Microsoft Intune ervaringentopic

[Hero of Time]

Heb geen definitieve uitsluitsel gekregen, maar men was iig blij met 1 verandering: niet meer constant vragen om hun wachtwoord. Geen idee in welke context, mogelijk voor updaten. Die heb ik met een DDM config gezet op dat men tot 31 oktober heeft om 15.7 te installeren. Hopelijk houd dat 26 tegen.

[HKLM_]

Windows 11 24H2 is eindelijk beschikbaar als recommended OS in de Windows App selectie.

Bijna een jaar geduurd hahah

[ReZpie]

HKLM_ schreef op vrijdag 26 september 2025 @ 17:39:
Windows 11 24H2 is eindelijk beschikbaar als recommended OS in de Windows App selectie.

Bijna een jaar geduurd hahah

Net nu we 25h2 bijna nodig hebben.

[HKLM_]

ReZpie schreef op vrijdag 26 september 2025 @ 18:52:
[...]

Net nu we 25h2 bijna nodig hebben.

Haha ja dat gaf ik ook terug aan intune support

[Quad]

Hebben we het nodig? Ik draai preview 25H2 maar geen benul wat wezenlijk anders is.

[HKLM_]

Quad schreef op vrijdag 26 september 2025 @ 19:27:
Hebben we het nodig? Ik draai preview 25H2 maar geen benul wat wezenlijk anders is.

Het build nummer zal anders zijn i.i.g Onderaan de steep maakt het niet zo heel veel uit inderdaad. Alleen als je het aanbied in je software zorg er dan ook voor dat het bijgewerkt word.. en niet dat het bijna een jaar duurt.

[ReZpie]

Hoe denken jullie dat Microsoft gaat handelen komende oktober? Onze vloot is zo goed als over Windows 11 op ongeveer 60 devices na. Maar ik heb het idee dat wereldwijd nog steeds 40% op 10 zit. Als ze de support echt gaan stoppen zo dat een behoorlijk wereldwijd probleem kunnen worden.

[Quad]

Nouja, er is niet direct een probleem. En je kan support kopen.

Het is pas een issue als er een vulnerability is die niet op jouw systeem gepatcht gaat worden.

[ReZpie]

Quad schreef op vrijdag 26 september 2025 @ 20:49:
Nouja, er is niet direct een probleem. En je kan support kopen.

Het is pas een issue als er een vulnerability is die niet op jouw systeem gepatcht gaat worden.

Dat is wat ik bedoel. Er zijn miljoenen windows 10 ps die echt geen extended support hebben gekocht. En er komen elke maand genoeg zero days bij
Zowel zakelijk als consumers.
Je kunt makkelijk als microsoft zijnde kunnen wijzen naar de verantwoordelijkheid van de business/gebruiker/consument, maar je hebt ook zelf nog een goede naam te houden.

[DDX]

Tja dat was bij Windows XP en Windows 7/8 toch ook het geval ?
Denk dat er ook genoeg systemen zijn trouwens die unsupported windows 11 draaien, vaak kan (of kon) je prima de updaten installeren zonder tpm check maar daarna kan je niet meer updaten naar de volgende 'editie van windows 11'
Is mij ook overkomen dat ik windows 11 update gewoon kon draaien op pc met niet supported cpu en tpm1.1.
En dan na jaar merken dat je niet meer kan updaten... (of beter gezegd waarom krijg ik die update niet te zien?)

[ Voor 7% gewijzigd door DDX op 26-09-2025 21:00 ]

[ReZpie]

Ik denk zelf dat er nog behoorlijk lang gratis (2jaar?) cu security updates worden uitgegeven. Beetje zelfde als toen met windows 7.

[Quad]

Het grootste ding zal wel zijn dat er partijen zijn die bugs hebben ontdekt en het pas na het verlopen van de support gaan misbruiken.

[nelizmastr]

ReZpie schreef op vrijdag 26 september 2025 @ 21:00:
Ik denk zelf dat er nog behoorlijk lang gratis (2jaar?) cu security updates worden uitgegeven. Beetje zelfde als toen met windows 7.

Dat ligt al vast en betreft 3 jaar met een prijsverdubbeling per device elk jaar.
Daarna is het exit en daar gaat Microsoft niets aan doen.

Nog los van het feit dat dat niets met Intune te maken heeft dan…

[Drardollan]

ReZpie schreef op vrijdag 26 september 2025 @ 20:36:
Hoe denken jullie dat Microsoft gaat handelen komende oktober? Onze vloot is zo goed als over Windows 11 op ongeveer 60 devices na. Maar ik heb het idee dat wereldwijd nog steeds 40% op 10 zit. Als ze de support echt gaan stoppen zo dat een behoorlijk wereldwijd probleem kunnen worden.

De support is gratis verlengd met een jaar toch?

[Dirtyrockers]

Drardollan schreef op vrijdag 26 september 2025 @ 22:08:
[...]

De support is gratis verlengd met een jaar toch?

niet voor zakelijk... alleen voor thuis gebruikers.

[Drardollan]

Dirtyrockers schreef op vrijdag 26 september 2025 @ 22:19:
[...]


niet voor zakelijk... alleen voor thuis gebruikers.

Rot. Gelukkig heb ik jaren geleden al afscheid genomen van Win10. Geen enkele zakelijke gebruiker zou dit nog moeten draaien, los van eventuele specialistische machines. Maar die hangen sowieso niet aan het internet als het goed is.

