Basisconcepten van Microsoft Intune

Microsoft Intune is opgebouwd rond drie pijlers: de identiteiten waarmee gebruikers zich aanmelden, de apparaten waarmee ze zich aanmelden en de apps die ze gebruiken om hun werk gedaan te krijgen. Intune orkestreert deze pilaren boven op Microsoft Entra ID en koppelt de houding van apparaten en apps terug naar voorwaardelijke toegang van Microsoft Entra, waarmee toegang tot bedrijfsresources wordt vergrendeld.

Als u wilt weten wat Intune doet en waarom, raadpleegt u Wat is Microsoft Intune?. Zie Microsoft Intune architectuur voor de onderdelen, integraties en implementatie.

De drie pijlers

Pijler	Wat doet Intune?	Waar Intune op vertrouwt
Identiteiten	Richt beleid op gebruikers en groepen, beperkt beheertoegang via toegangsbeheer op basis van rollen en creëert gebruikersaffiniteit bij inschrijving.	Microsoft Entra ID voor accounts, groepen, verificatie en voorwaardelijke toegang.
Apparaten	Registreert, configureert, beschermt en stelt de hardware waarop het werk van uw organisatie wordt uitgevoerd, buiten gebruik. Rapporteert de nalevingsstatus voor voorwaardelijke toegang.	Programma's voor platforminschrijving (Windows Autopilot, geautomatiseerde apparaatinschrijving van Apple, Android Enterprise).
Apps	Implementeert, configureert, beschermt en updatet de apps die gebruikers nodig hebben, op geregistreerde en persoonlijke apparaten.	Appstores en leverancierscatalogi (Microsoft Store, App Store, beheerde Google Play, Apple Business).

De rest van dit artikel bespreekt elke pijler en eindigt met een uitgewerkt voorbeeld waarin één aanmelding voor alle drie wordt getraceerd.

Identiteiten

In Intune worden geen gebruikersidentiteiten opgeslagen. Het maakt gebruik van Microsoft Entra ID voor accounts, groepen, verificatie en voorwaardelijke toegang. In Intune komen identiteiten op drie plaatsen voor.

Gebruikersaffiniteit bij inschrijving

Wanneer een gebruiker zich voor het eerst aanmeldt bij een apparaat, wordt het apparaat gekoppeld aan die gebruiker. Deze koppeling wordt gebruikersaffiniteit genoemd. Beleidsregels die aan de gebruiker zijn toegewezen, volgen deze op al deze apparaten en de gebruiker heeft vanaf al deze apparaten toegang tot zijn e-mail, bestanden en apps.

Als er geen gebruiker aan een apparaat is gekoppeld, is het apparaat gebruikersloos. Dit patroon is gebruikelijk voor kiosken die zijn gewijd aan één taak en voor gedeelde apparaten die door meerdere personen worden gebruikt.

Bepaal het beoogde doel van het apparaat voordat u zich registreert, zodat u de juiste registratiemethode kunt kiezen. Zie Apparaatinschrijving bij Microsoft Intune voor platformspecifieke richtlijnen.

Op rollen gebaseerde toegang voor beheerders

Intune gebruikt op rollen gebaseerd toegangsbeheer om te bepalen wat elke beheerder kan zien en doen in het beheercentrum. Ingebouwde rollen zoals Toepassingsbeheer en Beleid en Profielbeheer verlenen reikwijdtemachtigingen voor specifieke eindpuntbeheertaken. Omdat Intune Microsoft Entra ID gebruikt, zijn ook de ingebouwde Microsoft Entra rollen (waaronder Intune Beheerder) beschikbaar.

Koppel RBAC met scopetags om te beperken wat een beheerder kan zien, niet alleen wat hij of zij kan doen. Geef bijvoorbeeld een regionale helpdesk een rol die het wissen van apparaten toestaat, maar tag deze zodat ze alleen apparaten in hun regio kunnen zien en wissen.

Zie Toegangsbeheer op basis van rollen met Microsoft Intune en Bereiktags gebruiken om beleid te filteren voor meer informatie.

