Delen via

Microsoft Entra hybride gekoppelde apparaten implementeren met behulp van Intune en Windows Autopilot

Belangrijk

Microsoft raadt aan om nieuwe apparaten te implementeren als cloudeigen met behulp van Microsoft Entra join. Het implementeren van nieuwe apparaten als Microsoft Entra hybride join-apparaten wordt afgeraden, ook niet via Autopilot. Zie Microsoft Entra gekoppeld versus Microsoft Entra hybride gekoppeld in cloudeigen eindpunten: welke optie is geschikt voor uw organisatie voor meer informatie.

Intune en Windows Autopilot kunnen worden gebruikt om Microsoft Entra hybride gekoppelde apparaten in te stellen. Volg hiervoor de stappen in dit artikel. Zie Inzicht in Microsoft Entra hybride join en co-beheer voor meer informatie over Microsoft Entra hybrid join.

Vereisten

Vereisten voor apparaatinschrijving

Het apparaat dat moet worden ingeschreven, moet aan deze vereisten voldoen:

  • Gebruik een momenteel ondersteunde versie van Windows.
  • U hebt toegang tot internet volgens de netwerkvereisten van Windows Autopilot.
  • Toegang hebben tot een Active Directory-domeincontroller.
  • Ping de domeincontroller van het domein dat wordt toegevoegd.
  • Als u proxy gebruikt, moet de optie WPAD-proxyinstellingen (Web Proxy Auto-Discovery Protocol) zijn ingeschakeld en geconfigureerd.
  • De out-of-box experience (OOBE) ondergaan.
  • Gebruik een autorisatietype dat Microsoft Entra ID ondersteunt in OOBE.

Hoewel niet vereist, maakt het configureren van Microsoft Entra hybrid join voor Active Directory Federated Services (ADFS) een snellere Windows Autopilot-Microsoft Entra registratieproces mogelijk tijdens implementaties. Federatieve klanten die het gebruik van wachtwoorden niet ondersteunen en AD FS gebruiken, moeten de stappen volgen in het artikel Active Directory Federation Services prompt=login parameter support om de verificatie-ervaring correct te configureren.

serververeisten voor Intune connector

  • De Intune Connector voor Active Directory moet zijn geïnstalleerd op een computer waarop Windows Server 2016 of hoger met .NET Framework versie 4.7.2 of hoger wordt uitgevoerd.

  • De server die als host fungeert voor de Intune Connector moet toegang hebben tot internet en Active Directory.

    Opmerking

    De Intune Connector-server vereist standaard domeinclienttoegang tot domeincontrollers, waaronder de RPC-poortvereisten die nodig zijn om te communiceren met Active Directory. Zie de volgende artikelen voor meer informatie:

  • Om de schaal en beschikbaarheid te vergroten, kunnen meerdere connectors in de omgeving worden geïnstalleerd. U wordt aangeraden de connector te installeren op een server waarop geen andere Intune connectors worden uitgevoerd. Elke connector moet computerobjecten kunnen maken in elk domein dat moet worden ondersteund.

Automatische MDM-inschrijving voor Windows instellen

  1. Meld u aan bij de Azure Portal en selecteer Microsoft Entra ID.

  2. Selecteer in het linkerdeelvenster De optie Mobiliteit beheren | (MDM en WIP)>Microsoft Intune.

  3. Zorg ervoor dat gebruikers die Microsoft Entra gekoppelde apparaten implementeren met behulp van Intune en Windows lid zijn van een groep die is opgenomen in het MDM-gebruikersbereik.

  4. Gebruik de standaardwaarden in de vakken URL voor MDM-gebruiksvoorwaarden, MDM-detectie-URL en MDM-nalevings-URLen selecteer opslaan.

De limiet voor het computeraccount in de organisatie-eenheid verhogen

De Intune Connector voor Active Directory maakt automatisch ingeschreven computers in het on-premises Active Directory domein. De computer waarop de Intune Connector wordt gehost, moet over de rechten beschikken om de computerobjecten binnen het domein te maken.

