Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Wanneer u een beleid maakt, kunt u toewijzingsfilters gebruiken om een beleid toe te wijzen op basis van regels die u maakt. U kunt toewijzingsfilters toepassen op Intune ingeschreven apparaten en Intune beheerde apps. Ga voor een overzicht van toewijzingsfilters naar Filters gebruiken bij het toewijzen van uw apps, beleid en profielen in Microsoft Intune.
Wanneer u toewijzingsfilters maakt, zijn er enkele aanbevelingen voor prestaties die u moet overwegen.
In dit artikel vindt u aanbevelingen voor het Intune groeperen, targeten en filteren van uw beleid en apps. Het doel is om u te helpen bij het nemen van architectuur- en ontwerpbeslissingen voor Intune implementaties in grote omgevingen.
Deze prestatieaanbeveling en de implementatie ervan kunnen verschillen en afhankelijk zijn van uw eigen omgeving & andere factoren, waaronder beheerbaarheid en eenvoud.
In dit artikel:
- Een overzicht van Intune groeperings- en doelconcepten
- Prestatieaanbeveling ophalen
Voor hulp bij dynamische groepen gaat u naar Eenvoudigere, efficiëntere regels maken voor dynamische groepen in Microsoft Entra ID.
Overzicht van Intune groeperings- en doelconcepten
Laten we eens kijken naar de functies voor groeperen, targeten en filteren die beschikbaar zijn in Intune.
Microsoft Entra groepen
Intune maakt bijna uitsluitend gebruik van Microsoft Entra groepen voor groepering en targeting. Wanneer u Groepen selecteert in het Microsoft Intune-beheercentrum, bekijkt u Microsoft Entra groepen.
Microsoft Entra groepen zijn een belangrijk onderdeel van Intune omdat deze groepen:
- De objecten die worden gebruikt voor het toewijzen van apps, beleid en andere workloads aan gebruikers en apparaten
- Wordt gebruikt om de apparaten te definiëren die beheerders kunnen weergeven en beheren in het Intune-beheercentrum, zoals bereikgroepen in op rollen gebaseerd toegangsbeheer (RBAC)
Virtuele groepen
De toewijzingen Alle gebruikers en Alle apparaten zijn Intune virtuele groepen. Deze virtuele groepen zijn standaard beschikbaar in alle Intune tenants en hebben geen beheeroverhead. U hoeft bijvoorbeeld geen Microsoft Entra ID regels te maken of aan te passen om hun leden gevuld te houden.
De groepen Alle gebruikers en Alle apparaten zijn ook zeer schaalbaar en geoptimaliseerd, vooral omdat ze niet hoeven te worden gesynchroniseerd vanuit Microsoft Entra ID op dezelfde manier als andere groepen.
Toewijzingsfilters
Nadat de app of het beleid is toegewezen aan een Microsoft Entra ID of virtuele groep, kunt u toewijzingsfilters gebruiken om het toewijzingsbereik van deze apps en beleidsregels te beperken tot specifieke gebruikers- of apparaatgroepen.
Uw toewijzingsfilter filtert apparaten in (of uit) van die toewijzing op basis van apparaateigenschappen.
Filteren is een evaluatie van de toepasselijkheid met hoge prestaties en lage latentie bij het inchecken van het apparaat, zonder dat u het groepslidmaatschap vooraf hoeft te berekenen.
Prestatieaanbeveling
Deze sectie bevat enkele aanbevelingen die de prestaties kunnen verbeteren bij het toewijzen van uw beleid in Microsoft Intune.
Deze aanbevelingen zijn gericht op het verbeteren van de prestaties en het verminderen van latentie bij de toewijzing van workloads. Ze hebben de meeste impact wanneer ze in grote Intune omgevingen werken, zoals omgevingen met >100.000 apparaten. Deze aanbevelingen moeten worden overwogen met andere ontwerpaspecten, zoals beheerbaarheid, gebruiksgemak, op rollen gebaseerd beheer en eenvoud.
