Een nalevingsbeleid maken in Microsoft Intune

Nalevingsbeleid voor apparaten is een belangrijke functie bij het gebruik van Intune om de resources van je organisatie te beveiligen. In Intune kun je regels en instellingen maken waaraan apparaten moeten voldoen om als compatibel te worden beschouwd, zoals een minimale versie van het besturingssysteem. Als het apparaat niet compatibel is, kunt u de toegang tot gegevens en bronnen blokkeren met behulp van voorwaardelijke toegang.

Je kunt ook acties uitvoeren voor niet-naleving, zoals het verzenden van een e-mailmelding naar de gebruiker. Zie Aan de slag met apparaatnaleving voor een overzicht van wat nalevingsbeleid doet en hoe ze worden gebruikt.

Dit artikel:

  • Hier vindt u een overzicht van de vereisten en stappen voor het maken van een nalevingsbeleid.
  • Laat zien hoe je het beleid toewijst aan je gebruikers- en apparaatgroepen.
  • Hierin worden andere functies beschreven, waaronder bereiktags om je beleid te 'filteren' en stappen die je kunt uitvoeren op apparaten die niet compatibel zijn.
  • Lijsten de vernieuwingscyclus voor inchecken wanneer apparaten beleidsupdates ontvangen.

Vereisten

Vereisten voor apparaatplatforms

Licentievereisten

  • Microsoft Intune-abonnement
  • Als je voorwaardelijke toegang gebruikt, heb je Microsoft Entra ID P1- of P2-editie nodig. Microsoft Entra prijzen geeft aan wat je krijgt met de verschillende edities. Intune naleving vereist geen Microsoft Entra ID.
  • Android apparaatbeheerder
  • Android AOSP
  • Android Enterprise
  • iOS
  • Linux - Ubuntu Desktop, versie 24.04 LTS of 26.04 LTS
  • macOS
  • Windows

Belangrijk

Beheer van Android-apparaatbeheerder (DA) is afgeschaft en niet meer beschikbaar voor apparaten met toegang tot Google Mobile Services (GMS). Als u momenteel DA-beheer gebruikt, raden we u aan over te schakelen naar een andere Android-beheeroptie. Ondersteunings- en Help-documentatie blijft beschikbaar voor sommige Android 15- en eerdere apparaten zonder GMS. Zie Ondersteuning voor Android-apparaatbeheerder op GMS-apparaten beëindigen voor meer informatie.

Inschrijvingsmethoden

  • Apparaten inschrijven in Intune (vereist om de nalevingsstatus te zien)
  • Apparaten inschrijven bij één gebruiker of inschrijven zonder primaire gebruiker. Afzonderlijke apparaten kunnen niet worden ingeschreven bij meerdere gebruikers.

Naast nalevingsinstellingen die zijn ingebouwd in Intune, bieden de volgende platforms ondersteuning voor het toevoegen van aangepaste nalevingsinstellingen aan nalevingsbeleid:

  • Linux
    • Ubuntu Desktop, versie 24.04 LTS of 26.04 LTS
    • RedHat Enterprise Linux 9 of 10
  • Windows

Voordat je aangepaste instellingen kunt toevoegen, moet je een aangepast JSON-bestand voorbereiden dat de instellingen definieert waarop je je aangepaste naleving wilt baseren, en een script dat wordt uitgevoerd op apparaten om de instellingen te detecteren die zijn gedefinieerd in de JSON.

Zie Aangepaste nalevingsinstellingen gebruiken voor meer informatie over het gebruik van aangepaste nalevingsinstellingen, waaronder ondersteunde platforms, vereisten en het configureren van de categorie Aangepastenaleving tijdens het maken van een beleid.

Het beleid maken

  1. Meld je aan bij het Microsoft Intune-beheercentrum.

  2. Ga naar Apparaten.

  3. Selecteer onder Apparaten beherende optie Naleving. Kies vervolgens Beleid maken.

  4. Selecteer een platform voor dit beleid uit de volgende opties:

    • Android apparaatbeheerder
    • Android (AOSP)
    • Android Enterprise
    • iOS/iPadOS
    • Linux - (Ubuntu Desktop, versie 24.04 LTS of 26.04 LTS, RedHat Enterprise Linux 9 of RedHat Enterprise Linux 10)
    • macOS
    • Windows 10 en hoger
    • Windows 8.1 en hoger

    Selecteer voor Android Enterprise ook een profieltype. Uw opties:

    • Volledig beheerd, toegewezen werkprofiel in bedrijfseigendom
    • Werkprofiel in persoonlijk eigendom

    Selecteer vervolgens Maken om de configuratiepagina te openen.

  5. Voer op het tabblad Basisinformatie een naam in aan de hand waarvan u dit beleid later gemakkelijk kunt herkennen. Een goede beleidsnaam is bijvoorbeeld Gekraakte iOS-/iPadOS-apparaten markeren als niet-compatibel.