In sommige domeinen krijgen computers niet de rechten om computers te maken. Bovendien hebben domeinen een ingebouwde limiet (standaard 10) die van toepassing is op alle gebruikers en computers die geen gedelegeerde rechten hebben om computerobjecten te maken. De rechten moeten worden gedelegeerd aan computers die de Intune Connector hosten op de organisatie-eenheid waar Microsoft Entra hybride gekoppelde apparaten worden gemaakt.

De organisatie-eenheid met de rechten voor het maken van computers moet overeenkomen met:

  • De organisatie-eenheid die is ingevoerd in het profiel Domeindeelname.
  • Als er geen profiel is geselecteerd, wordt de domeinnaam van de computer voor het domein van de organisatie geselecteerd.

  1. Open Active Directory: gebruikers en computers (DSA.msc).

  2. Klik met de rechtermuisknop op de organisatie-eenheid die u wilt gebruiken om Microsoft Entra hybride gekoppelde computers > te maken.

    Schermopname van de opdracht Beheer delegeren.

  3. Selecteer In de wizard Overdracht van beheer de optie Volgende>Toevoegen>.Objecttypen

  4. Selecteer in het deelvenster Objecttypen de optie Computers>OK.

    Schermopname van het deelvenster Objecttypen.

  5. Voer in het deelvenster Gebruikers, computers of Groepen selecteren in het vak Geef de objectnamen op om te selecteren de naam in van de computer waarop de connector is geïnstalleerd.

    Schermopname van het deelvenster Gebruikers, computers of Groepen selecteren.

  6. Selecteer Namen controleren om de vermelding >OK>Volgende te valideren.

  7. Selecteer Een aangepaste taak maken voor het delegeren van>.Volgende

  8. Selecteer Alleen de volgende objecten in de map>Computerobjecten.

  9. Selecteer Geselecteerde objecten in deze map maken en Geselecteerde objecten in deze map verwijderen.

    Schermopname van het deelvenster Active Directory-objecttype.

  10. Selecteer Volgende.

  11. Schakel onder Machtigingen het selectievakje Volledig beheer in. Met deze actie worden alle andere opties geselecteerd.

    Schermopname van het deelvenster Machtigingen.

  12. Selecteer Volgende>Voltooien.

De Intune-connector installeren

Voordat u begint met de installatie, moet u ervoor zorgen dat aan alle vereisten voor Intune connectorserver wordt voldaan.

Installatiestappen

  1. Standaard is verbeterde beveiliging van Internet Explorer ingeschakeld in Windows Server. Verbeterde beveiligingsconfiguratie van Internet Explorer kan problemen veroorzaken bij het aanmelden bij de Intune Connector voor Active Directory. Omdat Internet Explorer is afgeschaft en in de meeste gevallen zelfs niet is geïnstalleerd op Windows Server, raadt Microsoft aan om verbeterde beveiliging van Internet Explorer uit te schakelen. Verbeterde beveiliging van Internet Explorer uitschakelen:

    1. Open Serverbeheer op de server waarop de Intune Connector wordt geïnstalleerd.

    2. Selecteer lokale server in het linkerdeelvenster van Serverbeheer.

    3. Selecteer in het rechterdeelvenster EIGENSCHAPPEN van Serverbeheer de koppeling Aan of Uit naast Verbeterde beveiliging van IE.

    4. Selecteer in het venster Verbeterde beveiliging van Internet Explorerde optie Uit onder Beheerders: en selecteer vervolgens OK.

  2. Meld u aan bij het Microsoft Intune-beheercentrum.

  3. Selecteer apparatenin het linkerdeelvenster in het startscherm.

  4. In apparaten | Overzichtsscherm onder Op platformselecteert u Windows.

  5. In Windows | Scherm Windows-apparaten selecteert u onder Onboarding van apparaatde optie Inschrijving.

  6. In Windows | Windows-inschrijvingsscherm, onder Windows Autopilot, selecteer Intune Connector voor Active Directory.

  7. Selecteer toevoegen in het scherm Intune Connector voor Active Directory.

  8. Volg de instructies om de connector te downloaden.

  9. Open het gedownloade installatiebestand van de connector ODJConnectorBootstrapper.exeom de connector te installeren.

  10. Aan het einde van de installatie selecteert u Nu configureren.

  11. Selecteer Aanmelden.

  12. Voer de referenties van een Intune beheerdersrol in. Aan het gebruikersaccount moet een Intune licentie zijn toegewezen.

