Microsoft Intune kernconcepten

Microsoft Intune is opgebouwd rond drie pijlers: de identiteiten die zich aanmelden, de apparaten van waaruit ze zich aanmelden en de apps die ze gebruiken om werk gedaan te krijgen. Intune organiseert deze pijlers boven op Microsoft Entra ID en voert de houding van het apparaat en de app terug naar Microsoft Entra voorwaardelijke toegang, waarmee toegang tot bedrijfsresources wordt geblokkeerd.

Zie Wat is Microsoft Intune? voor een inleiding tot wat Intune doet en waarom. Zie Microsoft Intune architectuur voor de onderdelen, integraties en implementatieweergave.

Diagram met Microsoft Intune het beheren van identiteiten, apparaten en apps, met signalen van Eindpuntbeveiliging in Microsoft Defender. Intune wordt uitgebreid met geavanceerde mogelijkheden, geautomatiseerd door Copilot en maakt gebruik van Microsoft Entra ID voor voorwaardelijke toegang tot bedrijfsresources.

De drie pijlers

Pijler Wat Intune doet Waar Intune op vertrouwt
Identiteiten Richt beleid op gebruikers en groepen, bereikt beheerderstoegang via op rollen gebaseerd toegangsbeheer (RBAC) en creëert gebruikersaffiniteit bij de inschrijving. Microsoft Entra ID voor accounts, groepen, verificatie en voorwaardelijke toegang.
Apparaten Registreert, configureert, beveiligt en buiten gebruik stelt de hardware die het werk van uw organisatie uitvoert. Rapporteert de nalevingsstatus voor voorwaardelijke toegang. Platforminschrijvingsprogramma's (Windows Autopilot, Apple Automated Device Enrollment, Android Enterprise).
Apps Implementeert, configureert, beveiligt en updatet de apps die gebruikers nodig hebben, op ingeschreven en persoonlijke apparaten. App Stores en leverancierscatalogussen (Microsoft Store, App Store, Beheerde Google Play, Apple Business).

De rest van dit artikel doorloopt elke pijler en eindigt met een voorbeeld dat een eenmalige aanmelding traceert voor alle drie.

Identiteiten

Intune slaat geen gebruikersidentiteiten op. Het maakt gebruik van Microsoft Entra ID voor accounts, groepen, verificatie en voorwaardelijke toegang. Binnen Intune komen identiteiten op drie plaatsen naar boven.

Gebruikersaffiniteit bij inschrijving

Wanneer een gebruiker zich voor het eerst aanmeldt bij een apparaat, wordt het apparaat gekoppeld aan die gebruiker. Deze koppeling wordt gebruikersaffiniteit genoemd. Beleidsregels die aan de gebruiker zijn toegewezen, volgen deze op al hun gekoppelde apparaten en de gebruiker heeft toegang tot hun e-mail, bestanden en apps vanaf elk van deze apparaten.

Wanneer er geen gebruiker aan een apparaat is gekoppeld, is het apparaat gebruikerloos. Dit patroon is gebruikelijk voor kiosken die zijn toegewezen aan één taak en voor gedeelde apparaten die door meerdere personen worden gebruikt.

Bepaal het beoogde doel van het apparaat vóór de inschrijving, zodat u de juiste inschrijvingsmethode kunt kiezen. Zie Apparaatinschrijving in Microsoft Intune voor platformspecifieke richtlijnen.

Op rollen gebaseerde toegang voor beheerders

Intune maakt gebruik van op rollen gebaseerd toegangsbeheer (RBAC) om te bepalen wat elke beheerder kan zien en doen in het beheercentrum. Ingebouwde rollen, zoals Application Manager en beleids- en profielbeheerbereikmachtigingen voor specifieke eindpuntbeheertaken. Omdat Intune gebruikmaakt van Microsoft Entra ID, zijn de ingebouwde Microsoft Entra rollen (inclusief Intune Administrator) ook beschikbaar.

Koppel RBAC met bereiktags om te beperken wat een beheerder kan zien, niet alleen wat ze kunnen doen. Geef een regionale helpdesk bijvoorbeeld een rol waarmee apparaten kunnen worden gewist, maar tag deze zodat ze alleen apparaten in hun regio kunnen zien en wissen.

