:strip_icc():strip_exif()/u/77131/crop5d0893753034a_cropped.jpeg?f=community)
Nee, dat is ook het buildnummer van Windows 10 1809 LTSC, die gebruiken we ook nog hier en daar...DennusF schreef op donderdag 20 maart 2025 @ 12:56:
[...]
Zou dit niet werken:
(device.deviceOSType -eq "Windows") and (device.osVersion -startsWith "10.0.17763")
:strip_exif()/u/290839/crop5b757283a589c_cropped.gif?f=community)
:strip_exif()/u/301133/crop6737b754ae5aa_cropped.gif?f=community)
Het kan natuurlijk gewoon met de hand, maar dit is meer zoiets van WTF, hoe lastig kan het zijn, zo'n vreemd verzoek is dit toch niet!
/u/125506/link-8bit.png?f=community)
:strip_icc():strip_exif()/u/78725/train-icon3.jpg?f=community)
Vulnerability Remediation Agents komen naar Intune toe per aanstaande mei.
https://techcommunity.mic...test-ai-in-intune/4395079
:strip_exif()/f/image/sGg8R2bRsMIAVq4lOiAwyQyd.jpg?f=fotoalbum_large)
https://techcommunity.mic...test-ai-in-intune/4395079
:no_upscale():strip_icc():strip_exif()/f/image/sGg8R2bRsMIAVq4lOiAwyQyd.jpg?f=user_large)
Cloud ☁️
Om de verwarming binnen Intune nog wat groter te maken mbt Windows Update for Business, Windows Autopatch en de wir aan functies per licentie hebben we een name change.
Windows Update for Business has been renamed to Windows Update client policies.
https://techcommunity.mic...t-update-solution/4399200
Windows Autopatch full functionality is nu ook beschikbaar voor Business Premium en de education A licenties
Voor zowel BP als A licenties wel echt een goede toevoeging wat mij betreft.
Voor mij is Business premium icm de E5 security add-on wel echt een killer licentie nu hoor.
Windows Update for Business has been renamed to Windows Update client policies.
https://techcommunity.mic...t-update-solution/4399200
Windows Autopatch full functionality is nu ook beschikbaar voor Business Premium en de education A licenties
Voor zowel BP als A licenties wel echt een goede toevoeging wat mij betreft.
Voor mij is Business premium icm de E5 security add-on wel echt een killer licentie nu hoor.
[ Voor 27% gewijzigd door HKLM_ op 31-03-2025 22:01 ]
Cloud ☁️
:strip_icc():strip_exif()/u/9208/icon.jpg?f=community){kind=icon}
/u/35508/crop61e6aa7b579e2_cropped.png?f=community)
/u/30465/billgates2.PNG?f=community)
:strip_icc():strip_exif()/u/56108/STRESSED_1.jpg?f=community)
:strip_exif()/u/38542/Scrat1ani.gif?f=community)
Ik heb bij een opdrachtgever CIS benchmark geïmplementeerd zien worden in Intune. Dat was een klus. Voor een andere opdracht heb ik een non-domain joined server gehardened volgens CIS. Was ook geen smooth sailing zeg maar.
Een paar key punten:
- CIS bevool dingen aan die niet in de policies van de machine zaten. Je moest een aparte ADMX downloaden om in te kunnen stellen wat CIS wilde. Als de ADMX nieuwer was dan degene op de server dan had je echt een uitdaging.
- CIS bevool settings aan die iets kapot maakten. DNS bijvoorbeeld. Door DoH te vereisen, of het downloaden van updates
- Voor Intune moest er toen heel veel via OMA-URIs geregeld worden. Er bestond domweg geen setting. Microsoft adviseert dat niet want ze zijn zelf ook constant bezig die policy set uit te breiden. Dan zou het elkaar in het vaarwater kunnen zitten.
Ik zeg niet dat je het niet moet doen, maar het is onverstandig om het coûte que coûte over te nemen als de waarheid. Begrijpen wat je aan het doen bent, of het in jouw geval zinvol is, en testen testen en nog eens testen.