En zo wel, dan mag je blijkbaar betalen voor een paar jaar extra. Dan kan je je vervolgens afvragen of het de besparing op een nieuwere machine waard was.

[AMYC]

Hoianddoei schreef op woensdag 19 februari 2025 @ 15:19:
Wij hebben sinds vandaag een probleem bij het inspoelen van Android Knox devices dat deze bij het inloggen een foutmelding geeft:

"Er is iets fout gegaan

Er zijn problemen met verbinding maken met Microsoft Intune. Dit wordt mogelijk veroorzaakt door een probleem met uw netwerkverbinding. Neem contact op met de helpdesk van uw bedrijf als dit probleem zich voordoen blijft."

Ik heb overal in Intune en Knox gekeken, maar kan niet zien waarom we ineens deze melding krijgen bij het inspoelen van die telefoons. Geen certificaten verlopen, geen policies ineens aangepast.. iemand enig idee wat dit kan veroorzaken?

Wij lopen hier ook met regelmaat tegenaan, ben erg benieuwd of hier iemand bekend mee is.
Wij gebruiken (ook) Samsung KNOX Mobile Enrollement in combinatie met Microsoft Intune, company owned devices met een werk profiel.

Zo nu en dan gaat het zelfde toestel, met dezelfde gebruiker, hetzelfde profiel, zelfde netwerk etc ook wel goed. Al dan niet met een tijdelijke exclude van MFA.

Iemand ideeën, we kunnen het niet goed reproduceren.

[HKLM_]

Windows 11 25H2 is beschikbaar!

Met o.a een bijgewerkte Security baseline (Helaas nog niet in Intune)
https://techcommunity.mic...security-baseline/4456231

[Hero of Time]

Lekker, tegen het einde van de dag een laptop opnieuw geïnstalleerd via MDT met onze 24h2 image. Kan ik die gelijk upgraden naar 25h2 en het uitrolimage vernieuwen, want we hebben nog een handjevol gebruikers op W10.

Vond ook documentatie waarin uitgelegd staat dat er een specifieke rol bestaat om systemen aan te kunnen melden bij autopilot, zodat je geen Intune admin hoeft te zijn. Dat is wel zo fijn, gelijk geregeld en kon het eerder genoemde systeem prima aanmelden. Nog even verder kijken of het inzien van de systemen en tags toewijzen ook werkt en anders die rol/rechten toevoegen aan de custom role die ik heb gemaakt hiervoor.

[tzzz]

Vond ook documentatie waarin uitgelegd staat dat er een specifieke rol bestaat om systemen aan te kunnen melden bij autopilot, zodat je geen Intune admin hoeft te zijn.

Interessant, welke role is dit?

[Quad]

Een DEM account gok ik.

@HKLM_ Interessant, hopelijk snel beschikbaar in OSDCloud, ik ben deze namelijk aan het bouwen voor ons op de zaak. Zonder Autopilot opties want die zijn niet nodig.

Ik kwam al een -v2 parameter tegen trouwens, met daarin ook support voor ARM.

[Hero of Time]

Quad schreef op dinsdag 30 september 2025 @ 21:11:
Een DEM account gok ik.

Nope. Dat is voor Intune onboarding, niet voor registreren voor Autopilot.

tzzz schreef op dinsdag 30 september 2025 @ 20:26:
[...]

Interessant, welke role is dit?

Er is een wat uitgebreidere pre-defined rol: Policy and Profile Manager. Zie ook https://learn.microsoft.com/en-us/autopilot/add-devices waar het genoemd wordt. Ik heb een custom role gemaakt met alleen die benodigde rechten, want de PnP Manager heeft meer rechten dan strikt noodzakelijk.

[Quad]

Check.
Wij hebben hiervoor CIPP.

[HKLM_]

Quad schreef op dinsdag 30 september 2025 @ 22:54:
Check.
Wij hebben hiervoor CIPP.

CIPP is wel echt cool inderdaad Mocht je CIS gebruiken ik heb laats met Kelvin en het team een project gedaan om de CIS Intune for Windows V4 beschikbaar te maken binnen CIPP (v8.4.0 - The Fence Hopper)

[ Voor 38% gewijzigd door HKLM_ op 01-10-2025 08:55 ]

[Quad]

HKLM_ schreef op woensdag 1 oktober 2025 @ 08:46:
[...]


CIPP is wel echt cool inderdaad Mocht je CIS gebruiken ik heb laats met Kelvin en het team een project gedaan om de CIS Intune for Windows V4 beschikbaar te maken binnen CIPP (v8.4.0 - The Fence Hopper)

Nope we maken helaas geen gebruik van CIS. Is het idee van CIS dat je dan alles toepast of enkel gebruikt wat binnen je omgeving nodig is?

[TheVMaster]

Quad schreef op woensdag 1 oktober 2025 @ 11:30:
[...]

Nope we maken helaas geen gebruik van CIS. Is het idee van CIS dat je dan alles toepast of enkel gebruikt wat binnen je omgeving nodig is?

Als je wilt voldoen aan CIS dan zul je volgens mij hun policies allemaal moeten toepassen, maar ik zie mijn klanten vooral CIS gebruiken als startpunt en daar dan wel zaken van uitschakelen. Zo blokkeert CIS (weet even niet of het L1 of L2 is) het gebruik van OneDrive en Windows Hello, maar wil de klant dat wel toestaan.

