Microsoft Intune ervaringentopic

[Davidas]

HKLM_ schreef op woensdag 16 juli 2025 @ 10:02:
[...]


Ik doe meestal een regkey meegegeven als check.

En haal je deze met een script eruit of heb je hier een andere werkwijze voor?

[Quad]

detectiescript op installatielocatie/versienummer van .exe.
Registercheck op uninstalllocatie.

[HKLM_]

Davidas schreef op woensdag 16 juli 2025 @ 10:04:
[...]

En haal je deze met een script eruit of heb je hier een andere werkwijze voor?

Ik installeer de software vaak eerst in een sandbox of vm en dan zoek ik zelf even in het register naar de keys

[Gr4mpyC3t]

HKLM_ schreef op woensdag 16 juli 2025 @ 11:11:
[...]


Ik installeer de software vaak eerst in een sandbox of vm en dan zoek ik zelf even in het register naar de keys

Vroeger was je Koning in het land der blinden als je ieder softwarepakket kon installeren én detecteren d.m.v. de meest obscure registersleutels. Ik mis de SCCM-tijden nog steeds.

[Davidas]

HKLM_ schreef op woensdag 16 juli 2025 @ 11:11:
[...]


Ik installeer de software vaak eerst in een sandbox of vm en dan zoek ik zelf even in het register naar de keys

Thanks, heb een template gemaakt voor het creëren van een detectiescript per app, dit is een voorbeeld voor RStudio Desktop:

## Check for RStudio Desktop (Registry Detection Method)
$RStudio = Get-ChildItem -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall","HKLM:\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall" | Get-ItemProperty | Where-Object {$_.DisplayName -like 'RStudio*' } | Select-Object -Property DisplayName, DisplayVersion, PSChildName
$RStudio.DisplayVersion
$RStudio.PSChildName

## Create Text File with RStudio Registry Detection Method
$FilePath = "C:\Windows\Temp\RStudio_Detection_Method.txt"
New-Item -Path "$FilePath" -Force
Set-Content -Path "$FilePath" -Value "If([Version](Get-ItemPropertyValue -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\$($RStudio.PSChildName)','HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\$($RStudio.PSChildName)' -Name DisplayVersion -ea SilentlyContinue) -ge '$($RStudio.DisplayVersion)') {"
Add-Content -Path "$FilePath" -Value "Write-Host `"Installed`""
Add-Content -Path "$FilePath" -Value "}"
Invoke-Item $FilePath

[pstalman]

Davidas schreef op woensdag 16 juli 2025 @ 09:58:
Ik ben aan het spelen met Supersedence, als ik een Win32 app vervang wat een MSI is van origine dan controleer ik op MSI product code. Ik ben alleen benieuwd welke detectie jullie meegeven met een .exe installatie.

Zoals hierboven werd gemeld, een eigen custom regkey of de Uninstall string info uit het register.

Verder zijn er zoveel mogelijkheden, bijv een bestand in je Win32 app wat een versie nummer bijhoudt, maar ook Fileversion van de Exe zou kunnen of iets anders unieks kan gebruikt worden voor de check.
Zolang het maar iets is wat gewjzigd wordt bij de installatie van de update

[Hero of Time]

Davidas schreef op woensdag 16 juli 2025 @ 09:58:
Ik ben aan het spelen met Supersedence, als ik een Win32 app vervang wat een MSI is van origine dan controleer ik op MSI product code. Ik ben alleen benieuwd welke detectie jullie meegeven met een .exe installatie.

Ik heb voor onze Notepad++ package de versie string in de detectie staan. Dus iets als dit:
Rule Type: File
Path: C:\Program Files\Notepad++
File or folder: Notepad++.exe
Detection method: String comparison
Operator: Equals
Value: <het versienummer van de eigenschappen van de .exe, 8.8.3.0 voor de meest recente>

Hiermee heb ik uiteindelijk netjes de versies automatisch bijgewerkt zien worden als auto-update wordt aangezet. Zorg wel dat je alle versies van je packages hiermee uitvoert, als je eerste alleen staat op 'file exists', dan zal het niet automatisch gaan bijwerken naar nieuwere versies en kan het zelfs denken dat de nieuwe én oude erop staan omdat beide detecties voldoen.

Je hoeft dus niet altijd met detectiescripts te werken.

[Quad]

Over het copilotsecurity in Intune; volgens deze berekening kost één intune gebruiker je bijna 9k dollar per maand: https://securitycopilot.microsoft.com/calculator

[HKLM_]

Quad schreef op donderdag 17 juli 2025 @ 11:05:
Over het copilotsecurity in Intune; volgens deze berekening kost één intune gebruiker je bijna 9k dollar per maand: https://securitycopilot.microsoft.com/calculator

Afhankelijk van de hoeveelheid SCU en of je overschrijding toestaat of niet. Het kost nog steed $4 per CSU per uur. (3K per maand) Met 1 CSU kan je redelijk uit de voeten voor de basis Intune AI shizzel die ze nu hebben.

[Quad]

Nog steeds heel veel geld. En ik ben totaal niet die doelgroep van deze toepassing.

Hopelijk is dit niet ergens per ongeluk te activeren.

[HKLM_]

Quad schreef op donderdag 17 juli 2025 @ 11:29:
Nog steeds heel veel geld. En ik ben totaal niet die doelgroep van deze toepassing.

Hopelijk is dit niet ergens per ongeluk te activeren.

Je moet SecCopilot specifiek in Azure aanmaken als resource dus per-ongeluk activeren is er niet bij.
Ik gebruik het zelf op & af, zo maandagavond even toegevoegd, de Entra Agent mijn conditional access laten checken en vervolgens weer uit gezet na twee uutjes. Kosten iets meer dan 8 euro. Maar weer nu wel waar volgens Microsoft caps zitten in mijn CA ontwerp.

[Quad]

Klinkt wel mooi inderdaad. Maar heb je zulke uitgebreide CA policies?

[HKLM_]

Quad schreef op donderdag 17 juli 2025 @ 13:50:
Klinkt wel mooi inderdaad. Maar heb je zulke uitgebreide CA policies?

Ik maak gebruik van een persona gebaseerd framework (Global, Admins, Medewerkers, Guests / External) zijn eigenlijk altijd mijn standaard persona's. En afhankelijk van de organisatie kunnen er meer bij komen. Momenteel heeft mijn baseline 31 conditional access policys over deze persona's heen.

[Blokker_1999]

Hoe gaan jullie om met BIOS updates? Vertrouwen jullie die gewoon toe aan AutoPatch (en wat dan met automatische reboots)? Gebruiken jullie de Company Portal voor self service? Zijn er andere, betere manieren?

[HKLM_]

Blokker_1999 schreef op vrijdag 18 juli 2025 @ 14:19:
Hoe gaan jullie om met BIOS updates? Vertrouwen jullie die gewoon toe aan AutoPatch (en wat dan met automatische reboots)? Gebruiken jullie de Company Portal voor self service? Zijn er andere, betere manieren?

Hangt van het merk af, ik heb een klant die heeft lenovo daar doen ze het met een stukje software van lenovo waarbij de ADMX files van lenovo zijn ingesteld om die software te managen. Ik heb ook wel eens de in Intune ingebouwde dell optie gebruikt met de dell software welke het bios password naar het Entra ID device object kan schrijven soort LAPS voor je bios

Standaard laat ik het eigenlijk over aan Autopatch inderdaad tot nu toe gaat dit eigenlijk prima, zelker als je je ringen een beetje op orde hebt. Je kan tegenwoordig per update type bepalen of die mee gaat in een ring en voor drivers heb ik laats een apparte deployment rings en distributions ingericht. Zo heb ik er meer controlle over zonder dat deze de andere updates raakt.

