Microsoft Intune ervaringentopic

[HKLM_]

kromme schreef op dinsdag 24 juni 2025 @ 14:49:
[...]


Eens echter gaf ik al aan dat dit bij ons niet het geval is ivm digi nivo. Die discussie ga ik ook niet voeren.
Idem voor het instellen en resetten van wachtwoord etc.


[...]


Dus, ik kan niet op voorhand in intune zeggen. Deze persoon krijgt die laptop? En dat hij dat proces vanzelf doet?

Zooi wat we instellen zijn, outlook, wifi verbinding opzetten, updates draaien.


[...]


Bij ons doen wij dit, en ik krijg het momenteel ook niet zover dat we dit bij de gebruiker gaan neerleggen. En geloof me dat had ik graag.

Je kan in intune een device op voorhand aan een user hangen maar defineer vanzelf. Voor specifieke user assignments zal je altijd moeten aanmelden met de user.

[akimosan]

Als de wifi implementatie onpraktisch is ingericht (in plaats van met certificaten met gebruikersnamen en wachtwoorden etc werken), moet er misschien beter gekeken worden naar de implementatie dan het gevolg te lijf te gaan..

[bramassendorp]

kromme schreef op dinsdag 24 juni 2025 @ 15:08:
[...]


Begrijp me niet verkeerd, ik ben het met je eens. En we zijn bezig om de digivaardigheid te verbeteren. Alleen dat gaat niet zo snel als we zouden willen.
Maar weet dat ze in de zorg vaak 0 affiniteit hebben met techniek.

Wifi kan niet gepusht worden want het gaat op gebruikersnaam en ww. Updates komen wel is toch echt niet het geval.

We gebruiken het icm Autopilot.

Ik denk dat je je teveel laat aanpassen op de situatie hoe het nu is.

Wifi, gebruikersnaam en wachtwoord, dat wil je niet, dan kan een medewerker dus met elk device het netwerk op? Push met intune een certificaat en authenticeer het device op basis daarvan, eerste probleem opgelost.

Als updates niet komen, dan even de intune policies nalopen, lijkt mij toch wel een pre dat deze automatisch gaan.

Kost je even wat moeite, maar uiteindelijk meer gemak.

[bramassendorp]

akimosan schreef op dinsdag 24 juni 2025 @ 15:09:
Run away
Het resetten van wachtwoorden naar een bekend wachtwoord en vervolgens gebruiken van accounts van anderen is absoluut geen security best practice.

Dat je de discussie daarover niet verder wilt voeren met anderen kan ik wel begrijpen maar niet goed praten.
Voelt voor mij toch een beetje als "de kop in het zand steken".
Als directie je daarbij de hand boven het hoofd houdt en dit als "beleid" ziet, dan valt hen nog wel het een en ander te verwijten.

Misschien dat jullie organisatie niet valt onder sectoren die volgens de NIS2 richtlijn moeten gaan werken, maar één van de zaken waarin daar op gehamerd wordt, is dat organisaties duidelijke risico analyses moeten maken en laten zien hoe ze die risico's verminderen.
Als bij eventuele audits aan het licht komt dat dit soort risico's door het bedrijf actief in stand worden gehouden kunnen directeuren en bestuurders ook persoonlijk verantwoordelijk gehouden worden voor de eventuele gevolgen.

Stel je dat dus even voor:
Als door dit soort gedrag datalekken of malware/ransomware infecties plaatsvinden, dat de gevolgschade bij jullie bedrijf, klanten, partners of andere 3e partijen op jullie verhaald kan worden of dat er zelfs strafrechtelijke vervolging kan plaatsvinden.

Als jij bij zo'n bedrijf werkt, moet je jezelf de vraag stellen. Wil ik hier wel deel van zijn?
Vandaar de raad: Run, Forest, run!

De zorg blijkbaar, dus ja, NIS2.

[kromme]

akimosan schreef op dinsdag 24 juni 2025 @ 15:13:
Als de wifi implementatie onpraktisch is ingericht (in plaats van met certificaten met gebruikersnamen en wachtwoorden etc werken), moet er misschien beter gekeken worden naar de implementatie dan het gevolg te lijf te gaan..

Jup, dit project komt nog.

[kromme]

akimosan schreef op dinsdag 24 juni 2025 @ 15:09:
Run away
Het resetten van wachtwoorden naar een bekend wachtwoord en vervolgens gebruiken van accounts van anderen is absoluut geen security best practice.

Dat je de discussie daarover niet verder wilt voeren met anderen kan ik wel begrijpen maar niet goed praten.
Voelt voor mij toch een beetje als "de kop in het zand steken".
Als directie je daarbij de hand boven het hoofd houdt en dit als "beleid" ziet, dan valt hen nog wel het een en ander te verwijten.

Misschien dat jullie organisatie niet valt onder sectoren die volgens de NIS2 richtlijn moeten gaan werken, maar één van de zaken waarin daar op gehamerd wordt, is dat organisaties duidelijke risico analyses moeten maken en laten zien hoe ze die risico's verminderen.
Als bij eventuele audits aan het licht komt dat dit soort risico's door het bedrijf actief in stand worden gehouden kunnen directeuren en bestuurders ook persoonlijk verantwoordelijk gehouden worden voor de eventuele gevolgen.

Stel je dat dus even voor:
Als door dit soort gedrag datalekken of malware/ransomware infecties plaatsvinden, dat de gevolgschade bij jullie bedrijf, klanten, partners of andere 3e partijen op jullie verhaald kan worden of dat er zelfs strafrechtelijke vervolging kan plaatsvinden.

Als jij bij zo'n bedrijf werkt, moet je jezelf de vraag stellen. Wil ik hier wel deel van zijn?
Vandaar de raad: Run, Forest, run!

Ik snap het volledig maar ik ga niet bij een bedrijf weg, ik werk hier graag en doe het werk ook graag.
Dat dit een risico is heb ik al meerdere malen aangegeven. En uiteindelijk niet mijn verantwoording.
Sterker nog het word vanuit onze derde party zo bij ons neer gezet. Zelfs nog in het begin met een IHP server.

