Netwerkeindpunten voor Microsoft Intune

Dit artikel bevat IP-adressen en poortinstellingen die nodig zijn voor proxy-instellingen in uw Microsoft Intune-implementaties.

Als cloudservice heeft Intune geen on-premises infrastructuur nodig, zoals servers of gateways.

Toegang voor beheerde apparaten

Als u apparaten achter firewalls en proxyservers wilt beheren, moet u communicatie inschakelen voor Intune.

Opmerking

De informatie in deze sectie is ook van toepassing op de Microsoft Intune Certificate Connector. De connector heeft dezelfde netwerkvereisten als beheerde apparaten.

  • De eindpunten in dit artikel staan toegang toe tot de poorten die in de volgende tabellen worden geïdentificeerd.

  • Voor sommige taken vereist Intune niet-geverifieerde proxyservertoegang tot manage.microsoft.com, *.azureedge.net en graph.microsoft.com.

    Opmerking

    SSL-verkeersinspectie wordt niet ondersteund voor 'manage.microsoft.com', 'dm.microsoft.com' of de DHA-eindpunten (Device Health Attestation) die worden vermeld in de nalevingssectie.

U kunt proxyserverinstellingen op afzonderlijke clientcomputers wijzigen. U kunt ook groepsbeleid-instellingen gebruiken om instellingen te wijzigen voor alle clientcomputers die zich achter een opgegeven proxyserver bevinden.

Voor beheerde apparaten zijn configuraties vereist waarmee Alle gebruikers toegang hebben tot services via firewalls.

PowerShell-script

Om het eenvoudiger te maken om services te configureren via firewalls, hebben we onboarding uitgevoerd met de Office 365 Endpoint-service. Op dit moment is de Intune-eindpuntgegevens toegankelijk via een PowerShell-script. Er zijn andere afhankelijke services voor Intune, die al worden gedekt als onderdeel van de Microsoft 365-service en zijn gemarkeerd als 'vereist'. Services die al worden gedekt door Microsoft 365, zijn niet opgenomen in het script om duplicatie te voorkomen.

Met behulp van het volgende PowerShell-script kunt u de lijst met IP-adressen voor de Intune-service ophalen.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.ips} | select -unique -ExpandProperty ips

Met behulp van het volgende PowerShell-script kunt u de lijst met FQDN's ophalen die worden gebruikt door Intune en afhankelijke services. Wanneer u het script uitvoert, kunnen de URL's in de scriptuitvoer afwijken van de URL's in de volgende tabellen. Zorg er minimaal voor dat u de URL's in de tabellen opneemt.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.urls} | select -unique -ExpandProperty urls

Het script biedt een handige methode om alle services die nodig zijn voor Intune en Autopilot op één locatie weer te geven en te controleren. Aanvullende eigenschappen kunnen worden geretourneerd vanuit de eindpuntservice, zoals de categorieeigenschap, die aangeeft of de FQDN of IP moet worden geconfigureerd als Toestaan, Optimaliseren of Standaard.

Eindpunten

U hebt ook FQDN's nodig die worden gedekt als onderdeel van microsoft 365-vereisten. Ter referentie tonen de volgende tabellen de service waaraan ze zijn gekoppeld en de lijst met geretourneerde URL's.

De gegevenskolommen die in de tabellen worden weergegeven, zijn:

  • ID: Het ID-nummer van de rij, ook wel een eindpuntenset genoemd. Deze ID is hetzelfde als die door de webservice wordt geretourneerd voor de eindpuntenset.

  • Categorie: Toon of de eindpuntenset wordt gecategoriseerd als Optimaliseren, Toestaan of Standaard. In deze kolom wordt ook aangegeven welke eindpuntensets vereist zijn voor netwerkverbinding. Voor eindpuntensets die geen netwerkverbinding hoeven te hebben, geven we in dit veld notities om aan te geven welke functionaliteit ontbreekt als de eindpuntenset wordt geblokkeerd. Als u een volledig servicegebied uitsluit, vereisen de eindpuntensets die als verplicht worden weergegeven geen verbinding.

