Instellingen voor apparaatcompatibiliteit voor Windows in Intune

In dit artikel worden de verschillende compliance-instellingen vermeld en beschreven die u op Windows-apparaten kunt configureren in Intune. Als onderdeel van uw MDM-oplossing (Mobile Device Management) gebruikt u deze instellingen om BitLocker te vereisen, een minimum en maximum besturingssysteem in te stellen, een risiconiveau in te stellen met behulp van Microsoft Defender voor Eindpunt en meer.

Deze functie is van toepassing op:

  • Windows
  • Windows Holographic for Business
  • Surface Hub

De instellingen in dit artikel zijn ingedeeld in de secties die in het beheercentrum worden weergegeven wanneer u een compliancebeleid maakt.

Voordat u begint

Een nalevingsbeleid maken. Selecteer voor Platform de optie Windows 10 en hoger.

Apparaatstatus

Om ervoor te zorgen dat apparaten worden opgestart naar een vertrouwde status, gebruikt Intune Microsoft-apparaatverificatieservices. Apparaten in Intune commerciële, Amerikaanse Government GCC High en DoD-services waarop Windows 10 worden uitgevoerd, gebruiken de DHA-service (Device Health Attestation).

Zie voor meer informatie:

Evaluatieregels voor Windows Health-attestservice

  • BitLocker vereisen: Windows BitLocker-stationsversleuteling versleutelt alle gegevens die zijn opgeslagen op het volume van het Windows-besturingssysteem. BitLocker gebruikt de Trusted Platform Module (TPM) om het Windows-besturingssysteem en gebruikersgegevens te helpen beschermen. Het helpt ook om te bevestigen dat er niet met een computer is geknoeid, zelfs als deze onbeheerd, zoekgeraakt of gestolen is. Als de computer is uitgerust met een compatibele TPM, gebruikt BitLocker de TPM om de versleutelingssleutels te vergrendelen die de gegevens beschermen. Dit betekent dat de sleutels pas toegankelijk zijn nadat de TPM de status van de computer heeft geverifieerd.

    • Niet geconfigureerd (standaard): deze instelling wordt niet geëvalueerd op naleving of niet-naleving.
    • Vereisen : het apparaat kan gegevens die zijn opgeslagen op het station beveiligen tegen onbevoegde toegang wanneer het systeem is uitgeschakeld of in de sluimerstand wordt gezet.

    Device HealthAttestation CSP - BitLockerStatus

    Opmerking

    Als u een nalevingsbeleid voor apparaten gebruikt in Intune, moet u er rekening mee houden dat de status van deze instelling alleen wordt gemeten tijdens het opstarten. Hoewel de BitLocker-versleuteling is voltooid, moet het apparaat daarom opnieuw opstarten om dit te detecteren en compatibel te worden. Zie voor meer informatie de volgende Microsoft-ondersteuningsblog over Device Health Attestation.

  • Vereisen dat beveiligd opstarten is ingeschakeld op het apparaat:

    • Niet geconfigureerd (standaard): deze instelling wordt niet geëvalueerd op naleving of niet-naleving.
    • Vereisen : het systeem wordt gedwongen op te starten naar een vertrouwde fabrieksstatus. De belangrijkste onderdelen die worden gebruikt om de machine op te starten, moeten de juiste cryptografische handtekeningen hebben die worden vertrouwd door de organisatie die het apparaat heeft gemaakt. De UEFI-firmware verifieert de handtekening voordat de computer kan worden gestart. Als er met bestanden wordt geknoeid, waardoor hun handtekening wordt verbroken, start het systeem niet op.

    Opmerking

    De instelling Vereisen dat beveiligd opstarten is ingeschakeld in de apparaatinstelling wordt ondersteund op sommige TPM 1.2- en 2.0-apparaten. Voor apparaten die TPM 2.0 of hoger niet ondersteunen, wordt de beleidsstatus in Intune weergegeven als Niet compatibel. Zie Apparaatstatusverklaring voor meer informatie over ondersteunde versies.