En bedenk je: de zwakste schakel is degene die de muis bedient en overal op klikt. Maak ze geen admins, neem Defender licenties en zet deze goed in, en volg de aanwijzingen op security.microsoft.com*. Ik heb het voor mijn werkgever gedaan en we gingen van een score van 45% (wat heel normaal was voor onze omvang) naar 80%.
Microsoft beveelt impersonation protection aan te zetten op de e-mail. Dat doet het iets te goed
, er kwam geen factuur meer binnen 
. Dus die kan ik niet adviseren 
.
Who's General Failure and why is he reading my harddrive? - Projectmanager : a person who thinks nine women can make one baby in one month
Het is altijd een weegschaal inderdaad, en dat hanteer ik bij mijn trajecten ook als ik in de CIS voor Intune for Windows kijk is die 1040 pagina’s maar ik ga lang niet alles opvolgen het wordt een mix tussen a het security center van Microsoft en wat past binnen de organisatie en de operationele werkzaamheden vanuit de CIS controls.:
[...]
[...]
Ik heb bij een opdrachtgever CIS benchmark geïmplementeerd zien worden in Intune. Dat was een klus. Voor een andere opdracht heb ik een non-domain joined server gehardened volgens CIS. Was ook geen smooth sailing zeg maar.
Een paar key punten:
- CIS bevool dingen aan die niet in de policies van de machine zaten. Je moest een aparte ADMX downloaden om in te kunnen stellen wat CIS wilde. Als de ADMX nieuwer was dan degene op de server dan had je echt een uitdaging.
- CIS bevool settings aan die iets kapot maakten. DNS bijvoorbeeld. Door DoH te vereisen, of het downloaden van updates
- Voor Intune moest er toen heel veel via OMA-URIs geregeld worden. Er bestond domweg geen setting. Microsoft adviseert dat niet want ze zijn zelf ook constant bezig die policy set uit te breiden. Dan zou het elkaar in het vaarwater kunnen zitten.
Ik zeg niet dat je het niet moet doen, maar het is onverstandig om het coûte que coûte over te nemen als de waarheid. Begrijpen wat je aan het doen bent, of het in jouw geval zinvol is, en testen testen en nog eens testen.
En bedenk je: de zwakste schakel is degene die de muis bedient en overal op klikt. Maak ze geen admins, neem Defender licenties en zet deze goed in, en volg de aanwijzingen op security.microsoft.com*. Ik heb het voor mijn werkgever gedaan en we gingen van een score van 45% (wat heel normaal was voor onze omvang) naar 80%.
Microsoft beveelt impersonation protection aan te zetten op de e-mail. Dat doet het iets te goed
Voor MDO is dat dus hetzelfde, impersonation protection zet ik altijd aan bijvoorbeeld maar mijn defender for office traject duurt gemiddeld dan ook 40 tot 80 uur omdat ik eerst de mailflow volledig in kaart breng van de afgelopen 90 dagen om te zien of er een systeem is wat bijvoorbeeld impersonation doet.
De policies voor MDO configureren is een half uur werk maar weten wat er speelt is veel belangrijker en kost zo veel meer tijd. (Schiphol heeft in een podcast met Microsoft ooit eens aangegeven dat MDO 900 uur heeft gekost bij ze bijvoorbeeld
)
Cloud ☁️
hebben jullie ook problemen met de enrollment dat je het niet kan deleten?
/f/image/l5uHtFYuSZaLsVgMevZGGZfb.png?f=fotoalbum_large)
alles is healthy, maar ht blijft maar terug komen.
:strip_exif()/f/image/l5uHtFYuSZaLsVgMevZGGZfb.png?f=user_large)
alles is healthy, maar ht blijft maar terug komen.
