Microsoft Intune ervaringentopic

[YaYo86]

Quad schreef op woensdag 12 augustus 2026 @ 11:25:
[...]

Werkt bulkselect niet voor je in het Autopilotscherm? Filter op grouptag en je bent er, denk ik.

Dat scherm laat maar een subset zien, 25 per pagina ofzo.

Wij gebruiken een script, kan alleen de Github pagina niet meer vinden

[Davidas]

YaYo86 schreef op woensdag 12 augustus 2026 @ 13:16:
[...]

Dat scherm laat maar een subset zien, 25 per pagina ofzo.

Wij gebruiken een script, kan alleen de Github pagina niet meer vinden

Deze?

[akimosan]

Al eerder genoemd:

Ik gebruik daarvoor DeviceOffboardingManager sowieso een handige tool om in bulk devices uit Intune/EntraID/Autopilot te verwijderen

[Davidas]

akimosan schreef op woensdag 12 augustus 2026 @ 16:09:
Al eerder genoemd:

Ik gebruik daarvoor DeviceOffboardingManager sowieso een handige tool om in bulk devices uit Intune/EntraID/Autopilot te verwijderen

Maar in mijn casus mogen ze alleen uit Autopilot worden verwijderd, Intune object moet absoluut intact blijven totdat er een Windows reset wordt uitgevoerd.

[LopendeVogel]

Davidas schreef op woensdag 12 augustus 2026 @ 16:18:
[...]

Maar in mijn casus mogen ze alleen uit Autopilot worden verwijderd, Intune object moet absoluut intact blijven totdat er een Windows reset wordt uitgevoerd.

Via powershell de grouptag aanpassen?

[akimosan]

Davidas schreef op woensdag 12 augustus 2026 @ 16:18:
[...]

Maar in mijn casus mogen ze alleen uit Autopilot worden verwijderd, Intune object moet absoluut intact blijven totdat er een Windows reset wordt uitgevoerd.

Dat kan ook, je kunt in DeviceOffBoardingManager kiezen uit welke omgeving je devices wilt wissen. EntraID, Intune en Autopilot of slechts een selectie daarvan.

En nieuw is dat je optioneel ook nog kunt offboarden uit Defender for Endpoint.

[grimson]

TPM chip resetten?

Ik zie leven hier dus ik stel meteen een vraag die nu te boven schiet Sorry dat ik de meeste praat niet meedoet, eenvoudig omdat ik daar ook vaak niets aan kan bijdragen ..

Ik lees dat het resetten van de TPM chip een goed iets is eigenlijk om tijdens elke installatie uit te voeren. Dit kan geen kwaad (als je zeker weet dat de computer inderdaad opnieuw geïnstalleerd mag worden) en eigenlijk lees ik meer en meer dat het bijna een best practice gaat worden.

Alhoewel nog wat vraagjes alhoewel ik ook lees dat dit best practices is maar ikzelf heb dit nog niet toegepast, mede omdat het helaas misschien niet vaak voorkomt;

Anders dan in een corporate omgeving met goed beheerde systemen werk ik voor een MSP waarbij systemen eigenlijk worden doorgeschoven zonder de mijn voorkeur hebbende volledige wipe en reinstall en dan weer vers Autopilot in. In die keren dat ik dat wel heb gedaan heb ik opgemerkt dat hierbij een poging werd gedaan om de TPM chip te clearen en de zogenoemde Physical Presence Interface (PPI) tegenkwam wat dan tijdens een reboot aan de user vraagt om op een toets te drukken om daadwerkelijk de TPM te wissen. Maar bij nu weer aandacht gevend hieraan merk ik dat het niet erg is om deze PPI in de firmware uit te zetten zodat dus een TPM clear zonder user ACK mogelijk wordt. Ik kan begrijpen dat dit risico's met zich meebrengt als dat bijv. een gebruiker onverwacht de TPM chip kan resetten maar hiervoor moet je admin zijn om dit via het OS te initieren. Dus opnieuw goed gemanagde locked down computers kunnen het uitschakelen van deze PPI prima hebben.

Nu hier mijn vraag:
Schakelen jullie de PPI uit in de firmware zodat bij een TPM clear verzoek deze melding niet komt vanuit de firmware tijdens een intune wipe 'n reload?

Daarbij trek ik het verder:
Waarom niet bij elke verse herinstallatie meteen ook de TPM clearen (specialize fase van de setup via autounattended.xml)? Zover ik lees is het proces dat bij een Windows installatie de TPM ownership op zich neemt maar niet echt een reset of totale wipe van de TPM keys uitvoert. Dus waarom niet preventief. Ook lees ik dat er 'achterblijfsels' van TPM resten ook autopilot soms kan beinvloeden buiten de normal user driven enrollment scenarios.