Opmerking

De Intune beheerdersrol is een tijdelijke vereiste op het moment van installatie.

Na verificatie wordt de installatie van de Intune Connector voor Active Directory voltooid. Zodra de installatie is voltooid, controleert u of deze actief is in Intune door de volgende stappen uit te voeren:

  1. Meld u aan bij het Microsoft Intune-beheercentrum.

  2. Selecteer apparatenin het linkerdeelvenster in het startscherm.

  3. In apparaten | Overzichtsscherm onder Op platformselecteert u Windows.

  4. In Windows | Scherm Windows-apparaten selecteert u onder Onboarding van apparaatde optie Inschrijving.

  5. In Windows | Windows-inschrijvingsscherm, onder Windows Autopilot, selecteer Intune Connector voor Active Directory.

  6. Controleer of de verbindingsstatus in de kolom StatusActief is.

Opmerking

  • Nadat u zich hebt aangemeld bij de connector, kan het enkele minuten duren voordat deze wordt weergegeven in het Microsoft Intune-beheercentrum. Het wordt alleen weergegeven als deze kan communiceren met de Intune-service.

  • Inactieve Intune connectors worden nog steeds weergegeven op de pagina Intune connectors en worden na 30 dagen automatisch opgeschoond.

Nadat de Intune Connector voor Active Directory is geïnstalleerd, wordt de logboekregistratie gestart in de Logboeken onder het pad Toepassingen en Services-logboeken>Microsoft>Intune>ODJConnectorService. Onder dit pad vindt u Beheer- en operationele logboeken.

Opmerking

De Intune Connector is oorspronkelijk geregistreerd in de Logboeken rechtstreeks onder Logboeken toepassingen en services in een logboek met de naam ODJ Connector Service. Logboekregistratie voor de Intune Connector is sindsdien echter verplaatst naar het pad Toepassingen en Services-logboeken>microsoft>Intune>ODJConnectorService. Als het logboek van de ODJ Connector-service op de oorspronkelijke locatie leeg is of niet wordt bijgewerkt, controleert u in plaats daarvan de locatie van het nieuwe pad.

Instellingen voor webproxy configureren

Als er een webproxy in de netwerkomgeving aanwezig is, controleert u of de Intune Connector voor Active Directory correct werkt door te verwijzen naar Werken met bestaande on-premises proxyservers.

Een apparaatgroep maken

  1. Selecteer in het Microsoft Intune-beheercentrumGroepen>Nieuwe groep.

  2. Selecteer in het deelvenster Groep de volgende opties:

    1. Bij Groepstype selecteert u Beveiliging.

    2. Voer een groepsnaam en groepsbeschrijving in.

    3. Selecteer een lidmaatschapstype.

  3. Als Dynamische apparaten is geselecteerd voor het lidmaatschapstype, selecteert u in het deelvenster Groepde optie Leden van dynamische apparaten.

  4. Selecteer Bewerken in het vak Regelsyntaxis en voer een van de volgende coderegels in:

    • Als u een groep wilt maken die alle Autopilot-apparaten bevat, voert u het volgende in:

      (device.devicePhysicalIDs -any _ -startsWith "[ZTDId]")

    • Het veld Groepstag van Intune wordt toegewezen aan het kenmerk OrderID op Microsoft Entra apparaten. Als u een groep wilt maken die alle Autopilot-apparaten met een specifieke Groepstag (OrderID) bevat, voert u het volgende in:

      (device.devicePhysicalIds -any _ -eq "[OrderID]:179887111881")

    • Als u een groep wilt maken die alle Autopilot-apparaten met een specifieke inkooporder-id bevat, voert u het volgende in:

      (device.devicePhysicalIds -any _ -eq "[PurchaseOrderId]:76222342342")

  5. Selecteer Opslaan>Maken.

Autopilot-apparaten registreren

Selecteer een van de volgende manieren om Autopilot-apparaten in te schrijven.