[ Voor 8% gewijzigd door HKLM_ op 18-07-2025 15:04 ]

[Blokker_1999]

Grote pprobleem dat ik heb is dat we niet zomaar alle recommended drivers goedkeuren. Daar zit alsnog te veel rommel in die je simpelweg niet nodig hebt en niet wenst op een PC. Microsoft zou dat eigenlijk moeten verbieden. Een driver hoort gewoon de basics te zijn die nodig is om een apparaat te laten werken en niet meer dan dat. Dan had ik er zelf ook geen probleem mee gehad.

En dat betekend dan weer dat alles in de ringen gooien enorm veel werk is. Mijn testring bestaat wel voor driver updates, en dat is inderdaad met automatische goedkeuring, maar de rest zit allemaal in 1 groep waarbij de datum dat ik drivers vrijgeef gelijk is aan de datum waarop Windows zijn updates installeert zodat 90% van mijn gebruikers hopelijk alles in 1 keer binnen krijgt en ook maar 1 keer moet herstarten.

Want dat is natuurlijk de andere ergernis met driverupdates automatisch goedkeuren. Het kan zijn dat je gebruikers meerdere keren in 1 week een melding krijgen dat ze moeten herstarten. En er zijn bij ons gebruikers die dat echt niet waarderen.

[Quad]

Wat doen die gebruikers dan? Pc aan laten of in standby zetten?

[HKLM_]

Voor wie MCC heeft uitgerold in de preview fase sinds gisteren is MCC GA met HTTPS ondersteuning.

Wel moet je je preview client migreren naar de GA client.

https://techcommunity.mic...nerally-available/4432150

[marcop82]

Hoe gaan jullie om met aanpassingen bij boot/logon op devices of user profiles die je op een klassieke AD omgeving met scripts oploste ? Denk aan Powershell scripts. Ik heb dit bij Platform Scripts veelal ondergebracht maar als er iets regelmatig moet runnen, gaat dat daar niet werken. Of een script gebruiken om een lokaal script via Task Scheduler te voorzien ?

[HKLM_]

marcop82 schreef op donderdag 24 juli 2025 @ 14:04:
Hoe gaan jullie om met aanpassingen bij boot/logon op devices of user profiles die je op een klassieke AD omgeving met scripts oploste ? Denk aan Powershell scripts. Ik heb dit bij Platform Scripts veelal ondergebracht maar als er iets regelmatig moet runnen, gaat dat daar niet werken. Of een script gebruiken om een lokaal script via Task Scheduler te voorzien ?

Remediation scripts gebruiken of een packages maken met een scriptje erin welke een task aanmaakt ik de task scheduler. Maar liever doe ik dat niet eigenlijk.

[Blokker_1999]

HKLM_ schreef op donderdag 24 juli 2025 @ 08:42:
Voor wie MCC heeft uitgerold in de preview fase sinds gisteren is MCC GA met HTTPS ondersteuning.

Wel moet je je preview client migreren naar de GA client.

https://techcommunity.mic...nerally-available/4432150

Verdomme, moet ik weer tijd gaan zoeken om die ondingen te migreren.

[HKLM_]

Blokker_1999 schreef op donderdag 24 juli 2025 @ 14:58:
[...]

Verdomme, moet ik weer tijd gaan zoeken om die ondingen te migreren.

Haha ja dat weet je wel een beetje als je iets in preview draait he, voordeel is dat de nieuwe verdie HTTPS ondersteund in Intune en nu ook iets kan met DO van Teams!

[marcop82]

HKLM_ schreef op donderdag 24 juli 2025 @ 14:58:
[...]


Remediation scripts gebruiken of een packages maken met een scriptje erin welke een task aanmaakt ik de task scheduler. Maar liever doe ik dat niet eigenlijk.

Remediation scripts vereisen E3 of hoger, we hebben helaas Business Premium

[Drardollan]

HKLM_ schreef op donderdag 24 juli 2025 @ 14:58:
[...]


Remediation scripts gebruiken of een packages maken met een scriptje erin welke een task aanmaakt ik de task scheduler. Maar liever doe ik dat niet eigenlijk.

Het is absurd dat dit buiten BP valt

[HKLM_]

Drardollan schreef op donderdag 24 juli 2025 @ 18:00:
[...]

Het is absurd dat dit buiten BP valt

Daar ben ik het wel mee eens.

[xven0mxz]

Aantal leuke toevoegingen.

MacOS LAPS is toegevoegd


En quick recovery is toegevoegd


En nog meer updates! https://techcommunity.mic...-intune-july-2025/4435146

[ Voor 9% gewijzigd door xven0mxz op 24-07-2025 20:18 ]

[Blokker_1999]

HKLM_ schreef op donderdag 24 juli 2025 @ 15:41:
[...]


Haha ja dat weet je wel een beetje als je iets in preview draait he, voordeel is dat de nieuwe verdie HTTPS ondersteund in Intune en nu ook iets kan met DO van Teams!

Zuct ... Microsoft. Probeer vandaag mijn eerste node te upgraden:

Faal: je moet Hyper-V aanzetten, voer dit commando uit.

Je voert dat uit, herstart de machine en ...

Faal: je moet Hyper-V aanzetten, voer dit commando uit.

Verdomme, dat heb ik net gedaan . Hopsakee, de documentatie zoeken. Ja, je moet tijdens de install de Powershell Hyper-V management tools op je systeem hebben. Die staan er dus niet op. Even via server manager eropzetten.

Opnieuw proberen:

faal, je hebt minstens xxx GB nodig om te installeren en je hebt maar xxGB.

Dat klopt, het is verdorie een upgrade!

[Blokker_1999]

Gisteren 1 node geupgrade, vandaag 4 van mijn 5 nodes down, waaronder de net geupgrade node . What the f*** did MS do this time?

In Azure zie ik dat de node die ik gisteren geupgrade had ook weer rapporteert van versie 1.2.1 te zijn ipv 2.0 zoals ik gisteren wel kon zien.

En de wsl service? Die lijkt gewoon te draaien, al lijkt deze dan wel weer te kweken als konijnen op de 3 oude, falende nodes. Daar gaat mijn dinsdag

--edit--

En op Woensdag is alles weer op. Tijdens het herinstalleren van de net geherinstalleerde node merkte ik dat het probleem gewoon zat bij het proberen te bereiken van een endpoint aan de kant van Azure. Dus als MS een probleem heeft met de control plane, dan gaan je nodes gewoon neer. Prachtig ...

[ Voor 26% gewijzigd door Blokker_1999 op 06-08-2025 08:05 ]

[kromme]

Hier hebben ze een surface ter test met een snapdragon. Die gaat dus retour. Wat een ellende is dat met inrichten.

[Blokker_1999]

@kromme Welke problemen heb je dan? (en ja, ik typ dit vanop een Surface Laptop 7 die geboot is in een omgeving die door Intune beheerd wordt).



Je gaat even moeten oppassen met de apps die je installeert. Niet alles zal werken. Maar dat had je vooraf moeten uitzoeken uiteraard. Zo kan ik onze antivirus niet installeren en moet ik aan ons netwerk team een geupdate VPN client vragen telkens die een versiebump krijgt omdat ons VPN portaal enkel x86/x64/mac versies geeft. En gelukkig heeft MS recent de optie aan Intune toegevoegd van arm64 aan de target platformen. Voorheen viel dat gewoon onder x64 .

[TheVMaster]

kromme schreef op woensdag 6 augustus 2025 @ 08:52:
Hier hebben ze een surface ter test met een snapdragon. Die gaat dus retour. Wat een ellende is dat met inrichten.

Hoezo? Heb er hier 3-4 ter test gebruikt bij de klant (verschillende varianten ook) en eh...geen enkel issue? Waar loop je tegenaan? Vanzelfsprekend hier alleen MS AV en VPN clients gebruikt dus dat soort issues zie ik hier niet...ohw en native Entra ID joined natuurlijk

[ Voor 23% gewijzigd door TheVMaster op 06-08-2025 09:12 ]

[ZeRoC00L]

Ja, bijzonder dat je reageert dat een surface niet werkt.
Welke applicaties loop je tegenaan?