  • Code-integriteit vereisen:
    Code-integriteit is een functie die de integriteit van een stuurprogramma of systeembestand controleert telkens wanneer het in het geheugen wordt geladen.

    • Niet geconfigureerd (standaard): deze instelling wordt niet geëvalueerd op naleving of niet-naleving.
    • Require - Code-integriteit vereisen, waarmee wordt gedetecteerd of er een niet-ondertekend stuurprogramma of systeembestand in de kernel wordt geladen. Het detecteert ook of een systeembestand is gewijzigd door kwaadaardige software of wordt uitgevoerd door een gebruikersaccount met beheerdersbevoegdheden.

Zie voor meer informatie:

Apparaateigenschappen

Versie van besturingssysteem

Zie Release-informatie voor Windows om buildversies te vinden voor alle Windows-functie-Updates en cumulatieve Updates (te gebruiken in enkele van de onderstaande velden). Zorg ervoor dat u het juiste versievoorvoegsel vóór de buildnummers opneemt, zoals 11.0 voor Windows 11.

  • Minimale versie van het besturingssysteem:
    Voer de minimaal toegestane versie in de getalnotatie major.minor.build.revision in. U krijgt de juiste waarde door een opdrachtprompt te openen en te typen ver. De ver opdracht retourneert de versie in de volgende indeling:

    Microsoft Windows [Version 10.0.17134.1]

    Wanneer een apparaat een eerdere versie heeft dan de versie van het besturingssysteem die u invoert, wordt deze gerapporteerd als niet-compatibel. Er wordt een koppeling weergegeven met informatie over het uitvoeren van een upgrade. De eindgebruiker kan ervoor kiezen om zijn apparaat te upgraden. Na de upgrade hebben ze toegang tot bedrijfsresources.

  • Maximale versie van het besturingssysteem:
    Voer de maximaal toegestane versie in, in de getalnotatie major.minor.build.revisie . U krijgt de juiste waarde door een opdrachtprompt te openen en te typen ver. De ver opdracht retourneert de versie in de volgende indeling:

    Microsoft Windows [Version 10.0.17134.1]

    Wanneer een apparaat een versie van het besturingssysteem gebruikt die hoger is dan de versie die is ingevoerd, wordt de toegang tot organisatieresources geblokkeerd. De eindgebruiker wordt gevraagd contact op te nemen met de IT-beheerder. Het apparaat heeft geen toegang tot organisatieresources totdat de regel is gewijzigd om de versie van het besturingssysteem toe te staan.

  • Minimaal vereist besturingssysteem voor mobiele apparaten:
    Voer de minimaal toegestane versie in, in de getalnotatie major.minor.build.

    Wanneer een apparaat een eerdere versie heeft dan de versie van het besturingssysteem die u invoert, wordt deze gerapporteerd als niet-compatibel. Er wordt een koppeling weergegeven met informatie over het uitvoeren van een upgrade. De eindgebruiker kan ervoor kiezen om zijn apparaat te upgraden. Na de upgrade hebben ze toegang tot bedrijfsresources.

  • Maximaal besturingssysteem vereist voor mobiele apparaten:
    Voer de maximaal toegestane versie in het nummer major.minor.build in.

    Wanneer een apparaat een versie van het besturingssysteem gebruikt die hoger is dan de versie die is ingevoerd, wordt de toegang tot organisatieresources geblokkeerd. De eindgebruiker wordt gevraagd contact op te nemen met de IT-beheerder. Het apparaat heeft geen toegang tot organisatieresources totdat de regel is gewijzigd om de versie van het besturingssysteem toe te staan.

  • Geldige builds van het besturingssysteem:
    Geef een lijst op met minimale en maximale OS-buildbereiken. Deze instelling biedt meer flexibiliteit dan de minimumversie van het besturingssysteem en de maximale versie van het besturingssysteem. Gebruik deze optie wanneer u specifieke patchniveaus moet afdwingen voor meerdere Windows-releases.

