Implementatiehandleiding: Apparaten met Windows beheren

In deze handleiding wordt beschreven hoe u Windows-apps en -eindpunten beschermt en beheert met behulp van Microsoft Intune. U vindt hier ook onze installatieaanbevelingen en bronnen, van de vereisten tot de inschrijving.

Bekijk voor elke sectie in deze handleiding de bijbehorende taken. Sommige taken zijn vereist en sommige zijn optioneel, zoals het instellen van voorwaardelijke toegang van Microsoft Entra. Selecteer de koppelingen in elke sectie om naar onze aanbevolen Help-documenten op Microsoft Learn te gaan, waar u meer gedetailleerde informatie en instructies kunt vinden.

Stap 1: Vereisten

Voltooi aan de volgende vereisten om de eindpuntbeheermogelijkheden van uw tenant in te schakelen:

U wordt aangeraden de minst bevoorrechte rol te gebruiken die nodig is om taken uit te voeren. De rol met de minste bevoegdheid die bijvoorbeeld apparaatregistratietaken kan uitvoeren, is de ingebouwde rol Intune Beleids- en profielbeheer.

Zie Toegangsbeheer op basis van rollen met Intune en ingebouwde rolmachtigingen voor Intune voor meer informatie over ingebouwde rollen en wat deze kunnen doen.

Voor meer informatie en aanbevelingen over het voorbereiden van uw organisatie, het introduceren of in gebruik nemen van Intune voor beheer van mobiele apparaten, raadpleegt u de migratiehandleiding: Instellen of overstappen op Microsoft Intune.

Stap 2: De implementatie plannen

Gebruik de Microsoft Intune-planningshandleiding om uw doelen, use-case-scenario's en vereisten voor apparaatbeheer te definiëren. Gebruik de handleiding om implementatie, communicatie, ondersteuning, testen en validatie te plannen. In sommige gevallen hoeft u bijvoorbeeld niet aanwezig te zijn wanneer medewerkers en leerlingen/studenten hun apparaten registreren. We raden u aan een communicatieplan te hebben, zodat gebruikers weten waar ze informatie kunnen vinden over het installeren en gebruiken van de Intune-bedrijfsportal.

Zie de planningshandleiding voor Microsoft Intune voor meer informatie.

Stap 3: Nalevingsbeleid maken

Gebruik nalevingsbeleid om ervoor te zorgen dat apparaten die toegang hebben tot uw gegevens veilig zijn en voldoen aan de normen van uw organisatie. De laatste fase van het registratieproces is de compatibiliteitsevaluatie, waarbij wordt gecontroleerd of de instellingen op het apparaat voldoen aan uw beleid. Gebruikers van apparaten moeten alle nalevingsproblemen oplossen om toegang te krijgen tot beveiligde bronnen. Intune markeert apparaten die niet aan de nalevingsvereisten voldoen als niet-compatibel en neemt aanvullende actie (zoals het verzenden van een melding naar de gebruiker, het beperken van de toegang of het wissen van het apparaat) op basis van uw actie voor niet-compatibele configuraties.

U kunt beleid voor voorwaardelijke toegang van Microsoft Entra gebruiken in combinatie met beleidsregels voor apparaatnaleving om de toegang tot Windows-pc's, zakelijke e-mail en Microsoft 365-services te beheren. U kunt bijvoorbeeld een beleid maken waarmee wordt voorkomen dat werknemers toegang krijgen tot Microsoft Teams in Edge zonder eerst hun apparaat te registreren of te beveiligen.

Tip

Zie Overzicht van naleving voor een overzicht van beleidsregels voor apparaatnaleving.