Begin van het jaar een klant gemigreerd naar 100 surface laptops met ARM, en werkt prima. In het begin was er nog geen forticlient, maar die is iets daarna uitgekomen en kon de (tijdelijke) AOVPN weer ontmanteld worden. Alleen printen moet je wel even kijken of daarvoor drivers zijn.

[TheVMaster]

ZeRoC00L schreef op woensdag 6 augustus 2025 @ 09:13:
Ja, bijzonder dat je reageert dat een surface niet werkt.
Welke applicaties loop je tegenaan?

Begin van het jaar een klant gemigreerd naar 100 surface laptops met ARM, en werkt prima. In het begin was er nog geen forticlient, maar die is iets daarna uitgekomen en kon de (tijdelijke) AOVPN weer ontmanteld worden. Alleen printen moet je wel even kijken of daarvoor drivers zijn.

Of gewoon niet meer printen Nee, ff serieus. Kan me voorstellen dat je bij bestaande (oudere) printers misschien issues zou kunnen krijgen, al kun je natuurlijk vaak wel de 'standaard' drivers gebruiken met beperkingen.

[HKLM_]

kromme schreef op woensdag 6 augustus 2025 @ 08:52:
Hier hebben ze een surface ter test met een snapdragon. Die gaat dus retour. Wat een ellende is dat met inrichten.

Waar loop je tegenaan? Ik merk juist dat ARM momenteel best goed gaat met Intune

[xven0mxz]

Blokker_1999 schreef op dinsdag 5 augustus 2025 @ 09:42:
Gisteren 1 node geupgrade, vandaag 4 van mijn 5 nodes down, waaronder de net geupgrade node . What the f*** did MS do this time?

In Azure zie ik dat de node die ik gisteren geupgrade had ook weer rapporteert van versie 1.2.1 te zijn ipv 2.0 zoals ik gisteren wel kon zien.

En de wsl service? Die lijkt gewoon te draaien, al lijkt deze dan wel weer te kweken als konijnen op de 3 oude, falende nodes. Daar gaat mijn dinsdag

--edit--

En op Woensdag is alles weer op. Tijdens het herinstalleren van de net geherinstalleerde node merkte ik dat het probleem gewoon zat bij het proberen te bereiken van een endpoint aan de kant van Azure. Dus als MS een probleem heeft met de control plane, dan gaan je nodes gewoon neer. Prachtig ...

Goed dat je het zegt. Hier gelijk ook even gedaan. Ging vrij soepel. Alles ziet er goed uit. Even afwachten hoe de dag verloopt maar verwacht verder geen issues.

Wel linux hosted.

[Blokker_1999]

xven0mxz schreef op woensdag 6 augustus 2025 @ 09:44:
[...]


Goed dat je het zegt. Hier gelijk ook even gedaan. Ging vrij soepel. Alles ziet er goed uit. Even afwachten hoe de dag verloopt maar verwacht verder geen issues.

Wel linux hosted.

Gisteren lijkt gewoon een storing geweest te zijn op het control plane bij MS, net omdat dus op 1 na al mijn nodes getroffen waren. Zelf herinstalleer ik gewoon de volledige servers voor de upgrade, waarbij ik moet zeggen dat de installatie zelf zeer vlot gaat met de nieuwe scripts. Onder andere geholpen doordar er niet langer een noodzaak is om te testen of deze aan de xbox site kan . Maandag duurde het ongeveer 20 minuutjes van begin tot einde voor mijn eerste node.

De reden voor een herinstallatie is zodat ik de vhdx met de cachedata nu eenvoudig naar een andere harde schijf kan brengen. We houden bij ons de C: schijf graag zo leeg mogelijk, in de basis enkel voor het OS, maar de preview versie kon je niet direct op een andere locatie installeren. Met een herinstall van het OS kan ik dat nu wel netjes doen en heb ik daarna een kleinere C-schijf over, wat positief is wanneer je HDDs niet thin provisioned zijn.

[kromme]

Blokker_1999 schreef op woensdag 6 augustus 2025 @ 09:08:
@kromme Welke problemen heb je dan? (en ja, ik typ dit vanop een Surface Laptop 7 die geboot is in een omgeving die door Intune beheerd wordt).

[Afbeelding]

Je gaat even moeten oppassen met de apps die je installeert. Niet alles zal werken. Maar dat had je vooraf moeten uitzoeken uiteraard. Zo kan ik onze antivirus niet installeren en moet ik aan ons netwerk team een geupdate VPN client vragen telkens die een versiebump krijgt omdat ons VPN portaal enkel x86/x64/mac versies geeft. En gelukkig heeft MS recent de optie aan Intune toegevoegd van arm64 aan de target platformen. Voorheen viel dat gewoon onder x64 .

Hoe doe je een verse install van zo een machine? en dan echt een verse install van w11. dus niet wat er default op staat.

[Blokker_1999]

kromme schreef op woensdag 6 augustus 2025 @ 11:58:
[...]


Hoe doe je een verse install van zo een machine? en dan echt een verse install van w11. dus niet wat er default op staat.

Je kan gewoon een ISO downloaden van de website van Microsoft. Let wel op, zoals gebruikelijk, ontbreken er netwerk drivers . Heb ik dit weekend zelf nog mogen ervaren bij een herinstall van deze install.

https://www.microsoft.com...e-download/windows11arm64

En die kan je op je gebruikelijke manier verder gebruiken. Wil je customizen, op een USB stick zetten of toch PXE booten? Gaat allemaal zoals je gewoon bent.

[TheVMaster]

kromme schreef op woensdag 6 augustus 2025 @ 11:58:
[...]


Hoe doe je een verse install van zo een machine? en dan echt een verse install van w11. dus niet wat er default op staat.

Gewoon een reset vanaf Intune, hoe (en waarom) zou je dat anders willen doen?

[Blokker_1999]

TheVMaster schreef op woensdag 6 augustus 2025 @ 12:28:
[...]


Gewoon een reset vanaf Intune, hoe (en waarom) zou je dat anders willen doen?

Op een Surface zou dat inderdaad niet moeten standaard. Daar staat eigenlijk geen crapware op voorgeinstalleerd (op de Surface app na, maar die komt via Windows Update toch weer binnen).

Een reset vanaf Intune vereist dat je een Entra ID joined apparaat hebt. Als dit hybrid joined is, dan kan dat niet en moet je een andere manier zoeken voor de reset.

Natuurlijk kan het wel zijn dat ze deployments aan het uittesten zijn en dan gewoon vers willen starten enkele keren om te zien of de aanpassingen die ze maken ook correct werken. Al zou ik dan liever gewoon een VM opstarten die je met een checkpoint weer snel terug kunt zetten. Gaat allesinds sneller dan herinstalleren

[ralpje]

Blokker_1999 schreef op woensdag 6 augustus 2025 @ 12:45:
[...]

Een reset vanaf Intune vereist dat je een Entra ID joined apparaat hebt. Als dit hybrid joined is, dan kan dat niet en moet je een andere manier zoeken voor de reset.

Een autopilot reset inderdaad niet, maar een wipe kan gewoon vanaf Intune.

Natuurlijk kan het wel zijn dat ze deployments aan het uittesten zijn en dan gewoon vers willen starten enkele keren om te zien of de aanpassingen die ze maken ook correct werken. Al zou ik dan liever gewoon een VM opstarten die je met een checkpoint weer snel terug kunt zetten. Gaat allesinds sneller dan herinstalleren

En dit kan dus prima met een wipe

[ZeRoC00L]

Blokker_1999 schreef op woensdag 6 augustus 2025 @ 12:05:
[...]


Je kan gewoon een ISO downloaden van de website van Microsoft. Let wel op, zoals gebruikelijk, ontbreken er netwerk drivers . Heb ik dit weekend zelf nog mogen ervaren bij een herinstall van deze install.

https://www.microsoft.com...e-download/windows11arm64

En die kan je op je gebruikelijke manier verder gebruiken. Wil je customizen, op een USB stick zetten of toch PXE booten? Gaat allemaal zoals je gewoon bent.

