Gedistribueerde IT-omgeving met veel beheerders in dezelfde Microsoft Intune-tenant

Veel organisaties gebruiken een gedistribueerde IT-omgeving met één Microsoft Intune-tenant met meerdere lokale beheerders. In dit artikel wordt een manier beschreven om Microsoft Intune te schalen zodat meerdere lokale beheerders hun eigen gebruikers en apparaten beheren en hun eigen beleidsregels maken, allemaal binnen één Microsoft Intune-tenant.

Er is geen goed of fout antwoord op de vraag hoeveel beheerders u in uw tenant moet hebben. Het artikel richt zich op tenants met veel lokale beheerders.

Gedistribueerde IT is nodig in organisaties waar een groot aantal lokale beheerders is aangesloten op één Intune tenant. Sommige schoolsystemen zijn bijvoorbeeld zo georganiseerd dat u een lokale beheerder hebt voor elke school in het systeem of de regio. Soms kan deze gedistribueerde omgeving meer dan 15 verschillende lokale beheerders omvatten die worden samengevouwen naar hetzelfde centrale systeem of dezelfde Microsoft Intune-tenant.

Elke lokale beheerder kan groepen instellen op basis van de behoeften van de lokale organisatie. De lokale beheerder maakt meestal groepen en organiseert meerdere gebruikers of apparaten op geografische locatie, afdeling of hardwarekenmerken. De lokale beheerders gebruiken deze groepen ook om taken op schaal te beheren. De lokale beheerders kunnen bijvoorbeeld beleid voor veel gebruikers instellen of apps implementeren op een set apparaten.

Termen die in dit artikel worden gebruikt

  • Minste bevoegdheid: het beveiligen van de toegang tot uw organisatie is een essentiële beveiligingsstap. Intune gebruikt op rollen gebaseerde toegangscontroles om beheerdersmachtigingen toe te wijzen aan gebruikers met beheerdersrechten binnen Intune voor het beheren van verschillende taken. Met het principe van toegang met minimale bevoegdheden kunnen beheerders de aan hen toegewezen taken alleen uitvoeren voor die gebruikers en apparaten die ze moeten kunnen beheren.

  • Centraal team: Het centrale team of de groep omvat de primaire beheerders in uw tenant. Deze beheerders kunnen toezicht houden op alle lokale beheerders en kunnen de lokale beheerders begeleiden.

  • Lokale beheerders: De lokale beheerders zijn lokaal en richten zich op beleid en profielen voor hun specifieke locaties; scholen, ziekenhuizen, enzovoort.

Toegangsbeheer op basis van rollen

Het beveiligen van de toegang tot uw organisatie is een essentiële beveiligingsstap. Intune gebruikt op rollen gebaseerde toegangscontroles om gedetailleerde machtigingen te verlenen aan uw beheerders om te bepalen wie toegang heeft tot de resources van uw organisatie en wat ze met deze resources kunnen doen. Door Intune RBAC-rollen toe te wijzen en zich te houden aan de principes van toegang met minimale bevoegdheden, kunnen uw beheerders de aan hen toegewezen taken alleen uitvoeren voor die gebruikers en apparaten die ze mogen beheren.

In de volgende secties worden in het kort de verschillende modellen beschreven met richtlijnen onder elk model voor het beheren van beleid, profielen en apps tussen het centrale team en de lokale beheerders. De modellen zijn:

  • Model voor gedeeltelijke delegatie
  • Volledig delegeringsmodel
  • Centraal model
  • Gedecentraliseerd model
  • Hybride model

Model voor gedeeltelijke delegatie

Het model voor gedeeltelijke delegatie stelt de volgende richtlijnen voor voor het beleidsbeheer tussen het centrale team en de lokale beheerders.

✔️ Machtigingen

  • Machtigingen voor het maken, bijwerken en verwijderen van beleidsregels, inschrijvingsprofielen en apps moeten in het bezit zijn van het centrale team.
  • Verleen alleen leesmachtigingen en wijs machtigingen toe aan de lokale beheerders.