    Meer informatie over deze categorieën en richtlijnen voor het beheer ervan vindt u in Nieuwe Microsoft 365-eindpuntcategorieën.

  • ER: Dit is Ja/Waar als de eindpuntenset wordt ondersteund via Azure ExpressRoute met Microsoft 365-routevoorvoegsels. De BGP-community met de weergegeven routeprefixen komt overeen met het weergegeven servicegebied. Als ER Nee/Onwaar is, wordt ExpressRoute niet ondersteund voor deze eindpuntset.

  • Adressen: Hier worden de FQDN‘s of wildcard-domeinnamen en IP-adresbereiken voor de eindpuntenset weergegeven. Een IP-adresbereik heeft de CIDR-indeling en bevat mogelijk veel afzonderlijke IP-adressen in het opgegeven netwerk.

  • Poorten: Geeft de TCP- of UDP-poorten weer die worden gecombineerd met de opgegeven IP-adressen om het netwerkeindpunt te vormen. Het is mogelijk dat er een aantal dubbele waarden worden weergegeven in de IP-adresbereiken waar verschillende poorten worden genoemd.

Intune kernservice

ID Desc Categorie ER Adressen Poorten
163 Endpoint Manager-client en hostservice Toestaan
Vereist
False *.manage.microsoft.com
manage.microsoft.com
EnterpriseEnrollment.manage.microsoft.com
104.46.162.96/27, 13.67.13.176/28, 13.67.15.128/27, 13.69.231.128/28, 13.69.67.224/28, 13.70.78.128/28, 13.70.79.128/27, 13.71.199.64/28, 13.73.244.48/28, 13.74.111.192/27, 13.77.53.176/28, 13.86.221.176/28,13.89.174.240/28, 13.89.175.192/28, 20.189.229.0/25, 20.191.167.0/25, 20.37.153.0/24, 20.37.192.128/25, 20.38.81.0/24, 20.41.1.0/24, 20.42.1.0/24, 20.42.130.0/24, 20.42.224.128/25, 20.43.129.0/24, 20.44.19.224/27, 20.49.93.160/27, 40.119.8.128/25, 40.67.121.224/27, 40.70.151.32/28, 40.71.14.96/28, 40.74.25.0/24, 40.78.245.240/28, 40.78.247.128/27, 40.79.197.64/27, 40.79.197.96/28, 40.80.180.208/28, 40.80.180.224/27, 40.80.184.128/25, 40.82.248.224/28, 40.82.249.128/25, 52.150.137.0/25, 52.162.111.96/28, 52.168.116.128/27, 52.182.141.192/27, 52.236.189.96/27, 52.240.244.160/27, 20.204.193.12/30, 20.204.193.10/31, 20.192.174.216/29, 20.192.159.40/29
TCP: 80, 443
172 MDM Delivery Optimization Standaard
Vereist
False *.do.dsp.mp.microsoft.com
*.dl.delivery.mp.microsoft.com
*.emdl.ws.microsoft.com
kv801.prod.do.dsp.mp.microsoft.com
geo.prod.do.dsp.mp.microsoft.com
emdl.ws.microsoft.com
2.dl.delivery.mp.microsoft.com
bg.v4.emdl.ws.microsoft.com
TCP: 80, 443
170 MEM - PS en Win32Apps Standaard
Vereist
False swda01-mscdn.azureedge.net
swda02-mscdn.azureedge.net
swdb01-mscdn.azureedge.net
swdb02-mscdn.azureedge.net
swdc01-mscdn.azureedge.net
swdc02-mscdn.azureedge.net
swdd01-mscdn.azureedge.net
swdd02-mscdn.azureedge.net
swdin01-mscdn.azureedge.net
swdin02-mscdn.azureedge.net
TCP: 443
97 Consumenten Outlook.com en OneDrive Standaard
False account.live.com
login.live.com
TCP: 443