De ingebouwde virtuele groepen gebruiken
| DOEN | NIET DOEN |
|---|---|
Gebruik de virtuele groepen Alle gebruikers en Alle apparaten in plaats van uw eigen versie van alle gebruikers/alle apparaten te maken met behulp van Microsoft Entra dynamische groepen. |
Maak niet uw eigen dynamische groepen 'Alle gebruikers' of 'Alle apparaten' voor beleids- en app-targeting in Intune. |
Het duurt langer voordat grotere groepen lidmaatschapsupdates synchroniseren tussen Microsoft Entra ID en Intune. Alle gebruikers en Alle apparaten zijn meestal de grootste groepen die u hebt. Als u Intune workloads toewijst aan grote Microsoft Entra groepen met veel gebruikers of apparaten, kunnen synchronisatieachterstanden optreden in uw Intune-omgeving. Deze achterstand is van invloed op beleid en app-implementaties, die langer duren om beheerde apparaten te bereiken.
De update van Microsoft Entra naar Intune vindt doorgaans binnen vijf minuten plaats. Het is niet direct. Deze tijd kan van invloed zijn op inschrijvingstoewijzingen. Beheerders moeten apparaten na enkele minuten inschrijven, niet onmiddellijk nadat ze de geregistreerde gebruikers aan een groep hebben toegevoegd.
De ingebouwde groepen Alle gebruikers en Alle apparaten zijn Intune alleen groeperende objecten die niet bestaan in Microsoft Entra ID. Er is geen continue synchronisatie tussen Microsoft Entra ID en Intune. Het groepslidmaatschap is dus direct.
Opmerking
Ga naar Intune Beleidsvernieuwingsintervallen voor informatie over Intune vernieuwingsintervallen voor inchecken.
U kunt deze optimalisatie ook toepassen op andere grote en regelmatig veranderende groepen, zoals 'Alle Windows-apparaten' of 'alle iOS-apparaten'. In plaats van deze groepen te maken en te targeten, gebruikt u de bestaande virtuele groepen 'Alle gebruikers' of 'Alle apparaten', omdat Intune beleidsregels en toepassingen automatisch worden afgestemd op platform.
Wanneer u zeer grote groepen gebruikt in Intune (meer dan 100.000 leden), verwacht u enige vertraging bij het targeten. Er is een eerste keer dat het installatieproces plaatsvindt tussen Microsoft Entra ID en Intune. De eerste volledige synchronisatie duurt altijd langer dan volgende incrementele synchronisaties.
Groepen opnieuw gebruiken
| DOEN | NIET DOEN |
|---|---|
|
Gebruik dezelfde groepsobjecten opnieuw voor het toewijzen van meerdere beleidsregels. |
Maak geen dubbele kopieën van dezelfde groep om verschillende beleidsregels te gebruiken.
Maak geen toegewezen app-groepen of beleidsgroepen. |
Achter de schermen converteert Intune Microsoft Entra groepsleden naar toewijzingsberichten voor elke gebruiker en elk apparaat. Dit proces is sterk geoptimaliseerd wanneer de groepsobjecten hetzelfde zijn.
Intune groeperen en targeten werkt bijvoorbeeld het beste wanneer de gebruikersgroep 'Engineering' is gericht op 10 beleidsregels. Dit werkt niet optimaal wanneer de technische gebruikers lid zijn van 10 verschillende groepen, waarbij elke groep is toegewezen aan een ander beleid.
We hebben gezien dat een aantal ontwerpen deze richtlijnen niet gebruiken. IT-beheerders maken bijvoorbeeld een 'Install_Edge'-groep, maken een 'Deploy_Edge_Config_Policy'-groep en plaatsen vervolgens dezelfde apparaten in elke groep, wat niet wordt aanbevolen voor prestaties.
Een vergelijkbaar en niet aanbevolen patroon is het maken van 'App-groepen'. Een app-groep is wanneer voor elke app meerdere Microsoft Entra groepen zijn gemaakt. Als u bijvoorbeeld de Microsoft Edge-toepassing wilt beheren, maakt een beheerder de volgende groepen:
- Edge_Required
- Edge_Available
- Edge_Uninstall
De beheerder voegt afzonderlijke gebruikers of apparaten toe aan deze groepen. Deze app-groepen verhogen het aantal Microsoft Entra groepen waarop Intune zich moet abonneren en controleren op lidmaatschapsupdates aanzienlijk, wat minder efficiënt is. Inefficiënt ontwerp voor groepssynchronisatie is van invloed op hoe snel nieuwe toewijzingen worden gemaakt en geleverd aan apparaten.