    Voor elk item is een beschrijving vereist en moet er minimaal en maximaal een besturingssysteemversie zijn in de indeling hoofd.mineur.build.revisie . De grootste ondersteunde waarde voor elk veld is 65535 (bijvoorbeeld 65535,65535,65535,65535,65535). Nadat u een of meer items hebt gedefinieerd, kunt u de lijst exporteren als een CSV-bestand.

    Voorbeeld:

    Beschrijving Minimale versie van het besturingssysteem Maximum aantal versies van besturingssysteem
    Windows 11 24H2 (okt-dec 2024) 10.0.26100.1742 10.0.26100.2605
    Windows 11 23H2 (jul-okt 2024) 10.0.22631.3880 10.0.22631.4317
    Windows 10 22H2 (jul-okt 2024) 10.0.19045.4651 10.0.19045.5011

    Opmerking

    Als u meerdere bereiken van builds van besturingssysteemversies in uw beleid opgeeft en een apparaat heeft een build buiten de compatibele bereiken, zal de gebruiker van het apparaat via de Bedrijfsportal weten dat het apparaat niet compatibel is met deze instelling. Houd er echter rekening mee dat vanwege technische beperkingen in het nalevingsherstelbericht alleen het eerste versiebereik van het besturingssysteem wordt weergegeven dat in het beleid is opgegeven. We raden u aan de toegestane bereiken van besturingssysteemversies voor beheerde apparaten in uw organisatie vast te leggen.

Compliance voor Configuration Manager

Is alleen van toepassing op gezamenlijk beheerde apparaten met Windows. Op apparaten met alleen Intune wordt de status Niet beschikbaar weergegeven.

  • Apparaatnaleving vereisen van Configuration Manager:
    • Niet geconfigureerd (standaard) - Intune controleert niet op een van de Configuration Manager instellingen voor naleving.
    • Require - Alle instellingen (configuratie-items) in Configuration Manager moeten compatibel zijn.

Beveiliging van systeem

Wachtwoord

  • Een wachtwoord vereisen om mobiele apparaten te ontgrendelen:

    • Niet geconfigureerd (standaard): deze instelling wordt niet geëvalueerd op naleving of niet-naleving.
    • Vereisen : gebruikers moeten een wachtwoord invoeren voordat ze toegang krijgen tot hun apparaat.

  • Eenvoudige wachtwoorden:

    • Niet geconfigureerd (standaard) - Gebruikers kunnen eenvoudige wachtwoorden maken, zoals 1234 of 1111.
    • Blokkeren - Gebruikers kunnen geen eenvoudige wachtwoorden, zoals 1234 of 1111, maken.

  • Wachtwoordtype:
    Kies het type wachtwoord of pincode dat vereist is. Uw opties:

    • Standaardapparaat (standaard): een wachtwoord, numerieke pincode of alfanumerieke pincode vereisen
    • Numeriek - Een wachtwoord of numerieke pincode vereisen
    • Alfanumeriek : vereist een wachtwoord of alfanumerieke pincode.

    Als deze optie is ingesteld op Alfanumeriek, zijn de volgende instellingen beschikbaar:

  • Minimale wachtwoordlengte:
    Voer het minimum aantal cijfers of tekens in dat het wachtwoord moet bevatten.

  • Maximum aantal minuten van inactiviteit voordat een wachtwoord is vereist:
    Voer de inactieve tijd in voordat gebruikers hun wachtwoord opnieuw moeten invoeren.

  • Wachtwoordverloop (dagen):
    Voer het aantal dagen in voordat het wachtwoord verloopt, een waarde tussen 1 en 730.

  • Aantal vorige wachtwoorden om hergebruik te voorkomen:
    Voer het aantal eerder gebruikte wachtwoorden in dat niet kan worden gebruikt.