/u/97359/crop64803232ade4a_cropped.png?f=community)
Natuurlijk kan dat wel. Je zet een streep in het zand en vanaf dat moment ga je devices Entra ID only enrollen. Er zijn vrij weinig redenen te verzinnen waarom dat niet werkt en er zaken zaken gaan omvallen. Tenzij je natuurlijk geen enkel idee hebt wat je allemaal in je netwerk hebt draaien. Moet zeggen dat ik de afgelopen jaren bij diverse grote (> 10.000 werkplekken) organisatie dit soort gesprekken mede heb gevoerd en eigenlijk waren er in geen van de gevallen issues om vanaf een bepaald moment nieuwe machines niet volledig cloud only te enrollen, tuurlijk zou je ook dan nog wel zaken via Co-Management kunnen uitvoeren (als je dat nu echt zou willen), maar het device leeft vanaf dat moment puur in de cloud.
Maar goed, de angst zit voornamelijk bij de IT afdeling, die denken dat er zaken niet werken of dat er mogelijk een of andere legacy app draait die authenticeert op basis van device-naam of misschien wel hard codes allerhande legacy methoden gebruikt. Alles kan....maar in de praktijk kom ik het eigenlijk niet tegen.
En begrijp me niet verkeerd, je huidige laptops opnieuw deployen puur om te wisselen van Hybrid naar Endtra ID joined is ook niet echt een goeie business case natuurlijk
Maar er uberhaupt niet aan beginnen is gewoon onverstandig volgens mij.
[ Voor 7% gewijzigd door TheVMaster op 09-04-2025 13:52 ]
:strip_icc():strip_exif()/u/26028/penguin.jpg?f=community)
Ook macs zijn hier gelukkig gewoon entra id joined, platform sso werkt erg goed. (en weg met gedoe met jamf connect om passwords te syncen)
Al blijft macos en intune nog wel wat issues hebben, heb nu 3 supportcases lopen :
Device die vrolijk blijft melden dat macos versie 14.5 erop staat in intune console/reports terwijl er gewoon 15.4 op staat.
Last check-in gewoon recent en ook compliance vinkje. (wat hij niet zou krijgen als er oude versie op zou staan)
En ook verder lijkt alles ok te zijn. (pkg's kan ik ook gewoon uitrollen naar die mac)
Supportmedewerker gaf na 2 weken aan ja doe maar format reenroll, toen ik aangaf dat ik daar niet echt zin in heb omdat alleen versie nummer niet klopt is hij in overleg met senior engineer.
Device die niet meer synct, last check-in inmiddels paar maanden geleden.
Ook die is het antwoord doe maar reenroll ;
Unfortunately, when a device has not checked in with Intune for more than 60 days, the certificates expire. To renew them, re-enrollment of the device is necessary. I understand this may not be the ideal solution, and I empathize with your situation.
Dus als iemand ziek is/lang vakantie moet je daarna maar reenroll doen ?
Ligt ook weer bij een senior engineer.
En dan nog ticket omdat ik een programma update uitrol via een pkg en die vrolijk meld, install pending op alle machines.
company portal log meld niets nuttigs (zover ik kan zien)
Supportcase inmiddels al 2 weken open en weinig leven aan de kant van Microsoft, als ik dan vraag om een teken van leven krijg je een mailtje kan je de logs sturen of screenshot, terwijl die al gewoon bij case opening toegevoegd zijn...
Ok dat was even mij frustratie over macos icm intune
Al blijft macos en intune nog wel wat issues hebben, heb nu 3 supportcases lopen :
Device die vrolijk blijft melden dat macos versie 14.5 erop staat in intune console/reports terwijl er gewoon 15.4 op staat.
Last check-in gewoon recent en ook compliance vinkje. (wat hij niet zou krijgen als er oude versie op zou staan)
En ook verder lijkt alles ok te zijn. (pkg's kan ik ook gewoon uitrollen naar die mac)
Supportmedewerker gaf na 2 weken aan ja doe maar format reenroll, toen ik aangaf dat ik daar niet echt zin in heb omdat alleen versie nummer niet klopt is hij in overleg met senior engineer.
Device die niet meer synct, last check-in inmiddels paar maanden geleden.
Ook die is het antwoord doe maar reenroll ;
Unfortunately, when a device has not checked in with Intune for more than 60 days, the certificates expire. To renew them, re-enrollment of the device is necessary. I understand this may not be the ideal solution, and I empathize with your situation.