Taak Details
Een nalevingsbeleid maken Krijg stapsgewijze instructies voor het maken en toewijzen van een nalevingsbeleid aan gebruikers- en apparaatgroepen.
Acties voor niet-naleving toevoegen Kies wat er moet gebeuren wanneer apparaten niet langer voldoen aan de voorwaarden van uw nalevingsbeleid. Voorbeelden van acties zijn het verzenden van waarschuwingen, het op afstand vergrendelen van apparaten of het buiten gebruik stellen van apparaten. U kunt acties voor niet-naleving toevoegen wanneer u een nalevingsbeleid voor apparaten configureert, of later door het beleid te bewerken.
Een beleid voor voorwaardelijke toegang op basis van apparaten of apps maken Selecteer de apps of services die u wilt beveiligen en definieer de voorwaarden voor toegang.
Toegang blokkeren tot apps die geen moderne verificatie gebruiken Een app-gebaseerd beleid voor voorwaardelijke toegang maken om apps te blokkeren die gebruikmaken van andere verificatiemethoden dan OAuth2; Bijvoorbeeld apps die gebruikmaken van basis- en formuliergebaseerde verificatie. Voordat je de toegang blokkeert, meld je je aan bij Microsoft Entra ID en bekijk je het activiteitenrapport Verificatiemethoden om te zien of gebruikers basisverificatie gebruiken om toegang te krijgen tot essentiële zaken die je bent vergeten of waarvan je niet op de hoogte bent. Bijvoorbeeld: bijvoorbeeld, agendakiosken voor vergaderruimten maken gebruik van basisverificatie.
Aangepaste nalevingsinstellingen toevoegen Met aangepaste nalevingsinstellingen kunt u uw eigen Bash-scripts schrijven voor nalevingsscenario's die nog niet zijn opgenomen in de opties voor apparaatnaleving die zijn ingebouwd in Microsoft Intune. In dit artikel wordt beschreven hoe u aangepast nalevingsbeleid voor Windows-apparaten kunt maken, controleren en problemen met het beleid kunt oplossen. Voor aangepaste nalevingsinstellingen moet u een aangepast script maken waarmee de instellingen en waardeparen worden geïdentificeerd.

Stap 4: Eindpuntbeveiliging configureren

Gebruik Intune endpointbeveiligingsfuncties om apparaatbeveiliging te configureren en beveiligingstaken te beheren voor apparaten die risico lopen.

Taak Details
Apparaten beheren met eindpuntbeveiligingsfuncties Gebruik de instellingen voor eindpuntbeveiliging in Intune om apparaatbeveiliging effectief te beheren en problemen met apparaten op te lossen.
Instellingen voor eindpuntbeveiliging toevoegen Configureer algemene beveiligingsfuncties voor eindpuntbeveiliging, zoals firewall, BitLocker en Microsoft Defender. Zie de naslaginformatie over instellingen voor endpoint protection voor een beschrijving van de instellingen op dit gebied.
Microsoft Defender voor Eindpunt configureren in Intune Wanneer u Intune met Microsoft Defender voor Eindpunt integreert, helpt u niet alleen beveiligingsinbreuken te voorkomen, maar kunt u ook profiteren van Microsoft Defender voor Endpoints Threat & Vulnerability Management (TVM) en Intune gebruiken om zwakke eindpunten te verhelpen die door TVM zijn geïdentificeerd.
BitLocker-beleid beheren Zorg ervoor dat apparaten worden versleuteld tijdens de registratie door een beleid te maken dat BitLocker configureert op beheerde apparaten.
Basislijnprofielen voor beveiliging beheren Gebruik de beveiligingsbasislijnen in Intune om uw gebruikers en apparaten te beveiligen. Een basislijn voor beveiliging bevat de best practices en aanbevelingen voor instellingen die van invloed zijn op de beveiliging.
Clientbeleid voor Windows Update gebruiken voor software-updates Een implementatiestrategie voor Windows Update configureren met clientbeleid voor Windows Update. In dit artikel maakt u kennis met de beleidstypen die u kunt gebruiken voor het beheren van Windows-software-updates en hoe u kunt overstappen van uitstel van updateringen naar een beleid voor functie-updates.

Stap 5: Apparaatinstellingen configureren

Gebruik Microsoft Intune om Windows-instellingen en -functies op apparaten in of uit te schakelen. Als u deze instellingen wilt configureren en afdwingen, maakt u een apparaatconfiguratieprofiel en wijst u dit profiel vervolgens toe aan groepen in uw organisatie. Apparaten ontvangen het profiel nadat ze zijn geregistreerd.