Logisch dat de drivers voor de Surface hardware ontbreken, want die download is ook niet voor een recovery van een Surface. Daarvoor zijn andere downloads beschikbaar....

Deze is voor:

This option is for users that want to create a Windows 11 on Arm virtual machine

[kromme]

Ik zie net dat mijn collega het device al retour gestuurd heeft. Ik hou het even in de gaten voor de toekomst.
Ik heb hem zelf trouwens niet kunnen testen, alleen de bevindingen van collega gekregen dat het inrichten niet ging.

[Blokker_1999]

ZeRoC00L schreef op woensdag 6 augustus 2025 @ 12:58:
[...]

Logisch dat de drivers voor de Surface hardware ontbreken, want die download is ook niet voor een recovery van een Surface. Daarvoor zijn andere downloads beschikbaar....

Deze is voor:


[...]

Heb al te vaak gezien dat recovery media hetzelfde issue heeft maar dan met bijkomende rommel in de image die je niet wenst.

[HKLM_]

kromme schreef op woensdag 6 augustus 2025 @ 13:00:
Ik zie net dat mijn collega het device al retour gestuurd heeft. Ik hou het even in de gaten voor de toekomst.
Ik heb hem zelf trouwens niet kunnen testen, alleen de bevindingen van collega gekregen dat het inrichten niet ging.

Wel zonde natuurlijk dat een collega met niet de juiste kennis aannames doet en daarmee het "project" sluit en ding gewoon terug stuurt onder het mom het inrichten gaat niet met Intune.... terwijl dit gewoon mogelijk is als je weet wat je aan het doen bent.

[TheVMaster]

kromme schreef op woensdag 6 augustus 2025 @ 13:00:
Ik zie net dat mijn collega het device al retour gestuurd heeft. Ik hou het even in de gaten voor de toekomst.
Ik heb hem zelf trouwens niet kunnen testen, alleen de bevindingen van collega gekregen dat het inrichten niet ging.

Je collega had hier ook kunnen posten en erachter kunnen komen dt het wel kon, beetje gek dat hij het apparaat dan maar retour stuurt. Of is hij geen fan van ARM devices? 😊

[Blokker_1999]

Ik zie het wel vaker. Je staat ergens mogelijks al negatief tegenover vanwege wat je allemaal online al gelezen hebt, begint dan met een POC, ook al met tegenzin omdat je "weet" dat het niet gaat werken, en elke tegenslag die je tegenkomt versterkt alleen maar dat gevoel.

Ik heb dan vaak weer het omgekeerde probleem. Ergens direct induiken zonder goed te beseffen waar ik aan begin. Al moet ik zeggen dat met de Hyper-V testen die we begin dit jaar deden toch ook wel moeite had om er positieve elementen uit te halen.

[TheVMaster]

Blokker_1999 schreef op woensdag 6 augustus 2025 @ 15:00:
Ik zie het wel vaker. Je staat ergens mogelijks al negatief tegenover vanwege wat je allemaal online al gelezen hebt, begint dan met een POC, ook al met tegenzin omdat je "weet" dat het niet gaat werken, en elke tegenslag die je tegenkomt versterkt alleen maar dat gevoel.

Ik heb dan vaak weer het omgekeerde probleem. Ergens direct induiken zonder goed te beseffen waar ik aan begin. Al moet ik zeggen dat met de Hyper-V testen die we begin dit jaar deden toch ook wel moeite had om er positieve elementen uit te halen.

Ik ook hoor, snap het nooit zo goed. Waarom doe je het dan, laat het dan aan een collega over die er wel energie van krijgt en het leuk vindt.

[HKLM_]

Blokker_1999 schreef op woensdag 6 augustus 2025 @ 10:20:
[...]

Gisteren lijkt gewoon een storing geweest te zijn op het control plane bij MS, net omdat dus op 1 na al mijn nodes getroffen waren. Zelf herinstalleer ik gewoon de volledige servers voor de upgrade, waarbij ik moet zeggen dat de installatie zelf zeer vlot gaat met de nieuwe scripts. Onder andere geholpen doordar er niet langer een noodzaak is om te testen of deze aan de xbox site kan . Maandag duurde het ongeveer 20 minuutjes van begin tot einde voor mijn eerste node.

De reden voor een herinstallatie is zodat ik de vhdx met de cachedata nu eenvoudig naar een andere harde schijf kan brengen. We houden bij ons de C: schijf graag zo leeg mogelijk, in de basis enkel voor het OS, maar de preview versie kon je niet direct op een andere locatie installeren. Met een herinstall van het OS kan ik dat nu wel netjes doen en heb ik daarna een kleinere C-schijf over, wat positief is wanneer je HDDs niet thin provisioned zijn.

Merk je een verschil nu HTTPS ook ondersteund is in MCC? Ik moet nog even tijd vinden om mijn MCC thuis te upgraden maar het ziet er wel veelbelovend uit i.i.g

[ Voor 4% gewijzigd door HKLM_ op 06-08-2025 19:35 ]

[Blokker_1999]

HKLM_ schreef op woensdag 6 augustus 2025 @ 19:34:
[...]


Merk je een verschil nu HTTPS ook ondersteund is in MCC? Ik moet nog even tijd vinden om mijn MCC thuis te upgraden maar het ziet er wel veelbelovend uit i.i.g

Die staat nog niet op, op dit moment. Eerst gewoon de upgrade afronden en daarna bijkomende functionaliteit opzetten. Al verwacht ik niet veel verschil te zien daar HTTPS op dit moment blijkbaar primair voor Teams gebruikt wordt. En dan moet ik zelfs maar de vraag stellen of dat wel zo wenselijk is, want behalve voor client updates zie ik niet direct in waarom je content van Teams zou cachen.

[nextware]

Afgelopen weken een kleine 200 devices zonder enig probleem via Intune kunnen upgraden van Win 10 naar Win 11 via de Feature-Update Rings. Hieronder verschillende varianten van MS Surface devices (laptops 3 tot laptops 6).

Maar één device wil gewoon niet upgraden. Dat ding haalt de Windows 11 update niet binnen (Laptop 3). Logging van de ManagementExtension nagekeken; staat niks vreemds in. Zelfs al in de test groep gehangen waarmee 24H2 wordt binnengehaald incl. diverse andere zaken (losse feature update ring) maar ook daarbij krijgt de laptop de update niet aangeboden. Snap er werkelijk gewoon helemaal niks van.

Geef het vandaag en morgen nog even de tijd en anders vraag ik een nieuwe laptop aan voor die gebruiker.

[HKLM_]

Blokker_1999 schreef op donderdag 7 augustus 2025 @ 07:22:
[...]

Die staat nog niet op, op dit moment. Eerst gewoon de upgrade afronden en daarna bijkomende functionaliteit opzetten. Al verwacht ik niet veel verschil te zien daar HTTPS op dit moment blijkbaar primair voor Teams gebruikt wordt. En dan moet ik zelfs maar de vraag stellen of dat wel zo wenselijk is, want behalve voor client updates zie ik niet direct in waarom je content van Teams zou cachen.

Ik zie het inderdaad, dacht dat het er al was maar vanaf 6 november 2025 gaat Microsoft HTTPS only enforcen voor de delivery van managed win32 applicaties.

Wat betreft Teams content data met MCC denk ik dat het ook voornamelijk om de teams apps gaat uit de store maar dat zou ik ook eens moeten testen eigenlijk.

[ Voor 10% gewijzigd door HKLM_ op 07-08-2025 08:42 ]

[HKLM_]

nextware schreef op donderdag 7 augustus 2025 @ 08:11:
Afgelopen weken een kleine 200 devices zonder enig probleem via Intune kunnen upgraden van Win 10 naar Win 11 via de Feature-Update Rings. Hieronder verschillende varianten van MS Surface devices (laptops 3 tot laptops 6).