✔️ Hergebruik

  • Algemeen geconfigureerde beleidsregels, inschrijvingsprofielen en apps moeten beschikbaar worden gesteld aan de lokale beheerders, zodat ze deze zoveel mogelijk kunnen hergebruiken.
  • Microsoft Intune gebruikt veel voorkomende configuraties die in een aantal categorieën kunnen worden onderverdeeld. Bekijk de aanbevelingen die worden vermeld voor het beveiligingsbeleid voor apps.
  • Als lokale beheerders aan boord, moeten ze het bestaande beleid herzien en indien nodig hergebruiken.

✔️ Uitzonderingen

  • Het centrale team kan nieuwe beleidsregels, inschrijvingsprofielen en apps maken als uitzonderingen wanneer dat nodig is namens de lokale beheerders. Deze uitzonderingen omvatten meestal elk type profiel waarvoor unieke parameters zijn vereist.

Op deze twee gebieden wordt een model voor gedeeltelijke delegatie voorgesteld:

Richtlijnen voor groepen en toewijzingen voor lokale beheerders: Wat zijn enkele van de best practices voor lokale beheerders om toe te passen bij het organiseren van groepen voor apparaatbeheer via Microsoft Intune? Als u dat wilt weten, raadpleegt u het blog over Intune groeperen, targeten en filteren: Aanbevelingen voor de beste prestaties - Microsoft Tech Community-blog.

Functiespecifieke richtlijnen: hoe worden beleid/profielen/apps beheerd tussen een centrale autoriteit en de lokale beheerders met specifieke machtigingen voor de verschillende functies. Zie de specifieke richtlijnen voor functies in dit artikel voor meer informatie.

Volledig delegeringsmodel

Het model voor volledige delegatie stelt de volgende richtlijnen voor voor het beleidsbeheer tussen het centrale team en de lokale beheerders.

  • Elke lokale beheerder moet een eigen bereiktag hebben om elk object dat ze volledig beheren te scheiden.
  • Als de lokale beheerder niets hoeft te maken, bij te werken of te verwijderen, geeft u de lokale beheerder een rol met lees- en toewijsmachtigingen en wijst u geen andere rol met volledige machtigingen toe. Met deze methode hoeft u machtigingen niet meer te combineren voor verschillende bereiktags.
  • Soms moeten de lokale beheerders hun eigen beleid, profielen en apps maken terwijl ze een aantal algemene beleidsregels, profielen en apps delen. In dergelijke gevallen maakt u een speciale groep en wijst u het algemene beleid, de profielen en de gemeenschappelijke apps toe aan deze groep. Deze groep mag niet worden opgenomen in het bereik (groep) van een Intune RBAC-roltoewijzing voor een lokale beheerder. Deze aanpak voorkomt dat de machtigingen voor maken, bijwerken en verwijderen die zijn toegewezen aan de lokale beheerders, van toepassing zijn op dit algemene beleid, deze profielen en deze apps.

Centraal model

In het centrale model beheert één lokaal beheerdersteam (bovenliggend) meerdere onderliggende organisaties. Factoren zoals geografie, bedrijfseenheid of grootte kunnen worden gebruikt om onderliggende organisaties te groeperen.

  • Er is slechts één bereiktag die wordt gebruikt voor alle beheerde lokale beheerders.

  • Indien mogelijk moet het lokale beheerdersteam toewijzingen aan lokale beheerders standaardiseren en al hun apparaten in één Microsoft Entra-groep plaatsen voor toewijzing. Wanneer het niet mogelijk is om één Microsoft Entra-groep te maken, kan het lokale beheerdersteam verschillende Microsoft Entra-groepen maken om verschillende toewijzingen te maken.

  • Als een organisatie wordt beheerd of verplaatst door een ander lokaal beheerdersteam, moet u de volgende stappen uitvoeren:

    • Alle apparaten en gebruikers van de organisatie moeten worden geëxtraheerd uit gemeenschappelijke Microsoft Entra-groepen binnen het bereik van het oorspronkelijke lokale beheerdersteam.

    • Van alle beleidsregels/apps/profielen die uniek zijn toegewezen voor die organisatie, moet de bereiktag zijn bijgewerkt voor het nieuwe lokale beheerdersteam.

Gedecentraliseerd model

In het gedecentraliseerde model worden meerdere lokale beheerders (kinderen) beheerd door zowel hun toegewijde lokale beheerder als onder toezicht van een intermediair lokaal beheerdersteam. Zowel de bovenliggende als de onderliggende beheerders hebben hun eigen bereiktags om beheergrenzen aan te geven.