Maar dankjewel voor ieder zijn input. Het moet dus anders, echter duurt dat nog even voor dat we dit erdoor hebben hier.

[ralpje]

kromme schreef op dinsdag 24 juni 2025 @ 15:25:
[...]

Jup, dit project komt nog.

Ik zou die volgorde omdraaien

[Blokker_1999]

Ik weet dat je het niet graag hoort, maar ook ik ga me bij de rest aansluiten en zeggen dat het inloggen met de credentials van een ander persoon een absolute no-go is, toch zeker wanneer die persoon zelf niet aanwezig is en zelf geen toezicht kan houden. En hoewel het niet mijn expertise is, zou het zelfs zomaar kunnen zijn dat zoiets vandaag de dag zelfs een schending van de privacy wetgeving is. Zo is de mailbox van een gebruiker bijvoorbeeld een private aangelegenheid, daar mag een beheerder geen toegang toe hebben.

En vergeet niet dat de dag dat het misloopt en men kan de schuld bij jullie leggen, ook al hebben jullie niets verkeerd gedaan, dat men dat ook zal doen. En als een externe partij daar bij tegenwerkt, dan moet men als organisatie zeker eens nadenken over de verdere samenwerking met die partij. Je werk in de zorg waar beveiliging van informatie een prioriteit hoort te zijn want 1 enkel lek kan desastreuze gevolgen hebben.

En je hebt in principe alle tools in handen om heel het process in te richten zodat een gebruiker zeer snel vertrokken kan zijn.

Je maakt reeds gebruik van AutoPilot, dat is positief. Je kan alles van configuratie en alles van verplichte apps die er vanaf de eerste minuut horen op te staan installeren op die laptops met behulp van pre-provisioning. Als de gebruiker dan gaat starten haal je een dag vooraf die laptop al boven en laat je deze opnieuw door de out-of-box-experience lopen zodat deze al even voorbij de herevaluatie van de computer policies gaat. Daarna laat je de gebruiker zelf aanmelden, en als je de ESP pagina zo instelt dat deze
1) getoont wordt
2) de user installatie overslaat
dan komt de gebruiker onmiddelijk op het bureaublad terecht.

Wij geven onze gebruikers een mooie handleiding waarin alles wat ze zelf moeten doen netjes, met afbeeldingen staat uitgelegd. Wij hebben gebruikers die hun device onboarden op honderden kilometers van kantoor, zonder problemen. Wij zijn vandaag in staat om een laptop rechtstreeks in ongeopende doos aan een gebruiker te geven (al duurt het opzetten dan wat langer) en die gebruiker geraakt netjes tot op de desktop, inclusief het opzetten van de VPN als pre-logon authentication provider omdat je line-of-sight naar je active directory nodig hebt bij de eerste keer aanmelden in een hybride setup.

Even het process zoals wij het vandaag doen voor een groot deel van onze gebruikers, want we doen wel degelijk aan preprovisioning om tijd te besparen, al wil ik daar ook nog altijd van af geraken, maar dan krijg ik klachten dat het te lang duurt.

Dus, IT start de laptop op en verbind deze met een verborgen wifi netwerk dat gewoon met een lekker lange wachtzin beveiligd is. Je kent ze wel. En daarna starten zij de preprovisioning waarbij we enkele scripts hebben die alle config goed zet, we installeren onze anti-virus, onze VPN, MS Office en de Company Portal. Alles wat de gebruiker nodig heeft en geen app meer.

De gebruiker krijgt de laptop en logt voor de eerste keer aan. Wij laten hen dan als eerste de Company Portal app openen. Dit omdat men daarmee de user association maakt in Intune maar ook omdat wij een vereiste hebben dat de laptop een PIN code moet hebben voor BitLocker te ontgrendellen. Daar hebben we een kleine app voor in de Company Portal zodat dit gedaan kan worden zonder dat er admin rechten noodzakelijk zijn.

Voor nieuwe gebruikers is het ook onmiddelijk een kennismaking met die Company Portal en leren ze direct dat er iets is zoals een "app store" met applicaties die we als onderneming goedkeuren voor gebruik. Nieuwe gebruikers krijgen ook de instructie om hun eigen wachtwoord te veranderen, opnieuw met screenshots erbij hoe ze dat kunnen doen.

Dan laten we hen van netwerk veranderen waarbij we ook gewoon met screenshots aantonen hoe dat moet. We vragen hen ook om het onboarding netwerk te vergeten. Al hebben we daar ook automatisatie voor die het achteraf alsnog opkuist. Dat netwerk heeft namelijk slechts beperkte toegang en bestaat primair om line-of-sight naar de domain controllers te voorzien.

En we ronden af met het opstarten van Outlook, wat letterlijk 2 keer op een knop klikken is, en optioneel 1 vinkje uitzetten als je niet wenst dat je browser opengaat om je uit te leggen hoe je Outlook op je telefoon kunt instellen (verdorie MS, maak zoiets toch eens configureerbaar).

En ja, voor die enkele stappen spenderen wij 10 bladzijden aan documentatie. En dat is dan nog de eenvoudige variant voor hen die op kantoor zitten. De screenshots voor de VPN op het login scherm voor remote deploys zijn ook nog eens een blad of 10, maar die mensen moeten heel de OOBE door en dan zitten we al snel aan een bladzijde of 40 geloof ik.

[kromme]

Blokker_1999 schreef op dinsdag 24 juni 2025 @ 19:29:
Ik weet dat je het niet graag hoort, maar ook ik ga me bij de rest aansluiten en zeggen dat het inloggen met de credentials van een ander persoon een absolute no-go is, toch zeker wanneer die persoon zelf niet aanwezig is en zelf geen toezicht kan houden. En hoewel het niet mijn expertise is, zou het zelfs zomaar kunnen zijn dat zoiets vandaag de dag zelfs een schending van de privacy wetgeving is. Zo is de mailbox van een gebruiker bijvoorbeeld een private aangelegenheid, daar mag een beheerder geen toegang toe hebben.