Autopilot-afhankelijkheden

ID Desc Categorie ER Adressen Poorten
164 Autopilot - Windows Update Standaard
Vereist
False *.download.windowsupdate.com
*.windowsupdate.com
*.dl.delivery.mp.microsoft.com
*.prod.do.dsp.mp.microsoft.com
emdl.ws.microsoft.com
*.delivery.mp.microsoft.com
*.update.microsoft.com
tsfe.trafficshaping.dsp.mp.microsoft.com
au.download.windowsupdate.com
2.dl.delivery.mp.microsoft.com
download.windowsupdate.com
dl.delivery.mp.microsoft.com
geo.prod.do.dsp.mp.microsoft.com
catalog.update.microsoft.com
TCP: 443
165 Autopilot - NTP Sync Standaard
Vereist
False time.windows.com
www.msftncsi.com
www.msftconnecttest.com
UDP: 123
169 Autopilot - WNS-afhankelijkheden Standaard
Vereist
False clientconfig.passport.net
windowsphone.com
*.s-microsoft.com
www.msftncsi.com
c.s-microsoft.com
TCP: 443
173 Autopilot - implementatieafhankelijkheden van derden Standaard
Vereist
False ekop.intel.com
ekcert.spserv.microsoft.com
ftpm.amd.com
TCP: 443
182 Autopilot - Diagnostische gegevens uploaden Standaard
Vereist
False lgmsapeweu.blob.core.windows.net
TCP: 443

Externe hulp

ID Desc Categorie ER Adressen Poorten Opmerkingen
181 MEM - Externe hulp-functie Standaard
Vereist
False *.support.services.microsoft.com
remoteassistance.support.services.microsoft.com
rdprelayv3eastusprod-0.support.services.microsoft.com
*.trouter.skype.com
remoteassistanceprodacs.communication.azure.com
edge.skype.com
aadcdn.msftauth.net
aadcdn.msauth.net
alcdn.msauth.net
wcpstatic.microsoft.com
*.aria.microsoft.com
browser.pipe.aria.microsoft.com
*.events.data.microsoft.com
v10.events.data.microsoft.com
*.monitor.azure.com
js.monitor.azure.com
edge.microsoft.com
*.trouter.communication.microsoft.com
go.trouter.communication.microsoft.com
*.trouter.teams.microsoft.com
trouter2-usce-1-a.trouter.teams.microsoft.com
api.flightproxy.skype.com
ecs.communication.microsoft.com
remotehelp.microsoft.com
trouter-azsc-usea-0-a.trouter.skype.com
TCP: 443
187 Afhankelijkheid - Externe hulp web pubsub Standaard
Vereist
False *.webpubsub.azure.com
AMSUA0101-RemoteAssistService-pubsub.webpubsub.azure.com
TCP: 443
188 Externe hulp-afhankelijkheid voor GCC-klanten Standaard
Vereist
False remoteassistanceweb-gcc.usgov.communication.azure.us
gcc.remotehelp.microsoft.com
gcc.relay.remotehelp.microsoft.com
*.gov.teams.microsoft.us
TCP: 443

afhankelijkheden Intune

In deze sectie bevatten de volgende tabellen de Intune afhankelijkheden en de poorten en services waartoe de Intune-client toegang heeft.

WNS-afhankelijkheden (Windows Push Notification Services)

ID Desc Categorie ER Adressen Poorten
171 MEM - WNS-afhankelijkheden Standaard
Vereist
False *.notify.windows.com
*.wns.windows.com
sinwns1011421.wns.windows.com
sin.notify.windows.com
TCP: 443

Voor Intune beheerde Windows-apparaten die worden beheerd met mobile Apparaatbeheer (MDM), is het gebruik van Windows Push Notification Services (WNS) vereist voor apparaatacties en andere onmiddellijke activiteiten. Zie Windows Notification-verkeer via bedrijfsfirewalls toestaan voor meer informatie.

Delivery Optimization-afhankelijkheden

ID Desc Categorie ER Adressen Poorten
172 MDM - Delivery Optimization-afhankelijkheden Standaard
Vereist
False *.do.dsp.mp.microsoft.com
*.dl.delivery.mp.microsoft.com
*.emdl.ws.microsoft.com
kv801.prod.do.dsp.mp.microsoft.com
geo.prod.do.dsp.mp.microsoft.com
emdl.ws.microsoft.com
2.dl.delivery.mp.microsoft.com
bg.v4.emdl.ws.microsoft.com
TCP: 80, 443

Poortvereisten : voor peer-to-peerverkeer gebruikt Delivery Optimization 7680 voor TCP/IP of 3544 voor NAT-traversal (optioneel Teredo). Voor client-servicecommunicatie gebruikt deze HTTP of HTTPS via poort 80/443.