  • Wachtwoord vereisen wanneer het apparaat terugkeert uit de niet-actieve status (mobiel en holografisch):

    • Niet geconfigureerd (standaard)
    • Vereisen : vereist dat gebruikers van apparaten het wachtwoord invoeren telkens wanneer het apparaat terugkeert uit een inactieve status.

    Belangrijk

    Wanneer de wachtwoordvereiste op een Windows-bureaublad wordt gewijzigd, heeft dit gevolgen bij de volgende aanmelding voor gebruikers, omdat het apparaat dan van niet-actief naar actief gaat. Gebruikers met een wachtwoord dat aan de vereisten voldoet, worden nog steeds gevraagd hun wachtwoord te wijzigen.

Versleuteling

  • Versleuteling van gegevensopslag op een apparaat:
    Deze instelling is van toepassing op alle stations op een apparaat.

    • Niet geconfigureerd (standaard)
    • Vereisen : gebruik Vereisen om gegevensopslag op uw apparaten te versleutelen.

    DeviceStatus CSP - DeviceStatus/Compliance/EncryptionCompliance

    Opmerking

    De instelling Versleuteling van gegevensopslag op een apparaat controleert in het algemeen op de aanwezigheid van versleuteling op het apparaat, meer bepaald op het niveau van het besturingssysteemstation. Op dit moment ondersteunt Intune alleen de versleutelingscontrole met BitLocker. Voor een robuustere versleutelingsinstelling kunt u BitLocker vereisen gebruiken, dat gebruikmaakt van Windows-apparaatstatusattest om de BitLocker-status op TPM-niveau te valideren. Wanneer u echter van deze instelling gebruikmaakt, moet u er rekening mee houden dat opnieuw opstarten vereist kan zijn voordat het apparaat als compatibel wordt weergegeven.

Apparaatbeveiliging

  • Firewall:

    • Niet geconfigureerd (standaard) - Intune bestuurt Windows Firewall niet en wijzigt bestaande instellingen niet.
    • Vereisen : schakel de Windows Firewall in en voorkom dat gebruikers deze uitschakelen.

    Firewall CSP

    Opmerking

    • Als het apparaat direct wordt gesynchroniseerd nadat het apparaat opnieuw is opgestart of direct synchroniseert als het ontwaken uit de slaapstand komt, kan deze instelling als een fout worden gerapporteerd. Dit scenario heeft mogelijk geen invloed op de algehele compatibiliteitsstatus van het apparaat. Als u de compliantiestatus opnieuw wilt evalueren, moet u het apparaat handmatig synchroniseren.

    • Als een configuratie wordt toegepast (bijvoorbeeld via een groepsbeleid) op een apparaat dat Windows Firewall zodanig configureert dat al binnenkomend verkeer wordt toegelaten, of de firewall uitschakelt, retourneert het instellen van de firewall op VereistNiet compatibel, zelfs als Intune apparaatconfiguratiebeleid de firewall inschakelt. Dit komt doordat het groepsbeleidsobject het beleid van Intune overschrijft. U kunt dit probleem oplossen door eventuele conflicterende groepsbeleidsinstellingen te verwijderen of de aan firewalls gerelateerde groepsbeleidsinstellingen te migreren naar het apparaatconfiguratiebeleid van Intune. In het algemeen raden we u aan de standaardinstellingen te behouden, waaronder het blokkeren van binnenkomende verbindingen. Zie Aanbevolen procedures voor het configureren van Windows Firewall voor meer informatie.

  • Trusted Platform Module (TPM):

    • Niet geconfigureerd (standaard) - Intune controleert het apparaat niet op een TPM-chipversie.
    • Vereisen: Intune controleert de versie van de TPM-chip op naleving. Het apparaat is compatibel als de TPM-chipversie groter is dan 0 (nul). Het apparaat is niet compatibel als er geen TPM-versie op het apparaat staat.