Dus als iemand ziek is/lang vakantie moet je daarna maar reenroll doen ?
Ligt ook weer bij een senior engineer.
En dan nog ticket omdat ik een programma update uitrol via een pkg en die vrolijk meld, install pending op alle machines.
company portal log meld niets nuttigs (zover ik kan zien)
Supportcase inmiddels al 2 weken open en weinig leven aan de kant van Microsoft, als ik dan vraag om een teken van leven krijg je een mailtje kan je de logs sturen of screenshot, terwijl die al gewoon bij case opening toegevoegd zijn...
Ok dat was even mij frustratie over macos icm intune
/u/217664/crop57a47149436c0_cropped.png?f=community)
Moet eerlijk bekennen dat ik nu ook met pre-sales bezig ben voor een project waar we waarschijnlijk Hybrid moeten gaan doen. Klant is echt heel erg bang om Entra ID joined te doen en het gaat om best veel devices (en een groot traject), maar goed eerst de POC maar eens ff afwachten. Mogelijk zien ze dan in dat het allemaal niet zo eng gaat zijn en gaan we gewoon EntraID joined doen. Is wel een traject waarbij de hele uitrol meer dan een jaar gaat duren
mede omdat er pre-provisioning gedaan (moet) worden en nog wat andere 'limiterende' zaken.
Als ze het 'eng' vinden is het inderdaad proberen om de angst weg te nemen. Ben wel benoemd waar ze dan bang voor zijn. (dat bepaalde dingen niet zouden werken oid?):
[...]
Moet eerlijk bekennen dat ik nu ook met pre-sales bezig ben voor een project waar we waarschijnlijk Hybrid moeten gaan doen. Klant is echt heel erg bang om Entra ID joined te doen en het gaat om best veel devices (en een groot traject), maar goed eerst de POC maar eens ff afwachten. Mogelijk zien ze dan in dat het allemaal niet zo eng gaat zijn en gaan we gewoon EntraID joined doen. Is wel een traject waarbij de hele uitrol meer dan een jaar gaat duren
Microsoft benoemt ook heel duidelijk in de docs om het bij nieuwe deployments niet meer toe te passen.
'Microsoft recommends deploying new devices as cloud-native using Microsoft Entra join. Deploying new devices as Microsoft Entra hybrid join devices isn't recommended, including through Windows Autopilot. For more information, see Microsoft Entra joined vs. Microsoft Entra hybrid joined in cloud-native endpoints: Which option is right for your organization.'
is everything cool?
/u/1387186/crop65f2f1901e7f0_cropped.png?f=community)
Misschien dat je toch wat meer druk moet gaan uitoefenen intern om af te stappen van het hele Hybrid gebeuren
De oude connector werkte met een paar klikken. Deze nieuwe versie die voor 'security' redenen met een MSA moet werken lijkt door een stagiair te zijn gemaakt. Gezien de problemen die met Windows Updates het afgelopen halve jaar al zijn, hebben ze blijkbaar de hele QC afdeling ontslagen en Copilot de opdracht gegeven.:
[...]
Misschien dat je toch wat meer druk moet gaan uitoefenen intern om af te stappen van het hele Hybrid gebeuren
Het maakt niet uit of je nou wel of niet hybrid wil/moet doen, het gaat om de kwaliteit van wat ze opleveren. En dat laat erg te wensen over.
Commandline FTW | Tweakt met mate
Wellicht heeft iemand hier een idee.
Ik heb een Azure File Share met een access key, dit is voldoende voor onze beveiliging en voorkomt weer allerlei dure en onnodige componenten binnen Azure / M365. Na aanmaken van de fileshare krijg je een connectie Powershell script, dat heb ik iets ingekort en dit is wat er dan overblijft:
Als ik dit script lokaal draai als gebruiker dan worden de credentials netjes toegevoegd aan Windows en de Z wordt gekoppeld aan share. Niks aan de hand.
