Groepen gebruiken om gebruikers en apparaten te ordenen voor Microsoft Intune

Microsoft Intune gebruikt beveiligingsgroepen van Microsoft Entra ID voor verschillende organisatorische behoeften. Deze behoeften omvatten het groeperen van gebruikers of apparaten op geografische locatie, afdeling, hardwarekenmerken en meer. Ter ondersteuning van het gebruik van Entra-groepen door Intune bevat het Intune-beheercentrum de gebruikersinterface van Entra-groepen met alle functionaliteit. Alle groepen die worden weergegeven in Entra en nieuwe groepen die een Intune-beheerder kan maken, zijn zichtbaar in Intune, Entra en andere producten die gebruikmaken van de gebruikersinterface van Entra Groepen, zoals Microsoft 365.

Intune beheerders gebruiken goed gedefinieerde groepen bij het implementeren van beleid, het implementeren van apps en voor het toewijzen van machtigingen van andere gebruikers met beheerdersrechten, zodat deze kunnen helpen bij het beheren van verschillende aspecten van het Intune-abonnement.

Dit artikel is gericht op het gebruik van het Intune-beheercentrum om groepen te maken voor gebruik met Intune, inclusief informatie over de machtigingen die nodig zijn om deze groepen binnen het beheercentrum te beheren en te gebruiken.

Meer informatie over Microsoft Entra-groepen vind je in de Entra-documentatie.

Toegangsbeheer op basis van rollen voor het werken met groepen

Standaard hebben al Microsoft Entra gebruikersaccounts machtigingen om nieuwe groepen te maken en te configureren zonder dat ze een Entra rol op basis van rollen voor toegangsbeheer toegewezen krijgen. Deze machtigingen gelden ook voor het gebruik van het knooppunt Groepen in het Intune-beheercentrum.

Alleen de gebruiker die de groep heeft gemaakt, gebruikers die zijn toegewezen als eigenaar en gebruikers die over voldoende Entra RBAC-machtigingen beschikken om Entra-groepen te beheren, kunnen de eigenschappen van een groep bewerken. Andere gebruikers zonder rechten om een groep te bewerken, kunnen het lidmaatschap ervan bekijken en, als ze Intune beheren, kunnen ze Intune-beleid, apps en roltoewijzingen toewijzen aan de groep.

De volgende ingebouwde RBAC-rol van Microsoft Entra is de ingebouwde rol met de minste bevoegdheid die voldoende machtigingen bevat voor het bewerken en beheren van Entra-groepen die door andere gebruikers zijn gemaakt:

• Groepsbeheerder: deze rol biedt voldoende machtigingen om groepen toe te voegen en te bewerken vanuit de beheercentra voor Microsoft Intune, Microsoft Entra en Microsoft 365.

Wanneer u met RBAC werkt, raadt Microsoft aan om het principe van de minste machtigingen te volgen door alleen accounts te gebruiken met de minimaal vereiste machtigingen voor een taak en het gebruik en de toewijzing van bevoegde beheerdersrollen zoals de Intune-beheerder te beperken.

Zie Meer informatie over groepen en toegangsrechten in de Entra-documentatie voor meer informatie over Microsoft Entra-groepen en groepstoegang.

Vereisten voor groepen die u gebruikt met Intune

Intune-beheerders moeten zich bewust zijn van de volgende aspecten van Microsoft Entra-groepen bij het maken van nieuwe groepen of het toewijzen van deze groepen voor beleidsimplementatie of beheerrollen.

Beveiliging - De groepen die u gebruikt met Intune moeten groepen zijn die zijn ingeschakeld voor beveiliging. Hiervoor moet het groepstype meestal op Beveiliging worden ingesteld wanneer de groep wordt gemaakt. Zie groepstypen in Microsoft Entra voor meer informatie. Een beveiligingsgroep ondersteunt zowel gebruikers als apparaten als leden.

Standaard zijn Microsoft 365-groepen in Microsoft Entra niet beveiligd, ondersteunen ze alleen gebruikers als leden en worden ze niet ondersteund door Intune. Hoewel u Microsoft Graph PowerShell kunt gebruiken om Microsoft 365-groepen met beveiliging te maken die door Intune worden ondersteund (zie Beveiligingsgroepen beheren met Microsoft 365 PowerShell voor meer informatie), kunnen ze, net als de standaard Microsoft 365-groepen, alleen gebruikers en geen apparaten bevatten.