Maar één device wil gewoon niet upgraden. Dat ding haalt de Windows 11 update niet binnen (Laptop 3). Logging van de ManagementExtension nagekeken; staat niks vreemds in. Zelfs al in de test groep gehangen waarmee 24H2 wordt binnengehaald incl. diverse andere zaken (losse feature update ring) maar ook daarbij krijgt de laptop de update niet aangeboden. Snap er werkelijk gewoon helemaal niks van.

Geef het vandaag en morgen nog even de tijd en anders vraag ik een nieuwe laptop aan voor die gebruiker.

Wij hebben dat ook gehad met een device, voldoet aan alle eisen etc maar de upgraden ho maar. Uiteindelijk geprobeerd het device handmatig te upgraden en ook daar failde die op een of andere error (weet niet meer welke) uiteindelijk een swap gedaan was sneller inderdaad.

Ik heb mij gisteren zitten verdiepen in het Windows 10 ESU program aangezien het nog spannend gaat worden of bepaalde factory machines optijd naar windows 11 over zijn

[ Voor 7% gewijzigd door HKLM_ op 07-08-2025 08:49 ]

[Bartosy]

nextware schreef op donderdag 7 augustus 2025 @ 08:11:
Afgelopen weken een kleine 200 devices zonder enig probleem via Intune kunnen upgraden van Win 10 naar Win 11 via de Feature-Update Rings. Hieronder verschillende varianten van MS Surface devices (laptops 3 tot laptops 6).

Maar één device wil gewoon niet upgraden. Dat ding haalt de Windows 11 update niet binnen (Laptop 3). Logging van de ManagementExtension nagekeken; staat niks vreemds in. Zelfs al in de test groep gehangen waarmee 24H2 wordt binnengehaald incl. diverse andere zaken (losse feature update ring) maar ook daarbij krijgt de laptop de update niet aangeboden. Snap er werkelijk gewoon helemaal niks van.

Geef het vandaag en morgen nog even de tijd en anders vraag ik een nieuwe laptop aan voor die gebruiker.

misschien in plaats van een upgrade de hele laptop opnieuw inspoelen(inclusief partities verwijderen) met een windows 11 usb stick ? Dan gewoon even opnieuw aanmelden met de gebruiker en het autopilot proces doorlopen. ik snap dat je dat niet voor 200 laptops wilt doen maar eentje is wel te doen denk ik.

[nextware]

Bartosy schreef op donderdag 7 augustus 2025 @ 08:50:
[...]


misschien in plaats van een upgrade de hele laptop opnieuw inspoelen(inclusief partities verwijderen) met een windows 11 usb stick ? Dan gewoon even opnieuw aanmelden met de gebruiker en het autopilot proces doorlopen. ik snap dat je dat niet voor 200 laptops wilt doen maar eentje is wel te doen denk ik.

Ik denk dat het uiteindelijk hier ook wel op zal uitdraaien. De laptop is ook al ruim 4 jaar oud dus wellicht maar vervanging aanvragen. Al is de techneut in mij wel nieuwsgierig waarom die update maar niet binnenkomt..

[Blokker_1999]

nextware schreef op donderdag 7 augustus 2025 @ 08:57:
[...]


Ik denk dat het uiteindelijk hier ook wel op zal uitdraaien. De laptop is ook al ruim 4 jaar oud dus wellicht maar vervanging aanvragen. Al is de techneut in mij wel nieuwsgierig waarom die update maar niet binnenkomt..

Ik wou dat ik voor zoiets zelfs maar de tijd had om in te duiken. Heb hier aan onze client support aangegeven dat als iets op 1 apparaat voorkomt, niet te veel tijd insteken en desnoods gewoon herinstalleren. Als er een tweede geval is, kan het al interessant beginnen worden om er meer aandacht aan te besteden en vanaf een derde op korte tijd zitten we mogelijks met een groter probleem en moeten we echt wel een oorzaak en oplossing vinden.

[Hero of Time]

nextware schreef op donderdag 7 augustus 2025 @ 08:57:
[...]

Ik denk dat het uiteindelijk hier ook wel op zal uitdraaien. De laptop is ook al ruim 4 jaar oud dus wellicht maar vervanging aanvragen. Al is de techneut in mij wel nieuwsgierig waarom die update maar niet binnenkomt..

Kan al een verouderde driver zijn, stuk software dat vergeten is, of gewoon MS fuckery en is er geen reden maar weigert het gewoon.

[Jamyhollaar]

Please open your own new topic, regarding your problem. It sounds like a generic, non Intune related issue.

Please be aware that this is a dutch forum. Besides language it's important to clearly state what options you allready tried, in order to solve your issue.

[ Voor 88% gewijzigd door Question Mark op 11-08-2025 10:54 ]

[Blokker_1999]

HKLM_ schreef op woensdag 6 augustus 2025 @ 19:34:
[...]


Merk je een verschil nu HTTPS ook ondersteund is in MCC? Ik moet nog even tijd vinden om mijn MCC thuis te upgraden maar het ziet er wel veelbelovend uit i.i.g

Vandaag even de documentatie gelezen en ook willen uitproberen. Op mijn eerste node faalt gewoon het genereren van de CSR ... . En daar het een WSL container is kan ik niet eens aan de logfile

Ook spijtig dat men nog niet in een optie voorzien heeft om dit certificaat via bijvoorbeeld ACME op te halen. Heel de web infra gaat naar kort levende certificaten, en dan lanceert MS nu nog iets dat met CSRs werkt die je handmatig moet aanmaken en verwerken om je certificaat te verkrijgen en te installeren. Natuurlijk kan je dat allemaal ook weer gaan scripten, maar het lijkt me zoveel interessanter om gewoon met de tijd mee te gaan.

[HKLM_]

Blokker_1999 schreef op vrijdag 8 augustus 2025 @ 11:43:
[...]

Vandaag even de documentatie gelezen en ook willen uitproberen. Op mijn eerste node faalt gewoon het genereren van de CSR ... . En daar het een WSL container is kan ik niet eens aan de logfile

Ook spijtig dat men nog niet in een optie voorzien heeft om dit certificaat via bijvoorbeeld ACME op te halen. Heel de web infra gaat naar kort levende certificaten, en dan lanceert MS nu nog iets dat met CSRs werkt die je handmatig moet aanmaken en verwerken om je certificaat te verkrijgen en te installeren. Natuurlijk kan je dat allemaal ook weer gaan scripten, maar het lijkt me zoveel interessanter om gewoon met de tijd mee te gaan.

Ik heb contact gehad met de product manager en ze zijn dit aan het onderzoeken net als Cloud PKI support. Het team is redelijk klein en ze moeten voor de HTTPS force van Intune ondersteuning hebben begreep ik.

[Blokker_1999]

Hey, now I know someone who knows someone

--edit--

En voor hen die bijvoorbeeld bestanden willen bekijken in de container, je kan met een kleine omweg commando's uitvoeren in je WSL container:

code:

Start-Process -FilePath "wsl.exe" -credential $credential -ArgumentList "-d Ubuntu-24.04-Mcc -- cat /var/mcc/certs/logs/GenerateCsr_20250808_011319.log"  -RedirectStandardOutput "e:\outfile.txt"

En dan zie ik dat die wel degelijk de CSR heeft aangemaakt, het is pas na generatie van de CSR dat het misloopt, maar geen idee of dat een probleem op de host of de wsl instance is.

[ Voor 86% gewijzigd door Blokker_1999 op 08-08-2025 13:17 ]

[Blokker_1999]

Hmm, krijg hier klachten van mensen dat er bij hen Credential Guard aan staat, ga kijken in mijn configuratieprofielen en zie dat ik daar expliciet Credential Guard uitzet op dit moment. Ga ik de status navragen van getroffen systemen dan zegt Intune ook gewoon dat de policy correct is toegepast.

Iemand een idee hoe het dan toch kan dat Credential Guard aan staat?