Targetingbeleid en toewijzingen

Intune werkt cloudgebaseerd en richt beleid rechtstreeks op gebruikers of groepen. Er is geen hiërarchie van containers, zoals organisatie-eenheden. U maakt een beleid en wijst dit vervolgens toe aan een of meer Microsoft Entra-groepen.

U kunt een beleid als volgt instellen:

Gebruikersgroepen, wanneer de instelling de gebruiker op al diens apparaten moet volgen. Bijvoorbeeld een e-mailprofiel of een app-implementatie.
Apparaatgroepen, wanneer de instelling van toepassing moet zijn, ongeacht wie er is aangemeld Bijvoorbeeld een kioskconfiguratie of een beleid voor frontlijnmedewerkers.
Ingebouwde virtuele groepen (alle gebruikers, alle apparaten) wanneer een instelling op de gehele tenant van toepassing is.

Zie Groepen toevoegen om gebruikers en apparaten te organiseren en Apparaatprofielen toewijzen in Microsoft Intune voor meer informatie.

Apparaten

Met Intune worden de desktops, laptops, tablets en telefoons waarop uw organisatie vertrouwt, beheerd en beveiligd in Android, iOS, iPadOS, Linux, macOS, tvOS, visionOS en Windows. Zie Ondersteunde besturingssystemen en browsers voor de matrix met besturingssystemen die volledig worden ondersteund.

Levenscyclus van apparaten

Elk beheerd apparaat doorloopt vier fasen, die allemaal in hetzelfde beheercentrum worden behandeld.

Inschrijven: Breng apparaten onder beheer. Hardware die eigendom is van de organisatie, maakt doorgaans gebruik van geautomatiseerde inschrijving via Windows Autopilot, automatische apparaatinschrijving van Apple of Android Enterprise. Persoonlijke apparaten worden ingeschreven via de app Bedrijfsportal.
Configureren: pas instellingen toe voor Wi-Fi, VPN, certificaten, e-mail, apparaatfuncties en platformspecifieke opties. De instellingencatalogus bevat duizenden platforminstellingen.
Beschermen: Dwing nalevingsregels af, versleutel schijven, implementeer beveiligingsbasislijnen en integreer met verdediging tegen mobiele bedreigingen. Nalevingsstatusfeeds voorwaardelijke toegang in Microsoft Entra.
Buiten gebruik stellen: Wanneer een apparaat verloren of vervangen of niet meer nodig is, kunt u met externe acties organisatiegegevens wissen, de fabrieksinstellingen van het apparaat herstellen of de registratie ongedaan maken.

MDM en MAM

Intune ondersteunt twee beheermodi. U kunt ze afzonderlijk of samen gebruiken.

Met Mobile Device Management (MDM) komt het hele apparaat onder controle van Intune: instellingen, apps en gegevens. MDM is typisch voor hardware die eigendom is van een organisatie.
Met Mobile Application Management (MAM) worden alleen de werk-apps en de gegevens daarin beheerd. De gebruiker behoudt de controle over de rest van het apparaat. MAM is typisch voor BYOD-scenario's (Bring-Your-Own-Device).

U kunt de twee combineren op hetzelfde apparaat. Een geregistreerde bedrijfstelefoon (MDM) kan bijvoorbeeld ook app-beveiligingsbeleid (MAM) hebben voor apps waarin bijzonder gevoelige gegevens worden verwerkt.

Zie Apparaatinschrijving in Microsoft Intune en App-beveiliging beleidsregels voor meer informatie.

Eigen en persoonlijke apparaten van de organisatie

De meeste organisaties beheren twee apparaatpopulaties: hardware waarvan ze eigenaar zijn en persoonlijke apparaten die werknemers gebruiken voor hun werk. Intune ondersteunt beide met verschillende besturingselementen.

Apparaten die eigendom zijn van de organisatie moeten worden geregistreerd bij MDM. Vertrouw er niet op dat gebruikers deze apparaten zelf beheren.
Persoonlijke apparaten kunnen worden ingeschreven bij MDM als gebruikers volledige toegang willen tot organisatieresources of als ze alleen MAM-beleid kunnen gebruiken waarmee gegevens in Outlook, Teams en andere beheerde apps worden beschermd.