Lidmaatschap - Intune ondersteunt zowel toegewezen als dynamische groepslidmaatschappen. Kies het lidmaatschapstype op basis van hoe u het groepslidmaatschap wilt beheren - handmatig of automatisch op basis van regels. Zie lidmaatschapstypen in Microsoft Entra voor meer informatie. Als u bijvoorbeeld een ingebouwde Intune RBAC-rol zoals Endpoint Security Manager wilt toewijzen aan gebruikers met beheerders, gebruikt u een groep met handmatig toegewezen leden om te beperken wie die bevoorrechte rol krijgt. Als u een standaardset beleidsregels voor apparaatconfiguratie wilt implementeren op alle Windows 11-apparaten, kunt u een groep gebruiken die dynamisch leden toevoegt op basis van de versie van het besturingssysteem van een apparaat. Het gebruik van een dynamische groep kan u helpen ervoor te zorgen dat apparaten die worden ingeschreven bij Intune automatisch het beoogde standaardbeleid ontvangen, zonder dat het apparaat handmatig hoeft te worden toegevoegd aan een groep.

De groep Intune Alle gebruikers en Alle apparaten

Naast de Microsoft Entra-groepen die u kunt maken en gebruiken met Intune, bevat Intune twee virtuele groepen die alleen beschikbaar zijn binnen de context van Intune en vanuit het Intune-beheercentrum:

• Alle gebruikers: deze groep omvat automatisch elke gebruiker met een licentie voor Intune.
• Alle apparaten: deze groep bevat automatisch elk apparaat dat wordt geregistreerd bij Intune.

Deze virtuele groepen bieden een eenvoudige manier om alle toepasselijke gebruikers of apparaten te targeten met Intune-beleid en -toewijzingen die in grote lijnen van toepassing zouden moeten zijn.

U kunt bijvoorbeeld een Intune-nalevingsbeleid implementeren voor de groep Alle apparaten om een minimumniveau van nalevingsvereisten vast te stellen waaraan alle apparaten in uw organisatie moeten voldoen. Later kun je meer vereisten implementeren voor specifieke Entra-groepen om extra vereisten toe te passen die je mogelijk hebt voor specifieke groepen apparaten of gebruikers.

Groepen toevoegen aan Intune

Wanneer u een groep maakt in het Microsoft Intune-beheercentrum, maakt u in feite een groep in Microsoft Entra ID. De volgende procedure biedt eenvoudige richtlijnen voor het maken van groepen in het Intune-beheercentrum. Zie de volgende Microsoft Entra-artikelen voor meer informatie:

• Microsoft Entra-groepen en groepslidmaatschap beheren
• Een basisgroep maken en leden toevoegen met behulp van Microsoft Entra ID
• Dynamische lidmaatschapsregels voor groepen in Microsoft Entra ID

Om groepen te maken in het Microsoft Intune-beheercentrum:

1. Meld u aan bij het Microsoft Intune-beheercentrum op https://go.microsoft.com/fwlink/?linkid=2109431en selecteer vervolgens Groepen>Nieuwe groep:

   

2. Het deelvenster Nieuwe groep wordt geopend. Dit is dezelfde interface als in Microsoft Entra:

   

   Configureer de volgende opties voor de nieuwe groep:

   1. Stel Groepstype in op Beveiliging.

   2. Geef bij Groepsnaam een betekenisvolle naam op die de groep duidelijk identificeert. Deze naam is zichtbaar voor gebruikers die met groepen in het beheercentrum werken.

   3. Geef bij groepsbeschrijving, optioneel, andere details over de groep op, zoals het beoogde gebruik.

   4. Selecteer voor type lidmaatschap een van de volgende opties:

      • Toegewezen – Met dit lidmaatschapstype moet u handmatig gebruikers toevoegen aan de groep, dit kan nu of later worden gedaan nadat de groep is gemaakt.

        Als u gebruikers wilt toevoegen, zoekt en selecteert u Geen leden geselecteerd om het deelvenster Leden toevoegen te openen.

        Gebruik in het deelvenster het tabblad Gebruikers of Apparaten waar u het selectievakje kunt inschakelen naast elk object dat u aan deze groep wilt toevoegen.