En vergeet niet dat de dag dat het misloopt en men kan de schuld bij jullie leggen, ook al hebben jullie niets verkeerd gedaan, dat men dat ook zal doen. En als een externe partij daar bij tegenwerkt, dan moet men als organisatie zeker eens nadenken over de verdere samenwerking met die partij. Je werk in de zorg waar beveiliging van informatie een prioriteit hoort te zijn want 1 enkel lek kan desastreuze gevolgen hebben.

En je hebt in principe alle tools in handen om heel het process in te richten zodat een gebruiker zeer snel vertrokken kan zijn.

Je maakt reeds gebruik van AutoPilot, dat is positief. Je kan alles van configuratie en alles van verplichte apps die er vanaf de eerste minuut horen op te staan installeren op die laptops met behulp van pre-provisioning. Als de gebruiker dan gaat starten haal je een dag vooraf die laptop al boven en laat je deze opnieuw door de out-of-box-experience lopen zodat deze al even voorbij de herevaluatie van de computer policies gaat. Daarna laat je de gebruiker zelf aanmelden, en als je de ESP pagina zo instelt dat deze
1) getoont wordt
2) de user installatie overslaat
dan komt de gebruiker onmiddelijk op het bureaublad terecht.

Wij geven onze gebruikers een mooie handleiding waarin alles wat ze zelf moeten doen netjes, met afbeeldingen staat uitgelegd. Wij hebben gebruikers die hun device onboarden op honderden kilometers van kantoor, zonder problemen. Wij zijn vandaag in staat om een laptop rechtstreeks in ongeopende doos aan een gebruiker te geven (al duurt het opzetten dan wat langer) en die gebruiker geraakt netjes tot op de desktop, inclusief het opzetten van de VPN als pre-logon authentication provider omdat je line-of-sight naar je active directory nodig hebt bij de eerste keer aanmelden in een hybride setup.

Even het process zoals wij het vandaag doen voor een groot deel van onze gebruikers, want we doen wel degelijk aan preprovisioning om tijd te besparen, al wil ik daar ook nog altijd van af geraken, maar dan krijg ik klachten dat het te lang duurt.

Dus, IT start de laptop op en verbind deze met een verborgen wifi netwerk dat gewoon met een lekker lange wachtzin beveiligd is. Je kent ze wel. En daarna starten zij de preprovisioning waarbij we enkele scripts hebben die alle config goed zet, we installeren onze anti-virus, onze VPN, MS Office en de Company Portal. Alles wat de gebruiker nodig heeft en geen app meer.

De gebruiker krijgt de laptop en logt voor de eerste keer aan. Wij laten hen dan als eerste de Company Portal app openen. Dit omdat men daarmee de user association maakt in Intune maar ook omdat wij een vereiste hebben dat de laptop een PIN code moet hebben voor BitLocker te ontgrendellen. Daar hebben we een kleine app voor in de Company Portal zodat dit gedaan kan worden zonder dat er admin rechten noodzakelijk zijn.

Voor nieuwe gebruikers is het ook onmiddelijk een kennismaking met die Company Portal en leren ze direct dat er iets is zoals een "app store" met applicaties die we als onderneming goedkeuren voor gebruik. Nieuwe gebruikers krijgen ook de instructie om hun eigen wachtwoord te veranderen, opnieuw met screenshots erbij hoe ze dat kunnen doen.

Dan laten we hen van netwerk veranderen waarbij we ook gewoon met screenshots aantonen hoe dat moet. We vragen hen ook om het onboarding netwerk te vergeten. Al hebben we daar ook automatisatie voor die het achteraf alsnog opkuist. Dat netwerk heeft namelijk slechts beperkte toegang en bestaat primair om line-of-sight naar de domain controllers te voorzien.

En we ronden af met het opstarten van Outlook, wat letterlijk 2 keer op een knop klikken is, en optioneel 1 vinkje uitzetten als je niet wenst dat je browser opengaat om je uit te leggen hoe je Outlook op je telefoon kunt instellen (verdorie MS, maak zoiets toch eens configureerbaar).

En ja, voor die enkele stappen spenderen wij 10 bladzijden aan documentatie. En dat is dan nog de eenvoudige variant voor hen die op kantoor zitten. De screenshots voor de VPN op het login scherm voor remote deploys zijn ook nog eens een blad of 10, maar die mensen moeten heel de OOBE door en dan zitten we al snel aan een bladzijde of 40 geloof ik.

En hoe gaan jullie om met het feit dat het stukje installeren van apps vaak mis loopt? Nog voor de desktop komt.

[kromme]

ralpje schreef op dinsdag 24 juni 2025 @ 16:17:
[...]


Ik zou die volgorde omdraaien

Niet mijn keuze

[HKLM_]

kromme schreef op dinsdag 24 juni 2025 @ 23:58:
[...]


En hoe gaan jullie om met het feit dat het stukje installeren van apps vaak mis loopt? Nog voor de desktop komt.

Als je apps mis lopen dan zijn ze waarschijnlijk niet proper gepackaged of staan de dependencies / detectie regels niet goed in Intune.

[bramassendorp]

kromme schreef op dinsdag 24 juni 2025 @ 23:58:
[...]


En hoe gaan jullie om met het feit dat het stukje installeren van apps vaak mis loopt? Nog voor de desktop komt.

Bijna nooit eigenlijk...

[TheVMaster]

kromme schreef op dinsdag 24 juni 2025 @ 23:58:
[...]


En hoe gaan jullie om met het feit dat het stukje installeren van apps vaak mis loopt? Nog voor de desktop komt.

Dan fix je dat, want als de installatie niet goed gaat dan is er in het packaging proces al iets verkeerd gedaan. Troubleshooten en fixen, geen workarounds gaan toepassen die ook nog een een enorme bak met ellende kunnen veroorzaken.