Beetje vergelijkbaar als de ingebakken Security Baselines, daar zitten soms ook instellingen in die je als klant wilt uitschakelen. Het is ook een baseline he (net zoals CIS) waar je mee begint om een goed uitgangspunt (op het vlak van security te hebben) en daar bouw je dan op voort, door zaken toch toe te staan of met andere policies aanvullende zaken te configureren.

[TheVMaster]

Overigens de Windows 11 25H2 is vandaag ook officieel beschikbaar gekomen en wat ik (en de klant waar ik voor bezig ben) wel een leuke nieuwe feature vindt is het kunnen deinstalleren van in-box apps tijdens de OOBE: https://learn.microsoft.c...y-based-inbox-app-removal

Op dit moment zie ik de policy nog niet in de Settings Catalog staan, maar met een CSP kan het dus nu al wel in de Windows 11 25H2 build. Ben dat nu aan het testen. Scheelt toch weer een batterij scripts, of uninstall acties in de Intune Apps lijst.

[HKLM_]

TheVMaster schreef op woensdag 1 oktober 2025 @ 11:46:
[...]


Als je wilt voldoen aan CIS dan zul je volgens mij hun policies allemaal moeten toepassen, maar ik zie mijn klanten vooral CIS gebruiken als startpunt en daar dan wel zaken van uitschakelen. Zo blokkeert CIS (weet even niet of het L1 of L2 is) het gebruik van OneDrive en Windows Hello, maar wil de klant dat wel toestaan.

Beetje vergelijkbaar als de ingebakken Security Baselines, daar zitten soms ook instellingen in die je als klant wilt uitschakelen. Het is ook een baseline he (net zoals CIS) waar je mee begint om een goed uitgangspunt (op het vlak van security te hebben) en daar bouw je dan op voort, door zaken toch toe te staan of met andere policies aanvullende zaken te configureren.

Als je helemaal wilt voldoen moet je inderdaad alles configureren voor Intune for Windows zijn dat ruim 430 settings / policies. Meestal wordt het inderdaad als start-punt gebruikt en pas je het toe wat past binnen je organisatie. Level 1 is over het algemeen safe to use en bij L2 breken er dingen

[HKLM_]

TheVMaster schreef op woensdag 1 oktober 2025 @ 11:48:
Overigens de Windows 11 25H2 is vandaag ook officieel beschikbaar gekomen en wat ik (en de klant waar ik voor bezig ben) wel een leuke nieuwe feature vindt is het kunnen deinstalleren van in-box apps tijdens de OOBE: https://learn.microsoft.c...y-based-inbox-app-removal

Op dit moment zie ik de policy nog niet in de Settings Catalog staan, maar met een CSP kan het dus nu al wel in de Windows 11 25H2 build. Ben dat nu aan het testen. Scheelt toch weer een batterij scripts, of uninstall acties in de Intune Apps lijst.

Ja gaaf, viel mij gisteren echt op hoe snel 25H2 installerde vanaf een 24H2 machine was denk binnen 5 minuten na installatie en dan de reboot weer online. kan je de link naar de CSP delen>

[ Voor 8% gewijzigd door HKLM_ op 01-10-2025 12:13 ]

[Quad]

TheVMaster schreef op woensdag 1 oktober 2025 @ 11:46:
[...]


Als je wilt voldoen aan CIS dan zul je volgens mij hun policies allemaal moeten toepassen, maar ik zie mijn klanten vooral CIS gebruiken als startpunt en daar dan wel zaken van uitschakelen. Zo blokkeert CIS (weet even niet of het L1 of L2 is) het gebruik van OneDrive en Windows Hello, maar wil de klant dat wel toestaan.

Beetje vergelijkbaar als de ingebakken Security Baselines, daar zitten soms ook instellingen in die je als klant wilt uitschakelen. Het is ook een baseline he (net zoals CIS) waar je mee begint om een goed uitgangspunt (op het vlak van security te hebben) en daar bouw je dan op voort, door zaken toch toe te staan of met andere policies aanvullende zaken te configureren.

Wordt CIS geïnitieerd vanuit klant? Als in, weten zij dat meestal dat ze er aan moeten voldoen of bepaal ik (als MSP) dat voor klant?

Onze klanten zijn zonder uitzondering MKB en hebben werkplekken van 1 - 250 stuks.

Edit: Ergens vind ik het wel jammer dat we niet zo groot zijn dat ik volledig kan focussen op alles wat maar te maken heeft met Intune met de hele rits aan Enterprise licenties en tooling. Het blijft daardoor vaak wat oppervlakkig. Verder dan Business Premium kom je dan gewoon niet.

Dat ik bij een tweetal klanten mag inzetten op passwordless aanmelden ivm phishingresistant MFA is dan al heel wat.

HKLM_ schreef op woensdag 1 oktober 2025 @ 12:12:
[...]


Ja gaaf, viel mij gisteren echt op hoe snel 25H2 installerde vanaf een 24H2 machine was denk binnen 5 minuten na installatie en dan de reboot weer online. kan je de link naar de CSP delen>

Ben benieuwd wanneer dit in OSDCloud zit. Ik ben gisteravond druk geweest om onze image te laten verwijzen naar een github pagina, en zodoende daar de installatiescript met een mooie GUI te laten starten.

[ Voor 11% gewijzigd door Quad op 01-10-2025 12:26 ]

[HKLM_]

Quad schreef op woensdag 1 oktober 2025 @ 12:22:
[...]