Incrementele groepswijzigingen aanbrengen
| DOEN | NIET DOEN |
|---|---|
|
Wees voorzichtig met grote groeps genest wijzigingen in Microsoft Entra ID. |
Breng niet allemaal wijzigingen aan in het nesten van grote groepen. |
Een grote wijziging van groepslidmaatschap in Microsoft Entra ID kan bursts van doelwijzigingen in Intune genereren. Deze bursts kunnen het targeten van andere toewijzingen in uw omgeving vertragen.
Als een set beheerders uw groepen beheert en een andere set Microsoft Entra ID beheert, moet u de impact communiceren Microsoft Entra ID wijzigingen kunnen hebben op Intune targeting.
Als een Microsoft Entra beheerder bijvoorbeeld nieuwe grote groepen nest binnen een bestaande groep die Intune gebruikt voor targeting, begint Intune met het synchroniseren van alle groepen en groepslidmaatschappen. De tijd die nodig is om alle lidmaatschappen te verwerken, is afhankelijk van het aantal en de grootte van groepswijzigingen die zijn aangebracht in Microsoft Entra ID.
Deze aanbeveling is ook van toepassing wanneer groepen 'niet-toegewezen' zijn. Ga naar Microsoft Entra groepen en groepslidmaatschap beheren voor meer informatie over geneste groepen.
Toewijzingsfilters gebruiken om op te nemen en uit te sluiten
| DOEN | NIET DOEN |
|---|---|
|
Gebruik toewijzingsfilters om de juiste combinatie van gebruiker en apparaat te bereiken voor targeting. |
Gebruik geen gebruikersgroepen en apparaatgroepen wanneer u groepen opnemen en Uitsluiten gebruikt. |
Deze aanbeveling is ook een ondersteuningsverklaring. Het maken van toewijzingen voor gebruikersgroepen en het uitsluiten van een apparaatgroep van die toewijzing wordt niet aanbevolen of ondersteund, of omgekeerd.
Deze aanbeveling bestaat vanwege de timing/latentiekenmerken van dynamische groepen. Uitgesloten groepslidmaatschap is niet direct, wat kan leiden tot gevallen waarin apparaten ten onrechte app- of beleidstoewijzingen ontvangen. Ga voor meer informatie naar Beleid en profielen toewijzen - ondersteuningsmatrix.
In plaats van gemengde uitsluitingen wordt u aangeraden aan een gebruikersgroep toe te wijzen. Gebruik vervolgens toewijzingsfilters om de juiste apparaten dynamisch op te nemen of uit te sluiten.
Toewijzingsfilters gebruiken in plaats van dynamische groepen voor het targeten van apparaateigenschappen
| DOEN | NIET DOEN |
|---|---|
|
Gebruik filters voor eenvoudige apparaateigenschappen (besturingssysteemtype, fabrikant, model, eigendom, apparaatcategorie). |
Gebruik geen dynamische groepen voor eenvoudige apparaateigenschappen als de groep alleen wordt gebruikt door Intune. |
Dynamische apparaatgroepen die gebruikmaken van eenvoudige eigenschapsregels (zoals device.deviceOSType -eq "Windows" of device.deviceOwnership -eq "Company") introduceren extra verwerkingsstappen zonder voordeel wanneer de groep alleen wordt gebruikt door Intune. Toewijzingsfilters evalueren dezelfde eigenschappen bij het inchecken van het apparaat, rechtstreeks, zonder dat evaluatie van groepslidmaatschap vereist is.
In plaats van bijvoorbeeld een dynamische groep met de regel device.deviceOSType -eq "Windows" te maken en een beleid toe te wijzen aan die groep, kunt u het beleid toewijzen aan Alle apparaten en een filter toepassen met de regel operatingSystemSKU -eq "Windows". Het resultaat is hetzelfde, maar het filter wordt bij het inchecken geëvalueerd zonder afhankelijk van de verwerking van het groepslidmaatschap.