Taak Details
Een apparaatprofiel maken Maak een apparaatprofiel in Microsoft Intune en vind bronnen over alle apparaatprofieltypen.
Apparaatinstellingen configureren Gebruik de instellingencatalogus om instellingen in Microsoft Intune te configureren. De instellingencatalogus bevat honderden instellingen die u kunt configureren voor Microsoft Edge, OneDrive, extern bureaublad, Office-apps en meer. Deze instellingen voelen aan als groepsbeleidsobjecten en zijn 100% cloudgebaseerd.
Profiel Wi-Fi configureren Met dit profiel kunnen gebruikers het Wi-Fi netwerk van uw organisatie vinden en er verbinding mee maken. Zie de naslaginformatie over Wi-Fi-instellingen voor Windows voor een beschrijving van de instellingen op dit gebied.
VPN-profiel configureren Stel een veilige VPN-optie in, zoals Microsoft Tunnel, voor personen die verbinding maken met het netwerk van uw organisatie. Zie de naslaginformatie over VPN-instellingen voor een beschrijving van de instellingen op dit gebied.
E-mailprofiel configureren E-mailinstellingen zodanig configureren dat mensen verbinding kunnen maken met een e-mailserver en toegang hebben tot hun werk- of school-e-mail. Zie de naslaginformatie over e-mailinstellingen voor een beschrijving van de instellingen op dit gebied.
Apparaatfuncties beperken Bescherm gebruikers tegen onbevoegde toegang en afleiding door de apparaatfuncties te beperken die ze op het werk of op school kunnen gebruiken. Zie de naslaginformatie over apparaatbeperkingen voor Windows voor een beschrijving van de instellingen op dit gebied.
Aangepast profiel configureren Voeg apparaatinstellingen en -functies toe die niet zijn ingebouwd in Intune en wijs deze toe. Zie de aangepaste instellingen referentie voor een beschrijving van de instellingen op dit gebied.
BIOS-instellingen configureren Stel Intune zo in dat u de UEFI-instellingen (BIOS) op geregistreerde apparaten kunt beheren met behulp van de Device Firmware Configuration Interface (DFCI)
Domeindeelname configureren Als u van plan bent apparaten die aan Microsoft Entra zijn toegevoegd te registreren, moet u een profiel voor domeindeelname maken, zodat Intune weet aan welk on-premises domein het moet deelnemen.
Instellingen voor Delivery Optimization configureren Gebruik deze instellingen om het bandbreedteverbruik te beperken op apparaten waarmee apps en updates worden gedownload.
Huisstijl en inschrijvingservaring aanpassen Pas de Intune-bedrijfsportal en de app-ervaring van Microsoft Intune aan met de eigen woorden, huisstijlen, schermvoorkeuren en contactgegevens van uw organisatie.
Kiosken en toegewezen apparaten configureren Maak een kioskprofiel om apparaten te beheren die in de kioskmodus worden uitgevoerd.
Gedeelde apparaten aanpassen Toegangsbeheer, accounts en stroomfuncties op gedeelde apparaten of apparaten met meerdere gebruikers.
Netwerkgrens configureren Maak een netwerkgrensprofiel om uw omgeving te beschermen tegen sites die u niet vertrouwt.
Windows-statuscontrole configureren Maak een Windows-statuscontroleprofiel om Microsoft toestemming te geven gegevens over prestaties te verzamelen en aanbevelingen voor verbeteringen te doen. Als u een profiel maakt, wordt de functie Eindpuntanalyse in Microsoft Intune ingeschakeld. Hiermee worden verzamelde gegevens geanalyseerd, wordt software aanbevolen, worden de opstartprestaties verbeterd en worden algemene ondersteuningsproblemen opgelost.
De app Toets maken voor leerlingen en studenten configureren Configureer de app Toets maken voor leerlingen/studenten die toetsen of examens maken op geregistreerde apparaten.
Mobiel eSim-profiel configureren Je kunt eSIM configureren voor ESIM-compatibele apparaten, zoals de Surface LTE Pro, om verbinding te maken met internet via een mobiele dataverbinding. Deze configuratie is ideaal voor reizigers over de hele wereld die verbonden en flexibel moeten blijven tijdens het reizen, en elimineert de noodzaak van een simkaart.

Stap 6: Methoden voor veilige verificatie instellen

Stel verificatiemethoden in Intune in om ervoor te zorgen dat alleen geautoriseerde personen toegang hebben tot uw interne resources. Intune ondersteunt meervoudige verificatie, certificaten en afgeleide referenties. Certificaten kunnen ook worden gebruikt voor het ondertekenen en versleutelen van e-mail met S/MIME.