Autopilot-apparaten registreren die al zijn ingeschreven

  1. Maak een Autopilot-implementatieprofiel met de instelling Alle doelapparaten converteren naar Autopilot ingesteld op Ja.

  2. Wijs het profiel toe aan een groep die de leden bevat die automatisch moeten worden geregistreerd bij Autopilot.

Zie Een Autopilot-implementatieprofiel maken voor meer informatie.

Autopilot-apparaten registreren die niet zijn ingeschreven

Apparaten die nog niet zijn ingeschreven bij Windows Autopilot, kunnen handmatig worden geregistreerd. Zie Handmatige registratie voor meer informatie.

Apparaten van een OEM registreren

Als u nieuwe apparaten koopt, kunnen sommige OEM's de apparaten namens de organisatie registreren. Zie OEM-registratie voor meer informatie.

Geregistreerd Autopilot-apparaat weergeven

Voordat apparaten worden ingeschreven bij Intune, worden geregistreerde Windows Autopilot-apparaten op drie plaatsen weergegeven (met namen die zijn ingesteld op hun serienummers):

  • Het deelvenster Windows Autopilot-apparaten in het Microsoft Intune-beheercentrum. Apparaten> perplatform selecteren | Onboarding van Windows-apparaten>| Inschrijving. Selecteer onder Windows Autopilotde optie Apparaten.
  • De apparaten | Het deelvenster Alle apparaten in de Azure Portal. Selecteer Apparaten>Alle apparaten.
  • Het deelvenster Autopilot in Microsoft 365-beheercentrum. Selecteer Apparaten>Autopilot.

Nadat de Windows Autopilot-apparaten zijn ingeschreven, worden de apparaten op vier plaatsen weergegeven:

Opmerking

Nadat de apparaten zijn ingeschreven, worden de apparaten nog steeds weergegeven in het deelvenster Windows Autopilot-apparaten in het Microsoft Intune-beheercentrum en in het autopilot-deelvenster in Microsoft 365-beheercentrum, maar deze objecten zijn de geregistreerde Windows Autopilot-objecten.

Een apparaatobject wordt vooraf gemaakt in Microsoft Entra ID zodra een apparaat is geregistreerd in Autopilot. Wanneer een apparaat een hybride Microsoft Entra-implementatie doorloopt, wordt er standaard een ander apparaatobject gemaakt, wat resulteert in dubbele vermeldingen.

VPN's

De volgende VPN-clients worden getest en gevalideerd:

  • In-box Windows VPN-client
  • Cisco AnyConnect (Win32-client)
  • Pulse Secure (Win32-client)
  • GlobalProtect (Win32-client)
  • Controlepunt (Win32-client)
  • Citrix NetScaler (Win32-client)
  • SonicWall (Win32-client)
  • FortiClient VPN (Win32-client)

Wanneer u VPN's gebruikt, selecteert u Ja voor de optie AD-connectiviteitscontrole overslaan in het Windows Autopilot-implementatieprofiel. Always-On VPN's moeten deze optie niet vereisen, omdat deze automatisch verbinding maakt.

Opmerking

Deze lijst met VPN-clients is geen uitgebreide lijst met alle VPN-clients die met Windows Autopilot werken. Neem contact op met de betreffende VPN-leverancier over compatibiliteit en ondersteuning met Windows Autopilot of over eventuele problemen met het gebruik van een VPN-oplossing met Windows Autopilot.

Niet-ondersteunde VPN-clients

Het is bekend dat de volgende VPN-oplossingen niet werken met Windows Autopilot en daarom niet worden ondersteund voor gebruik met Windows Autopilot:

  • VPN-invoegtoepassingen op basis van UWP
  • Alles waarvoor een gebruikerscertificaat is vereist
  • DirectAccess

Opmerking

Het weglaten van een specifieke VPN-client in deze lijst betekent niet automatisch dat deze wordt ondersteund of dat deze werkt met Windows Autopilot. Deze lijst bevat alleen de VPN-clients die niet werken met Windows Autopilot.