Stuur ik ditzelfde script uit via Intune dan worden de credentials wel netjes toegevoegd maar er komt geen share. In Intune na verloop van tijd een error dat de local name al in gebruik zou zijn (wat niet het geval is). Script loopt in de user context, niet gesigneerd en x32 of x64 maakt geen verschil.
Ben nu aan het kijken of ik het script enkel de credentials kan laten toevoegen en dan een ADMX erbij om de boel te koppelen. Maar in feite zou het powershell script dit toch ook moeten kunnen zo? Wat zie ik over het hoofd
Ik heb een Azure File Share met een access key, dit is voldoende voor onze beveiliging en voorkomt weer allerlei dure en onnodige componenten binnen Azure / M365. Na aanmaken van de fileshare krijg je een connectie Powershell script, dat heb ik iets ingekort en dit is wat er dan overblijft:
code:
1
2
3
4
5
6
7
| # Add key to Credential Manager cmd.exe /C "cmdkey /add:`"url.file.core.windows.net`" /user:`"localhost\url`" /pass:`"1234`"" Start-Sleep -Seconds 2 # Mount the drive New-PSDrive -Name Z -PSProvider FileSystem -Root "\\url.file.core.windows.net\share" -Persist |
Als ik dit script lokaal draai als gebruiker dan worden de credentials netjes toegevoegd aan Windows en de Z wordt gekoppeld aan share. Niks aan de hand.
Stuur ik ditzelfde script uit via Intune dan worden de credentials wel netjes toegevoegd maar er komt geen share. In Intune na verloop van tijd een error dat de local name al in gebruik zou zijn (wat niet het geval is). Script loopt in de user context, niet gesigneerd en x32 of x64 maakt geen verschil.
Ben nu aan het kijken of ik het script enkel de credentials kan laten toevoegen en dan een ADMX erbij om de boel te koppelen. Maar in feite zou het powershell script dit toch ook moeten kunnen zo? Wat zie ik over het hoofd
Automatisch crypto handelen via een NL platform? Check BitBotsi !
heb je hier niet wat aan?:
Wellicht heeft iemand hier een idee.
Ik heb een Azure File Share met een access key, dit is voldoende voor onze beveiliging en voorkomt weer allerlei dure en onnodige componenten binnen Azure / M365. Na aanmaken van de fileshare krijg je een connectie Powershell script, dat heb ik iets ingekort en dit is wat er dan overblijft:
code:
Als ik dit script lokaal draai als gebruiker dan worden de credentials netjes toegevoegd aan Windows en de Z wordt gekoppeld aan share. Niks aan de hand.
Stuur ik ditzelfde script uit via Intune dan worden de credentials wel netjes toegevoegd maar er komt geen share. In Intune na verloop van tijd een error dat de local name al in gebruik zou zijn (wat niet het geval is). Script loopt in de user context, niet gesigneerd en x32 of x64 maakt geen verschil.
Ben nu aan het kijken of ik het script enkel de credentials kan laten toevoegen en dan een ADMX erbij om de boel te koppelen. Maar in feite zou het powershell script dit toch ook moeten kunnen zo? Wat zie ik over het hoofd
https://intunedrivemapping.azurewebsites.net/
deze gebruik ik ook bij een klant.
of anders deze:
https://petervanderwoude....hares-on-windows-devices/
sowieso zorgen dat het script niet onder system draait maar onder user. anders krijg je sowieso nooit die drivemapping onder de user te zien.
[ Voor 7% gewijzigd door Dirtyrockers op 14-05-2025 14:08 ]
:strip_icc():strip_exif()/u/335968/crop57d2c94ca341d_cropped.jpeg?f=community)
Deze al gezien?:
Wellicht heeft iemand hier een idee.
Ik heb een Azure File Share met een access key, dit is voldoende voor onze beveiliging en voorkomt weer allerlei dure en onnodige componenten binnen Azure / M365. Na aanmaken van de fileshare krijg je een connectie Powershell script, dat heb ik iets ingekort en dit is wat er dan overblijft:
code:
Als ik dit script lokaal draai als gebruiker dan worden de credentials netjes toegevoegd aan Windows en de Z wordt gekoppeld aan share. Niks aan de hand.