  • Als er minder dan 50 onderliggende beheerders zijn, kan het tussenliggende lokale beheerdersteam toegang krijgen door alle bereiktags van de onderliggende items toe te wijzen aan de tussenliggende lokale beheerdersteams RBAC-roltoewijzing.
  • Als er meer dan 50 onderliggende beheerders zijn, moet het tussenliggende lokale beheerdersteam een eigen bereiktag krijgen voor de volledige verzameling onderliggende beheerders waarop zij toezicht houden.
  • Nieuw gemaakte beleidsregels onder de bereiktags van de onderliggende beheerder moeten de tussenliggende tag hebben toegevoegd door een gebruiker met een geschikte rol om te voorkomen dat het tussenliggende lokale beheerdersteam de zichtbaarheid verliest.

Hybride model

In het hybride model wordt dezelfde bovenliggende beheerder tegelijkertijd gebruikt in zowel het centrale als het gedecentraliseerde model. Er zijn geen speciale aanbevelingen voor dit model.

Specifieke richtlijnen voor functies

Afhankelijk van de bedrijfsvereisten voor elke functie, kunnen de richtlijnen in deze sectie aanbevelen om beleid per lokale beheerder te maken en eventueel de machtigingen die nodig zijn voor het maken van objecten te delegeren aan de lokale beheerders.

Opmerking

De richtlijnen in deze sectie gaan niet in op elke functie, maar hebben alleen betrekking op die gebieden waarvoor we speciale instructies hebben.

App-beveiliging

App-beveiliging zijn regels die ervoor zorgen dat de gegevens van een organisatie veilig blijven of zich in een beheerde app bevinden. Zie App-beveiliging beleid voor meer informatie.

De richtlijnen voor App-beveiliging beleid zijn als volgt verdeeld over het centrale team en de lokale beheerders:

Centraal team - Taken

  • Bekijk de beveiligings- en bedrijfsbehoeften binnen de organisatie en genereer een reeks gemeenschappelijke App-beveiliging beleidsregels voor lokale beheerders.
  • Bekijk de aanbevelingen die worden vermeld om te bepalen welke beveiligingsinstellingen geschikt zijn voordat u een beleid voor App-beveiliging maakt.
  • Zorg dat lokale beheerders een vaste methode hebben voor het aanvragen van aangepast beleid voor App-beveiliging, indien nodig, voor specifieke zakelijke behoeften waarvoor de zakelijke vereisten niet kunnen worden gerealiseerd met het bestaande algemene beleid.
  • Zie Data Protection Framework using App-beveiliging policies (Data Protection Framework met beleid) voor specifieke aanbevelingen over elk configuratieniveau en de minimaal apps die moeten worden beveiligd.

Lokale beheerders: machtigingen en taken

  • Geef lokale beheerders lees- en toewijzingsmachtigingen, maar maak, werk of verwijder geen machtigingen voor beheerde apps. Deze configuratie van machtigingen voorkomt dat gebruikers hun eigen beleid voor App-beveiliging kunnen maken.
  • Lees- en toewijzingsmachtigingen geven voor de toewijzing van toepassingsconfiguratiebeleid aan hun apps.
  • Geef alleen lees- en toewijzingsmachtigingen op als er verschillende beveiligingsbeleidsregels gelden voor beheerde apparaten en onbeheerde apparaten. Als het team Centraal ervoor kiest slechts één beleid voor beide aan te bieden, is er geen toepassingsconfiguratiebeleid nodig.
  • Als toepassingsconfiguratiebeleid wordt gebruikt, is het raadzaam om het toepassingsconfiguratiebeleid toe te wijzen aan alle toepassingsexemplaren, zonder uitzondering.
  • Kies uit algemene beleidsregels voor App-beveiliging. Lokale beheerders kunnen het centrale team bij wijze van uitzondering verzoeken om aangepast beveiligingsbeleid voor apps te maken, en alleen als dat nodig is.
  • Zie App-beveiliging beleid voor meer informatie.

Nalevingsbeleid

Met compliancebeleid in Intune worden de regels en instellingen gedefinieerd waaraan gebruikers en apparaten moeten voldoen om aan de regels en instellingen te voldoen. Naleving kan worden vereist voordat een apparaat kan worden gebruikt voor toegang tot de resources van uw organisatie. Zie Nalevingsbeleid gebruiken om regels in te stellen voor apparaten die u met Intune beheert voor meer informatie over compliancebeleid.