Een Autopilot-implementatieprofiel maken en toewijzen

Autopilot-implementatieprofielen worden gebruikt om de Autopilot-apparaten te configureren.

  1. Meld u aan bij het Microsoft Intune-beheercentrum.

  2. Selecteer apparatenin het linkerdeelvenster in het startscherm.

  3. In apparaten | Overzichtsscherm onder Op platformselecteert u Windows.

  4. In Windows | Scherm Windows-apparaten selecteert u onder Onboarding van apparaatde optie Inschrijving.

  5. In Windows | Windows-inschrijvingsscherm selecteert onder Windows Autopilotde optie Implementatieprofielen.

  6. Selecteer in het scherm Windows Autopilot-implementatieprofielen de vervolgkeuzelijst Profiel maken en selecteer vervolgens Windows-pc.

  7. Voer in het scherm Profiel maken op de pagina Basis een naam en optioneel een beschrijving in.

  8. Als alle apparaten in de toegewezen groepen automatisch moeten worden geregistreerd bij Windows Autopilot, stelt u Alle doelapparaten converteren op Autopilot in op Ja. Alle niet-Autopilot-apparaten in bedrijfseigendom in toegewezen groepen worden geregistreerd bij de Autopilot-implementatieservice. Apparaten in persoonlijk eigendom zijn niet geregistreerd bij Autopilot. Het kan 48 uur duren voordat de registratie is verwerkt. Wanneer het apparaat is uitgeschreven en opnieuw wordt ingesteld, wordt het opnieuw geregistreerd door Autopilot. Nadat een apparaat op deze manier is geregistreerd, wordt het apparaat niet verwijderd uit de Autopilot-implementatieservice als u deze instelling uitschakelt of de profieltoewijzing verwijdert. In plaats hiervan moeten de apparaten rechtstreeks worden verwijderd. Zie Autopilot-apparaten verwijderen voor meer informatie.

  9. Selecteer Volgende.

  10. Selecteer op de pagina Out-of-box experience (OOBE) voor Implementatiemodusde optie Door gebruiker gestuurd.

  11. Selecteer in het vak Deelnemen aan Microsoft Entra ID alsMicrosoft Entra hybride gekoppeld.

  12. Als u apparaten buiten het netwerk van de organisatie implementeert met behulp van VPN-ondersteuning, stelt u de optie Domeinverbindingscontrole overslaan in op Ja. Zie Gebruikersgestuurde modus voor Microsoft Entra hybrid join met VPN-ondersteuning voor meer informatie.

  13. Configureer de resterende opties op de pagina Out-of-box experience (OOBE) indien nodig.

  14. Selecteer Volgende.

  15. Selecteer op de pagina Bereiktagsde optie bereiktags voor dit profiel.

  16. Selecteer Volgende.

  17. Selecteer op de pagina Toewijzingende optie Groepen selecteren die u wilt opnemen> en selecteer de apparaatgroep >Selecteren.

  18. Selecteer Volgende>maken.

Opmerking

Intune controleert periodiek op nieuwe apparaten in de toegewezen groepen en begint vervolgens met het toewijzen van profielen aan deze apparaten. Vanwege verschillende factoren die betrokken zijn bij het proces van autopilot-profieltoewijzing, kan de geschatte tijd voor de toewijzing per scenario verschillen. Deze factoren kunnen bestaan uit Microsoft Entra groepen, lidmaatschapsregels, hash van een apparaat, Intune- en Autopilot-service en internetverbinding. De toewijzingstijd varieert afhankelijk van alle factoren en variabelen die betrokken zijn bij een specifiek scenario.

(Optioneel) De pagina status van de inschrijving inschakelen

  1. Meld u aan bij het Microsoft Intune-beheercentrum.

  2. Selecteer apparatenin het linkerdeelvenster in het startscherm.

  3. In apparaten | Overzichtsscherm onder Op platformselecteert u Windows.

  4. In Windows | Scherm Windows-apparaten selecteert u onder Onboarding van apparaatde optie Inschrijving.

  5. In Windows | Windows-inschrijvingsscherm selecteert onder Windows Autopilotde optie Statuspagina van de inschrijving.

  6. Selecteer in het deelvenster Pagina Status van inschrijvingde optie Standaardinstellingen>.

  7. Selecteer Ja in het vak Voortgang van de installatie van apps en profielen weergeven.

  8. Configureer de andere opties indien nodig.

  9. Klik op Opslaan.

Een domeindeelnameprofiel maken en toewijzen

  1. Selecteer in het Microsoft Intune-beheercentrumapparaten>Apparaten beheren | Met configuratiebeleid>>maakt u>nieuw beleid.