Proxyvereisten : als u Delivery Optimization wilt gebruiken, moet u bytebereikaanvragen toestaan. Zie Proxyvereisten voor Windows Update voor meer informatie.

Firewallvereisten : sta de volgende hostnamen via uw firewall toe om Delivery Optimization te ondersteunen. Voor communicatie tussen clients en de Delivery Optimization-cloudservice:

  • *.do.dsp.mp.microsoft.com

Voor metagegevens van Delivery Optimization:

  • *.dl.delivery.mp.microsoft.com
  • *.emdl.ws.microsoft.com

Apple-afhankelijkheden

ID Desc Categorie ER Adressen Poorten
178 MEM - Apple-afhankelijkheden Standaard
Vereist
False itunes.apple.com
*.itunes.apple.com
*.mzstatic.com
*.phobos.apple.com
phobos.itunes-apple.com.akadns.net
5-courier.push.apple.com
phobos.apple.com
ocsp.apple.com
ax.itunes.apple.com
ax.itunes.apple.com.edgesuite.net
s.mzstatic.com
a1165.phobos.apple.com
TCP: 80, 443, 5223

Zie de volgende hulpmiddelen voor meer informatie:

Android AOSP-afhankelijkheden

ID Desc Categorie ER Adressen Poorten
179 MEM - Android AOSP-afhankelijkheid Standaard
Vereist
False intunecdnpeasd.azureedge.net
TCP: 443

Opmerking

Omdat Google Mobile Services niet beschikbaar is in China, kunnen apparaten in China die worden beheerd door Intune geen functies gebruiken waarvoor Google Mobile Services is vereist. Deze functies omvatten: Google Play Protect-mogelijkheden, zoals SafetyNet-apparaatattest, Apps beheren vanuit de Google Play Store, Android Enterprise-mogelijkheden (zie deze Google-documentatie). Daarnaast maakt de Intune-bedrijfsportal-app voor Android gebruik van Google Mobile Services om te communiceren met de Microsoft Intune-service. Omdat Google Play-services niet beschikbaar zijn in China, kunnen sommige taken maximaal 8 uur duren om te voltooien. Zie Beperkingen van Intune beheer wanneer GMS niet beschikbaar is voor meer informatie.

Android-poortinformatie : afhankelijk van hoe u Android-apparaten wilt beheren, moet u mogelijk de Google Android Enterprise-poorten en/of de Android-pushmelding openen. Zie de documentatie voor Android-inschrijving voor meer informatie over ondersteunde Android-beheermethoden.

Android Enterprise-afhankelijkheden

Google Android Enterprise : Google biedt documentatie over vereiste netwerkpoorten en hostnamen in hun Android Enterprise Bluebook, onder de sectie Firewall van dat document.

Android-pushmelding: Intune maakt gebruik van Google Firebase Cloud Messaging (FCM) voor pushmeldingen om apparaatacties en check-ins te activeren. Dit is vereist door zowel Android-apparaatbeheerder als Android Enterprise. Zie FCM-poorten van Google en uw firewall voor meer informatie over FCM-netwerkvereisten.

Verificatieafhankelijkheden

ID Desc Categorie ER Adressen Poorten
56 Verificatie en identiteit omvat Azure Active Directory en Azure AD gerelateerde services. Toestaan
Vereist
Waar login.microsoftonline.com
graph.windows.net
TCP: 80, 443
150 Office Customization Service biedt Office 365 ProPlus implementatieconfiguratie, toepassingsinstellingen en beleidsbeheer in de cloud. Standaard False *.officeconfig.msocdn.com
config.office.com
TCP: 443
59 Identiteits ondersteunende services & CDN's. Standaard
Vereist
False enterpriseregistration.windows.net
TCP: 80, 443

Ga voor meer informatie naar Office 365 URL's en IP-adresbereiken.