Benieuwd hoe jullie het doen, met name de corporate admins?

[HKLM_]

Voor de mensen die Windows settings backup gebruiken, Microsoft heeft MC1458268 in het message center gezet met een link naar o.a de github pagina met scripts https://github.com/microsoft/windows-backup-admin-scripts om backup's in te zien en te verwijderen van gebruikers (als deze bijvoorbeeld uit dienst gaan)

Wel even goed de requirements lezen: Met GA kom je er niet, Microsoft 365 Backup Administrator is een verplichte rol, als je backups van users wilt managen.

[ Voor 3% gewijzigd door HKLM_ op 24-08-2026 20:31 ]

[Blokker_1999]

Maar waarom zou je van een gebruiker die uit dienst gaat de backup verwijderen? Voor zover mij bekend wordt alle data in de OneDrive van de gebruiker opgeslagen en verdwijnt deze dus automatisch met de OneDrive van die gebruiker.

[Dirtyrockers]

Blokker_1999 schreef op dinsdag 25 augustus 2026 @ 08:46:
Maar waarom zou je van een gebruiker die uit dienst gaat de backup verwijderen? Voor zover mij bekend wordt alle data in de OneDrive van de gebruiker opgeslagen en verdwijnt deze dus automatisch met de OneDrive van die gebruiker.

zie dat het in moscone center en chase center gehouden wordt.

wel cool, ik was daar afgelopen november met Microsoft Ignite.

[HKLM_]

Blokker_1999 schreef op dinsdag 25 augustus 2026 @ 08:46:
Maar waarom zou je van een gebruiker die uit dienst gaat de backup verwijderen? Voor zover mij bekend wordt alle data in de OneDrive van de gebruiker opgeslagen en verdwijnt deze dus automatisch met de OneDrive van die gebruiker.

Goedevraag, je ziet regelmatig dat OneDrive data van medewerkers voorzien is van governance, retention policies om data te bewaren. Als je daar he devices settings uit kan halen dan is dat mogelijk wel wenselijk want deze data hoeft bijvoorbeeld geen 7 jaar bewaard te blijven.

[Hero of Time]

Soms is Intune ook wel fucky met apps en supersedence. Om geen enorme wildgroei te krijgen met tig versies van een app die toch nooit meer geïnstalleerd kunnen worden was ik er een paar aan het opruimen. Ik package Notepad++ en alle installs zat op de meest recente tot m'n nieuwe versie. De andere versies wilde ik verwijderen, maar dan kon niet door supersedence. Het weghalen bij de versie die men heeft gaf mij niet de mogelijkheid om de versie ervoor te verwijderen. Ik moest daar eerst de supersedence van de versie daar weer voor weghalen.

Ik had ergens wel verwacht dat die link eerst verwijdert zou worden en daarna de app. Zeg maar 'delete on cascade' bij SQL. Maar nee, je moet eerst alle verwijzingen verwijderen voordat je het record zelf kan verwijderen.

Dus 1.0 > 1.1 > 1.4 > 2.0 > 2.2, als je alleen 2.2 wilt houden, moet je alle versies behalve 1.0 bijwerken om de supersedence te verwijderen. En 1.0 is pas te verwijderen als je 1.1 hebt aangepast.

[Quad]

@Hero of Time voor zulke apps gebruik ik nooit supersedence eigenlijk. Bestaande W32 app vervangen, en ik zet dan op detectie een detectionscript van bijv versie => 2.2.

[Hero of Time]

Dat is ook een optie. De eerste versie die ik ooit gepackaged had, had ik geen versie detectie op staan, alleen 'file exists'. Toen ik dat ging vervangen werd het dus niet bijgewerkt. En om een of andere reden ging het ook niet goed toen ik de detectie alsnog aanpaste naar versie.

We hebben ook Chrome en Firefox in de Company Portal staan. Firefox is de Store versie en zal dus altijd recent zijn, maar Chrome is de losse installer. Die update zichzelf (Firefox kan dat ook), waardoor ik ook niet de versie kan checken. Ergens had ik ook liever de losse installer voor Firefox aangeboden, maar daar is het nu ondertussen te laat voor.

Gelukkig hebben we niet zo heel veel packages met aparte versies, het is nu 7-zip, Notepad++ en UltraVNC zo even uit m'n hoofd.

[nextware]

Hero of Time schreef op dinsdag 25 augustus 2026 @ 20:05:
Dat is ook een optie. De eerste versie die ik ooit gepackaged had, had ik geen versie detectie op staan, alleen 'file exists'. Toen ik dat ging vervangen werd het dus niet bijgewerkt. En om een of andere reden ging het ook niet goed toen ik de detectie alsnog aanpaste naar versie.

