Microsoft Intune ervaringentopic

[HKLM_]

Vraag, in hoevere is het jailbreaken en rooten van je telefoon nog een ding in 2025? In het Microsoft message center zie ik MC1179154 staan "Microsoft Authenticator app: Upcoming changes to jailbreak and root detection" Waarbij de Microsoft Authenticator niet meer gaat werken als je device een jailbreak heeft of geroot is.

Dit doen ze wel in phases waarin de user eerst een warning krijgt en later een block in de app.
Ik probeer met KQL en Device Query te achterhalen of er een mannier is om Jailbreaked en rooted devices te vinden in een organisatie maar tot nu toe lijkt er niet echt een goed rapport te zijn. Laat staan de un-managed devices van users met alleen de authentictor app...

Iemand hier al naar gekeken vanuit device management perspectief?

[ Voor 4% gewijzigd door HKLM_ op 05-11-2025 09:23 ]

[Blokker_1999]

@HKLM_ Bij ons maakt dat reeds onderdeel uit van de compliance policy, dus wij moeten er niet eens achter gaan zoeken want we hebben dat soort apparaten niet. Zou ook maar erg zijn daar de telefoons hier eigendom zijn van de werkgever.

[Quad]

Authenticator staat in principe op unmanaged devices, tenzij de aanmeldflow vereist dat die zich inschrijft, dan kan je denk ik in Intune een compliancepolicy maken om daarmee iets te achterhalen.

[Quad]

Iets andere vraag, Intune gerelateerd maar meer licentiegericht: Voor een klant Samsung tablets ingericht met Microsoft Home Screen en onboarding van tablet op een account per device.
Nu de vraag of meerdere devices op 1 account kunnen (mij niet gezien) maar dan kijk ik even naar het licentiemodel.
Ik heb destijds de tablets ingericht met MS365 F3 licenties, daar er gebruik werd gemaakt van SharePoint om PDF bestanden op te halen. Nu is men overgestapt naar een Androidapplicatie die integreert met hun productieproces en vervalt eigenlijk het SharePointdeel. Email en MS Teams zijn bijvoorbeeld ook niet nodig.

Met CA is ingeregeld dat enkel voor die tablets ingelogd mag worden op de accounts, daarbuiten lukt het mij dus niet wat prima is.
Ik zit zelf te kijken of ik voor de nieuwe lading tablets daarom F1 ga gebruiken. Kunnen de tablets netjes ingeschreven worden, gekoppeld worden aan een account en blijft functionaliteit hetzelfde. alleen scheelt het zo'n paar euro pm.

Zie ik iets over het hoofd mbt F1 licentie?

[HKLM_]

Blokker_1999 schreef op woensdag 5 november 2025 @ 09:28:
@HKLM_ Bij ons maakt dat reeds onderdeel uit van de compliance policy, dus wij moeten er niet eens achter gaan zoeken want we hebben dat soort apparaten niet. Zou ook maar erg zijn daar de telefoons hier eigendom zijn van de werkgever.

Ja de compliance policy dekt wel de lading, maar had gehoopt iets met KQL of iets degelijks te kunnen achterhalen voor de toestellen welke niet managed zijn en alleen de Authenticator app hebben geinstalleerd.

[HKLM_]

Quad schreef op woensdag 5 november 2025 @ 09:33:
Iets andere vraag, Intune gerelateerd maar meer licentiegericht: Voor een klant Samsung tablets ingericht met Microsoft Home Screen en onboarding van tablet op een account per device.
Nu de vraag of meerdere devices op 1 account kunnen (mij niet gezien) maar dan kijk ik even naar het licentiemodel.
Ik heb destijds de tablets ingericht met MS365 F3 licenties, daar er gebruik werd gemaakt van SharePoint om PDF bestanden op te halen. Nu is men overgestapt naar een Androidapplicatie die integreert met hun productieproces en vervalt eigenlijk het SharePointdeel. Email en MS Teams zijn bijvoorbeeld ook niet nodig.

Met CA is ingeregeld dat enkel voor die tablets ingelogd mag worden op de accounts, daarbuiten lukt het mij dus niet wat prima is.
Ik zit zelf te kijken of ik voor de nieuwe lading tablets daarom F1 ga gebruiken. Kunnen de tablets netjes ingeschreven worden, gekoppeld worden aan een account en blijft functionaliteit hetzelfde. alleen scheelt het zo'n paar euro pm.

Zie ik iets over het hoofd mbt F1 licentie?

Is een Intune device license dan niet een betere optie als de user niks hoeft te doen op dat device?

[Blokker_1999]

Zelf stuit ik ook net op een ander Intune probleem. Vlak voor mijn vakantie had ik nog een configuratie gezet voor alle iPhones in het bedrijf, en nu kom ik er achter dat ongeveer 10% van devices deze niet toepast. Als ik dan ga zoeken naar details dan zie ik bij sommige settings staan "Noncompliant". Geen error of conflict. Ook geen verdere details. Iemand die weet wat hier aan de hand kan zijn?

[Quad]

HKLM_ schreef op woensdag 5 november 2025 @ 09:40:
[...]


Is een Intune device license dan niet een betere optie als de user niks hoeft te doen op dat device?

Daar heb ik wel eens naar gekeken, maar hoe licenseer ik dan zo'n device? Voor gebruikers kan je dat makkelijk koppelen, maar ik heb daar geen ervaring mee met intune device only licensing.

[HKLM_]

Blokker_1999 schreef op woensdag 5 november 2025 @ 09:44:
Zelf stuit ik ook net op een ander Intune probleem. Vlak voor mijn vakantie had ik nog een configuratie gezet voor alle iPhones in het bedrijf, en nu kom ik er achter dat ongeveer 10% van devices deze niet toepast. Als ik dan ga zoeken naar details dan zie ik bij sommige settings staan "Noncompliant". Geen error of conflict. Ook geen verdere details. Iemand die weet wat hier aan de hand kan zijn?