Overweeg dynamische apparaatgroepen te migreren naar toewijzingsfilters wanneer:
- De groep wordt alleen gebruikt voor Intune beleids- of app-toewijzingen (niet voor voorwaardelijke toegang, licenties of andere services).
- De groepsregel maakt gebruik van apparaateigenschappen die door toewijzingsfilters worden ondersteund, zoals versie van het besturingssysteem, fabrikant, model, eigendom of categorie.
- U wilt uw doelarchitectuur vereenvoudigen en de afhankelijkheden van de evaluatie van groepslidmaatschappen verminderen.
Opmerking
Dynamische groepen blijven nodig voor autopilot-profieltargeting, scenario's voor meerdere werkbelastingen (voorwaardelijke toegang, licentieverlening) en groepering op basis van gebruikers. Voor hulp bij dynamische groepen gaat u naar Eenvoudigere, efficiëntere regels maken voor dynamische groepen in Microsoft Entra ID.
Vermijden memberOf in dynamische groepsregels
| DOEN | NIET DOEN |
|---|---|
Gebruik directe eigenschapsvergelijkingen (-eq, -startsWith, -in) in dynamische groepsregels. |
Gebruik de memberOf operator niet in dynamische groepsregels voor Intune targeting. |
De memberOf operator activeert transitieve zoekopdrachten voor groepslidmaatschap, wat een aanzienlijke complexiteit van de verwerking toevoegt. In grote omgevingen kunnen regels op basis van lange evaluatietijden leiden en onverwachte lidmaatschapsresultaten memberOfopleveren vanwege de recursieve aard van de opzoekactie.
Als u apparaten wilt targeten op basis van hun lidmaatschap in een andere groep, evalueert u of het scenario opnieuw kan worden ontworpen met behulp van een directe apparaateigenschap of een toewijzingsfilter. Overweeg bijvoorbeeld in plaats van device.memberOf -any (group.objectId -in ['<groupId>'])of de apparaten een gemeenschappelijk kenmerk delen (zoals naam van inschrijvingsprofiel, apparaatcategorie of fabrikant) dat kan worden gebruikt in een eenvoudigere regel of filter.
Opmerking
Zie Regelefficiëntie optimaliseren voor meer informatie over het optimaliseren van regels voor dynamische groepen.
Samenvatting
Neem enkele van deze aanbevelingen op bij het maken en beheren van toewijzingen in Intune. Gebruik groepen of virtuele groepen en pas toewijzingsfilters toe om het doelbereik te verfijnen. Houd rekening met de aanbevolen procedures:
- Maak niet uw eigen versie van groepen 'Alle gebruikers' of 'Alle apparaten'. Gebruik de Intune virtuele groepen, omdat ze niet hoeven te worden gesynchroniseerd Microsoft Entra ID wanneer een nieuwe gebruiker of een nieuw apparaat aan de omgeving wordt toegevoegd.
- Als u uw doelen wilt optimaliseren, gebruikt u groepen zoveel mogelijk opnieuw.
- Pas op bij het aanbrengen van grote nestingswijzigingen in Intune groepen. Intune moet al deze wijzigingen verwerken en effectieve wijzigingen berekenen voor alle leden van alle groepen die door die wijziging worden beïnvloed.
- Intune biedt geen ondersteuning voor uitsluitingen van gemengde groepen. Gebruik daarom toewijzingsfilters om naast groeps- of virtuele groepstoewijzingen dynamisch apparaten op te nemen en uit te sluiten.
- Gebruik toewijzingsfilters in plaats van dynamische apparaatgroepen wanneer de groep alleen wordt gebruikt door Intune.
- Vermijd
memberOfin dynamische groepsregels. Gebruik in plaats hiervan directe eigenschapsvergelijkingen.
Voor hulp bij het kiezen tussen doelmethoden (virtuele groepen, statische groepen, dynamische groepen, toewijzingsfilters en groepering van inschrijvingstijd) gaat u naar Kies de juiste doelmethode in Microsoft Intune.