  2. Voer in het venster Een profiel maken dat wordt geopend de volgende eigenschappen in:

    • Naam: voer een beschrijvende naam in voor het nieuwe profiel.
    • Beschrijving: voer een beschrijving in voor het profiel.
    • Platform: selecteer Windows 10 en hoger.
    • Profieltype: selecteer Sjablonen, selecteer de sjabloonnaam Domeindeelname en selecteer Maken.

  3. Voer de naam en beschrijving in en selecteer Volgende.

  4. Geef een computernaamvoorvoegsel en domeinnaam op.

  5. (Optioneel) Geef een organisatie-eenheid (OE) op in DN-indeling. De opties zijn onder andere:

    • Geef een OE op waarin het beheer wordt gedelegeerd aan het Windows-apparaat waarop de Intune Connector wordt uitgevoerd.
    • Geef een organisatie-eenheid op waarin het beheer wordt gedelegeerd aan de hoofdcomputers in de on-premises Active Directory van de organisatie.
    • Als dit veld leeg is, wordt het computerobject gemaakt in de standaardcontainer van Active Directory. De standaardcontainer is normaal gesproken de CN=Computers container. Zie Containers voor gebruikers en computers omleiden in Active Directory-domeinen voor meer informatie.

    Geldige voorbeelden:

    • OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com
    • OU=Mine,DC=contoso,DC=com

    Ongeldige voorbeelden:

    • CN=Computers,DC=contoso,DC=com - er kan geen container worden opgegeven. Laat in plaats daarvan de waarde leeg om de standaardwaarde voor het domein te gebruiken.
    • OU=Mine - het domein moet worden opgegeven via de DC= kenmerken.

    Zorg ervoor dat u geen aanhalingstekens gebruikt rond de waarde in organisatie-eenheid.

  6. Selecteer OK>Maken. Het profiel wordt gemaakt en weergegeven in de lijst.

  7. Wijs een apparaatprofiel toe aan dezelfde groep die wordt gebruikt in de stap Een apparaatgroep maken. Verschillende groepen kunnen worden gebruikt als apparaten moeten worden gekoppeld aan verschillende domeinen of organisatie-eenheden.

Opmerking

De naamgevingsmogelijkheid voor Windows Autopilot voor Microsoft Entra hybrid join biedt geen ondersteuning voor variabelen zoals %SERIAL%. Het ondersteunt alleen voorvoegsels voor de computernaam.

De ODJ-connector verwijderen

De ODJ-connector wordt lokaal geïnstalleerd op een computer via een uitvoerbaar bestand. Als de ODJ-connector van een computer moet worden verwijderd, moet deze ook lokaal op de computer worden uitgevoerd. De ODJ-connector kan niet worden verwijderd via de Intune-portal of via een graph API-aanroep.

Voer de volgende stappen uit om de ODJ-connector van de computer te verwijderen:

  1. Meld u aan bij de computer die als host fungeert voor de ODJ-connector.
  2. Klik met de rechtermuisknop op het startmenu en selecteer Instellingen.
  3. Selecteer Apps in het venster Windows-instellingen.
  4. Zoek en selecteer onder Apps &-functiesIntune Connector voor Active Directory.
  5. Selecteer onder Intune Connector voor Active Directory de knop Verwijderen en selecteer vervolgens opnieuw de knop Verwijderen.
  6. De ODJ-connector wordt verwijderd.

Volgende stappen

Nadat Windows Autopilot is geconfigureerd, leert u hoe u deze apparaten beheert. Zie Wat is Microsoft Intune apparaatbeheer? voor meer informatie.

Verwante onderwerpen