En neen, ik heb geen nood aan waarom je het beter wel aan kunt zetten. Als ik kon, dan zou ik het ook aanzetten voor iedereen, maar dat is een gevecht voor een andere keer.

[HKLM_]

Plan for Change: Windows quality updates during the out-of-box experience

Beginning with the September 2025 Windows security update, quality updates will get installed by default during the out-of-box experience (OOBE) for devices that are on Windows 11, version 22H2 or later.

Een configuratie setting komt beschikbaar binnen de ESP settings.

Staat in het message center: https://admin.microsoft.c...nter/:/messages/MC1134168

[ Voor 8% gewijzigd door HKLM_ op 13-08-2025 10:11 ]

[Quad]

Kijk aan, hele goede toevoeging dat dit beheerd wordt.

[HKLM_]

Quad schreef op woensdag 13 augustus 2025 @ 10:13:
Kijk aan, hele goede toevoeging dat dit beheerd wordt.

Ze hebben her in Windows 11 22H2 rereleased maar heel snel terug getrokken omdat het niet te managen was en de Update rings niet werden gerespecteerd... dit hebben ze nu gefixt

[xven0mxz]

HKLM_ schreef op woensdag 13 augustus 2025 @ 10:11:
Plan for Change: Windows quality updates during the out-of-box experience

Beginning with the September 2025 Windows security update, quality updates will get installed by default during the out-of-box experience (OOBE) for devices that are on Windows 11, version 22H2 or later.

Een configuratie setting komt beschikbaar binnen de ESP settings.

Staat in het message center: https://admin.microsoft.c...nter/:/messages/MC1134168

Grappig..

Als ik nu een device met de laatste iso opnieuw inspoel dan krijg ik deze updates al. Of ieder geval het ESP scherm.

[Blokker_1999]

Wat ik me nog altijd afvraag: wanneer tijdens de ESP gebeurt dit? Tijdens welke fase? En wat als je met AutoPilot aan preprovisioning doet?

Leuk dat het eindelijk komt, en leuk dat ze nu zeggen: pas je documentatie maar aan en bereid je maar voor. Maar ik mis nog altijd de documentatie van hun kant.

Want ik moet weer een balans gaan vinden tussen wat mijn CISO wenst en wat mijn support team aan beperkte tijd krijgt om gebruikers te onboarden.

[HKLM_]

Blokker_1999 schreef op woensdag 13 augustus 2025 @ 19:13:
Wat ik me nog altijd afvraag: wanneer tijdens de ESP gebeurt dit? Tijdens welke fase? En wat als je met AutoPilot aan preprovisioning doet?

Leuk dat het eindelijk komt, en leuk dat ze nu zeggen: pas je documentatie maar aan en bereid je maar voor. Maar ik mis nog altijd de documentatie van hun kant.

Want ik moet weer een balans gaan vinden tussen wat mijn CISO wenst en wat mijn support team aan beperkte tijd krijgt om gebruikers te onboarden.

Ze hebben eerder dit gecommuniceerd, er komt 20 minuten bij is de verwachting.

This change will help ensure devices in your organization are secure out of the box by getting the quality update at the end of their out-of-box experience. It can take an average of 20 minutes though the download and installation time will depend on the size of the update, the user's network conditions, and the hardware capabilities of the device.

De blog van laatst maakt het wel wat duidelijker https://techcommunity.mic...of-box-experience/4374291

[ Voor 8% gewijzigd door HKLM_ op 13-08-2025 19:42 ]

[Blokker_1999]

Maar daar staat niet waar het in de flow zal plaatsvinden. Dit wordt dus weer maar uitzetten vanaf dag 1 en dan maar zelf weer gaan testen. En dat is dan weer spijtig, want MS weet perfect hoe alles werkt en kan de verschillende scenario's even in documentatie zetten zodat we ons op voorhand kunnen voorbereiden en mogelijks vanaf dag 1 er in productie mee aan de slag kunnen zonder dat we zelf weer tijd moeten gaan zoeken om uit te vissen hoe het werkt.

En dat voor iets wat ze een jaar terug al wensten te introduceren.

[Quad]

Waarom uitzetten? Je kan ook gewoon doen alsof je neus bloed en mee laten gaan in het proces. Waarom moet je CISO er wat van vinden als je deployments 20 minuten langer duren? Jouw collega's kunnen al die tijd prima andere dingen doen dan naar een scherm staren.

Ik zie geen problemen, eerder een plus voor je SO want een werkplek wordt managed uitgeleverd met de laatste CU.

Zolang je er geen verminderd risico aan ziet, heeft je CISO er niets mee te maken.

[ Voor 10% gewijzigd door Quad op 13-08-2025 20:21 ]

[HKLM_]

Quad schreef op woensdag 13 augustus 2025 @ 20:20:
Waarom uitzetten? Je kan ook gewoon doen alsof je neus bloed en mee laten gaan in het proces. Waarom moet je CISO er wat van vinden als je deployments 20 minuten langer duren? Jouw collega's kunnen al die tijd prima andere dingen doen dan naar een scherm staren.

Ik zie geen problemen, eerder een plus voor je SO want een werkplek wordt managed uitgeleverd met de laatste CU.

Zolang je er geen verminderd risico aan ziet, heeft je CISO er niets mee te maken.

Juist omdat het matcht met je update policy zie ik juist ook voordelen in. Een device is up-to-date bij uitgifte en daardoor direct minder kwetsbaar.

[Quad]

Precies, er is géén reden om het negatief te bekijken imo.

[FREAKJAM]

Blokker_1999 schreef op dinsdag 12 augustus 2025 @ 16:34:
Hmm, krijg hier klachten van mensen dat er bij hen Credential Guard aan staat, ga kijken in mijn configuratieprofielen en zie dat ik daar expliciet Credential Guard uitzet op dit moment. Ga ik de status navragen van getroffen systemen dan zegt Intune ook gewoon dat de policy correct is toegepast.

Iemand een idee hoe het dan toch kan dat Credential Guard aan staat?

En neen, ik heb geen nood aan waarom je het beter wel aan kunt zetten. Als ik kon, dan zou ik het ook aanzetten voor iedereen, maar dat is een gevecht voor een andere keer.

Hoezo krijg je eigenlijk klachten van mensen - wat merken zij dan? En waarom zou je het uit zetten?

[HKLM_]

@Blokker_1999 Leevoer voor je, Rudy heeft een tweetal blogs geschreven over de update met oobe functie.

Windows Quality Updates during the out-of-box experience
https://patchmypc.com/blo...box-experience-autopilot/

Quality Updates during OOBE: How Deferral Really Works
https://patchtuesday.com/...-oobe-how-deferral-works/

[nextware]

Voor de medebeheerders die gisteren hebben gemerkt dat Compliance policies niet worden getoond in het "Device Compliance" overzicht onder een device:

Hello,

Hope all is great!
The issue has been repeatedly reported yesterday, as it's been escalated to higher engineer for further investigation, and the fix is supposed to be pushed for the affected tenants.

Wij hadden hier dus last van. Als we een device bekeken werden er onder "Device Compliance" geen compliance policies getoond. In het overview werd er wel getoond dat een device compliant (of niet) is.
Wordt dus binnenkort opgelost door Microsoft.

[HKLM_]

nextware schreef op woensdag 20 augustus 2025 @ 10:49:
Voor de medebeheerders die gisteren hebben gemerkt dat Compliance policies niet worden getoond in het "Device Compliance" overzicht onder een device:


[...]


Wij hadden hier dus last van. Als we een device bekeken werden er onder "Device Compliance" geen compliance policies getoond. In het overview werd er wel getoond dat een device compliant (of niet) is.
Wordt dus binnenkort opgelost door Microsoft.

Hu ik heb hier helemaal geen last van (of ze hebben het gefixt)

[Davidas]

nextware schreef op woensdag 20 augustus 2025 @ 10:49:
Voor de medebeheerders die gisteren hebben gemerkt dat Compliance policies niet worden getoond in het "Device Compliance" overzicht onder een device:


[...]