Centraal team

Het centrale team moet gemeenschappelijke nalevingsbeleidsregels opstellen waaruit lokale beheerders kunnen kiezen en alleen indien nodig uitzonderingsbeleid maken. Zie Nalevingsbeleid gebruiken om regels in te stellen voor apparaten die u met Intune beheert voor meer informatie. Het maken van beleid omvat het maken van aangepaste scripts voor compliancebeleid, omdat deze onderhevig zijn aan dezelfde schaal als het normale nalevingsbeleid.

Zie Een nalevingsbeleid maken in Microsoft Intune voor meer informatie over het maken van een nalevingsbeleid.

Lokale beheerders

Voorzie lokale beheerders van lees- en toewijsmachtigingen, maar maak, werk of verwijder geen machtigingen voor nalevingsbeleid. Met de lees- en toewijsmachtigingen kunnen ze kiezen uit het gemeenschappelijke nalevingsbeleid dat is gemaakt door het centrale team en dit toewijzen aan hun gebruikers en apparaten.

Apparaatconfiguratie

In deze sectie:

  • Apparaatbeperkingen en algemene configuratie
  • Toegang tot resources
  • Windows Update-ringen
  • Functie-updates
  • Kwaliteitsupdates

Apparaatbeperkingen en algemene configuratie

  • Lokale beheerders machtigen om binnen hun eigen bereik te maken, bij te werken en te verwijderen.

  • Gebruik zoveel mogelijk de catalogus met instellingen en beveiligingsbasislijnen in plaats van de profielen die zijn gemaakt in de lijst met configuratieprofielen, om de schaal te beperken in het beheercentrum van Microsoft Intune.

  • In het algemeen moet het centrale team proberen de inhoud van configuraties centraal te bewaken en waar mogelijk dubbele profielen te vervangen door een gedeeld profiel.

Toegang tot resources

Het model voor volledige delegatie wordt aanbevolen.

Windows Update-ringen

  • Het is raadzaam Windows-updateringen centraal te beheren. Het centrale team moet zo veel algemene beleidsregels voor Windows Update-ringen maken als nodig is om de variantie van de lokale beheerders te ondersteunen.
  • De lokale beheerders moeten niet hun eigen Windows Update-ringen maken. Wanneer u aan een groot aantal beheerders delegeert, kan het totale aantal objecten groot worden en moeilijker te beheren worden. Aanbevolen procedures verschillen per functie. Zie Windows Update-ringen voor meer informatie.

Functie-updates

Het model voor volledige delegatie wordt aanbevolen.

Kwaliteitsupdates

Het model voor volledige delegatie wordt aanbevolen.

Certificaten

  • We raden u aan machtigingen te gebruiken via het centrale team om indien nodig connectors te onboarden en te offboarden. Ingebouwde connectors voor elke lokale beheerder ter ondersteuning van de uitgifte van certificaten.

  • Geef de lokale beheerders geen toestemming om connectors bij te werken of te verwijderen.

Toepassingen

Geef lokale beheerders volledige machtigingen voor het beheren van apps binnen het bereik van hun bereik.

In deze sectie:

  • Apple Volume Purchase Program

  • Windows

  • Android

Zie Apps beheren voor meer informatie.

Apple Volume Purchase Program

Momenteel zijn er geen schaalproblemen voor het ondersteunde aantal tokens in het kader van het volumeaankoopprogramma. Zie Hoeveel tokens kan ik uploaden voor meer informatie.

Windows

Android

  • Lokale beheerders moeten kiezen uit bestaande store-apps of het centrale team vragen om nieuwe Android Store-apps toe te voegen. Lokale beheerders mogen geen nieuwe Android Store-apps maken. Het totale aantal objecten kan groot worden en het beheer bemoeilijken.

  • Lokale beheerders kunnen zo nodig line-of-business-apps voor Android maken binnen de limiet voor platformoverschrijdende, line-of-business-apps en webkoppelingen.

  • Het centrale team moet beheerde Google Play-apps toevoegen.