Wordt CIS geïnitieerd vanuit klant? Als in, weten zij dat meestal dat ze er aan moeten voldoen of bepaal ik (als MSP) dat voor klant?

Onze klanten zijn zonder uitzondering MKB en hebben werkplekken van 1 - 250 stuks.

Edit: Ergens vind ik het wel jammer dat we niet zo groot zijn dat ik volledig kan focussen op alles wat maar te maken heeft met Intune met de hele rits aan Enterprise licenties en tooling. Het blijft daardoor vaak wat oppervlakkig. Verder dan Business Premium kom je dan gewoon niet.

Dat ik bij een tweetal klanten mag inzetten op passwordless aanmelden ivm phishingresistant MFA is dan al heel wat.


[...]


Ben benieuwd wanneer dit in OSDCloud zit. Ik ben gisteravond druk geweest om onze image te laten verwijzen naar een github pagina, en zodoende daar de installatiescript met een mooie GUI te laten starten.

Bij ons zit het o.a in de baseline die we vanuit onze MSP doen bij klanten ongeveer dezelfde grote als jij.
We gebruiken bij onze MSP Inforcer en die heeft een CIS baseline gemaakt afgestemd op Business Premium klanten en deze is tot nu toe erg goed.

Voor Consultancy trajecten heb ik zelf ook een standaard en kijken we ook meer naar de security aanbevelingen van het security center welke ook mappen naar CIS en komen zo vaak tot een uitgebreide baseline welke fits bij de organisatie.

[TheVMaster]

HKLM_ schreef op woensdag 1 oktober 2025 @ 12:12:
[...]


Ja gaaf, viel mij gisteren echt op hoe snel 25H2 installerde vanaf een 24H2 machine was denk binnen 5 minuten na installatie en dan de reboot weer online. kan je de link naar de CSP delen>

Eh..die staat letterlijk in mijn bericht -> https://learn.microsoft.c...y-based-inbox-app-removal

[Blokker_1999]

Probleem dat ik daar nu weer mee heb is dat we sommige apps wel per default verwijderen, maar dan wel weer beschikbaar maken in de Company Portal voor hen die er toch nood aan hebben. Dat gaat met deze CSP blijkbaar ook weer niet want die zal de app telkens opnieuw verwijderen volgens de laatste documentatie die ik gelezen heb. Of vergis ik mij daar in?

[HKLM_]

TheVMaster schreef op woensdag 1 oktober 2025 @ 13:10:
[...]


Eh..die staat letterlijk in mijn bericht -> https://learn.microsoft.c...y-based-inbox-app-removal

Even gemist te veel taps open, dacht dat het een andere pagina was

[TheVMaster]

Quad schreef op woensdag 1 oktober 2025 @ 12:22:
[...]

Wordt CIS geïnitieerd vanuit klant? Als in, weten zij dat meestal dat ze er aan moeten voldoen of bepaal ik (als MSP) dat voor klant?

Vanuit de klant is CIS een verplichting idd, ze moeten er aan voldoen vanuit wet en regelgeving.

Onze klanten zijn zonder uitzondering MKB en hebben werkplekken van 1 - 250 stuks.

Ja, klanten waar ik meestal mee werk zijn multinationals, of overheden (in binnen en buitenland) en die moeten vaak voldoen aan wat strengere eisen dan de gemiddelde MKB klant. Nu hebben we in Nederland ook wel klanten die minder strenge eisen hebben hoor, maar vaak komen zaken als CIS wel om de hoek kijken.

Edit: Ergens vind ik het wel jammer dat we niet zo groot zijn dat ik volledig kan focussen op alles wat maar te maken heeft met Intune met de hele rits aan Enterprise licenties en tooling. Het blijft daardoor vaak wat oppervlakkig. Verder dan Business Premium kom je dan gewoon niet.

Wij zetten gelukkig bij heel veel klanten ook de hele Copilot suite (incl. Copilot for Security) in, dus dat is wel heel gaaf.

Dat ik bij een tweetal klanten mag inzetten op passwordless aanmelden ivm phishingresistant MFA is dan al heel wat.

[...]
Ben benieuwd wanneer dit in OSDCloud zit. Ik ben gisteravond druk geweest om onze image te laten verwijzen naar een github pagina, en zodoende daar de installatiescript met een mooie GUI te laten starten.

Ach, je moet ergens beginnen toch? Wel fijn dat die klanten ook inzetten op passwordless aanmelden. Moet zeggen dat ik ook langzaam eens naar OSDCloud aan het kijken ben, klanten willen met het EOL gaan van MDT toch kijken naar alternatieven om hun stock-hardware te voorzien van een nieuw Windows image voordat ze ingezet gaan worden.

[TheVMaster]

Blokker_1999 schreef op woensdag 1 oktober 2025 @ 13:12:
Probleem dat ik daar nu weer mee heb is dat we sommige apps wel per default verwijderen, maar dan wel weer beschikbaar maken in de Company Portal voor hen die er toch nood aan hebben. Dat gaat met deze CSP blijkbaar ook weer niet want die zal de app telkens opnieuw verwijderen volgens de laatste documentatie die ik gelezen heb. Of vergis ik mij daar in?

Misschien dat je de groep waaraan je die apps beschikbaar maakt dan moet opnemen bij Exclusion bij die policy...? De Remove in-box apps moet je assigned aan Devices en die andere kun je dan toewijzen aan Users. Weet zo even niet of dat goed gaat, maar er zijn vast wel andere oplossingen voor te verzinnen.