Wij hadden hier dus last van. Als we een device bekeken werden er onder "Device Compliance" geen compliance policies getoond. In het overview werd er wel getoond dat een device compliant (of niet) is.
Wordt dus binnenkort opgelost door Microsoft.

Ook geen last van, ben de afgelopen dagen best veel bezig geweest met deze service.

[asing]

Voor degenen die Ninite nog kennen, ze hebben nu Intune integratie!

https://ninite.com/nintune/

[akimosan]

Nice, gebruikte de freeware ninite installer vroeger veel in privé situaties maar daarna vervangen met https://ruckzuck.tools en daarna winget icm winget-autoupdate

En in Intune nu https://robopack.com+patch flows wat ook best goed werkt

[Drardollan]

Gekke vraag, maar hoe gaan jullie om met leenmachines en Intune?

Stukje achtergrond: ik heb 2 leenlaptops liggen op kantoor om bij problemen snel te kunnen schakelen, ook als ik niet aanwezig ben. Deze machines zijn middels een GPO zo ingesteld dat Outlook geen cache gebruikt en dat het profiel van de user na 2 weken verwijderd wordt inclusief data.

Situatie: ik ben alle laptops aan het migreren naar Intune en wil straks graag nog steeds 2 leenlaptops hebben. De instellingen van de profielen verwijderen en Outlook zonder cache moeten wel lukken, maar hoe melden jullie de machines aan binnen Intune? Ze hebben geen vaste gebruiker tenslotte. Op basis van de gebruiker die straks inlogt is er wel een Intune licentie beschikbaar en zou dus alles beschikbaar moeten zijn.

De manier hoe ik denk dat ik het moet oplossen is deze laptops aanmelden met mijn eigen account in de eerste instantie. Daarmee word ik binnen Intune de "eigenaar", wat voor zover ik weet verder geen grote toegevoegde waarde heeft anders dan dat ik ze dan kan wissen (wat ik als admin natuurlijk sowieso al kon) en ze bij mijn totale aantal devices meetellen.

Ben wel benieuwd hoe jullie dat oplossen.

[ZeRoC00L]

Shared devices van maken, dan worden profielen ook verwijderd na x dagen.

[Drardollan]

ZeRoC00L schreef op donderdag 21 augustus 2025 @ 13:10:
Shared devices van maken, dan worden profielen ook verwijderd na x dagen.

Dat is een voor mij nieuwe term. Heb je toevallig een stukje documentatie in gedachten? Anders ga ik daar van de week even naar opzoek.

Ik ken wel de Intune P1 licenties, maar die zijn puur bedoeld voor kiosk-achtige oplossingen waarbij er ook een deel van de policies niet uitgevoerd wordt op het device. Maar die bedoel je denk ik niet?

[ZeRoC00L]

https://learn.microsoft.c...r-device-settings-windows

[Drardollan]

Dank je wel, duidelijk verhaal. Ga ermee aan de slag!

[D_Jeff]

ZeRoC00L schreef op donderdag 21 augustus 2025 @ 13:10:
Shared devices van maken, dan worden profielen ook verwijderd na x dagen.

Is dat de nieuwe benaming voor Multi-user-Device? (in Autopilot had je altijd 2 keuzes: Multi-user of User-driven)

[HKLM_]

D_Jeff schreef op donderdag 21 augustus 2025 @ 13:40:
[...]

Is dat de nieuwe benaming voor Multi-user-Device? (in Autopilot had je altijd 2 keuzes: Multi-user of User-driven)

Ben je niet in de war met self-deploying mode in autopilot?
Voor Shared device configuraties is het geen watt @ZeRoC00L beschijft de way to go.

@Drardollan Mocht je WHFB gaan inzetten in je organisatie of passwordloos gaan. Kijk dan goed naar je shared devices want WHFB met PIN is niet supported op shared devices ivm beperkingen in de opslag van de TPM chip. Ga je passwordless dan zou je web signing voor de shared devices kunnen aanbieden bijvoorbeeld.

[Blokker_1999]

Hoewel we ze opzetteng als shared device, gaan we ze alsnog na elk gebruik proberen te wissen. Gebruikers hebben de slechte gewoonte van data buiten hun profiel op te slaan en voor je het weet zit je met een security incident omdat bijv iemand van HR een vertrouwelijk document op de root van de C: schijf heeft geplaatst per ongeluk en een ander het heeft kunnen inzien.

[HKLM_]

Blokker_1999 schreef op donderdag 21 augustus 2025 @ 16:32:
Hoewel we ze opzetteng als shared device, gaan we ze alsnog na elk gebruik proberen te wissen. Gebruikers hebben de slechte gewoonte van data buiten hun profiel op te slaan en voor je het weet zit je met een security incident omdat bijv iemand van HR een vertrouwelijk document op de root van de C: schijf heeft geplaatst per ongeluk en een ander het heeft kunnen inzien.

Ik snap je gedachtegang maar dat kan je met die shared device policy en nog wat andere policies goed dichtzetten.

[Drardollan]

HKLM_ schreef op donderdag 21 augustus 2025 @ 14:44:
[...]
@Drardollan Mocht je WHFB gaan inzetten in je organisatie of passwordloos gaan. Kijk dan goed naar je shared devices want WHFB met PIN is niet supported op shared devices ivm beperkingen in de opslag van de TPM chip. Ga je passwordless dan zou je web signing voor de shared devices kunnen aanbieden bijvoorbeeld.

Vooralsnog niet, kan in de omgeving ook niet op dit moment. Zit nog een On-Prem AD achter met wat schijven binnen het kantoornetwerk. Als je WHfB gaat gebruiken dan worden die schijven een hele uitdaging heb ik gemerkt, als je de PC lockt-unlockt gaan je credentials de mist in.

Voor nu staat het uit, in de toekomst wellicht aan. Dan ga ik dit meenemen!

[HKLM_]

Drardollan schreef op donderdag 21 augustus 2025 @ 18:46:
[...]

Vooralsnog niet, kan in de omgeving ook niet op dit moment. Zit nog een On-Prem AD achter met wat schijven binnen het kantoornetwerk. Als je WHfB gaat gebruiken dan worden die schijven een hele uitdaging heb ik gemerkt, als je de PC lockt-unlockt gaan je credentials de mist in.

Voor nu staat het uit, in de toekomst wellicht aan. Dan ga ik dit meenemen!

WHFB met on-prem schijven kan heel goed je moet allen wel je cloud kerberos configureren

[ReZpie]

Inderdaad, kijk even naar cloud kerberos. Dat is best makkelijk op te zetten en ik heb het inmiddels al 2 jaar draaien. En veel collega's hier zijn inmiddels hun paswoord vergeten. Daar ben ik blij mee

[Blokker_1999]

HKLM_ schreef op donderdag 21 augustus 2025 @ 18:52:
[...]


WHFB met on-prem schijven kan heel goed je moet allen wel je cloud kerberos configureren

Was er ook geen tweede optie naast cloud kerberos? Ik zou zelfs al niet meer weten hoe ik de POC voor mezelf 3 jaar terug heb opgezet, maar heb in die 3 jaar eigenlijk nog nooit problemen gehad met WhfB om aan onze interne fileshares te kunnen.

[ZeRoC00L]

Key trust, daarvoor is een PKI en ADFS omgeving nodig, en Certificate Trust, daarvoor moet een PKI omgeving actief zijn, dus de benodigdheden qua servers/rollen is een stuk hoger.
Cloud trust is daarom ook een stuk simpeler.

[HKLM_]

Blokker_1999 schreef op donderdag 21 augustus 2025 @ 20:22:
[...]

Was er ook geen tweede optie naast cloud kerberos? Ik zou zelfs al niet meer weten hoe ik de POC voor mezelf 3 jaar terug heb opgezet, maar heb in die 3 jaar eigenlijk nog nooit problemen gehad met WhfB om aan onze interne fileshares te kunnen.

