De beheerautoriteit voor mobiele apparaten instellen

Met de instantie voor het beheer van mobiele apparaten (MDM) wordt bepaald hoe u uw apparaten beheert. Als IT-beheerder moet u een MDM-autoriteit instellen voordat gebruikers apparaten kunnen registreren voor beheer. U moet ook een Intune licentie toegewezen krijgen om de MDM-autoriteit in te stellen.

Mogelijke configuraties zijn:

• Intune Standalone - Alleen-beheer in de cloud, dat u configureert met behulp van de Azure Portal. Bevat alle mogelijkheden van Intune. Zie De MDM-autoriteit instellen in het Microsoft Intune-beheercentrum om aan de slag te gaan.

• Co-beheer van Intune: integratie van de cloudoplossing van Intune met Configuration Manager voor Windows-apparaten. U configureert Intune met behulp van de Configuration Manager-console. Zie Automatische inschrijving van apparaten bij Intune configureren om aan de slag te gaan.

• Basismobiliteit en -beveiliging voor Microsoft 365 - nadat deze configuratie is geactiveerd, wordt de MDM-instantie ingesteld op 'Office 365'. Als u met Intune aan de slag wilt, moet u licenties voor Intune aanschaffen.

• Basismobiliteit en -beveiliging voor Microsoft 365-coëxistentie - U kunt Intune toevoegen aan uw tenant als u al gebruikmaakt van Basismobiliteit en -beveiliging voor Microsoft 365. U kunt de beheerbevoegdheid instellen op Intune of Basismobiliteit en -beveiliging voor Microsoft 365 voor elke gebruiker om te bepalen welke service wordt gebruikt om hun MDM-geregistreerde apparaten te beheren. De beheerbevoegdheid van elke gebruiker wordt gedefinieerd op basis van de licentie die aan de gebruiker is toegewezen:

  • Basismobiliteit en -beveiliging voor Microsoft 365 beheert de apparaten van gebruikers die alleen een licentie voor Microsoft 365 Basic of Standard hebben.
  • Intune beheert de apparaten van gebruikers die een licentie hebben die hen het recht geeft om het te gebruiken.
  • Als u een licentie met het recht van Intune toevoegt aan een gebruiker die voorheen werd beheerd door Basismobiliteit en -beveiliging voor Microsoft 365, worden hun apparaten overgeschakeld naar Intune-beheer. Om verlies van Basismobiliteit en -beveiliging voor Microsoft 365-configuratie op de apparaten van gebruikers te voorkomen, moet u ervoor zorgen dat u Intune-configuraties toewijst aan gebruikers voordat u ze overschakelt naar Intune.

MDM-autoriteit instellen op Intune

1. Selecteer in het Microsoft Intune-beheercentrum de oranje banner om de instelling Mobile Apparaatbeheer Authority te openen. De oranje banner wordt alleen weergegeven als u de MDM-instantie nog niet hebt ingesteld. Als de oranje banner niet zichtbaar is, kunt u rechtstreeks naar de instellingen van de MDM-autoriteit navigeren om de MDM-autoriteit te configureren.

2. Kies onder Mobile Apparaatbeheer Authority uw MDM-autoriteit uit de volgende opties:

   • Intune MDM Authority
   • Geen

   

Een bericht geeft aan dat u uw MDM-autoriteit hebt ingesteld op Intune.

Werkstroom van Intune beheerinterface

Wanneer apparaatbeheer op Android of van Apple is ingeschakeld, verzendt Intune apparaat- en gebruikersgegevens om te integreren met deze services van derden om de respectieve apparaten te beheren.

Scenario's waarin toestemming voor het delen van gegevens wordt toegevoegd, worden opgenomen wanneer:

• U schakelt Android Enterprise-werkprofielen in die persoonlijk eigendom zijn of die eigendom zijn van een bedrijf.
• U schakelt Apple MDM-pushcertificaten in en uploadt deze.
• U schakelt een van de Apple-services in, zoals Device Enrollment Program, School Manager of Volume Purchasing Program.