[Le Enfant!]

TheVMaster schreef op woensdag 1 oktober 2025 @ 11:46:
[...]


Als je wilt voldoen aan CIS dan zul je volgens mij hun policies allemaal moeten toepassen, maar ik zie mijn klanten vooral CIS gebruiken als startpunt en daar dan wel zaken van uitschakelen. Zo blokkeert CIS (weet even niet of het L1 of L2 is) het gebruik van OneDrive en Windows Hello, maar wil de klant dat wel toestaan.

Het is niet echt aan te raden om zomaar alles toe te passen wat in de CIS recommendations staat. Ik werk voor verschillende officiele (Europeze) instanties en we zijn letterlijk soms maanden bezig om een CIS mooi te laten aansluiten in de organisatie zonder dat heel de boel geblokkeerd staat.

[HKLM_]

Le Enfant! schreef op woensdag 1 oktober 2025 @ 13:24:
[...]

Het is niet echt aan te raden om zomaar alles toe te passen wat in de CIS recommendations staat. Ik werk voor verschillende officiele (Europeze) instanties en we zijn letterlijk soms maanden bezig om een CIS mooi te laten aansluiten in de organisatie zonder dat heel de boel geblokkeerd staat.

Herkenbaar, L1 zou goed te doen moeten zijn, maar zelfs daar zien we soms ook uitdagingen. Laat staan als een klant L2 wilt haha

[TheVMaster]

Le Enfant! schreef op woensdag 1 oktober 2025 @ 13:24:
[...]

Het is niet echt aan te raden om zomaar alles toe te passen wat in de CIS recommendations staat. Ik werk voor verschillende officiele (Europeze) instanties en we zijn letterlijk soms maanden bezig om een CIS mooi te laten aansluiten in de organisatie zonder dat heel de boel geblokkeerd staat.

Klopt inderdaad. Daar loopt de klant waar ik mee werk ook tegenaan, ze zijn maanden bezig geweest om alles goed in te regelen. Zij zijn in de lead en wilden dit zonder onze hulp doen, gevolg is dat het idd heel erg lang duurde.

[TheVMaster]

HKLM_ schreef op woensdag 1 oktober 2025 @ 13:27:
[...]


Herkenbaar, L1 zou goed te doen moeten zijn, maar zelfs daar zien we soms ook uitdagingen. Laat staan als een klant L2 wilt haha

Ja, hier hebben ze beide....gewoon omdat het kan. Argument is dat het een eis is van de de security-afdeling. Maar moet eerlijk zeggen dat ik hieraan twijfel.

[HKLM_]

TheVMaster schreef op woensdag 1 oktober 2025 @ 14:02:
[...]


Ja, hier hebben ze beide....gewoon omdat het kan. Argument is dat het een eis is van de de security-afdeling. Maar moet eerlijk zeggen dat ik hieraan twijfel.

Pff beide is wel een hard beleid hoor, maar goed is sommige omgevingen kan het nodig zijn? Leuke is als je CIS for Edge L2 gaat combineren met CIS Intune for Windows dat er dan bepaalde dingen zoals Compliant device etc wat issues gaan vertonen en dan werkt jet juist niet meer zoals je wilt

[ Voor 6% gewijzigd door HKLM_ op 01-10-2025 14:08 ]

[DDX]

We zijn aan het overstappen van hybrid joined naar entra joined.
Nu loop ik tegen issue aan met netwerk(wifi) connectie tijdens enrollen van een laptop.
Bij hybrid devices hadden we een gpo policy die de wifi authenticatie via het computer account liet lopen.
En daarnaast een gpo die acces tot gasten ssid blockt. (zodat mensen niet per ongeluk naar verkeerde vlan connecten)

Bij entra joined gaat authenticatie via computer account (tegen on prem nps server) niet.
En hebben we nu user based certificaten authenticatie ingeregeld via intune policies.
En een policy die zorgt dat devices verkeerde configuratie krijgen voor gasten wifi (intune bied zover ik kon vinden geen block optie zoals in gpo wel kon)

Nu gaat het alleen mis doordat certificaat en wifi connectie in meerdere stappen/policies gaat.
En tijdens enrollment is dit nog niet voltooid/werkend.
Ondertussen komt de gasten wifi config al wel door en valt de wifi connectie daarmee weg en failen de enrollment stappen. (zonder echt duidelijk foutmelding trouwens dat er geen netwerk is, je krijgt alleen retry optie)
Workarround is ethernet kabel of hotspot gebruiken tijdens de installatie maar echt handig is dit niet.

Iemand tips ?

[TheVMaster]

DDX schreef op donderdag 2 oktober 2025 @ 11:41:
We zijn aan het overstappen van hybrid joined naar entra joined.
Nu loop ik tegen issue aan met netwerk(wifi) connectie tijdens enrollen van een laptop.
Bij hybrid devices hadden we een gpo policy die de wifi authenticatie via het computer account liet lopen.
En daarnaast een gpo die acces tot gasten ssid blockt. (zodat mensen niet per ongeluk naar verkeerde vlan connecten)

Bij entra joined gaat authenticatie via computer account (tegen on prem nps server) niet.
En hebben we nu user based certificaten authenticatie ingeregeld via intune policies.
En een policy die zorgt dat devices verkeerde configuratie krijgen voor gasten wifi (intune bied zover ik kon vinden geen block optie zoals in gpo wel kon)

Nu gaat het alleen mis doordat certificaat en wifi connectie in meerdere stappen/policies gaat.
En tijdens enrollment is dit nog niet voltooid/werkend.
Ondertussen komt de gasten wifi config al wel door en valt de wifi connectie daarmee weg en failen de enrollment stappen. (zonder echt duidelijk foutmelding trouwens dat er geen netwerk is, je krijgt alleen retry optie)
Workarround is ethernet kabel of hotspot gebruiken tijdens de installatie maar echt handig is dit niet.