    Geef desgewenst een beschrijving voor het beleid op.

  6. Vouw op het tabblad Nalevingsinstellingen de beschikbare categorieën uit en configureer instellingen voor je beleid. In de volgende artikelen worden de beschikbare nalevingsinstellingen voor elk platform beschreven:

  7. U kunt desgewenst aangepaste instellingen voor ondersteunde platforms toevoegen.

    Tip

    Deze stap is optioneel en wordt ondersteund voor de volgende platforms:

    • Linux
      • Ubuntu Desktop, versie 24.04 LTS of 26.04 LTS
      • RedHat Enterprise Linux 9 of 10
    • macOS
    • Windows Voordat u aangepaste instellingen aan een beleid kunt toevoegen, moet u een detectiescript uploaden naar Intune en beschikken over een JSON-bestand waarin de instellingen worden gedefinieerd die u wilt gebruiken voor naleving. Zie Aangepaste compliance-instellingen voor meer informatie.

    Op de pagina Nalevingsinstellingen vouw de categorie Aangepaste naleving uit:

    Voor Windows:

    1. Vouw op de pagina NalevingsinstellingenAangepaste naleving uit en stel Aangepaste naleving in op Vereisen.
    2. Selecteer bij Selecteer uw detectiescriptde optie Klikken om te selecteren en voer vervolgens de naam in van een script dat u eerder hebt toegevoegd aan het Microsoft Intune-beheercentrum. Dit script moet worden geüpload voordat je begint met het maken van het beleid. Kies Selecteren om door te gaan naar de volgende stap.
    3. Selecteer voor het uploaden en valideren van het JSON-bestand met uw aangepaste compliance-instellingen het mappictogram en zoek het JSON-bestand voor Windows dat u met dit beleid wilt gebruiken en voeg het toe. Zie Een JSON maken voor aangepaste nalevingsinstellingen voor hulp bij de JSON.

    Voor Linux en macOS:

    1. Selecteer op de pagina Compliance-instellingen de optie Instellingen toevoegen om de Instellingenkiezer te openen.
    2. Selecteer Aangepaste naleving. Sluit vervolgens de instellingenkiezer.
    3. Switch vereisen aangepaste naleving naar Waar.
    4. Selecteer Selecteer een script selecteren voor Selecteer uw ontdekkingsscript. Selecteer vervolgens een script dat eerder is toegevoegd aan het Microsoft Intune-beheercentrum. Dit script moet worden geüpload voordat je begint met het maken van het beleid.
    5. Selecteer voor Select your rules file het mappictogram, zoek het JSON-bestand dat u met dit beleid wilt gebruiken en voeg het toe. Zie Een JSON maken voor aangepaste nalevingsinstellingen voor hulp bij de JSON.

    Wacht terwijl Intune de JSON heeft gevalideerd. Problemen die moeten worden opgelost, worden weergegeven op het scherm. Na validatie van de JSON-inhoud worden de regels uit de JSON weergegeven in tabelindeling.

  8. Selecteer op het tabblad Acties voor niet-naleving een reeks acties die automatisch moeten worden toegepast op apparaten die niet aan dit nalevingsbeleid voldoen.

    Je kunt meerdere acties toevoegen en schema's en details voor sommige acties configureren. Je kunt bijvoorbeeld het schema van de standaardactie Apparaat niet-compatibel markeren wijzigen om na één dag op te treden. Vervolgens kun je een actie toevoegen om een e-mail naar de gebruiker te verzenden wanneer het apparaat niet compatibel is om deze te waarschuwen voor die status. Je kunt ook acties toevoegen waarmee apparaten die niet compatibel blijven, worden vergrendeld of buiten gebruik worden gesteld.

    Zie Acties toevoegen voor niet-compatibele apparaten voor meer informatie over de acties die je kunt configureren, waaronder het maken van e-mailberichten met meldingen voor het verzenden naar je gebruikers.

    Een ander voorbeeld is het gebruik van Locaties waar je ten minste één locatie toevoegt aan een nalevingsbeleid. In dit geval is de standaardactie voor niet-naleving van toepassing wanneer je ten minste één locatie selecteert. Als het apparaat niet is verbonden met een van de geselecteerde locaties, wordt het beschouwd als niet-compatibel. Je kunt de planning configureren om je gebruikers een respijtperiode te geven, bijvoorbeeld één dag.

  9. Selecteer op het tabblad Bereiktags tags om beleid te filteren op specifieke groepen, zoals US-NC IT Team of JohnGlenn_ITDepartment. Nadat je de instellingen hebt toegevoegd, kun je ook een bereiktag toevoegen aan het profiel.

    Zie Bereiktags gebruiken om beleid te filteren voor meer informatie over het gebruik van bereiktags.