In beide gevallen is de toestemming strikt gerelateerd aan het uitvoeren van een beheerservice voor mobiele apparaten. Bijvoorbeeld de bevestiging dat een IT-Beheer Google- of Apple-apparaten heeft geautoriseerd om zich in te schrijven. Documentatie over welke informatie wordt gedeeld wanneer de nieuwe werkstromen live gaan, is beschikbaar op de volgende locaties:

• Gegevens die door Intune naar Google worden verzonden
• Gegevens die door Intune naar Apple worden verzonden

Belangrijke overwegingen

Nadat u bent overgeschakeld naar de nieuwe MDM-autoriteit, is er enige overgangstijd (maximaal acht uur) voordat het apparaat wordt ingecheckt en gesynchroniseerd met de service. U moet instellingen configureren in de nieuwe MDM-instantie om ervoor te zorgen dat geregistreerde apparaten ook na de wijziging worden beheerd en beveiligd.

• Apparaten moeten na de wijziging verbinding maken met de service, zodat de instellingen van de nieuwe MDM-instantie (Intune zelfstandig) de bestaande instellingen op het apparaat vervangen.
• Nadat u de MDM-autoriteit hebt gewijzigd, blijven sommige basisinstellingen (zoals profielen) van de vorige MDM-autoriteit maximaal zeven dagen op het apparaat staan, of totdat het apparaat voor het eerst verbinding maakt met de service. U moet apps en instellingen (zoals beleid, profielen en apps) zo snel mogelijk in de nieuwe MDM-instantie configureren en de instelling implementeren naar de gebruikersgroepen die gebruikers bevatten met bestaande geregistreerde apparaten. Zodra een apparaat verbinding maakt met de service na de wijziging van de MDM-autoriteit, ontvangt het de nieuwe instellingen van de nieuwe MDM-autoriteit, waardoor hiaten in beheer en beveiliging worden voorkomen.
• Apparaten die geen gekoppelde gebruikers hebben (meestal als u een iOS-/iPadOS-apparaatinschrijvingsprogramma of scenario's voor bulksgewijze inschrijving hebt), worden niet gemigreerd naar de nieuwe MDM-autoriteit. Voor die apparaten moet u contact opnemen met ondersteuning om ze naar de nieuwe MDM-instantie te verplaatsen.

Coëxistentie

Door coëxistentie in te schakelen, kunt u Intune gebruiken voor een nieuwe set gebruikers, terwijl u Basismobiliteit en -beveiliging kunt blijven gebruiken voor de bestaande gebruikers. Via de gebruiker kunt u bepalen welke apparaten door Intune worden beheerd. Intune beheert alle apparaten die door een gebruiker zijn geregistreerd, als de gebruiker een Intune-licentie heeft of gebruikmaakt van Intune co-beheer met Configuration Manager. Anders wordt de gebruiker beheerd door Basismobiliteit en -beveiliging.

Er zijn drie belangrijke stappen om coëxistentie mogelijk te maken:

1. Voorbereiding
2. Voeg een Intune MDM-autoriteit toe
3. Migratie van gebruikers en apparaten (optioneel).

Voorbereiding

Voordat u coëxistentie met Basismobiliteit en -beveiliging mogelijk maakt, moet u rekening houden met de volgende punten:

• Zorg ervoor dat u voldoende Intune-licenties hebt voor de gebruikers die u via Intune wilt beheren.
• Controleer aan welke gebruikers een Intune-licentie is toegewezen. Nadat u coëxistentie hebt ingeschakeld, worden de apparaten van alle gebruikers waaraan al een Intune licentie is toegewezen, overgeschakeld naar Intune. Om onverwachte overstappen op een ander apparaat te voorkomen, raden we u aan geen Intune-licenties toe te wijzen totdat u coëxistentie hebt ingeschakeld.
• Maak en implementeer Intune beleid ter vervanging van apparaatbeveiligingsbeleid dat oorspronkelijk is geïmplementeerd via de portal Office 365 Beveiliging & naleving. Deze vervanging moet worden uitgevoerd voor alle gebruikers die naar verwachting zullen overstappen van Basismobiliteit en -beveiliging naar Intune. Als er geen Intune beleidsregels zijn toegewezen aan die gebruikers, kan het inschakelen van co-existentie ertoe leiden dat Basismobiliteit en -beveiliging instellingen verloren gaan. Deze instellingen, zoals beheerde e-mailprofielen, gaan verloren als ze niet worden vervangen. Zelfs wanneer het beveiligingsbeleid voor apparaten wordt vervangen door beleid van Intune, kunnen gebruikers worden gevraagd hun e-mailprofiel opnieuw te verifiëren nadat het apparaat is verplaatst naar Intune-beheer.
• U kunt de inrichting van Basismobiliteit en -beveiliging niet ongedaan maken nadat u dit hebt ingesteld. U kunt echter wel stappen uitvoeren om het beleid uit te schakelen. Zie voor meer informatie Schakel Basismobiliteit en -beveiliging uit.