    DeviceStatus CSP - DeviceStatus/TPM/SpecificationVersion

  • Antivirus:

    • Niet geconfigureerd (standaard) - Intune controleert niet op geïnstalleerde antivirusoplossingen op het apparaat.
    • Vereisen: controleer de naleving met antivirusoplossingen die zijn geregistreerd bij Windows-beveiliging Center, zoals Symantec en Microsoft Defender. Als deze optie is ingesteld op Vereisen, voldoet de antivirussoftware van een apparaat niet meer aan de vereisten of waarvan de antivirussoftware verouderd is.

    DeviceStatus CSP - DeviceStatus/Antivirus/Status

  • Antispyware:

    • Niet geconfigureerd (standaard) - Intune controleert niet op geïnstalleerde antispywareoplossingen op het apparaat.
    • Vereisen: controleer de naleving met behulp van antispywareoplossingen die zijn geregistreerd bij Windows-beveiliging Center, zoals Symantec en Microsoft Defender. Als deze optie is ingesteld op Vereisen, voldoet de antimalwaresoftware van een apparaat niet meer aan de vereisten of waarvan de antimalwaresoftware verouderd is.

    DeviceStatus CSP - DeviceStatus/Antispyware/Status

Defender

De volgende compliance-instellingen worden ondersteund met Windows.

  • Microsoft Defender Antimalware:

    • Niet geconfigureerd (standaard) - Intune bestuurt de service niet en wijzigt bestaande instellingen niet.
    • Vereisen: schakel de antimalwareservice Microsoft Defender in en voorkom dat gebruikers deze uitschakelen.

  • Minimale versie van Microsoft Defender Antimalware:
    Voer de minimaal toegestane versie van de antimalwareservice van Microsoft Defender in. Typ bijvoorbeeld .4.11.0.0 Als deze leeg wordt gelaten, kan elke versie van de antimalwareservice van Microsoft Defender worden gebruikt.

    Standaard is er geen versie geconfigureerd.

  • Microsoft Defender Antimalware-beveiligingsinformatie up-to-date:
    Hiermee bepaalt u de virus- en bedreigingsbeveiligingsupdates van Windows-beveiliging op de apparaten.

    • Niet geconfigureerd (standaard) - Intune dwingt geen vereisten af.
    • Vereisen: dwing dat de beveiligingsinformatie van Microsoft Defender up-to-date is.

    Defender CSP - Defender / Health / SignatureOutOfDate CSP

    Zie Beveiligingsinformatie-updates voor Microsoft Defender Antivirus en andere Microsoft-antimalware voor meer informatie.

  • Realtime-beveiliging:

    • Niet geconfigureerd (standaard) - Intune beheert deze functie niet en wijzigt bestaande instellingen niet.
    • Vereisen : schakel realtime-beveiliging in, waarmee wordt gescand op malware, spyware en andere ongewenste software.

    Beleids-CSP - Defender/AllowRealtimeMonitoring CSP

Microsoft Defender voor Eindpunt

Regels voor Microsoft Defender voor Eindpunt

Zie Voorwaardelijke toegang configureren in Microsoft Defender voor Eindpunt voor meer informatie over integratie van Microsoft Defender voor Eindpunt in scenario's met voorwaardelijke toegang.

  • Vereisen dat het apparaat de risicoscore van de computer heeft of overschrijdt:
    Gebruik deze instelling om de risicobeoordeling van uw bedreigingsservices voor defensie als voorwaarde voor naleving te nemen. Kies het maximaal toegestane dreigingsniveau:

    • Niet geconfigureerd (standaard)
    • Duidelijk : deze optie is het veiligst, omdat het apparaat geen bedreigingen kan bevatten. Als wordt gedetecteerd dat het apparaat een dreigingsniveau bevat, wordt het beoordeeld als niet-compatibel.
    • Laag - Het apparaat wordt beoordeeld als compatibel als alleen bedreigingen op laag niveau aanwezig zijn. Alle hogere waarden geven het apparaat een niet-compatibele status.
    • Gemiddeld : het apparaat wordt beoordeeld als compatibel als de bestaande bedreigingen op het apparaat van laag of gemiddeld niveau zijn. Als wordt gedetecteerd dat het apparaat bedreigingen op hoog niveau bevat, wordt vastgesteld dat het niet compatibel is.
    • Hoog : deze optie is de minst veilige en staat alle dreigingsniveaus toe. Het kan handig zijn als u deze oplossing alleen voor rapportagedoeleinden gebruikt.