Iemand tips ?

Hmm..ik zie klanten vaak een soort van setup gebruiken dat ze dus tijdens het onboarden (als er nog geen cert's zijn) een soort van open/gasten wifi gebruiken. Maar dat ligt er ook beetje aan hoe jullie wifi geconfigureerd is natuurlijk.

Je kunt mensen ook thuis laten enrollen natuurlijk, dan voorkom je dit soort issues natuurlijk. Of bekabeld, hebben mensen geen dock/scherm (met UTP) op hun bureau..?

[TheVMaster]

HKLM_ schreef op woensdag 1 oktober 2025 @ 14:07:
[...]


Pff beide is wel een hard beleid hoor, maar goed is sommige omgevingen kan het nodig zijn? Leuke is als je CIS for Edge L2 gaat combineren met CIS Intune for Windows dat er dan bepaalde dingen zoals Compliant device etc wat issues gaan vertonen en dan werkt jet juist niet meer zoals je wilt

Ja, praat me er niet van. Maar goed, soms zijn de eisen gewoon streng en zul je daar dus aan moeten voldoen.

[DDX]

Ja open gasten wifi werkt soort van dus, tot de policy actief wordt die dat blockt.
Voor nu ga ik die policy uitzetten, maar eigenlijk wil ik voorkomen dat mensen per ongeluk op gasten netwerk connecten.
En dan eens uitzoeken of ik iets van een filter op die policy kan zetten.

[ralpje]

In een best case scenario wil je die steering op je netwerk / controller doen (dus je connect naar hetzelfde SSID maar op basis van je cert kom je in het juiste VLAN), maar dat bouw je niet even om

De enrollment doen op bedraad vind ik sowieso de beste optie; ook voor het downloaden van apps etc. is die extra snelheid vaak fijn.

[ziecko]

Quad schreef op woensdag 1 oktober 2025 @ 12:22:
[...]

Wordt CIS geïnitieerd vanuit klant? Als in, weten zij dat meestal dat ze er aan moeten voldoen of bepaal ik (als MSP) dat voor klant?

Onze klanten zijn zonder uitzondering MKB en hebben werkplekken van 1 - 250 stuks.

Edit: Ergens vind ik het wel jammer dat we niet zo groot zijn dat ik volledig kan focussen op alles wat maar te maken heeft met Intune met de hele rits aan Enterprise licenties en tooling. Het blijft daardoor vaak wat oppervlakkig. Verder dan Business Premium kom je dan gewoon niet.

Dat ik bij een tweetal klanten mag inzetten op passwordless aanmelden ivm phishingresistant MFA is dan al heel wat.


[...]


Ben benieuwd wanneer dit in OSDCloud zit. Ik ben gisteravond druk geweest om onze image te laten verwijzen naar een github pagina, en zodoende daar de installatiescript met een mooie GUI te laten starten.

Het zou nu beschikbaar moeten zijn in OSDcloud.
er zijn twee versies, een nieuwe en een oude. op de oude is het met een uurtje vanaf nu beschikbaar.

Ik zit vrij dicht bij de source... dus mochten er vragen zijn of specifieke requests, laat maar weten

[Sniels]

TheVMaster schreef op woensdag 1 oktober 2025 @ 14:02:
[...]


Ja, hier hebben ze beide....gewoon omdat het kan. Argument is dat het een eis is van de de security-afdeling. Maar moet eerlijk zeggen dat ik hieraan twijfel.

Die eis bestaat waarschijnlijk zodat je gedwongen wordt om afwijkingen formeel als accepted risk te documenteren (inclusief alle business processen die daarmee triggeren).
Daarmee moet je dus ook meteen alternatieven overwegen, nadenken over het minimaliseren van de risico's en als het uiteindelijk toch geaccepteerd is, is het meteen goed gedocumenteerd voor een eventuele audit. .

Ik heb in ieder geval nog nooit meegemaakt dat er (ten onrechte) vastgehouden wordt aan een security requirement gewoon omdat het kan.

[Quad]

ziecko schreef op donderdag 2 oktober 2025 @ 12:09:
[...]


Het zou nu beschikbaar moeten zijn in OSDcloud.
er zijn twee versies, een nieuwe en een oude. op de oude is het met een uurtje vanaf nu beschikbaar.

Ik zit vrij dicht bij de source... dus mochten er vragen zijn of specifieke requests, laat maar weten

Gaat nu wel offtopic, maar de oude is de gewone OSD config? Nieuwe is die je kan starten met Start-OSDCloudGui -v2 switch?
Zag al wat commits voorbij komen op de Githubpagina. Zie het vanzelf wel verschijnen.

[TheVMaster]

Sniels schreef op donderdag 2 oktober 2025 @ 12:17:
[...]