[Gr4mpyC3t]

kromme schreef op dinsdag 24 juni 2025 @ 23:58:
En hoe gaan jullie om met het feit dat het stukje installeren van apps vaak mis loopt? Nog voor de desktop komt.

Kijk ook eens of die app noodzakelijk is om verplicht te installeren. Hoe minder je in het OOBE-proces stopt, hoe minder de kans op ondoorzichtige fouten én het apparaat is nog sneller klaar ook.

[ralpje]

kromme schreef op dinsdag 24 juni 2025 @ 23:59:
[...]


Niet mijn keuze

Het is wel jouw keuze om te zeggen dat je het 'autpilot project' niet oppakt voor dit gefixt is.
Als je ergens niet achter staat, moet je het niet doen.

[Blokker_1999]

kromme schreef op dinsdag 24 juni 2025 @ 23:58:
[...]


En hoe gaan jullie om met het feit dat het stukje installeren van apps vaak mis loopt? Nog voor de desktop komt.

Zoals anderen aanhalen, dat komt eigenlijk niet meer voor. In het begin hebben we daar inderdaad regelmatig last van gehad en dan zijn we gaan troubleshooten. Enkele weken terug hadden we het opnieuw voor op een dag dat de preprovisioning faalde zonder dat we iets veranderd hadden. Dan is het letterlijk een issue bij Microsoft en wacht je een dag om het opnieuw te proberen. Zelfs voor onze deployments in China gaat het tegenwoordig zowat altijd goed, al duurt het daar wat langer.

En zoals anderen ook al aangeven: het aantal apps zo min mogelijk houden. Enkel die apps die vanaf het eerste moment noodzakelijk zijn installeer je tijdens provisioning, al de rest komt achteraf wel. Zo ontbreken er op het moment dat de gebruiker aanmeld ook nog altijd een hele hoop poiicies, al helemaal die policies die op de gebruiker zijn gericht, maar ook dat vinden we niet echt een probleem.

Wel opmerkelijk hoe eensgezind we het met zen allen zijn

En ja, ik begrijp dat het niet altijd eenvoudig is om management of een externe partij ergens van te overtuigen. Maar als je daar echt moeite mee hebt, dan wil ik, en misschien anderen ook, gerust altijd even kijken hoe we je daar bij kunnen helpen om de prioriteiten toch goed te krijgen, de ervaring te verbeteren en de veiligheid te verhogen. Gebruikerservaring en security zijn bij mij 2 top prioriteiten.

[kromme]

ralpje schreef op woensdag 25 juni 2025 @ 09:51:
[...]


Het is wel jouw keuze om te zeggen dat je het 'autpilot project' niet oppakt voor dit gefixt is.
Als je ergens niet achter staat, moet je het niet doen.

Is geen project maar gewoon mijn dagelijks werk. Maar ik zal het eens aankaarten bij onze security man. Wellicht dat die er eens druk op kan zetten dat we dingen anders moeten inrichten.

Ik snap jullie standpunten, maar in de pratijk wel erg lastig als het management niet mee wil omdat heel de organisatie daar niet klaar voor is of gewoon weg te "digibeet" is.

Ook de installatie van apps beperken snap ik maar die zijn al minimaal. En de derde partij is een een grote lompe tanker die je niet meteen gedraaid krijgt.

[bramassendorp]

kromme schreef op woensdag 25 juni 2025 @ 12:46:
[...]


Is geen project maar gewoon mijn dagelijks werk. Maar ik zal het eens aankaarten bij onze security man. Wellicht dat die er eens druk op kan zetten dat we dingen anders moeten inrichten.

Ik snap jullie standpunten, maar in de pratijk wel erg lastig als het management niet mee wil omdat heel de organisatie daar niet klaar voor is of gewoon weg te "digibeet" is.

Ook de installatie van apps beperken snap ik maar die zijn al minimaal. En de derde partij is een een grote lompe tanker die je niet meteen gedraaid krijgt.

Orginisaties zijn er nooit klaar voor, een "digibeten cultuur" heb je zelf in de hand. Wat wou je gaan doen? Eerst iedereen op een soort van training sturen? Gewoon zorgen dat alles op een juiste manier geinplementeerd word, maak duidelijke instructies, even door de zure appel heen. Het word vanzelf normaal en geaccepteerd.

Het word juist pas ingewikkeld als je zaken niet goed inricht. Dus begin daar mee.

[kromme]

bramassendorp schreef op woensdag 25 juni 2025 @ 12:55:
[...]


Orginisaties zijn er nooit klaar voor, een "digibeten cultuur" heb je zelf in de hand. Wat wou je gaan doen? Eerst iedereen op een soort van training sturen? Gewoon zorgen dat alles op een juiste manier geinplementeerd word, maak duidelijke instructies, even door de zure appel heen. Het word vanzelf normaal en geaccepteerd.

Het word juist pas ingewikkeld als je zaken niet goed inricht. Dus begin daar mee.

Klopt, en een gedeelte hou je zelf in stand. Ik snap het zeker allemaal. Maar zoals ik zeg de praktijk is vaak lastiger omdat de dag toch door gaat.

[HKLM_]

kromme schreef op woensdag 25 juni 2025 @ 12:46:
[...]


Is geen project maar gewoon mijn dagelijks werk. Maar ik zal het eens aankaarten bij onze security man. Wellicht dat die er eens druk op kan zetten dat we dingen anders moeten inrichten.

Ik snap jullie standpunten, maar in de pratijk wel erg lastig als het management niet mee wil omdat heel de organisatie daar niet klaar voor is of gewoon weg te "digibeet" is.

Ook de installatie van apps beperken snap ik maar die zijn al minimaal. En de derde partij is een een grote lompe tanker die je niet meteen gedraaid krijgt.