Aanpassen van een detectie van een bestaande app binnen Intune werkt inderdaad niet. Als je "file exists" aanpast naar "file version" zal het niet werken. Als je detectie aanpast, altijd een nieuwe app aanmaken. Of je moet met scripts gaan werken die de GRS registeritems van het Intune package van je devices weggooit.. Maar dan ben je vele malen sneller door een nieuwe applicatie aan te maken binnen Intune.

[Hero of Time]

nextware schreef op dinsdag 25 augustus 2026 @ 20:34:
[...]

Aanpassen van een detectie van een bestaande app binnen Intune werkt inderdaad niet. Als je "file exists" aanpast naar "file version" zal het niet werken. Als je detectie aanpast, altijd een nieuwe app aanmaken. Of je moet met scripts gaan werken die de GRS registeritems van het Intune package van je devices weggooit.. Maar dan ben je vele malen sneller door een nieuwe applicatie aan te maken binnen Intune.

Dat is dus wat ik doe met N++ e.d. Nieuwe versie, supersedence voor auto-update en later de oude verwijderen. Maar door die supersedence kan je dus zo'n idiote reeks krijgen dat je eerst 5 apps moet bijwerken voordat je ze kan verwijderen. Dat moet toch eenvoudiger kunnen? Als app B is ingesteld om app A te vervangen, zou die link tegelijk met app B zelf weg moeten gaan, ipv dat je eerst die link moet breken om B te kunnen verwijderen. Want A kan je ook niet zomaar verwijderen zonder de link bij B weg te halen.

[akimosan]

@Hero of Time In plaats van complete apps aan te maken kun je ook een Win32 app aanmaken die bijvoorbeeld Chrome Enterprise via winget installeert.

App bevat dan 3 scripts: een detection script welke controleert of Chrome is geïnstalleerd, een install script en een uninstall script. Hele package is dan maar een paar KB groot. Je kunt me een DM sturen en dan wil ik de scripts die ik hiervoor zelf gebruik wel met je delen.

Voordeel is dat nieuwe installs altijd de meest recente versie van de browser krijgen en de Google Updater werkt dan de versies bij. Je hebt er dan verder geen onderhoud aan.

je kunt de scripts ook als basis gebruiken voor een remediation script.

Stel dat je Notepad++ installeert via winget. Het eerste gedeelte is simpel, scripts zonder aanpassing die in de basis dit doen:

winget install --exact --id Notepad++.Notepad++ --silent --accept-package-agreements --accept-source-agreements --scope=machine

Updates kunnen met een remediation script, kleine aanpassing in de detection die controleert of versie nummer overeenkomt met de meest recente versie in winget: true? doe niets, false? run

winget update --exact --id Notepad++.Notepad++ --silent

Beter maak je een remediation script wat een lijst aan apps checked en bijwerkt, dan ben je in 1x klaar.

Maar in de basis is dat het, grotendeels self-maintaining

[ Voor 38% gewijzigd door akimosan op 25-08-2026 21:23 ]

[Hero of Time]

@akimosan, Chrome is het probleem niet. Die update zichzelf en als ik 't niet vergeet vervang ik 'm eens met een meer recente installer. Het ging mij om apps die niet zelf kunnen updaten of admin machtigingen nodig heeft daarvoor (N++ heeft een updater, maar roept in principe gewoon de installer aan met admin rechten bij de gebruiker).

Zaken als winget klinken aardig, maar is alsnog weer een dienst van derden die je maar net moet vertrouwen, hopen dat het de juiste bron pakt, etc.

Edit:
Je komt nu met remediation. Vergeet die zut aub, we hebben geen licenties met de 1001 opties van MS waar je €150 per gebruiker voor neer mag leggen. We doen het met BP.

[ Voor 15% gewijzigd door Hero of Time op 25-08-2026 21:27 ]

[Gr4mpyC3t]

Hero of Time schreef op dinsdag 25 augustus 2026 @ 21:26:

Zaken als winget klinken aardig, maar is alsnog weer een dienst van derden die je maar net moet vertrouwen, hopen dat het de juiste bron pakt, etc.

https://github.com/microsoft/winget-cli

En die bron kies je zelf natuurlijk.

[akimosan]

Dat valt wel te controleren zo lang je de apps en repos vantevoren zelf even checked.

De manifests van apps kun je immers vantevoren checken of de source wel betrouwbaar is.