Die eis bestaat waarschijnlijk zodat je gedwongen wordt om afwijkingen formeel als accepted risk te documenteren (inclusief alle business processen die daarmee triggeren).
Daarmee moet je dus ook meteen alternatieven overwegen, nadenken over het minimaliseren van de risico's en als het uiteindelijk toch geaccepteerd is, is het meteen goed gedocumenteerd voor een eventuele audit. .

Ik heb in ieder geval nog nooit meegemaakt dat er (ten onrechte) vastgehouden wordt aan een security requirement gewoon omdat het kan.

Het is een ingewikkeld verhaal, laten we het daar op houden.

[ziecko]

Quad schreef op donderdag 2 oktober 2025 @ 12:27:
[...]

Gaat nu wel offtopic, maar de oude is de gewone OSD config? Nieuwe is die je kan starten met Start-OSDCloudGui -v2 switch?
Zag al wat commits voorbij komen op de Githubpagina. Zie het vanzelf wel verschijnen.

yes :-)

[Quad]

ziecko schreef op donderdag 2 oktober 2025 @ 12:44:
[...]

yes :-)

Is live inmiddels.

Heb wel een paar andere issues, maar die ga ik eerst zelf even proberen op te lossen.

Maak jij gebruik van OSD icm Autopilot?

[Drardollan]

Vraagje aan de andere Intune beheerders, hoe gaan jullie om met Windows Updates in Intune? En dan specifiek of jullie jullie update ringen op users of devices hebben staan?

Ik heb op dit moment alles op de user staan, dat leek een goed idee. Maar nu ik er over na heb gedacht is het helemaal niet zo logisch. In WSUS vroeger deed je het ook per device tenslotte. En ook hier kan het prima dat 2 users op 1 device inloggen en dat klinkt niet handig met updates die aan een user hangen.

Dus kort door de bocht, hoe is het ingericht bij jullie?

Poll: Intune Windows Update Assignment
• Users
• Devices
• Ik doe niet aan updates!
<sup>Tussenstand:

Ook een poll maken? Klik hier</sup>

[Quad]

We doen het niet via Intune maar via RMM.
Tenzij klant geen RMM heeft dan configureer ik een basispolicy die lijkt op onze RMM policy. En dat is dan zonder ringen enz verder. Gewoon 'YOLO'.

[ReZpie]

Drardollan schreef op vrijdag 3 oktober 2025 @ 16:15:
Vraagje aan de andere Intune beheerders, hoe gaan jullie om met Windows Updates in Intune? En dan specifiek of jullie jullie update ringen op users of devices hebben staan?

Ik heb op dit moment alles op de user staan, dat leek een goed idee. Maar nu ik er over na heb gedacht is het helemaal niet zo logisch. In WSUS vroeger deed je het ook per device tenslotte. En ook hier kan het prima dat 2 users op 1 device inloggen en dat klinkt niet handig met updates die aan een user hangen.

Dus kort door de bocht, hoe is het ingericht bij jullie?

Poll: Intune Windows Update Assignment
• Users
• Devices
• Ik doe niet aan updates!
^Tussenstand:
[Afbeelding]
^{Ook een poll maken? Klik hier}

Ik gebruik autopatch. Maar evt tip voor andere die dut gebruiken; maak meteen proactive remediation scripts aan voor zowel diagnostic data als autopatch settings, want er bleken aardig wat devices niet lekker enrolled in autopatch te zijn waardoor de reporting niet betrouwbaar bleek.

[Drardollan]

ReZpie schreef op vrijdag 3 oktober 2025 @ 16:56:
[...]

Ik gebruik autopatch. Maar evt tip voor andere die dut gebruiken; maak meteen proactive remediation scripts aan voor zowel diagnostic data als autopatch settings, want er bleken aardig wat devices niet lekker enrolled in autopatch te zijn waardoor de reporting niet betrouwbaar bleek.

Helaas, geen licentie voor. Die valt schandalig genoeg buiten de BP

[Drardollan]

Quad schreef op vrijdag 3 oktober 2025 @ 16:51:
We doen het niet via Intune maar via RMM.
Tenzij klant geen RMM heeft dan configureer ik een basispolicy die lijkt op onze RMM policy. En dat is dan zonder ringen enz verder. Gewoon 'YOLO'.

Oei, YOLO doe ik niet. En de RMM heb ik de deur uit gedaan nu ik Intune heb. Beetje dubbele kosten voor niks.

[ReZpie]

Drardollan schreef op vrijdag 3 oktober 2025 @ 17:00:
[...]

Oei, YOLO doe ik niet. En de RMM heb ik de deur uit gedaan nu ik Intune heb. Beetje dubbele kosten voor niks.

Ik gebruikte voorheen dit principe:
https://joostgelijsteen.com/deployment-rings/
Werkte ook prima

[Quad]

Drardollan schreef op vrijdag 3 oktober 2025 @ 17:00:
[...]

Oei, YOLO doe ik niet. En de RMM heb ik de deur uit gedaan nu ik Intune heb. Beetje dubbele kosten voor niks.

Snap ik! We leveren niet aan zulke type organisaties waarbij je met testrings en reporting moet gaan werken. Dan kan je net zo goed alles zodanig configureren dat het pas X dagen na release mag worden vrijgegeven enz.

[HKLM_]

Drardollan schreef op vrijdag 3 oktober 2025 @ 16:15:
Vraagje aan de andere Intune beheerders, hoe gaan jullie om met Windows Updates in Intune? En dan specifiek of jullie jullie update ringen op users of devices hebben staan?