Ik heb dat ondertussen zo vaak gehoord"de organisatie is er niet klaar voor" Mensen zijn digibeet. 9/10 keer worden mensen dom gehouden omdat adoptie faalt en het een IT only show is.

[TheVMaster]

HKLM_ schreef op woensdag 25 juni 2025 @ 13:13:
[...]


Ik heb dat ondertussen zo vaak gehoord"de organisatie is er niet klaar voor" Mensen zijn digibeet. 9/10 keer worden mensen dom gehouden omdat adoptie faalt en het een IT only show is.

Dat is dan ook een recept voor failure. Je moet de organisatie altijd betrekken wil je dit soort veranderingen succesvol geimplenteerd krijgen.

[Davidas]

TheVMaster schreef op woensdag 25 juni 2025 @ 13:37:
[...]


Dat is dan ook een recept voor failure. Je moet de organisatie altijd betrekken wil je dit soort veranderingen succesvol geimplenteerd krijgen.

Exact, bijvoorbeeld demo's geven, verschillende pilot fases doorlopen en procedures beschikbaar stellen zijn ontzettend belangrijk.

[HKLM_]

TheVMaster schreef op woensdag 25 juni 2025 @ 13:37:
[...]


Dat is dan ook een recept voor failure. Je moet de organisatie altijd betrekken wil je dit soort veranderingen succesvol geimplenteerd krijgen.

Ja dat bedoel ik

[DDX]

Is er een manier om sync te forceren van een (windows) laptop zodat een intune/autopilot reset sneller gedaan wordt ?
Ik heb nu 2 uur geleden reset device aangevraagd via de intune portal maar de laptop staat ondertussen nogsteeds op inlogscherm.
Uiteindelijk gaat de laptop wel resetten, maar soms is het wel handig als je een laptop die ingeleverd wordt sneller kan resetten.

[tiguan]

@DDX Ik doe zelf altijd een reset vanuit Windows zelf, als je er zelf fysiek bij kan tenminste.

[TheVMaster]

DDX schreef op woensdag 25 juni 2025 @ 15:01:
Is er een manier om sync te forceren van een (windows) laptop zodat een intune/autopilot reset sneller gedaan wordt ?
Ik heb nu 2 uur geleden reset device aangevraagd via de intune portal maar de laptop staat ondertussen nogsteeds op inlogscherm.
Uiteindelijk gaat de laptop wel resetten, maar soms is het wel handig als je een laptop die ingeleverd wordt sneller kan resetten.

Soms helpt het herstarten van de machine...bij mij werkt dat eigenlijk in 9 van de 10x.

[m0nk]

DDX schreef op woensdag 25 juni 2025 @ 15:01:
Is er een manier om sync te forceren van een (windows) laptop zodat een intune/autopilot reset sneller gedaan wordt ?
Ik heb nu 2 uur geleden reset device aangevraagd via de intune portal maar de laptop staat ondertussen nogsteeds op inlogscherm.
Uiteindelijk gaat de laptop wel resetten, maar soms is het wel handig als je een laptop die ingeleverd wordt sneller kan resetten.

Soms gaan ze bij ons als ik in de bedrijfsportaal/companyportal een sync forceer.. Maar meestal is het random..

[DDX]

Herstart had ik al meteen gedaan ja, maar geen effect nog.
Naja morgenochtend zal die wel gereset zijn....

[DDX]

tiguan schreef op woensdag 25 juni 2025 @ 15:11:
@DDX Ik doe zelf altijd een reset vanuit Windows zelf, als je er zelf fysiek bij kan tenminste.

Zou ik kunnen doen via laps login ja.

[tiguan]

Je hoeft niet per se in te loggen. Je kan een reset ook vanuit het recovery menu starten. Hier kom je door het device te herstarten met de SHIFT knop ingedrukt bijvoorbeeld.

[HKLM_]

DDX schreef op woensdag 25 juni 2025 @ 15:01:
Is er een manier om sync te forceren van een (windows) laptop zodat een intune/autopilot reset sneller gedaan wordt ?
Ik heb nu 2 uur geleden reset device aangevraagd via de intune portal maar de laptop staat ondertussen nogsteeds op inlogscherm.
Uiteindelijk gaat de laptop wel resetten, maar soms is het wel handig als je een laptop die ingeleverd wordt sneller kan resetten.

Reboot en bidden

[pjlgt]

Zou er gewoon een usb stick in frotten en even snel een herinstall doen. Maar heb dan ook geen geduld.

[Gr4mpyC3t]

kromme schreef op woensdag 25 juni 2025 @ 12:59:
[...]


Klopt, en een gedeelte hou je zelf in stand. Ik snap het zeker allemaal. Maar zoals ik zeg de praktijk is vaak lastiger omdat de dag toch door gaat.

Daar heb ik overigens echt wel begrip voor. Het is vanaf de zijlijn makkelijk roepen, maar dat gebeurt niet zonder reden. In de praktijk groeit jouw frustratie alleen maar, en uiteindelijk schiet niemand daar iets mee op.

Zoals @Blokker_1999 al aangaf: er zijn hier genoeg Tweakers met tips en tricks om hiermee om te gaan. Laat het vooral weten als je daar behoefte aan hebt.

Microsoft Intune is een middel, geen doel op zich.

[HKLM_]

pjlgt schreef op woensdag 25 juni 2025 @ 16:14:
Zou er gewoon een usb stick in frotten en even snel een herinstall doen. Maar heb dan ook geen geduld.

OSDcloud booten en gaan inderdaad

[Quad]

OSDCloud snap ik de ballen van. Heb een stick met een ISO, maar het is veel langzamer dan de MS ISO op USB te hebben en die te installeren.

[HKLM_]

Quad schreef op woensdag 25 juni 2025 @ 19:33:
OSDCloud snap ik de ballen van. Heb een stick met een ISO, maar het is veel langzamer dan de MS ISO op USB te hebben en die te installeren.