        U kunt ook het tabblad Groepen selecteren als u een groep in deze groep wilt nesten. Een groep waarvan een groep lid is, wordt ook wel een bovenliggende groep genoemd. Wees voorzichtig bij het nesten van groepen, omdat de lidmaatschapsrelaties mogelijk niet duidelijk zijn voor beheerders die de bovenliggende groep later gebruiken voor een opdracht. Wijzigingen in het lidmaatschap van een geneste groep worden automatisch toegepast op het effectieve lidmaatschap van de bovenliggende groep.

        Belangrijk

        Maak geen groepen met zowel gebruikers als apparaten, omdat dit kan leiden tot beleidsconflicten en onvoorspelbaar gedrag tijdens Intune-implementaties.

        Tip

        Als u groepen apparaten wilt maken, kunt u apparaatcategorieën gebruiken om apparaten automatisch aan een groep te koppelen op het moment dat ze worden geregistreerd bij Intune. Zie Apparaatcategorieën voor meer informatie.

      • Dynamische gebruiker - Selecteer voor dit lidmaatschapstype Dynamische query toevoegen en configureer vervolgens de regels voor dynamisch lidmaatschap. Zie Regels beheren voor dynamische lidmaatschapsgroepen in Microsoft Entra ID voor hulp.

        Belangrijk

        Als u dynamische gebruikersgroepen wilt gebruiken, moet u een Microsoft Entra ID P1-licentie hebben voor elke gebruiker die lid is van de dynamische groep.

      • Dynamisch apparaat : selecteer voor dit lidmaatschapstype Dynamische query toevoegen en configureer vervolgens de regels voor het dynamische lidmaatschap. Ga voor hulp naar:

        • Regels voor dynamische lidmaatschapsgroepen beheren in Microsoft Entra ID
        • Eenvoudigere en snellere regels maken voor dynamische lidmaatschapsgroepen
        • Dynamische groepsverwerking begrijpen en beheren

        Tip

        Er is geen specifieke Entra ID-licentie vereist voor leden van dynamische apparaatgroepen.

        Opmerking

        Voordat u een dynamische apparaatgroep maakt voor Intune-beleidsdoelgroepen, moet u overwegen of met een toewijzingsfilter hetzelfde resultaat kan worden bereikt. Als uw regel is gericht op apparaateigenschappen zoals type besturingssysteem, fabrikant, model, eigendom of apparaatcategorie, wordt een toewijzingsfilter geëvalueerd bij het inchecken zonder dat dit afhankelijk is van de verwerking van het groepslidmaatschap. Ga voor meer informatie naar Prestatieaanbevelingen voor groeperen, targeten en filteren in grote Microsoft Intune-omgevingen.

   5. De configuratie Eigenaren is optioneel. Standaard is de gebruiker die een groep maakt een eigenaar. Als u andere eigenaren wilt toevoegen, selecteert u Geen eigenaren geselecteerd en vervolgens het tabblad Gebruikers waar u vervolgens een of meer gebruikers kunt selecteren die u als eigenaar van deze groep wilt toevoegen.

3. Selecteer Maken om de nieuwe groep toe te voegen. Uw groep wordt weergegeven in de lijst.

Een groep bewerken

Als Intune-beheerder kunt u groepen bewerken, bijvoorbeeld door de groepsleden, eigenaar en eigenschappen te wijzigen.

Gebruik de volgende stappen om een bestaande groep te bewerken:

1. Meld je aan bij het Microsoft Intune-beheercentrum.
2. Groepen> selecterenAlle groepen>Selecteer de naam van een groep die u wilt bewerken.
3. Selecteer onder de menugroep Beheren een gebied van de groep dat u wilt bewerken, zoals Eigenschappen, Leden of Eigenaren. In Intune wordt de gebruikersinterface van die configuratieoptie weergegeven.

Een groep verwijderen

Als Intune-beheerder kunt u groepen verwijderen die niet meer nodig zijn.

Gebruik de volgende stappen om een bestaande groep te verwijderen:

1. Meld je aan bij het Microsoft Intune-beheercentrum.
2. Selecteer Groepen>Alle groepen.
3. Schakel het selectievakje in voor elke groep die u wilt verwijderen en selecteer vervolgens Verwijderen uit opties bovenaan de weergave Alle groepen . U kunt ook de naam van een groep selecteren om de overzichtspagina van één groep te openen en vervolgens boven aan die weergave Verwijderen* selecteren.

Verwante onderwerpen

• De juiste targetingmethode kiezen in Microsoft Intune
• Gebruikerslicenties toewijzen aan Intune
• Wijs Microsoft Intune-rollen toe aan groepen gebruikers voor toegangsbeheer op basis van rollen