Ik heb op dit moment alles op de user staan, dat leek een goed idee. Maar nu ik er over na heb gedacht is het helemaal niet zo logisch. In WSUS vroeger deed je het ook per device tenslotte. En ook hier kan het prima dat 2 users op 1 device inloggen en dat klinkt niet handig met updates die aan een user hangen.

Dus kort door de bocht, hoe is het ingericht bij jullie?

Poll: Intune Windows Update Assignment
• Users
• Devices
• Ik doe niet aan updates!
^Tussenstand:
[Afbeelding]
^{Ook een poll maken? Klik hier}

Ik gebruik Windows Autopatch groups en die zijn standaard op device vanuit design.

Ik hanteert sowieso vooral device based profiles en gebruik user eigenlijk alleen in de apps

[ Voor 3% gewijzigd door HKLM_ op 03-10-2025 17:45 ]

[Drardollan]

Quad schreef op vrijdag 3 oktober 2025 @ 17:19:
[...]

Snap ik! We leveren niet aan zulke type organisaties waarbij je met testrings en reporting moet gaan werken. Dan kan je net zo goed alles zodanig configureren dat het pas X dagen na release mag worden vrijgegeven enz.

Wil het ook niet al te complex maken. Eigen laptop in de eerste ring met een paar dagen vertraging. Dan 3 of 4 in de volgende ring met mensen die representatief zijn voor een afdeling en waarbij de vertraging een paar dagen extra is ten opzichte van mij en dan de laatste ring met de rest op 14 dagen vertraging.

De meeste updates die kapot zijn worden wel met 1 a 2 dagen teruggehaald is mijn ervaring. Dat wil ik graag opvangen.

[Quad]

Dat klinkt als een goede strategie!

[Drardollan]

Autopatch zie ik vaak als term, maar mij is nog onduidelijk of ik dat nu wel of niet gebruik en zo niet wat dan het voordeel zou zijn. Vind dat stuk van Intune behoorlijk ondoorzichtig nog.

[HKLM_]

Drardollan schreef op vrijdag 3 oktober 2025 @ 18:05:
Autopatch zie ik vaak als term, maar mij is nog onduidelijk of ik dat nu wel of niet gebruik en zo niet wat dan het voordeel zou zijn. Vind dat stuk van Intune behoorlijk ondoorzichtig nog.

Autopatch is tegenwoordig ook een verzamelnaam en inderdaad verwarrend, autopatch groups moet je onder tenant administration los activeren en entra ID groepen aanmaken. Vervolgens kan je meerdere groepen, ringen maken voor het uitrollen van updates, drivers etc welke dan staged uitrollen in je organisatie met meerdere ringen.

Je kan met autopatch groups meerdere autopatch groups aanmaken welke dan ook weer staged uitrollen met meerdere ringen.

Heb je hotpatch al geactiveerd?

[Drardollan]

HKLM_ schreef op vrijdag 3 oktober 2025 @ 19:13:
[...]


Autopatch is tegenwoordig ook een verzamelnaam en inderdaad verwarrend, autopatch groups moet je onder tenant administration los activeren en entra ID groepen aanmaken. Vervolgens kan je meerdere groepen, ringen maken voor het uitrollen van updates, drivers etc welke dan staged uitrollen in je organisatie met meerdere ringen.

Je kan met autopatch groups meerdere autopatch groups aanmaken welke dan ook weer staged uitrollen met meerdere ringen.

Heb je hotpatch al geactiveerd?

Denk het niet, heb andere prioriteiten op dit moment en enkel oppervlakkig gekeken. Belangrijkste is nu in ieder geval iets met updates doen, hoop volgend jaar ruim de tijd te kunnen gaan nemen om het goed uit te zoeken en in te richten.

[McLambo]

Drardollan schreef op vrijdag 3 oktober 2025 @ 17:00:
[...]

Helaas, geen licentie voor. Die valt schandalig genoeg buiten de BP

Zeker weten?

https://learn.microsoft.c...s-autopatch-prerequisites

[HKLM_]

McLambo schreef op vrijdag 10 oktober 2025 @ 04:03:
[...]


Zeker weten?

https://learn.microsoft.c...s-autopatch-prerequisites

Volgens mij doelt hij op de proactive remediation scripts en die valt inderdaad buiten BP

[Drardollan]

HKLM_ schreef op vrijdag 10 oktober 2025 @ 07:04:
[...]


Volgens mij doelt hij op de proactive remediation scripts en die valt inderdaad buiten BP

Inderdaad.

[McLambo]

HKLM_ schreef op vrijdag 10 oktober 2025 @ 07:04:
[...]


Volgens mij doelt hij op de proactive remediation scripts en die valt inderdaad buiten BP

Ah, my bad.

Wij zijn net begonnen met Autopatch in een lab tenant. Ben wel benieuwd naar de betreffende scripts

Linkje?

[HKLM_]

McLambo schreef op vrijdag 10 oktober 2025 @ 09:51:
[...]

Ah, my bad.

Wij zijn net begonnen met Autopatch in een lab tenant. Ben wel benieuwd naar de betreffende scripts

Linkje?

Remidiation script staan los van autopatch he

[HKLM_]

Voor degene die Windows Autopatch hebben ingericht, Microsoft heeft voor de Windows Client Broker welke eerst via een powershell script geïntegreerd werd een Migratie knop gemaakt om deze om te zetten naar Win32 app.