Voeg een Intune MDM-autoriteit toe

Als u coëxistentie mogelijk wilt maken, moet u Intune toevoegen als de MDM-instantie voor uw omgeving:

1. Meld u aan bij het Microsoft Intune-beheercentrum met algemene rechten voor Microsoft Entra of de servicebeheerdersrechten van Intune.

2. Ga naar Apparaten.

3. De banner MDM Authority blade toevoegen wordt weergegeven.

4. Als u de MDM-autoriteit wilt schakelen van Office 365 naar Intune en coëxistentie wilt inschakelen, selecteert u Intune MDM Authority>Add.

   

Gebruikers en apparaten migreren (optioneel)

Nadat u de Intune MDM-autoriteit hebt ingeschakeld, wordt co-existentie geactiveerd en kunt u gebruikers beheren via Intune. U kunt ook apparaten die eerder werden beheerd door Basismobiliteit en -beveiliging verplaatsen naar Intune door deze gebruikers een Intune licentie toe te wijzen. De apparaten van gebruikers worden overgeschakeld naar Intune bij de volgende MDM-check-in. Instellingen die via Basismobiliteit en -beveiliging op deze apparaten zijn toegepast, worden niet meer toegepast en worden van de apparaten verwijderd.

Opschonen van mobiele apparaten na verlopen MDM-certificaat

Het MDM-certificaat wordt automatisch vernieuwd wanneer mobiele apparaten communiceren met de Intune-service. Als mobiele apparaten worden gewist of als ze gedurende een bepaalde periode niet communiceren met de Intune-service, wordt het MDM-certificaat niet verlengd. Het apparaat wordt 180 dagen nadat het MDM-certificaat is verlopen uit de Azure Portal verwijderd.

MDM-autoriteit verwijderen

De MDM-autoriteit kan niet worden teruggezet naar Onbekend. De MDM-instantie wordt door de service gebruikt om te bepalen aan welke in de portal geregistreerde apparaten rapporteren (Microsoft Intune of Basismobiliteit en -beveiliging voor Microsoft 365).

Wat u kunt verwachten na het wijzigen van de MDM-autoriteit

• Wanneer de Intune-service een wijziging in de MDM-autoriteit van een tenant detecteert, wordt er een bericht verzonden naar alle geregistreerde apparaten. In het meldingsbericht wordt de apparaten gevraagd om buiten hun normale schema in te checken en te synchroniseren met de service. Hierdoor maken alle ingeschakelde en onlineapparaten verbinding met de service en krijgen ze de nieuwe MDM-bevoegdheid. De nieuwe autoriteit beheert en beschermt de apparaten zonder enige onderbreking. Nadat de MDM-autoriteit voor de tenant is gewijzigd van de zelfstandige versie van Intune, blijven de apparaten normaal werken onder de nieuwe MDM-autoriteit.

• Apparaten die worden ingeschakeld en online zijn tijdens of kort na de wijziging in MDM-autoriteit, ervaren een vertraging. De vertraging kan oplopen tot acht uur, afhankelijk van het tijdstip van de volgende geplande reguliere check-in. Tijdens de vertraging worden de apparaten niet geregistreerd bij de service onder de nieuwe MDM-autoriteit. Na de vertraging zijn de apparaten volledig geregistreerd en operationeel onder de nieuwe MDM-autoriteit.