Het is even puzzelen maar als je de commando’s hebt bouw je zo een bootable PE waarmee je de laatste windows versie icl drivers binnen hark, gelijk updates installeert ook defender en eventueel hem registreert in autopilot als dat nog nodig is.

Maar wen gewone windows usb stick werkt ook

[ Voor 4% gewijzigd door HKLM_ op 25-06-2025 19:37 ]

[Quad]

Dan doet het bij mij iets niet goed denk ik, drivers installeert het wel, maar Windows updates blijven achter.

Autopilot registratie is overbodig, we hebben hiervoor CIPP (wat super werkt tegenwoordig).

Maar mijn probleem met Osdcloud is dat er een basis gedocumenteerd is, maar voor de rest qua documentatie nul ontwikkeling meer in zit.

En elke keer de ISO updaten na een aanpassing kost ook > 15 minuten doordat drivers niet persistent worden opgeslagen en je elke keer -Clouddriver * parameter mee moet geven.

Mocht jij de commando met Windows updates erbij werkend hebben, ontvang ik graag je DM uiteraard.

[Blokker_1999]

Ik doe het nog handmatig, de drivers integreren, omdat ik liever enkel het minimale erin steek. Wat echt nodig is om vertrokken te geraken. Alle andere driver zooi wordt tijdens/vlak na installatie wel van het internet gedownload.

[xven0mxz]

Quad schreef op woensdag 25 juni 2025 @ 19:41:
Dan doet het bij mij iets niet goed denk ik, drivers installeert het wel, maar Windows updates blijven achter.

Autopilot registratie is overbodig, we hebben hiervoor CIPP (wat super werkt tegenwoordig).

Maar mijn probleem met Osdcloud is dat er een basis gedocumenteerd is, maar voor de rest qua documentatie nul ontwikkeling meer in zit.

En elke keer de ISO updaten na een aanpassing kost ook > 15 minuten doordat drivers niet persistent worden opgeslagen en je elke keer -Clouddriver * parameter mee moet geven.

Mocht jij de commando met Windows updates erbij werkend hebben, ontvang ik graag je DM uiteraard.

OSDCloud zit juist heel veel ontwikkeling nog in. David en co. Zijn bezig met versie 2.0. Drivers etc worden nog wel geupdate voor OSDCloud 1.0 maar verder wordt die nu momenteel niet meer doorontwikkeld.

[Blokker_1999]

HKLM_ schreef op woensdag 25 juni 2025 @ 13:13:
[...]


Ik heb dat ondertussen zo vaak gehoord"de organisatie is er niet klaar voor" Mensen zijn digibeet. 9/10 keer worden mensen dom gehouden omdat adoptie faalt en het een IT only show is.

En er is zeker altijd wel een gebruiker linksom of rechtsom die niet meekan, maar we onderschatten vaak wat mensen kunnen doen, zeker met een beetje goede documentatie en, wanneer noodzakelijk, een helpende hand die bereikbaar is.

Onze gebruikers zijn niet dom. Zij doen vaak werk waar wij niet eens aan zouden durven beginnen. We mogen hen dan zeker ook nooit als dom bestempellen. Op die ene idioot na die je in elke firma wel weer ziet terugkeren en die dagelijks minstens 2 ticketen aanmaakt anders is zijn dag niet goed.

Maar net zoals ik geen olie kan verversen op mijn wagen of een naald in een persoon zijn lichaam kan steken, al durft dat bij verpleegsters ook wel eens misgaan , moeten we beseffen dat deze mensen een andere skillset hebben en dat we instructies kunnen geven en schrijven op maat van deze mensen. Voldoende om 99% van hen te helpen, zonder hen het gevoel te geven dat ze dom of digibeet zijn.

Zoals eerder aangehaald, de gebruikerservaring is voor mij belangrijk. Ik wordt kwaad op mijn collega's als ik weer eens iemand zie die met zijn telefoon een foto heeft gemaakt van zijn scherm om dat zo in de documentatie te kleven. Zelfs voor onze iPhones te onboarden aanvaard ik dat niet meer daar heel dat process netjes gecaptured kan worden met een USB-C naar HDMI omzetter en een capture device. Nu hen nog aanleren van aspect ratio's te respecteren op hun screenshots

Maar bedenk dat ondanks dat ik in een bedrijf werk waar software ontwikkeld wordt, wij heel veel mensen hebben die ook niets van computers kennen. Denk aan receptie, HR, finance, legal, marketing, business development, management, ... . En zelfs sommige developers, die een kleine minderheid vormen in de onderneming, zijn echt niet allemaal zo begaan met de ins en outs van hoe hun besturingssysteem werkt. Net zoals wij niet enorm veel kaas gegeten hebben van software ontwikkeling hebben zij maar een beperkte kennis van systeembeheer.

Wil je verandering doorvoeren in een onderneming dan mag het inderdaad geen IT only show zijn waarbij je met IT alles voorbereid en dan op een dag tegen heel de firma zegt: en vanaf morgen werken we allemaal op Linux ipv Windows, vanacht formatteren we alle systemen. Je moet mensen vroeg genoeg bewust maken van de verandering, hen beginnen informeren over waarom die veranding goed is, zodat er bij mensen ook een verlangen ontstaat naar die verandering. Op tijd de nodige informatie en trainingen organiseren zodat ze de nodige kennis hebben om er mee om te gaan. En indien nodig ook na de go-live blijven herhalen waarom je nu beter af bent dan voorheen.

Toen we nog Windows 10 deployden was een gebruiker op enkele minuten weg met zijn/haar laptop. Je logt aan, er wordt een script gedraaid waarop je je username nog even moet bevestigen zodat we wat dingen goed zetten in de achtergrond en klaar. Dat hadden we vervangen door het AP process waarbij we initieel de user fase niet oversloegen en mensen al snel een half uur aan het wachten waren om hen daarna door de nieuwe Windows te loodsen met de Company Portal, opzetten van hun BitLocker PIN en zo verder. Een grote verandering, maar op geen enkel moment hebben we een pushback vanuit management gekregen net omdat we daar goed hebben uitgelegd van waarom deze verandering noodzakelijk is. En de meeste gebruikers hadden wel interesse in een omschakelin naar Windows 11, dus die maakten er ook geen probleem van. Dat wachten deden ze uiteindelijk toch op kosten van de baas .