Ja klopt, je moet cloud kerberos op je DC’s configureren en configuration profile pushen naar je endpoints en dan ben je er .

[Drardollan]

Nogal veel werk voor schijven (en on-prem) die later dit jaar verdwenen zijn. De belangrijkste en grootste schijf gaat de komende dagen.

Vind WHfB al sowieso niet zo interessant en zie vooralsnog meer nadelen dan voordelen van het gebruik. Daar ga ik dus geen seconde extra tijd of moeite in steken nu. Kan er altijd naar kijken na de gehele migratie of het boeiend is.

[ Voor 13% gewijzigd door Drardollan op 22-08-2025 07:19 ]

[HKLM_]

Drardollan schreef op vrijdag 22 augustus 2025 @ 07:15:
Nogal veel werk voor schijven (en on-prem) die later dit jaar verdwenen zijn. De belangrijkste en grootste schijf gaat de komende dagen.

Vind WHfB al sowieso niet zo interessant en zie vooralsnog meer nadelen dan voordelen van het gebruik. Daar ga ik dus geen seconde extra tijd of moeite in steken nu. Kan er altijd naar kijken na de gehele migratie of het boeiend is.

Oprechte vraag maar waarom vind je WHFB niet interesant en zie je vooralsnog meer nadelen dan voordelen in het gebruik? Wil je niet aanvallen maar WHFB is naar mijn mening juist een verademing voor gebruikers omdat ze dat password niet meer nodig hebben en hoeven te wijzigen.

WHFB Cloud Native i.c.m Multi-Factor Unlock is bijvoorbeeld iets wat ik zelf heel gaaf vind. Het hybride stukje met de file shares hebben ze ook goed gefixt vroeger had je WHFB for On-prem nodig nu kan het met het genoemde Cloud Kerberos wat letterlijk powershell command draaien is + 1 config profile het is echt niet meer dan 15 minuten werk om dat werkend te krijgen.

[ Voor 19% gewijzigd door HKLM_ op 22-08-2025 08:55 ]

[Blokker_1999]

HKLM_ schreef op vrijdag 22 augustus 2025 @ 08:51:
[...]


Oprechte vraag maar waarom vind je WHFB niet interesant en zie je vooralsnog meer nadelen dan voordelen in het gebruik? Wil je niet aanvallen maar WHFB is naar mijn mening juist een verademing voor gebruikers omdat ze dat password niet meer nodig hebben en hoeven te wijzigen.

Je wil niet weten hoe vaak ik nog wachtwoorden ingeef . Passwordless is nog een hele stap verden dan WhfB, maar ik geef je wel gelijk dat het een veradming is. Gewoon even biometric authentication wanneer je wenst aan te melden op je laptop of passkeys wenst te gebruiken bijvoorbeeld. Fallback naar de PIN code wanneer biometrisch niet meewerkt, en ik weet dat veel mensen huiveren bij het horen van PIN code, maar die zouden eens moeten lezen hoe die beschermd wordt.

Net trouwens even nagekeken, en ik heb geen cloud kerberos opgezet

[HKLM_]

Blokker_1999 schreef op vrijdag 22 augustus 2025 @ 08:59:
[...]

Je wil niet weten hoe vaak ik nog wachtwoorden ingeef . Passwordless is nog een hele stap verden dan WhfB, maar ik geef je wel gelijk dat het een veradming is. Gewoon even biometric authentication wanneer je wenst aan te melden op je laptop of passkeys wenst te gebruiken bijvoorbeeld. Fallback naar de PIN code wanneer biometrisch niet meewerkt, en ik weet dat veel mensen huiveren bij het horen van PIN code, maar die zouden eens moeten lezen hoe die beschermd wordt.

Net trouwens even nagekeken, en ik heb geen cloud kerberos opgezet

Eens, het hangt af van bepaalde situaties en omgevingen, als je echt helemaal van je wachtwoord af wilt in wat grotere organisaties of organisaties met windows authenticatie op apps etc moet je dat wel ook omklussen mogelijk. Maar bij 9/10 bedrijven of medewerkers is het gewoon mogelijk het zij met wat effort.

[Drardollan]

HKLM_ schreef op vrijdag 22 augustus 2025 @ 08:51:
[...]


Oprechte vraag maar waarom vind je WHFB niet interesant en zie je vooralsnog meer nadelen dan voordelen in het gebruik? Wil je niet aanvallen maar WHFB is naar mijn mening juist een verademing voor gebruikers omdat ze dat password niet meer nodig hebben en hoeven te wijzigen.

Precies wat je in de tweede regel noemt: gebruikers hebben hun wachtwoord niet meer nodig. Het wijzigen staat hier verder los van en ik zou niet weten waarom je dat eventueel wel of niet meer zou vereisen (gelekte of gekraakte wachtwoorden is en blijft een risico).

Veel gebruikers hebben al moeite om hun wachtwoord tijdens hun 3 weken vakantie te onthouden. Door ze dit helemaal niet meer te laten gebruiken kan je er vergif op innemen dat ze ooit eens bij tante Truus zitten op een vrijdagavond en dat ze dan om 21:30 perse willen inloggen via een browser om even mail te checken of iets dergelijks. Uiteraard net dermate belangrijk dat de toekomst van het hele bedrijf op het spel staat (* volgens de gebruiker die altijd overdrijft). Dus wie wordt er dan gebeld.....

Hoeveel moeite is uiteindelijk een wachtwoord intypen, de meeste gebruikers doen dat 1x per dag als ze de laptop aanslingeren.

Hoewel ik biometrisch inloggen, of middels een korte code gebonden aan een device, zeker geen slechte zaak vind (ik gebruik het zelf privé ook hoor) zie ik meer nadelen dan voordelen vooralsnog.

WHFB Cloud Native i.c.m Multi-Factor Unlock is bijvoorbeeld iets wat ik zelf heel gaaf vind. Het hybride stukje met de file shares hebben ze ook goed gefixt vroeger had je WHFB for On-prem nodig nu kan het met het genoemde Cloud Kerberos wat letterlijk powershell command draaien is + 1 config profile het is echt niet meer dan 15 minuten werk om dat werkend te krijgen.

+ testen, uitzoeken, documenteren en weet ik wat meer. Zonde van mijn tijd, over 4 maanden heb ik geen on-prem omgeving meer.

[Blokker_1999]

Drardollan schreef op vrijdag 22 augustus 2025 @ 09:18:
[...]
Hoeveel moeite is uiteindelijk een wachtwoord intypen, de meeste gebruikers doen dat 1x per dag als ze de laptop aanslingeren.

Daar ga ik dan weer niet mee akkoord. Echt niet. Telkens je wegloopt van je computer moet die op slot in een bedrijfsomgeving. Ga je even naar het toilet? Om koffie? Lunchbreak? Naar een vergadering? Of gewoon even een praatje maken en je laptop springt gewoon op de screensaver? Dan moet die computer gewoon vergrendeld zijn. Ik wil niet weten hoe vaak ik op een dag gewoon mijn eigen laptop ontgrendel.

Als je eind dit jaar niets meer onprem hebt staan begrijp ik heel goed dat je geen tijd wenst te investeren in iets opzetten daarvoor. Ik denk dat niemand van ons daar de tijd voor kan of wil vrijmaken. Maar als dat eenmaal voorbij is, en je geen on-prem resources meer nodig hebt, is dat dan net niet het moment om net te gaan kijken naar moderne manieren van authenticatie?

Ik wou dat ik zelf kon overgaan naar passwordless bijvoorbeeld. Maar wij gaan nog vele jaren vasthangen aan onze on-prem omgeving en de bijhorende wachtwoord authenticatie. Maar als alles in de cloud zit, en alles is bereikbaar met SSO, dan zou ik echt wel overwegen om net wel voor moderne authenticatie te gaan. En als iemand dan op een vrijdagavond zijn mail wenst te controleren op een ander systeem, dan zijn ook daar weer goede oplossingen voor te vinden.