beleid wordt ook weergegeven in de lijst met beleid.

Beleid voor App-beheer voor Business-tenants in het onderwijs

App-beheer voor bedrijvenbeleid in tenants voor onderwijsorganisaties ondersteunt ook Windows 11 SE, naast de ondersteunde platforms in de vereisten.

Windows 11 SE is een cloud-first besturingssysteem dat is geoptimaliseerd voor gebruik in klaslokalen. Net als Intune for Education geeft Windows SE 11 prioriteit aan productiviteit, privacy van leerlingen/studenten en leren, en ondersteunt het alleen functies en apps die essentieel zijn voor het onderwijs.

Om deze optimalisatie te ondersteunen, worden het WDAC-beleid en de extensie voor Intune beheer automatisch geconfigureerd voor Windows 11 SE apparaten:

• Intune-ondersteuning voor Windows 11 SE-apparaten is beperkt tot het implementeren van vooraf gedefinieerd WDAC-beleid met een vaste lijst met apps in EDU-tenants. Deze beleidsregels worden automatisch geïmplementeerd en kunnen niet worden gewijzigd.

• Voor tenants van Intune EDU wordt de uitbreiding voor Intune Management automatisch ingesteld als een beheerd installatieprogramma. Deze configuratie gebeurt automatisch en kan niet worden gewijzigd.

Beleid voor het verwijderen van app-beheer voor Bedrijven

Zoals wordt beschreven in WDAC-beleid implementeren met Mobile Apparaatbeheer (MDM) - Windows-beveiliging in de documentatie voor Windows-beveiliging, worden beleidsregels die uit de Intune-gebruikersinterface worden verwijderd, van het systeem en van apparaten verwijderd, maar blijven ze van kracht totdat de computer de volgende keer opnieuw wordt opgestart.

WDAC-handhaving uitschakelen of verwijderen:

1. Vervang het bestaande beleid door een nieuwe versie van het beleid die net Allow /*als de regels in het voorbeeldbeleid op Windows-apparaten %windir%\schemas\CodeIntegrity\ExamplePolicies\AllowAll.xml

   Met deze configuratie worden blokkeringen verwijderd die anders op een apparaat zouden blijven staan nadat het beleid is verwijderd.

2. Nadat het bijgewerkte beleid is geïmplementeerd, kunt u het nieuwe beleid verwijderen uit de Intune-portal.

Deze reeks voorkomt dat iets wordt geblokkeerd en verwijdert het WDAC-beleid volledig bij de volgende herstart.

App-beheer voor bedrijvenbeleid en het beheerde installatieprogramma bewaken

Nadat aan apparaten App-beheer voor bedrijven- en beheerde installatiebeleidsregels zijn toegewezen, kunt u beleidsdetails bekijken in het beheercentrum.

• Als u rapporten wilt weergeven, moet uw account de machtiging Lezen hebben voor de op rollen gebaseerde Intune-categorie Toegangsbeheer van Organisatie.

Als u rapporten wilt bekijken, meldt u zich aan bij het Intune-beheercentrum en gaat u naarApp-beheer voor eindpuntbeveiliging> voor bedrijven. Selecteer het tabblad Beleid voor beleid voor App-beheer voor bedrijven en Beheerd installatieprogramma voor beleid voor beheerd installatieprogramma:

App-beheer voor bedrijven

Selecteer op het tabblad App-besturingselement voor Bedrijven een beleid om een weergave te openen met de volgende rapportopties:

• Incheckstatus apparaat en gebruiker: een eenvoudige grafiek waarin het aantal apparaten wordt weergegeven dat elke beschikbare status voor dit beleid rapporteert.

• Rapport weergeven : hiermee opent u een weergave met een lijst van de apparaten die dit beleid hebben ontvangen. Hier kunt u apparaten selecteren waarop u wilt inzoomen en de beleidsinstellingen voor App Control for Business bekijken.

De beleidsweergave bevat ook de volgende rapporttegels:

• Status van apparaattoewijzing : dit rapport toont alle apparaten waarop het beleid van toepassing is, inclusief apparaten met een status voor beleidstoewijzing in behandeling.

  Met dit rapport kunt u de waarden voor de toewijzingsstatus selecteren die u wilt bekijken en vervolgens Rapport genereren selecteren om het rapport te vernieuwen om afzonderlijke apparaten weer te geven die het beleid, de laatste actieve gebruiker en de toewijzingsstatus hebben ontvangen.

  U kunt ook apparaten selecteren waarop u wilt inzoomen en de beleidsinstellingen voor App Control voor Bedrijven bekijken.

• Status per instelling - In dit rapport wordt het aantal apparaten weergegeven met de status Gelukt, Fout of Conflict voor de instellingen van dit beleid.

Beheerd installatieprogramma

Selecteer op het tabblad Beheerd installatieprogramma een beleid om de pagina Overzicht te openen, waar u de volgende informatie kunt bekijken:

• Apparaatstatus, een statische telling van succes versus fouten.

• Apparaatstatustrend: een historische grafiek die een tijdlijn en het aantal apparaten in elke detailcategorie weergeeft.

Rapportdetails zijn onder andere:

• Geslaagd: apparaten waarop het beleid is toegepast.

• fout: apparaten met fouten.

• Nieuwe apparaten: met nieuwe apparaten worden apparaten geïdentificeerd die het beleid onlangs hebben toegepast.

  

Het kan tot 24 uur duren voordat de secties Apparaatstatus en Apparaatstatustrend zijn bijgewerkt in het overzicht.