Zie Op rollen gebaseerd toegangsbeheer met Microsoft Intune en Bereiktags gebruiken om beleid te filteren voor meer informatie.

Beleid en toewijzingen targeten

Intune is gebaseerd op de cloud en richt het beleid rechtstreeks op gebruikers of groepen. Er is geen hiërarchie van containers zoals organisatie-eenheden. U maakt een beleid en wijst dit vervolgens toe aan een of meer Microsoft Entra groepen.

U kunt een beleid richten op:

  • Gebruikersgroepen, wanneer de instelling de gebruiker op alle apparaten moet volgen. Bijvoorbeeld een e-mailprofiel of een app-implementatie.
  • Apparaatgroepen, wanneer de instelling moet worden toegepast, ongeacht wie is aangemeld, bijvoorbeeld een kioskconfiguratie of een frontlinewerkrolbeleid.
  • Ingebouwde virtuele groepen (alle gebruikers, alle apparaten) wanneer een instelling tenantbreed van toepassing is.

Zie Groepen toevoegen om gebruikers en apparaten te organiseren enApparaatprofielen toewijzen in Microsoft Intune voor meer informatie.

Apparaten

Intune beheert en beveiligt de desktops, laptops, tablets en telefoons die uw organisatie vertrouwt op Android, iOS, iPadOS, Linux, macOS, tvOS, visionOS en Windows. Zie Ondersteunde besturingssystemen en browsers voor de volledige matrix met ondersteunde besturingssystemen.

Levenscyclus van apparaten

Elk beheerd apparaat doorloopt vier fasen, allemaal verwerkt in hetzelfde beheercentrum.

  • Inschrijven: apparaten onder beheer brengen. Hardware die eigendom is van de organisatie maakt doorgaans gebruik van geautomatiseerde inschrijving via Windows Autopilot, Automatische apparaatinschrijving van Apple of Android Enterprise. Persoonlijke apparaten worden geregistreerd via de Bedrijfsportal-app.
  • Configureren: instellingen toepassen voor Wi-Fi, VPN, certificaten, e-mail, apparaatfuncties en platformspecifieke opties. In de catalogus met instellingen worden duizenden platforminstellingen weergegeven.
  • Beveiligen: nalevingsregels afdwingen, schijven versleutelen, beveiligingsbasislijnen implementeren en integreren met Mobile Threat Defense. Nalevingsstatusfeeds Microsoft Entra voorwaardelijke toegang.
  • Buiten gebruik stellen: wanneer een apparaat verloren gaat, vervangen of niet meer nodig is, kunt u met externe acties organisatiegegevens wissen, de fabrieksinstellingen van het apparaat terugzetten of de registratie ongedaan maken.

MDM en MAM

Intune ondersteunt twee beheermodi. U kunt ze onafhankelijk of samen gebruiken.

  • Mobile Device Management (MDM) brengt het hele apparaat onder Intune controle: instellingen, apps en gegevens. MDM is typisch voor hardware die eigendom is van de organisatie.
  • Mobile Application Management (MAM) beheert alleen de werk-apps en de gegevens erin. De gebruiker behoudt de controle over de rest van het apparaat. MAM is typisch voor BYOD-scenario's (Bring Your Own Device).

U kunt de twee op hetzelfde apparaat combineren. Een geregistreerde zakelijke telefoon (MDM) kan bijvoorbeeld ook beleid voor app-beveiliging (MAM) hebben voor apps die bijzonder gevoelige gegevens verwerken.

Zie Apparaatinschrijving in Microsoft Intune en overzicht van App-beveiliging-beleid voor meer informatie.

Apparaten die eigendom zijn van de organisatie en persoonlijke apparaten

De meeste organisaties beheren twee apparaatpopulaties: hardware die ze bezitten en persoonlijke apparaten die werknemers voor hun werk gebruiken. Intune ondersteunt beide met verschillende besturingselementen.

  • Apparaten die eigendom zijn van de organisatie moeten worden ingeschreven bij MDM. Vertrouw niet op gebruikers om deze apparaten zelf te beheren.
  • Persoonlijke apparaten kunnen via MDM worden ingeschreven wanneer gebruikers volledige toegang willen tot organisatieresources, of ze kunnen alleen MAM-beleid gebruiken waarmee gegevens in Outlook, Teams en andere beheerde apps worden beveiligd.