En de volgende stappen worden ook weer leuk, en zijn we nu ook al de eerste zaadjes aan het planten. Van hybrid naar Entra ID joined, Windows Hello, Credential Guard, ...

[Gr4mpyC3t]

Blokker_1999 schreef op woensdag 25 juni 2025 @ 20:59:
En er is zeker altijd wel een gebruiker linksom of rechtsom die niet meekan, maar we onderschatten vaak wat mensen kunnen doen, zeker met een beetje goede documentatie en, wanneer noodzakelijk, een helpende hand die bereikbaar is.

Onze gebruikers zijn niet dom. Zij doen vaak werk waar wij niet eens aan zouden durven beginnen. We mogen hen dan zeker ook nooit als dom bestempellen. Op die ene idioot na die je in elke firma wel weer ziet terugkeren en die dagelijks minstens 2 ticketen aanmaakt anders is zijn dag niet goed.

Maar net zoals ik geen olie kan verversen op mijn wagen of een naald in een persoon zijn lichaam kan steken, al durft dat bij verpleegsters ook wel eens misgaan , moeten we beseffen dat deze mensen een andere skillset hebben en dat we instructies kunnen geven en schrijven op maat van deze mensen. Voldoende om 99% van hen te helpen, zonder hen het gevoel te geven dat ze dom of digibeet zijn.

In het vetgedrukte zit een beetje de crux van dit soort projecten. Vanuit de IT-context zie je vaak dat veel mensen in ons vakgebied denken te weten wat goed of niet goed is voor de gebruiker. Het gevolg is dat er een soort werkplek wordt gebouwd waarin van alles niet mag, omdat gebruikers vaak worden bestempeld als dom of niet capabel genoeg.

Die werkplek is dan gebouwd door een IT'er die (zoals je zelf al aanhaalt) vaak geen flauw benul heeft van wat deze gebruikers dagelijks doen. Als je er objectief naar kijkt, ben je dus eigenlijk niet in staat om voor een ander te bepalen hoe die moet werken op een digitale werkplek.

Daarom zweer ik er (net als jij) bij dat een gebruiker zélf moet kunnen kiezen welke applicaties nodig zijn en hoe die digitale omgeving wordt ingericht. Vanuit een beheerperspectief mag je best een voorzetje doen, maar laat gebruikers het vooral aanpassen als ze iets anders willen.

Dus in die zin: helemaal eens. Gebruikers zijn niet dom of incapabel, je moet ze simpelweg geen digitale werkomgeving opleggen door de bril van een IT-expert. Maar ja, ik zie nogal eens wat ego's voorbij komen die het daar absoluut niet mee eens zijn.

[Hero of Time]

DDX schreef op woensdag 25 juni 2025 @ 15:19:
Herstart had ik al meteen gedaan ja, maar geen effect nog.
Naja morgenochtend zal die wel gereset zijn....

Mijn ervaring is dat de wipe/reset redelijk snel, binnen 15 minuten, wel start. Doet 'ie dat niet, dan inloggen en via Instellingen of CP syncen. Gaat het dan na 5 minuten nog niet, herstart en even wachten.

Ik heb een keer gehad met een systeem dat gewoon verbonden was en al na de opdracht op het inlogscherm met rust werd gelaten, na 3 uur nog geen reset had gedaan. Toen ik inlogde had ik niet eens de mogelijkheid om wat anders te doen en ging het gelijk aan de slag.

Heb ook eens vanuit Windows zelf een reset gestart, maar had het idee dat de herinstallatie die wordt uitgevoerd langer duurde dan via remote wipe.

[nextware]

Iemand al ervaring met die Windows Update -> Driver update policy in Intune ? We hebben dit vrijdag opgezet volgens de handleidingen van Microsoft maar het syncen duurt allemachtig lang en er worden geen drivers weergegeven..

[HKLM_]

nextware schreef op donderdag 26 juni 2025 @ 07:09:
Iemand al ervaring met die Windows Update -> Driver update policy in Intune ? We hebben dit vrijdag opgezet volgens de handleidingen van Microsoft maar het syncen duurt allemachtig lang en er worden geen drivers weergegeven..

Ja regelmatig gebruikt, hoe heb je dit opgezet maak je gebruik van autopatch groups?

Je diagnostic data policy staat ook goed?

[ Voor 5% gewijzigd door HKLM_ op 26-06-2025 07:19 ]

[nextware]

HKLM_ schreef op donderdag 26 juni 2025 @ 07:18:
[...]


Ja regelmatig gebruikt, hoe heb je dit opgezet maak je gebruik van autopatch groups?

Je diagnostic data policy staat ook goed?

Diagnostic data policy staat goed ingesteld (tijdje terug al ingesteld).
AutoPatch groepen hebben we (nog) niet.. Begreep dat die geen requirement zijn hiervoor ?

[HKLM_]

nextware schreef op donderdag 26 juni 2025 @ 07:36:
[...]


Diagnostic data policy staat goed ingesteld (tijdje terug al ingesteld).
AutoPatch groepen hebben we (nog) niet.. Begreep dat die geen requirement zijn hiervoor ?

Heb je ook een Data Collection policy van na de microsoft wijziging van maart 2025?

https://wolkenman.wordpre...w-data-collection-policy/

[ Voor 13% gewijzigd door HKLM_ op 26-06-2025 07:40 ]

[nextware]

HKLM_ schreef op donderdag 26 juni 2025 @ 07:40:
[...]