[Afbeelding]

Maak je voor de updates gebruik van Declarative Device Management?

[Blokker_1999]

HKLM_ schreef op woensdag 5 november 2025 @ 09:49:
[...]


Maak je voor de updates gebruik van Declarative Device Management?

Yep, dit is een DDM policy.

[Blokker_1999]

Antwoord van Microsoft, voor 1 keer een antwoord waardoor ik in 1 keer het ticket bij hen kan afsluiten, maar dan omdat ze me niet verder kunnen helpen:

• DDM is device-driven: Intune sends the declarative policy to Apple’s MDM framework, and then the iOS device evaluates and enforces it locally. Intune only receives a status report (e.g., Compliant or Noncompliant). If the device rejects or partially applies the policy, Intune cannot provide detailed error codes because Apple does not return granular failure reasons.
• Noncompliant without error code: This is typical for DDM because Apple does not expose detailed failure diagnostics via the MDM protocol. The “Noncompliant” state means the device did not apply the setting, but the cause (e.g., OS version, conflicting settings, timing constraints) is only visible in device-side by collecting console logs. (You need to raise case with Apple for collection and analyzing the console logs from Device side)
• Common Apple-side causes:
o Device is not on a supported iOS version for that specific setting.
o Conflicting update deferral settings from another profile.
o Device is not supervised or was restored from iCloud incorrectly.
• Local user actions (e.g., manually installing updates) override declarative policy timing.
What Intune can do:
• Confirm the policy was successfully delivered to the device.
• Show the compliance state (but not the reason for failure).
What Apple controls: (Apple support case needed)
• How the device interprets and applies the declarative payload.
• Can help in collecting and analyzing the console logs from Device end to know why DDM is failed.

[Vlassie1980]

Sinds enige weken hebben we problemen met intunen van laptops. Windows Autopilot blijft hangen bij stap 2 - Device Setup, hangt dan urenlang bij Apps (11 of 16 installed) om vervolgens na een paar uur een error te geven.

We gebruiken hier op de zaak Dell laptops. Meestal Inspiron 7450 en 5550 en de nieuwere Pro lijn. Als ik de eerste keer via de BIOS een OS Recovery eerst doe dan gaat het wel goed en blijft hij niet hangen. Dus out of the box intunen werkt niet. Irritant want op deze manier ben ik 3 keer zo veel tijd kwijt. Zijn er hier ook mensen die de laatste tijd problemen hiermee heeft i.c.m. Dell laptops?

Ik heb het idee dat Intune struikelt over de vooraf geinstalleerde Dell troep en dat dit wel werkt na een OS Recovery....

[Davidas]

Vlassie1980 schreef op woensdag 5 november 2025 @ 13:05:
Sinds enige weken hebben we problemen met intunen van laptops. Windows Autopilot blijft hangen bij stap 2 - Device Setup, hangt dan urenlang bij Apps (11 of 16 installed) om vervolgens na een paar uur een error te geven.

We gebruiken hier op de zaak Dell laptops. Meestal Inspiron 7450 en 5550 en de nieuwere Pro lijn. Als ik de eerste keer via de BIOS een OS Recovery eerst doe dan gaat het wel goed en blijft hij niet hangen. Dus out of the box intunen werkt niet. Irritant want op deze manier ben ik 3 keer zo veel tijd kwijt. Zijn er hier ook mensen die de laatste tijd problemen hiermee heeft i.c.m. Dell laptops?

Ik heb het idee dat Intune struikelt over de vooraf geinstalleerde Dell troep en dat dit wel werkt na een OS Recovery....

Kun je geen corporate ready image regelen via jullie IT partner. Dan ben je van al die troep af.

[ralpje]

En heb je de logs al even doorgespit om te zien op welke app het precies fout gaat? En eventueel de time-out voor de ESP korter gezet zodat je niet drie uur hoeft te wachten, maar na een uur al een foutmelding krijgt?

[Quad]

Ik heb dat vaker gezien, dan blijft het falen op de installatie van Office Apps (hij gaat bestaande verwijderen).

Anders even zien waar het op vastloopt met

code:

Install-Script -Name Get-AutopilotDiagnosticsCommunity

[Blokker_1999]

Quad schreef op woensdag 5 november 2025 @ 13:40:
Ik heb dat vaker gezien, dan blijft het falen op de installatie van Office Apps (hij gaat bestaande verwijderen).

Anders even zien waar het op vastloopt met

code:

Install-Script -Name Get-AutopilotDiagnosticsCommunity

Dit, command prompt openen, powershell starten, script installeren en uitvoeren (liefst met de -online parameter al zal die wel credentials komen vragen) en dan zie je welke app die probeert te installeren op dat moment. Doen we hier ook vaker wanneer het weer eens misloopt.

Office is inderdaad een app waarvan de installatie lang duurt en soms durft mislukken. Ik zou hem graag in de lijst steken van apps waarop we niet moeten wachten, maar mag niet van men client support team.

[Blokker_1999]

@Vlassie1980, misschien nog een nevenvraag, maar waarom 16 apps? Zit daar niets tussen dat kan wachten tot nadat de gebruiker op de desktop is gekomen? Je kan in Intune een selectie van applicaties meegeven die geinstalleerd moeten worden tijdens de ESP fase, en alle andere required apps worden dan na de ESP fase geinstalleerd. Dat kan ook helpen met het inkorten van de installatie alsook het voorkomen van problemen. Dit is te vinden in de ESP settings

Block device use until required apps are installed if they are assigned to the user/device