Apparaatgroepen

Apparaatgroepen zijn Microsoft Entra-groepen die alleen apparaten bevatten. Ze zijn handig wanneer een instelling van toepassing moet zijn, ongeacht wie er is aangemeld: kiosken, gedeelde pc's, apparaten voor frontlijnmedewerkers of speciale hardware.

Lidmaatschap kan statisch of dynamisch zijn:

Voor statische groepen moeten apparaten handmatig worden toegevoegd en verwijderd. Ze zijn handig voor kleine, stabiele groepen apparaten.
Dynamische groepen kunnen automatisch apparaten toevoegen en verwijderen op basis van criteria die u definieert. Ze zijn handig voor grote, wisselende apparaten

Apps

Intune dekt de volledige levenscyclus van apps (implementeren, configureren, beveiligen, bijwerken) op elk ondersteund platform.

Levenscyclus van app

Apps implementeren vanuit openbare winkels, leverancierscatalogi, uw eigen LOB-pakketten (line-of-business) of ingebouwde vermeldingen in het beheercentrum.
Configureer apps voordat gebruikers ze openen met behulp van app-configuratiebeleid. Stel de taal van de app in, voeg het logo van uw organisatie toe, blokkeer persoonlijke accounts en meer.
Bescherm de gegevens in apps met behulp van app-beveiligingsbeleid. Een pincode vereisen, kopiëren/plakken naar persoonlijke apps blokkeren, back-ups naar persoonlijke cloudservices voorkomen, opgeslagen gegevens versleutelen en selectief organisatiegegevens wissen.
Apps automatisch bijwerken zodra er nieuwe versies beschikbaar komen. Voor Microsoft 365-apps, Microsoft Edge en Microsoft Teams op Windows kunt u updates naar Windows Autopatch sturen.

App-beveiliging zonder inschrijving (MAM-WE)

Voor App-beveiliging is geen MDM-registratie vereist. Ze werken op drie apparaatpopulaties:

Persoonlijke apparaten die niet zijn geregistreerd bij een MDM (BYOD).
Apparaten die zijn ingeschreven bij een andere MDM-provider: Intune kunt nog steeds de gegevens in de beheerde apps beschermen.
Apparaten die zijn ingeschreven voor Intune, voor apps die een extra laag naast MDM nodig hebben.

Zie Overzicht van App-beveiliging beleid voor meer informatie.

Apps per platform

Intune ondersteunt public store-apps, LOB-apps (line-of-business), web-apps en platformspecifieke app-typen in Android, iOS, iPadOS, macOS en Windows. Zie Apps toevoegen en bijwerken in Microsoft Intune voor een uitsplitsing per platform van app-typen en waar ze vandaan komen.

Hoe de pilaren in elkaar passen

Een typische toegangsbeslissing raakt alle drie de pijlers:

Een gebruiker meldt zich aan bij een beheerd apparaat en de gebruiker wordt geverifieerd met Microsoft Entra ID.
Het apparaat checkt in bij Intune en rapporteert de compliantiestatus en inventaris.
Intune stuurt de compliantiestatus door naar Microsoft Entra ID.
De gebruiker opent een bedrijfs-app. Voorwaardelijke toegang van Microsoft Entra evalueert de aanvraag met behulp van de gebruiker, de nalevingsstatus van het apparaat, de app, de locatie en signalen van eindpuntbeveiliging in Microsoft Defender.
Met voorwaardelijke toegang kunt u toegang toestaan of blokkeren. Als toegang is toegestaan en de app een beheerde app is, dwingt app-beveiligingsbeleid in-app besturingselementen af (pincode, beperkingen van kopiëren en plakken, selectief wissen).

Bij elke toegangsbeslissing worden alle drie de pijlers samen gespeeld: de identiteit van de gebruiker, de naleving door het apparaat en de app die de gebruiker opent.

Feedback

Is deze pagina nuttig?

Last updated on 2026-08-19