Netwerkvereisten voor PowerShell-scripts en Win32-apps

Als u Intune gebruikt om PowerShell-scripts of Win32-apps te implementeren, moet u ook toegang verlenen tot eindpunten waarin uw tenant zich momenteel bevindt.

Als u uw tenantlocatie (of Azure Scale Unit (ASU) wilt vinden, meldt u zich aan bij het Microsoft Intune-beheercentrum en kiest u Tenantbeheer>Tenantdetails. De locatie bevindt zich onder Tenantlocatie als Noord-Amerika 0501 of Europa 0202. Zoek het overeenkomende getal in de volgende tabel. In deze rij wordt aangegeven aan welke opslagnaam en CDN-eindpunten u toegang moet verlenen. De rijen worden onderscheiden per geografische regio, zoals wordt aangegeven door de eerste twee letters in de namen (na = Noord-Amerika, eu = Europa, ap = Azië en Stille Oceaan). Uw tenantlocatie is een van deze drie regio's, hoewel de werkelijke geografische locatie van uw organisatie zich ergens anders kan bevinden.

Opmerking

Gedeeltelijke HTTP-reactie toestaan is vereist voor scripts & Win32-apps-eindpunten.

Azure Scale Unit (ASU) Opslagnaam CDN Poort
AMSUA0601
AMSUA0602
AMSUA0101
AMSUA0102
AMSUA0201
AMSUA0202
AMSUA0401
AMSUA0402
AMSUA0501
AMSUA0502
AMSUA0601
AMSUA0701
AMSUA0702
AMSUA0801
AMSUA0901
naprodimedatapri
naprodimedatasec
naprodimedatahotfix
naprodimedatapri.azureedge.net
naprodimedatasec.azureedge.net
naprodimedatahotfix.azureedge.net
TCP: 443
AMSUB0101
AMSUB0102
AMSUB0201
AMSUB0202
AMSUB0301
AMSUB0302
AMSUB0501
AMSUB0502
AMSUB0601
AMSUB0701
euprodimedatapri
euprodimedatasec
euprodimedatahotfix
euprodimedatapri.azureedge.net
euprodimedatasec.azureedge.net
euprodimedatahotfix.azureedge.net
TCP: 443
AMSUC0101
AMSUC0201
AMSUC0301
AMSUC0501
AMSUC0601
AMSUD0101
approdimedatapri
approdimedatasec
approdimedatahotifx
approdimedatapri.azureedge.net
approdimedatasec.azureedge.net
approdimedatahotfix.azureedge.net
TCP: 443

Microsoft Store

Beheerde Windows-apparaten die gebruikmaken van de Microsoft Store, voor het verkrijgen, installeren of bijwerken van apps, hebben toegang nodig tot deze eindpunten.

Microsoft Store-API (AppInstallManager):

  • displaycatalog.md.mp.microsoft.com
  • purchase.md.mp.microsoft.com
  • licensing.mp.microsoft.com
  • storeedgefd.dsx.mp.microsoft.com

Windows Update agent:

Zie de volgende resources voor meer informatie:

Win32-inhoud downloaden:

Downloadlocaties en eindpunten van Win32-inhoud zijn uniek per toepassing en worden geleverd door de externe uitgever. U kunt de locatie voor elke Win32 Store-app vinden met behulp van de volgende opdracht op een testsysteem (u kunt de [PackageId] voor een Store-app verkrijgen door te verwijzen naar de eigenschap Pakket-id van de app nadat u deze hebt toegevoegd aan Microsoft Intune):

winget show [PackageId]

De eigenschap Installatie-URL geeft de externe downloadlocatie of de op regio gebaseerde (door Microsoft gehoste) terugvalcache weer op basis van het feit of de cache in gebruik is. Houd er rekening mee dat de locatie voor het downloaden van inhoud kan veranderen tussen de cache en de externe locatie.