  10. Wijs op het tabblad Toewijzingen het beleid toe aan je groepen.

    Selecteer Groepen toevoegen en wijs het beleid vervolgens toe aan een of meer groepen. Het beleid is van toepassing op deze groepen wanneer u het beleid opslaat na de volgende stap.

    Beleid voor Linux biedt geen ondersteuning voor toewijzingen op basis van gebruikers en kan alleen worden toegewezen aan apparaatgroepen.

  11. Controleer op het tabblad Controleren en maken de instellingen en selecteer Maken wanneer je klaar bent om het nalevingsbeleid op te slaan.

    Intune controleert de gebruikers of apparaten waarop uw beleid zich richt op naleving wanneer ze inchecken bij Intune.

Cyclustijden vernieuwen

Intune gebruikt verschillende vernieuwingscycli om te controleren op updates voor nalevingsbeleid. Als het apparaat onlangs is geregistreerd, wordt het inchecken vaker uitgevoerd. Vernieuwingscycli voor beleid en profiel vermeldt de geschatte vernieuwingstijden.

Gebruikers kunnen op elk gewenst moment de bedrijfsportal-app openen en het apparaat synchroniseren om onmiddellijk te controleren op beleidsupdates.

Clientgestuurde compliance-evaluatie (preview)

Voor ondersteunde Windows-apparaten ondersteunt Intune clientgestuurde compliantie-evaluatie. Met deze mogelijkheid kan een apparaat bepaalde wijzigingen in de lokale status detecteren en proactief een nieuwe evaluatie van de naleving aanvragen, in plaats van te wachten op de volgende geplande incheckcyclus.

Statuswijzigingen die een clientgestuurde compliantie-evaluatie kunnen activeren, zijn wijzigingen in de apparaatconfiguratie, beveiligingsstatus en andere instellingen die van invloed zijn op de compatibiliteitsstatus van een apparaat.

De status InGracePeriod toewijzen

De status InGracePeriod voor een nalevingsbeleid is een waarde. Deze waarde wordt bepaald door de combinatie van de respijtperiode van een apparaat en de werkelijke status van een apparaat voor dat nalevingsbeleid.

Met name als een apparaat de status Niet-compatibel heeft voor een toegewezen nalevingsbeleid, en:

  • Er is geen respijtperiode toegewezen aan het apparaat, waarna de toegewezen waarde voor het nalevingsbeleid Niet-compatibel is
  • Het apparaat heeft een respijtperiode die is verlopen. Vervolgens is de toegewezen waarde voor het nalevingsbeleid Niet-compatibel
  • Het apparaat heeft een respijtperiode die zich in de toekomst bevindt. Vervolgens is de toegewezen waarde voor het nalevingsbeleid InGracePeriod

De volgende tabel bevat een overzicht van deze punten:

Werkelijke nalevingsstatus Waarde van toegewezen respijtperiode Effectieve nalevingsstatus
Niet-conform Er is geen respijtperiode toegewezen Niet-conform
Niet-conform De datum van gisteren Niet-conform
Niet-conform De datum van morgen InGracePeriod

Zie Nalevingsbeleid voor apparaten bewaken Intune voor meer informatie over het Bewaken van nalevingsbeleid voor apparaten.

Een resulterende nalevingsbeleidsstatus toewijzen

Als een apparaat meerdere nalevingsbeleidsregels heeft en het apparaat verschillende nalevingsstatussen heeft voor twee of meer van het toegewezen nalevingsbeleid, wordt één resulterende nalevingsstatus toegewezen. Deze toewijzing is gebaseerd op een conceptueel ernstniveau dat is toegewezen aan elke nalevingsstatus. Elke nalevingsstatus heeft het volgende ernstniveau:

Status Ernst
Unknown 1
NietToepasbaar 2
Compatibel 3
InGracePeriod 4
Niet-conform 5
Error 6

Wanneer een apparaat meerdere nalevingsbeleidsregels heeft, wijst Intune het hoogste ernstniveau van alle beleidsregels aan dat apparaat toe.

Aan een apparaat zijn bijvoorbeeld drie nalevingsbeleidsregels toegewezen: één onbekende status (ernst = 1), één conforme status (ernst = 3) en één status IngracePeriod (ernst = 4). De InGracePeriod-status heeft het hoogste ernstniveau, dus het apparaat krijgt de InGracePeriod-nalevingsstatus.

Belangrijk

De uitvoer van Discovery-scripts is beperkt tot 2048 tekens. Als de uitvoer deze limiet overschrijdt, wordt deze mogelijk afgekapt, wat resulteert in een ongeldige JSON en fout 65009 tijdens de compatibiliteitsevaluatie. U kunt dit voorkomen door de uitvoer beknopt te houden of grote regelsets over meerdere beleidsregels te verdelen.

Volgende stappen

Je beleid bewaken.

  • Last updated on