Apparaatgroepen

Apparaatgroepen zijn Microsoft Entra groepen die alleen apparaten bevatten. Ze zijn handig wanneer een instelling moet worden toegepast, ongeacht wie is aangemeld: kiosken, gedeelde pc's, frontline-worker-apparaten of speciale hardware.

Lidmaatschap kan statisch of dynamisch zijn:

  • Voor statische groepen moeten apparaten handmatig worden toegevoegd en verwijderd. Ze zijn handig voor kleine, stabiele sets apparaten.
  • Dynamische groepen voegen automatisch apparaten toe en verwijderen deze op basis van criteria die u definieert. Ze zijn handig voor grote, veranderende vloten van apparaten

Apps

Intune omvat de volledige levenscyclus van apps (implementeren, configureren, beveiligen, bijwerken) op elk ondersteund platform.

Levenscyclus van apps

  • Implementeer apps uit openbare winkels, leverancierscatalogussen, uw eigen LOB-pakketten (Line-Of-Business) of ingebouwde vermeldingen in het beheercentrum.
  • Configureer apps voordat gebruikers ze openen met behulp van app-configuratiebeleid. Stel de app-taal in, voeg het logo van uw organisatie toe, blokkeer persoonlijke accounts en meer.
  • Beveilig de gegevens in apps met behulp van app-beveiligingsbeleid. Een pincode vereisen, kopiëren en plakken naar persoonlijke apps blokkeren, back-ups naar persoonlijke cloudservices voorkomen, at-restgegevens versleutelen en organisatiegegevens selectief wissen.
  • Apps automatisch bijwerken wanneer er nieuwe versies beschikbaar komen. Voor Microsoft 365-apps, Microsoft Edge en Microsoft Teams in Windows kunt u updates voor Windows Autopatch met de hand uitvoeren.

App-beveiliging zonder inschrijving (MAM-WE)

App-beveiliging beleid vereist geen MDM-inschrijving. Ze werken op drie apparaatpopulaties:

  • Persoonlijke apparaten die niet zijn ingeschreven bij MDM (BYOD).
  • Apparaten die zijn ingeschreven bij een andere MDM-provider: Intune de gegevens in de beheerde apps nog steeds kunnen beveiligen.
  • Intune ingeschreven apparaten, voor apps die een extra laag nodig hebben naast MDM.

Zie overzicht van App-beveiliging beleid voor meer informatie.

Apps per platform

Intune ondersteunt openbare store-apps, LOB-apps (Line-Of-Business), web-apps en platformspecifieke app-typen in Android, iOS, iPadOS, macOS en Windows. Zie Apps toevoegen en bijwerken in Microsoft Intune voor de uitsplitsing per platform van app-typen en waar ze vandaan komen.

Hoe de pijlers in elkaar passen

Een typische toegangsbeslissing raakt alle drie de pijlers:

  1. Een gebruiker meldt zich aan bij een beheerd apparaat en Microsoft Entra ID de gebruiker verifieert.
  2. Het apparaat wordt ingecheckt met Intune en rapporteert de nalevingsstatus en inventaris.
  3. Intune stuurt de nalevingsstatus door naar Microsoft Entra ID.
  4. De gebruiker opent een zakelijke app. Microsoft Entra Voorwaardelijke toegang evalueert de aanvraag met behulp van de gebruiker, de nalevingsstatus van het apparaat, de app, de locatie en signalen van eindpuntbeveiliging in Microsoft Defender.
  5. Met voorwaardelijke toegang wordt toegang toegestaan of geblokkeerd. Als toegang is toegestaan en de app een beheerde app is, dwingt het beveiligingsbeleid voor apps in-app-besturingselementen af (pincode, beperkingen voor kopiëren en plakken, selectief wissen).

Elke toegangsbeslissing oefent alle drie de pijlers samen uit: de identiteit van de gebruiker, de naleving van het apparaat en de app die de gebruiker opent.

Verwante onderwerpen

  • Last updated on