Heb je ook een Data Collection policy van na de microsoft wijziging van maart 2025?

https://wolkenman.wordpre...w-data-collection-policy/

We hebben (hadden) wel Telemetry enabled. Deze policy was nog niet aanwezig. Heb 'm net aangemaakt en toegevoegd op de groep devices waarmee we aan het testen zijn. Nu ook AutoPatch groep aangemaakt. Deze staat nu als "Active" en ik zie deze binnen de Driver Update policy ook vermeld staan.

Hopelijk vandaag / morgen resultaat

[ Voor 10% gewijzigd door nextware op 26-06-2025 08:04 ]

[Blokker_1999]

Hier gebruiken we die driver updates volop om dat wat meer onder controle te houden. We willen echt niet zomaar alles laten installeren wat fabrikanten aanbevelen.

Let op dat er dus 2 categorieen van drivers zijn. De aanbevolen drivers vanuit fabrikanten, en deze kan je automatisch laten goedkeuren en de optionele drivers die altijd handmatig goedgekeurd moeten worden.

Na het aanzetten kan het wel even duren voordat er driver updates te voorschijn komen, want je apparaten moeten uiteraard nieuwere drivers nodig hebben dan wat ze vandaag hebben voordat deze kunnen verschijnen.

[DDX]

Nou vanacht heeft de laptop een reset poging gedaan;

There was a problem resetting your PC. No changes were made. (met mooie cancel button, volgens mij zou een ok logischer zijn)

En reset via recovery console (met shift booten) wilt een bitlocker key weten, geen zin om die in te tikken.
Goed dan maar ouderwets reinstall.

[ Voor 20% gewijzigd door DDX op 26-06-2025 09:59 ]

[TheVMaster]

Quad schreef op woensdag 25 juni 2025 @ 19:33:
OSDCloud snap ik de ballen van. Heb een stick met een ISO, maar het is veel langzamer dan de MS ISO op USB te hebben en die te installeren.

Ik ook. Waarom is er niet een partij die gewoon een MDT clone maakt

[xven0mxz]

TheVMaster schreef op donderdag 26 juni 2025 @ 10:40:
[...]


Ik ook. Waarom is er niet een partij die gewoon een MDT clone maakt

Die zijn er zeker

https://2pintsoftware.com/products/deployr

[TheVMaster]

xven0mxz schreef op donderdag 26 juni 2025 @ 11:01:
[...]


Die zijn er zeker

https://2pintsoftware.com/products/deployr

Zie ik nou gewoon de naam van mr. MDT erbij staan? Wel jammer dat het een betaald product is…

[xven0mxz]

TheVMaster schreef op donderdag 26 juni 2025 @ 12:51:
[...]


Zie ik nou gewoon de naam van mr. MDT erbij staan? Wel jammer dat het een betaald product is…

Klopt! Die heeft dit opgezet onder de naam van 2pint. Aantal demo's gehad en ziet er heel nice uit. Er komt wel een gratis community versie wat ik begreep. Verder was het voor ons ook te prijzig.

[ralpje]

TheVMaster schreef op donderdag 26 juni 2025 @ 12:51:
[...]


Zie ik nou gewoon de naam van mr. MDT erbij staan? Wel jammer dat het een betaald product is…

Michael moet ook gewoon z'n hypotheek blijven betalen he

[TheVMaster]

ralpje schreef op donderdag 26 juni 2025 @ 13:07:
[...]


Michael moet ook gewoon z'n hypotheek blijven betalen he

Die heeft zijn schaapjes toch allang op het droge mag ik hopen.

[TheVMaster]

xven0mxz schreef op donderdag 26 juni 2025 @ 12:52:
[...]


Klopt! Die heeft dit opgezet onder de naam van 2pint. Aantal demo's gehad en ziet er heel nice uit. Er komt wel een gratis community versie wat ik begreep. Verder was het voor ons ook te prijzig.

Daar hoopte ik al op. Ga wel eens ff een paar video's bekijken....

[nextware]

nextware schreef op donderdag 26 juni 2025 @ 07:46:
[...]


We hebben (hadden) wel Telemetry enabled. Deze policy was nog niet aanwezig. Heb 'm net aangemaakt en toegevoegd op de groep devices waarmee we aan het testen zijn. Nu ook AutoPatch groep aangemaakt. Deze staat nu als "Active" en ik zie deze binnen de Driver Update policy ook vermeld staan.

Hopelijk vandaag / morgen resultaat

Vanmorgen even snel gekeken en zag wat drivers voorbij komen. Wat Intel drivers mbt netwerk en Bluetooth. Echter geen displaydriver.. Ondanks dat mijn laptop toch Arc drivers heeft uit oktober 2024 en Intel al nieuwe drivers heeft staan op hun website. Wordt een topic om toch even dieper op in te duiken..

[Gr4mpyC3t]

nextware schreef op vrijdag 27 juni 2025 @ 07:54:
[...]


Vanmorgen even snel gekeken en zag wat drivers voorbij komen. Wat Intel drivers mbt netwerk en Bluetooth. Echter geen displaydriver.. Ondanks dat mijn laptop toch Arc drivers heeft uit oktober 2024 en Intel al nieuwe drivers heeft staan op hun website. Wordt een topic om toch even dieper op in te duiken..

Waar kijkt Autopatch eigenlijk naar? Is dat de database van Microsoft zelf?

[Blokker_1999]

Lijkt mij wel, de drivers die gewoon in Windows Update zitten. Nu zie ik zelf ook maar ongeveer 1% van onze devices melden dat ze een recente Intel Displaydriver wensen te installeren:


Geen idee waarom andere devices deze niet komen opvragen. En zie dat bij meerdere drivers. Ondanks dat we een redelijk homogeen laptop park hebben, elk jaar een nieuw model in 2 formaten, blijft het mij verbazen hoeveel systeemdrivers De belangrijkste vraag wordt dan al snel: is de rapportering foutief? Of werkt de detectie van Microsoft niet goed? Want waar we wel inzicht hebben in de updates van Windows zelf, heb je geen enkel inzicht in de driver updates, en ook veel minder controle.