Taak Details
Meervoudige verificatie (MFA) vereisen Vereist dat mensen twee soorten referenties opgeven op het moment van inschrijving van het apparaat. Dit beleid werkt in combinatie met beleid voor voorwaardelijke toegang van Microsoft Entra.
Een vertrouwd certificaatprofiel maken Maak en implementeer een vertrouwd certificaatprofiel voordat u een door SCEP, PKCS of PKCS geïmporteerd certificaatprofiel maakt. Het vertrouwde certificaatprofiel implementeert het vertrouwde basiscertificaat op apparaten en gebruikers die SCEP-, PKCS- en PKCS-geïmporteerde certificaten gebruiken.
SCEP-certificaten gebruiken met Intune Informatie over wat er nodig is om SCEP-certificaten te gebruiken met Intune en om de vereiste infrastructuur te configureren. Vervolgens kunt u een SCEP-certificaatprofiel maken of een externe certificeringsinstantie met SCEP instellen.
PKCS-certificaten gebruiken met Intune Configureer de vereiste infrastructuur (zoals on-premises certificaatconnectors), exporteer een PKCS-certificaat en voeg het certificaat toe aan een configuratieprofiel voor een Intune-apparaat.
Geïmporteerde PKCS-certificaten gebruiken met Intune Geïmporteerde PKCS-certificaten instellen voor het instellen en gebruiken van S/MIME voor het versleutelen van e-mail.
Een uitgever van afgeleide referenties instellen Windows-apparaten inrichten met certificaten die zijn afgeleid van gebruikerssmartcards.
Windows Hello voor Bedrijven integreren met Microsoft Intune Maak een beleid voor Windows Hello voor Bedrijven om Windows Hello voor Bedrijven in of uit te schakelen tijdens de apparaatregistratie. Hello for Business is een alternatieve aanmeldingsmethode waarbij Active Directory of een Microsoft Entra-account wordt gebruikt om een wachtwoord, smartcard of virtuele smartcard te vervangen.

Stap 7: Apps implementeren

Denk bij het instellen van apps en app-beleid na over de vereisten van uw organisatie, zoals de platforms die u gaat ondersteunen, de taken die personen uitvoeren, het type apps dat ze nodig hebben om deze taken uit te voeren en wie deze nodig heeft. U kunt met Intune het hele apparaat (inclusief apps) beheren of met Intune alleen apps.

Taak Details
Line-Of-Business-apps toevoegen Voeg LOB-apps (line-of-business-apps) van Windows toe aan Intune en wijs deze toe aan groepen.
Microsoft Edge toevoegen Microsoft Edge voor Windows toevoegen en toewijzen.
De app Intune-bedrijfsportal toevoegen vanuit de Microsoft Store De app voor de Intune-bedrijfsportal handmatig toevoegen en toewijzen als een vereiste app.
De app Intune-bedrijfsportal voor Windows Autopilot toevoegen Voeg de app Bedrijfsportal toe aan apparaten die zijn ingericht met Windows Autopilot.
Microsoft 365-apps toevoegen Voeg Microsoft 365-apps voor ondernemingen toe.
Apps toewijzen aan groepen Nadat u apps aan Intune hebt toegevoegd, wijst u deze toe aan gebruikers en apparaten.
App-opdrachten opnemen en uitsluiten Toegang en beschikbaarheid tot een app beheren door geselecteerde groepen op te nemen en uit te sluiten van toewijzing.
PowerShell-scripts gebruiken Upload PowerShell-scripts om de mogelijkheden voor Windows-apparaatbeheer in Intune uit te breiden en de overstap naar modern beheer te vereenvoudigen.

Stap 8: Apparaten inschrijven

Tijdens de registratie wordt het apparaat geregistreerd met Microsoft Entra ID en geëvalueerd op naleving. Zie de Windows-apparaatregistratiehandleiding voor Microsoft Intune voor informatie over elke registratiemethode en het kiezen van de methode die geschikt is voor uw organisatie.