Stuur ik ditzelfde script uit via Intune dan worden de credentials wel netjes toegevoegd maar er komt geen share. In Intune na verloop van tijd een error dat de local name al in gebruik zou zijn (wat niet het geval is). Script loopt in de user context, niet gesigneerd en x32 of x64 maakt geen verschil.
Ben nu aan het kijken of ik het script enkel de credentials kan laten toevoegen en dan een ADMX erbij om de boel te koppelen. Maar in feite zou het powershell script dit toch ook moeten kunnen zo? Wat zie ik over het hoofd
https://learn.microsoft.c...es-drive-with-a-sas-key-u
Nefit EnviLine Tower Monoblock All Electic - 18x350wp (6300wp) Zuid - iPhone 14 Pro 128 GB Zilver - LG OLED 55” B16LA - Apple TV 4K 32GB – Sonos Beam
Ik ga niet verzanden in die eeuwige en zinloze discussie. Ik heb er mijn redenen voor en voorlopig zie ik daarin geen aanpassingen gebeuren.:
[...]
En geen intentie om het aan te (laten) passen? Ik zou daar toch serieus jeuk van krijgen als alle eindgebruikers local admin zouden zijn, even los van de het risico wat je hier mee extra loopt natuurlijk op allerhande ellende.
Automatisch crypto handelen via een NL platform? Check BitBotsi !
Het is niet echt een zinloze discussie. Er is eigenlijk anno 2025 geen enkele reden meer te verzinnen om gebruikers local admin te laten zijn, tenminste als je Autopilot gebruikt. Als je dat niet gebruikt, dan kan ik er nog wel begrip voor opbrengen hoor. Of het verstandig is kunnen we ook gewoon kort over zijn, dat is het zeker niet.
Maar goed, laten we idd niet verzanden in wie de langste heeft.
dat win ik toch altijd
dan he je nog geen spaanse software boeren gehad op je stoep.:
[...]
Het is niet echt een zinloze discussie. Er is eigenlijk anno 2025 geen enkele reden meer te verzinnen om gebruikers local admin te laten zijn, tenminste als je Autopilot gebruikt. Als je dat niet gebruikt, dan kan ik er nog wel begrip voor opbrengen hoor. Of het verstandig is kunnen we ook gewoon kort over zijn, dat is het zeker niet.
Maar goed, laten we idd niet verzanden in wie de langste heeft.
Smart screen wat een applicatie niet opstart, alleen omdat het digitalk sign signature heeft.
Overgestapt van local naar hybride omgeving, najaa niet fijn.
Het is een leuke tool als je van die standaard applicaties hebt, maar beetje er buiten en je loopt al vast.
Kan wel door onder mijn eigen cq. een los admin account de machines toe te voegen en daarna de regular user aan te passen. Dan omzeil je het aanmaken van de local admin en zet je de machine toch goed weg in Entra.:
[...]
OOhw, ja dan snap ik hetAls het alleen Entra ID joined is, dan kun je niet veel anders ook.
Momenteel zijn mijn machines nog on-prem AD Joined. Binnen afzienbare tijd zal ik gaan naar de vervelende situatie van deels AD deels Entra ID. En hopelijk snel naar enkel Entra ID. Maar dat gaat helaas niet in 1 dag lukken.
Ben nu dus bezig om mijn on-prem AD policies te repliceren naar Intune. Als dat afdoende gelukt is kan ik machines gaan migreren.
Automatisch crypto handelen via een NL platform? Check BitBotsi !
Zoals gezegd wil en ga ik die discussie niet aan, want dat is zinloos. Dan komen we op het niveau Apple of Android, Ford of Mercedes danwel blauw of groen behang.
Dat is zeker, het is hier allemaal niet lang. Maar het werkt wel, en dat is dan ook weer iets waardMaar goed, laten we idd niet verzanden in wie de langste heeft.
Automatisch crypto handelen via een NL platform? Check BitBotsi !