    Als u Microsoft Defender voor Eindpunt wilt instellen als uw verdedigingsbedreigingsservice, raadpleegt u Microsoft Defender voor Eindpunt inschakelen met voorwaardelijke toegang.

Windows-subsysteem voor Linux

Voor de instellingen in deze sectie is de invoegtoepassing Windows-subsysteem voor Linux (WSL) vereist. Zie Evaluate compliance for Windows-subsystem for Linux (Compatibiliteit voor Windows-subsysteem voor Linux) voor meer informatie.

Voer voor toegestane Linux-distributies en -versies ten minste één naam van een Linux-distributie in. Voer desgewenst een minimale of maximale versie van het besturingssysteem in.

Opmerking

De distributienamen en versies die u invoert, zijn op de volgende manieren van invloed op het nalevingsbeleid:

  • Als er geen distributie wordt aangeboden, zijn alle distributies toegestaan. Dit is het standaardgedrag.
  • Als u alleen distributienamen opgeeft, zijn alle geïnstalleerde versies van die distributie toegestaan.
  • Als u een distributienaam en een minimale versie van het besturingssysteem opgeeft, zijn alle geïnstalleerde distributies met de opgegeven naam en minimumversie of hoger toegestaan.
  • Als u een distributienaam en een maximumversie van het besturingssysteem opgeeft, zijn alle geïnstalleerde distributies met de opgegeven naam en maximumversie of eerder toegestaan.
  • Als er een distributienaam, een minimale versie van het besturingssysteem en een maximale versie van het besturingssysteem worden opgegeven, zijn alle geïnstalleerde distributies en versies van het besturingssysteem binnen het opgegeven bereik toegestaan.

Windows Holographic for Business

Windows Holographic for Business is gebaseerd op het platform van Windows 10 en hoger. Windows Holographic for Business ondersteunt de volgende instellingen:

  • Systeembeveiliging>Versleuteling>Versleuteling van gegevensopslag op apparaat.

Zie Apparaatversleuteling controleren om apparaatversleuteling op de Microsoft HoloLens te controleren.

Surface Hub

Surface Hub gebruikt het platform van Windows 10 en hoger. Surface Hubs worden ondersteund voor zowel compliance als voorwaardelijke toegang. Als je deze functies op Surface Hub's wilt inschakelen, raden we je aan de automatische inschrijving van Windows in Intune in te schakelen (hiervoor is Microsoft Entra ID vereist) en de Surface Hub-apparaten als apparaatgroepen te gebruiken. Surface Hubs moeten aan Microsoft Entra worden gekoppeld om naleving en voorwaardelijke toegang te laten werken.

Zie Inschrijving instellen voor Windows-apparaten voor hulp.

Speciale aandacht voor Surface Hubs met het Windows Team-besturingssysteem:
Surface Hubs waarop het Windows-teambesturingssysteem wordt uitgevoerd, bieden op dit moment geen ondersteuning voor het nalevingsbeleid van Microsoft Defender voor Eindpunt en Wachtwoorden. Daarom moet u daarom voor Surface Hubs met het Windows Team-besturingssysteem de volgende twee instellingen instellen op Niet geconfigureerd:

  • Stel in de categorie Wachtwoord de optie Een wachtwoord vereisen om mobiele apparaten te ontgrendelen in op Niet geconfigureerd.

  • Stel in de categorie Microsoft Defender voor Eindpunt de optie Vereisen dat het apparaat de risicoscore van de computer heeft (of lager is dan de machinerisicoscore) in op Niet geconfigureerd.

Volgende stappen

  • Last updated on