Tijdens het weergeven van de details van het beleid, kunt u Apparaatstatus (onder Beeldscherm) selecteren om een apparaatweergave van de details van het beleid te openen. In de weergave Apparaatstatus worden de volgende gegevens weergegeven, die u kunt gebruiken om problemen te identificeren als een apparaat het beleid niet correct toepast:

• Apparaatnaam
• Gebruikersnaam
• Versie van besturingssysteem
• Status van beheerd installatieprogramma (geslaagd of fout)

Het kan enkele minuten duren voordat de apparaatweergave van de beleidsdetails is bijgewerkt nadat het apparaat het beleid daadwerkelijk heeft ontvangen.

Veelgestelde vragen

Wanneer moet ik de Intune Management Extension instellen als het beheerde installatieprogramma?

We raden u aan de uitbreiding voor Intune Management te configureren als het beheerde installatieprogramma bij de volgende beschikbare verkoopkans.

Zodra dit is ingesteld, worden de volgende apps die u implementeert op apparaten op de juiste manier gelabeld om WDAC-beleid te ondersteunen dat apps van beheerde installatieprogramma's vertrouwt.

In omgevingen waar apps zijn geïmplementeerd voordat een beheerd installatieprogramma werd geconfigureerd, raden we u aan nieuw WDAC-beleid te implementeren in de controlemodus , zodat u kunt zien dat de apps zijn geïmplementeerd, maar niet zijn gemarkeerd als vertrouwd. U kunt vervolgens de auditresultaten bekijken om te bepalen welke apps kunnen worden vertrouwd. Voor apps die u vertrouwt en toestaat om uit te voeren, kunt u vervolgens aangepast WDAC-beleid maken om deze apps toe te staan.

Het kan handig zijn om Advanced Hunting te verkennen, een functie in Microsoft Defender voor Eindpunt waarmee u eenvoudiger query's kunt uitvoeren op controlegebeurtenissen op de vele computers die IT-beheerders beheren en hen helpen bij het opstellen van beleid.

Wat moet ik doen met het oude beleid voor toepassingsbeheer in mijn beleid voor het verminderen van kwetsbaarheid voor aanvallen?

Mogelijk ziet u exemplaren van het beleid voor toepassingsbeheer in de gebruikersinterface van Intune onderKwetsbaarheid voor aanvallen van eindpuntbeveiliging> verminderen of onder Apparaatconfiguratie>apparaten beheren>. Deze worden afgeschaft in een toekomstige versie.

Wat gebeurt er als ik meerdere basisbeleidsregels of aanvullende beleidsregels op hetzelfde apparaat heb?

Vóór Windows 10 1903 ondersteunde App-beheer voor bedrijven slechts één actief beleid op een systeem op enig moment. Dat gedrag beperkt klanten aanzienlijk in situaties waarin meerdere beleidsregels met verschillende bedoelingen nuttig zouden zijn. Tegenwoordig worden meerdere basisbeleidsregels en aanvullende beleidsregels ondersteund op hetzelfde apparaat. Meer informatie over het implementeren van meerdere beleidsregels voor app-beheer voor bedrijven.

Er is trouwens geen beperking meer van 32 beleidsregels die actief zijn op hetzelfde apparaat voor app-beheer voor bedrijven. Dit probleem is opgelost voor apparaten met Windows 10 1903 of hoger met een Windows-beveiligingsupdate die is uitgebracht op of na 12 maart 2024. Naar verwachting ontvangt oudere versies van Windows deze oplossing in toekomstige Windows-beveiligingsupdates.

Stelt de mogelijkheid van Managed Installer voor mijn tenant apps die zijn geïnstalleerd vanuit Configuration Manager in met de juiste tag?

Nee. Deze release richt zich op het instellen van apps die zijn geïnstalleerd vanaf Intune, met behulp van de Intune Management Extension, als het beheerde installatieprogramma. Het kan Configuration Manager niet instellen als het beheerde installatieprogramma.

Als u Configuration Manager wilt instellen als het beheerde installatieprogramma, kunt u dat gedrag toestaan vanuit Configuration Manager. Als u Configuration Manager al hebt ingesteld als het beheerde installatieprogramma, wordt het nieuwe AppLocker-beleid voor de AppLocker-extensie voor Intune Management waarschijnlijk samengevoegd met het bestaande beleid voor Configuration Manager.

Met welke overwegingen moet ik rekening houden voor HAADJ-apparaten (Microsoft Entra Hybrid Join) binnen mijn organisatie die Managed Installer willen gebruiken?

Hybride join-apparaten van Microsoft Entra vereisen connectiviteit met een on-premises domeincontroller (DC) om groepsbeleid toe te passen, inclusief het beleid voor beheerd installatieprogramma (via AppLocker). Zonder DC-connectiviteit, met name tijdens het inrichten van Windows Autopilot, kan het beleid voor beheerd installatieprogramma niet worden toegepast. Overweeg het volgende:

1. Gebruik in plaats daarvan Windows Autopilot met Microsoft Entra-deelname. Bekijk voor meer informatie onze aanbeveling voor welke deelnameoptie voor Microsoft Entra u kunt kiezen.

2. Kies voor Microsoft Entra hybrid-join een of beide van de volgende opties:

   • Gebruik apparaatinrichtingsmethoden die DC-connectiviteit bieden op het moment van app-installatie, aangezien Windows Autopilot hier mogelijk niet werkt.
   • Implementeer apps nadat de inrichting van Windows Autopilot is voltooid, zodat DC-connectiviteit tot stand is gebracht op het moment van app-installatie en het beheerde installatiebeleid van toepassing kan zijn.

Volgende stappen

Beveiligingsbeleid voor eindpunten configureren