  Belangrijk

  Tussen het moment waarop u de MDM-autoriteit wijzigt en het moment waarop het vernieuwde APNs-certificaat is geüpload naar de nieuwe autoriteit, mislukken de inschrijving van nieuwe apparaten en het inchecken van apparaten voor iOS-/iPadOS-apparaten. Het is daarom belangrijk dat u het APN-certificaat zo snel mogelijk na de wijziging van de MDM-autoriteit controleert en uploadt naar de nieuwe instantie.

• Gebruikers kunnen snel overschakelen naar de nieuwe MDM-instantie door handmatig een check-in te starten vanaf het apparaat bij de service. Gebruikers kunnen deze wijziging eenvoudig doorvoeren met behulp van de Bedrijfsportal-app en een device compliance-controle starten.

• Als u wilt controleren of alles goed werkt nadat apparaten zijn ingecheckt en gesynchroniseerd met de service na de wijziging van de MDM-autoriteit, zoekt u naar de apparaten in de nieuwe MDM-autoriteit.

• Er is een tussenperiode wanneer een apparaat offline is tijdens de wijziging van de MDM-autoriteit en wanneer dat apparaat incheckt bij de service. Tijdens de tussenliggende periode is het belangrijk om de functionaliteit van het apparaat te beschermen en te behouden. Om de functionaliteit van het apparaat te beschermen en te behouden, blijven de volgende profielen op het apparaat aanwezig. Deze profielen blijven maximaal zeven dagen op het apparaat zitten of totdat het apparaat verbinding maakt met de nieuwe MDM-autoriteit. Zodra het apparaat verbinding maakt en nieuwe instellingen ontvangt, worden de bestaande profielen overschreven:

  • E-mailprofiel
  • VPN-profiel
  • Cert-profiel
  • Wi-Fi profiel
  • Configuratieprofielen

• Nadat u bent overgestapt op de nieuwe MDM-autoriteit, kan het tot een week duren voordat de compliantiegegevens in het Microsoft Intune-beheercentrum correct zijn gerapporteerd. De nalevingsstatussen in Microsoft Entra ID en op het apparaat zijn echter nauwkeurig, dus het apparaat is nog steeds beveiligd.

• Zorg ervoor dat de nieuwe instellingen die bedoeld zijn om bestaande instellingen te overschrijven, dezelfde naam hebben als de vorige om ervoor te zorgen dat de oude instellingen worden overschreven. Anders kunnen de apparaten overbodige profielen en beleidsregels bevatten.

  Tip

  Het is raadzaam om alle beheerinstellingen en -configuraties, evenals implementaties, te maken kort nadat de wijziging in de MDM-instantie is voltooid. Dit zorgt ervoor dat apparaten worden beveiligd en actief worden beheerd tijdens de interim-periode.

• Nadat u de MDM-autoriteit hebt gewijzigd, voert u de volgende stappen uit om te valideren dat nieuwe apparaten zijn ingeschreven bij de nieuwe autoriteit:

  • Een nieuw apparaat registreren
  • Zorg ervoor dat het nieuw geregistreerde apparaat wordt weergegeven in de nieuwe MDM-autoriteit.
  • Voer een actie, zoals Extern vergrendelen, uit vanuit het Microsoft Intune-beheercentrum naar het apparaat. Als dit lukt, beheert de nieuwe MDM-instantie het apparaat.

• Als u problemen ondervindt met specifieke apparaten, kunt u de registratie en registratie van de apparaten ongedaan maken om ze te verbinden met de nieuwe autoriteit en ze zo snel mogelijk te beheren.

Bevestig de MDM-machtiging van uw tenant

Voer de volgende stappen uit om te bevestigen dat uw MDM-instantie is ingesteld op Intune:

1. Selecteer in het Microsoft Intune-beheercentrumde optie Tenantbeheer>Tenantstatus.
2. Zoek op het tabblad Tenantdetails naar MDM-autoriteit.

Volgende stappen

Als de MDM-autoriteit is ingesteld, kunt u beginnen met het registreren van apparaten.