Taak Details
Automatische inschrijving van MDM inschakelen Vereenvoudig de registratie door automatische inschrijving in te schakelen, waarmee apparaten automatisch worden ingeschreven bij Intune die deelnemen of zich registreren met uw Microsoft Entra ID. Automatische inschrijving vereenvoudigt Windows Autopilot-implementatie, BYOD-inschrijving, inschrijving met behulp van groepsbeleid en bulksgewijze inschrijving via een inrichtingspakket.
Automatische detectie van MDM-server inschakelen Als u geen Microsoft Entra ID P1 of P2 hebt, wordt u aangeraden een CNAME-recordtype voor de Intune-inschrijvingsservers te maken. De CNAME-record leidt inschrijvingsaanvragen om naar de juiste server, zodat ingeschreven gebruikers de servernaam niet handmatig hoeven in te voeren.
Windows Autopilot-scenario's Vereenvoudig de gebruikersgestuurde of zelf implementeren OOBE voor u en uw gebruikers door de registratie van Microsoft Intune-apparaten zo in te stellen dat dit automatisch gebeurt tijdens Windows Autopilot.
Gekoppelde apparaten aan Microsoft Entra registreren met Windows Autopilot Met de Intune Connector voor Active Directory kunnen apparaten in Active Directory Domain Services deelnemen aan Microsoft Entra ID en zich vervolgens automatisch inschrijven bij Intune. We raden deze registratieoptie aan voor on-premises omgevingen die gebruikmaken van Active Directory Domain Services en die momenteel hun identiteiten niet kunnen verplaatsen naar Microsoft Entra ID.
Apparaten registreren met behulp van groepsbeleid Automatische inschrijving bij Intune activeren met behulp van een groepsbeleid.
Apparaten bulksgewijs inschrijven Maak een inrichtingspakket in Windows Configuration Designer dat grote aantallen nieuwe Windows-apparaten koppelt aan Microsoft Entra ID en deze registreert bij Intune.
De inschrijvingsstatuspagina (ESP) instellen Maak een paginaprofiel voor de inschrijvingsstatus met aangepaste instellingen om gebruikers te begeleiden bij het instellen en registreren van apparaten.
Label voor apparaateigendom wijzigen Nadat een apparaat is geregistreerd, kunt u het eigendomslabel in Intune wijzigen in bedrijfseigendom of persoonlijk eigendom. Deze aanpassing wijzigt de manier waarop u het apparaat beheert en kan meer beheer- en identificatiemogelijkheden in Intune mogelijk maken of deze beperken.
Inschrijvingsproblemen oplossen Problemen oplossen die zich voordoen tijdens de inschrijving.

Stap 9: Externe acties uitvoeren

Nadat apparaten zijn ingesteld, kunt u ondersteunde externe acties gebruiken om apparaten op afstand te beheren en problemen op te lossen. In de volgende artikelen maakt u kennis met de acties op afstand voor Windows. Als een actie ontbreekt of is uitgeschakeld in de portal, wordt deze niet ondersteund voor Windows.

Taak Details
Externe actie ondernemen op apparaten Meer informatie over het op afstand beheren en oplossen van problemen met afzonderlijke apparaten in Intune. Dit artikel bevat alle externe acties die beschikbaar zijn in Intune, plus koppelingen naar die procedures.
TeamViewer gebruiken om Intune-apparaten op afstand te beheren Configureer TeamViewer binnen Intune en leer hoe u een apparaat op afstand kunt beheren.
Beveiligingstaken gebruiken om bedreigingen en kwetsbaarheden te bekijken Gebruik Intune om een zwakke plek in het eindpunt te verhelpen die door Microsoft Defender voor Eindpunt is vastgesteld. Voordat u met beveiligingstaken kunt werken, moet u Microsoft Defender voor Eindpunt integreren met Intune.

Stap 10: Werknemers en leerlingen/studenten helpen

De bronnen in deze sectie vindt u in de documentatie voor Help voor gebruikers van Microsoft Intune. Deze documentatie is bedoeld voor werknemers, studenten en andere apparaatgebruikers met een Intune-licentie die een persoonlijk apparaat of door het bedrijf geleverd apparaat registreren. Overal in de Intune-bedrijfsportal-app zijn koppelingen naar documentatie beschikbaar die verwijzen naar informatie over:

  • Inschrijvingsmethoden, met stapsgewijze instructies voor registratie
  • Instellingen en functies in de Bedrijfsportal
  • Registratie ongedaan maken en opgeslagen gegevens verwijderen
  • Apparaatinstellingen voor nalevingsvereisten bijwerken
  • App-problemen melden

Tip

Zorg ervoor dat de vereisten voor het besturingssysteem en de apparaatwachtwoorden van uw organisatie gemakkelijk te vinden zijn op uw website of in een e-mail over onboarding, zodat werknemers de inschrijving niet hoeven uit te stellen om die informatie op te zoeken.

Taak Details
De app Intune-bedrijfsportal voor Windows installeren Lees waar u de app Bedrijfsportal kunt downloaden en hoe u zich kunt aanmelden.
De app Bedrijfsportal bijwerken In dit artikel wordt beschreven hoe u de nieuwste versie van de Bedrijfsportal installeert en hoe u automatische app-updates inschakelt.
Een apparaat inschrijven In dit artikel wordt beschreven hoe u persoonlijke apparaten met Windows kunt registreren.
Een apparaat uitschrijven In dit artikel wordt beschreven hoe u de registratie van een apparaat bij Intune ongedaan kunt maken en de opgeslagen cache en logboeken voor de Bedrijfsportal kunt verwijderen.

Volgende stappen

  • Last updated on