    • Het centrale team kan alleen beheerde Google Play-apps zien die beschikbaar zijn in het land of de regio van de tenant. Als het centrale team een beheerde Google Play-app nodig heeft die alleen beschikbaar is in specifieke landen of regio's, moet het mogelijk samenwerken met de app-ontwikkelaar om deze correct te laten vermelden.
    • Het centrale team moet alle inhoud beheren die betrekking heeft op beheerde Google Play-apps, waaronder privé-apps, web-apps en verzamelingen. Als een klant bijvoorbeeld van plan is het beheerde Google Play iframe te gebruiken om privé-apps te publiceren, moet hij dit doen met één ontwikkelaarsaccount dat eigendom is van het centrale team.
    • Het centrale team kan één bereiktag selecteren als de beheerde Google Play-scopetag. Het heeft een speciale vervolgkeuzelijst op de beheerde pagina met Google Play-connectoren. De bereiktag is van toepassing op alle beheerde Google Play-apps nadat het centrale team deze heeft toegevoegd aan de console, maar wordt niet met terugwerkende kracht toegepast op apps die al zijn toegevoegd. Het centrale team wordt ten zeerste aangeraden de bereiktag in te stellen voordat ze apps toevoegen en vervolgens aan elk regionaal team die bereiktag toe te wijzen. Anders kunnen regionale beheerders hun beheerde Google Play-apps mogelijk niet zien.

  • Er wordt slechts één OEMConfig-beleid per apparaat ondersteund, behalve voor Zebra-apparaten. Met Zebra-apparaten raden we u aan een zo klein mogelijk aantal beleidsregels te hebben, omdat de tijd om het beleid af te dwingen additief is. Als u bijvoorbeeld zes beleidsregels toewijst in de veronderstelling dat ze over elkaar heen worden gelegd, duurt het ongeveer 6x langer om te beginnen met werken op het apparaat dan één beleid.

Opmerking

Wees zeer voorzichtig en voorzichtig bij het instellen van de updatemodus met hoge prioriteit op veel verschillende apps en groepen. Dit heeft meerdere redenen:

  • Hoewel veel apps kunnen worden ingesteld op de modus met hoge prioriteit, kan er slechts één app-update tegelijk worden geïnstalleerd. Eén grote app-update kan mogelijk vele kleinere updates blokkeren totdat de grote app is geïnstalleerd.
  • Afhankelijk van wanneer apps nieuwe updates uitbrengen, kan er een plotselinge piek in je netwerkgebruik zijn als app-releases samenvallen. Als Wi-Fi niet beschikbaar is op sommige apparaten, kan er ook een piek in het mobiele gebruik zijn.
  • Hoewel er al storende gebruikerservaringen zijn genoemd, groeit het probleem naarmate meer apps worden ingesteld op de updatemodus met hoge prioriteit.

Voor meer informatie over schaalproblemen met betrekking tot beheerde Google Play-app-updates waarbij de updatemodus met hoge prioriteit wordt gebruikt, raadpleegt u de Techcommunity-blog Best practices for updating your Android Enterprise apps.

Inschrijvingsprofielen

In deze sectie:

  • Windows Autopilot
  • Pagina Inschrijvingsstatus (ESP)
  • Apple Bedrijfsmanager (ABM)
  • Android Enterprise-profielen
  • Inschrijvingsbeperkingen
  • Apparaatcategorieën

Windows Autopilot

  • Verleen lokale beheerders de machtigingen om Windows Autopilot-apparaten te lezen en nieuwe Windows Autopilot-apparaten te uploaden.
  • Lokale beheerders mogen geen Windows Autopilot-profielen maken. Wanneer u aan een groot aantal beheerders delegeert, kan het totale aantal objecten groot worden en moeilijker te beheren worden. De aanbevolen procedures verschillen per functiegebied. Zie Windows Autopilot gebruiken om Windows-apparaten in te schrijven bij Intune voor meer informatie over Windows Autopilot.

Pagina Inschrijvingsstatus

  • Lokale beheerders moeten kiezen uit bestaande profielen op de inschrijvingsstatuspagina om toe te wijzen, of ze moeten het centrale team vragen om een uitzonderingsprofiel te maken, alleen als dat nodig is.
  • Lokale beheerders mogen geen paginaprofielen voor de inschrijvingsstatus maken. Wanneer u aan een groot aantal beheerders delegeert, kan het totale aantal objecten groot worden en moeilijker te beheren worden. De aanbevolen procedures verschillen per functiegebied. Zie De pagina Inschrijvingsstatus instellen voor meer informatie over de pagina Inschrijvingsstatus.