Door Microsoft gehoste win32-app-terugvalcache:

  • Verschilt per regio, bijvoorbeeld: sparkcdneus2.azureedge.net, sparkcdnwus2.azureedge.net

Delivery Optimization (optioneel, vereist voor peering):

Zie de volgende resource voor meer informatie:

Nalevingsbeleid voor apparaatstatusverklaring migreren naar Microsoft Azure Attestation

Als een klant een van de instellingen voor Windows 10/11 Nalevingsbeleid - Apparaatstatus inschakelt, gaan Windows 11 apparaten een MAA-service (Microsoft Azure Attestation) gebruiken op basis van hun Intune tenantlocatie. Windows 10 en GCCH/DOD-omgevingen blijven echter het bestaande Device Health Attestation DHA-eindpunt 'has.spserv.microsoft.com' gebruiken voor de rapportage van apparaatstatusverklaring en wordt niet beïnvloed door deze wijziging.

Als een klant een firewallbeleid heeft dat toegang tot de nieuwe Intune MAA-service voor Windows 11 verhindert, worden Windows 11 apparaten met toegewezen nalevingsbeleid met behulp van een van de instellingen voor apparaatstatus (BitLocker, Beveiligd opstarten, Code-integriteit) niet meer conform omdat ze de MAA-attestation-eindpunten voor hun locatie niet kunnen bereiken.

Zorg ervoor dat er geen firewallregels zijn die uitgaand HTTPS/443-verkeer blokkeren en dat ssl-verkeer niet is gecontroleerd voor de eindpunten die in deze sectie worden vermeld, op basis van de locatie van uw Intune tenant.

Als u de locatie van uw tenant wilt vinden, gaat u naar het Intune-beheercentrum >Tenantbeheer>Tenantstatus Tenantstatus>Tenantdetails, zie Tenantlocatie.

  • 'https://intunemaape1.eus.attest.azure.net'

  • 'https://intunemaape2.eus2.attest.azure.net'

  • 'https://intunemaape3.cus.attest.azure.net'

  • 'https://intunemaape4.wus.attest.azure.net'

  • 'https://intunemaape5.scus.attest.azure.net'

  • 'https://intunemaape6.ncus.attest.azure.net'

Eindpuntanalyse

Zie Proxyconfiguratie voor eindpuntanalyse voor meer informatie over de vereiste eindpunten voor eindpuntanalyse.

Microsoft Defender voor Eindpunt

Zie Connectiviteitsvereisten voor meer informatie over het configureren van Defender voor Eindpunt-connectiviteit.

Sta de volgende hostnamen via uw firewall toe om het beheer van beveiligingsinstellingen van Defender voor Eindpunt te ondersteunen. Voor communicatie tussen clients en de cloudservice:

  • *.dm.microsoft.com: het gebruik van een jokerteken ondersteunt de cloudservice-eindpunten die worden gebruikt voor inschrijving, inchecken en rapportage, en die kunnen veranderen naarmate de service wordt geschaald.

    Belangrijk

    SSL-inspectie wordt niet ondersteund op het eindpunt 'dm.microsoft.com'.

Microsoft Intune Endpoint Privilege Management

Sta de volgende hostnamen toe op tcp-poort 443 via uw firewall om Endpoint Privilege Management te ondersteunen.

Voor communicatie tussen clients en de cloudservice:

  • *.dm.microsoft.com: het gebruik van een jokerteken ondersteunt de cloudservice-eindpunten die worden gebruikt voor inschrijving, inchecken en rapportage, en die kunnen veranderen naarmate de service wordt geschaald.

  • *.events.data.microsoft.com: wordt gebruikt door Intune beheerde apparaten om optionele rapportagegegevens te verzenden naar het eindpunt voor gegevensverzameling van Intune.

    Belangrijk

    SSL-inspectie wordt niet ondersteund op het eindpunt 'dm.microsoft.com'.

Zie Overzicht van Endpoint Privilege Management voor meer informatie.

URL's en IP-adresbereiken voor Office 365

Overzicht van Microsoft 365-netwerkconnectiviteit

Netwerken voor inhoudslevering (CDN's)

Andere eindpunten die niet zijn opgenomen in de Office 365 IP-adres en URL-webservice

Office 365-eindpunten beheren