Apple Business Manager

Indien mogelijk mogen aan lokale beheerders geen machtigingen worden verleend voor het maken, bijwerken of verwijderen van inschrijvingsprofielen. Als lokale beheerders toestemming krijgen om Apple Business Manager-profielen te maken, krijgen ze ook machtigingen om te maken, bij te werken en te verwijderen in Windows Autopilot. Lokale beheerders mogen echter geen Windows Autopilot-profielen maken.

Wanneer u aan een groot aantal beheerders delegeert, kan het totale aantal objecten groot worden en moeilijker te beheren worden. De aanbevolen procedures verschillen per functiegebied. Zie Apple Business Manager gebruiken om Apple-apparaten in te schrijven bij Intune voor meer informatie.

Android Enterprise-profielen

  • Het centrale team moet registratieprofielen voor speciale apparaten maken die eigendom zijn van Android Enterprise voor elke lokale beheerder voor apparaatgroepering.
  • Indien mogelijk mogen aan lokale beheerders geen machtigingen voor het maken, bijwerken of verwijderen van Android Enterprise-apparaten worden verleend. Deze beperkingen verhinderen dat lokale beheerders de Android Enterprise-instellingen voor de hele tenant en het algemene volledig beheerde inschrijvingsprofiel wijzigen.

Inschrijvingsbeperkingen

  • Dezelfde set machtigingen is van toepassing op zowel apparaatconfiguratie als inschrijvingsbeperkingen. Wanneer u machtigingen voor het maken van de configuratie van het apparaat verleent, verleent u daarmee ook machtigingen voor het maken van inschrijvingsbeperkingen. Lokale beheerders mogen echter geen toestemming krijgen om inschrijvingsbeperkingsprofielen te maken. Laat ze in plaats daarvan weten dat ze geen nieuwe profielen voor inschrijvingsbeperkingen moeten maken.

  • Met beperkingen van de limieten voor inschrijvingsapparaten wordt gedefinieerd hoeveel apparaten elke gebruiker kan inschrijven. De beperkingen van de limieten voor inschrijvingsapparaten moeten alle mogelijke apparaatlimieten dekken die lokale beheerders kunnen delen. Zie Wat zijn inschrijvingsbeperkingen?

  • Het centrale team moet de beperkingen voor apparaattypen zoveel mogelijk standaardiseren en nieuwe beperkingen toevoegen, maar alleen als speciale uitzonderingen nadat een lokale beheerder de bestaande beperkingen heeft bekeken.

Apparaatcategorieën

De functie Apparaatcategorieën (Apparaten>,Apparaatcategorieën) heeft geen eigen machtigingsfamilie. In plaats daarvan worden de machtigingen bepaald door de machtigingen die zijn ingesteld onder Organisatie. Ga naar Rollen voor tenantbeheerders>. Selecteer een aangepaste of ingebouwde rol en selecteer Eigenschappen. Hier kunt u machtigingen toewijzen, waaronder Organisatie.

Centrale teams kunnen apparaatcategorieën maken. Het zou lokale beheerders echter niet moeten worden toegestaan om apparaatcategorieën te maken, bij te werken of te verwijderen, aangezien hiervoor machtigingen aan de organisatie moeten worden verleend waarmee ze toegang krijgen tot andere functies op tenantniveau die worden beheerd door organisatiemachtigingen .

Zie Apparaatcategorieën voor meer informatie.

Eindpuntanalyse

  • Het centrale team moet zoveel gemeenschappelijke basislijnen voor eindpuntanalyses maken als nodig is om de variantie van de lokale beheerders te ondersteunen.
  • Indien mogelijk moeten lokale beheerders niet hun eigen basislijnen voor eindpuntanalyse maken. Wanneer u aan een groot aantal beheerders delegeert, kan het totale aantal objecten groot worden en moeilijker te beheren worden. De aanbevolen procedures verschillen per functiegebied.
  • Zie Instellingen configureren in Endpoint Analytics voor meer informatie.

Verwante onderwerpen

  • Last updated on