Voor Chrome en Notepad++ :

winget-pkgs/manifests/g/Google/Chrome/151.0.7922.174/Google.Chrome.installer.yaml at master · microsoft/winget-pkgs · GitHub

winget-pkgs/manifests/n/Notepad++/Notepad++/8.9.8/Notepad++.Notepad++.installer.yaml at master · microsoft/winget-pkgs · GitHub

Daarin staan de hashes en de download sources ook vermeld. Winget controleert ook de hash aan de hand van de manifest en als dat niet klopt gaat hij niet installeren.

Met de exactID check installeer je natuurlijk enkel de app die je kiest en als je nog meer controle wilt, kun je gebruikmaken van een private repo (maar dan zijn er ook andere 3rd party en ik vind praktischer alternatieven.)

En natuurlijk kan een Github account van een opensource app gehacked worden of gekaapt, maar dat risico loop je met handmatig downloaden ook. Met je Firefox app uit de Microsoft Store loop je min of meer hetzelfde risico.

In jouw situatie installeer je dus eerst een verouderde versie van Chrome en laat je die daarna pas updaten? Is dat veiliger?

[Hero of Time]

An sich mooie oplossingen. Maar het beantwoord nog niet echt m'n vraag of er een minder omslachtige manier is om oude apps in Intune te verwijderen als er supersedence is gebruikt. Nee is m'n eigen antwoord, maar misschien dat jullie een andere hadden. Gezien de alternatieven, is dat dus niet het geval.

[Blokker_1999]

Voor zover mij bekend niet. Ik neem aan dat mensen die een externe tool gebruiken daar weer een voordeel hebben, want supersedence heeft natuurlijk ook een voordeel, namelijk dat de oude versie verborgen wordt in de CP en dat je gebruik kunt maken van de auto update functionaliteit voor apps die gebruikers handmatig uit de CP installeren.

[Blokker_1999]

akimosan schreef op dinsdag 25 augustus 2026 @ 21:12:
@Hero of Time In plaats van complete apps aan te maken kun je ook een Win32 app aanmaken die bijvoorbeeld Chrome Enterprise via winget installeert.

App bevat dan 3 scripts: een detection script welke controleert of Chrome is geïnstalleerd, een install script en een uninstall script. Hele package is dan maar een paar KB groot. Je kunt me een DM sturen en dan wil ik de scripts die ik hiervoor zelf gebruik wel met je delen.

Voordeel is dat nieuwe installs altijd de meest recente versie van de browser krijgen en de Google Updater werkt dan de versies bij. Je hebt er dan verder geen onderhoud aan.

je kunt de scripts ook als basis gebruiken voor een remediation script.

Stel dat je Notepad++ installeert via winget. Het eerste gedeelte is simpel, scripts zonder aanpassing die in de basis dit doen:

winget install --exact --id Notepad++.Notepad++ --silent --accept-package-agreements --accept-source-agreements --scope=machine

Updates kunnen met een remediation script, kleine aanpassing in de detection die controleert of versie nummer overeenkomt met de meest recente versie in winget: true? doe niets, false? run

winget update --exact --id Notepad++.Notepad++ --silent

Beter maak je een remediation script wat een lijst aan apps checked en bijwerkt, dan ben je in 1x klaar.

Maar in de basis is dat het, grotendeels self-maintaining

Met je remediation heb je dan wel nog 1 moeilijkheid, apps zoals NPP mogen niet draaien wanneer ze geupdate worden. Dat kan soms ook wel eens een moeilijke zijn.

[ralpje]

* ralpje lacht in PatchMyPC.

Die houdt voor ons van al dat soort apps netjes de updates bij, regelt de supersedence en zorgt dat 3 oude versies in Intune beschikbaar blijven en oudere automatisch worden opgeruimd.

Ja, het kost geld. Maar onder de streep scheelt het ons zoveel werk bij het bijhouden en repackagen van al die apps (en de updates) dat we dat lachend terugverdienen.

[nextware]

Of je Intune app pushen mbv een Powershell die eerst oude versies detecteert, die verwijderd en daarna de installatie uitvoert ?

Of kijken naar andere applicatie push systemen, zoals bijvoorbeeld een PDQ Connect waar de door PDQ Connect gepubliceerde applicaties (zoals Chrome en Notepad++) automatisch worden bijgewerkt als deze via een Automation zijn gepushed op de devices.

[ Voor 49% gewijzigd door nextware op 26-08-2026 10:16 ]

[Blokker_1999]

@ralpje , probleem voor ons is te veel software die je niet snel gaat vinden in dat soort oplossingen.

[akimosan]

@Blokker_1999 :
Robopack ondersteunt in ieder geval het gebruik van custom packaging met QA testing, dus je kunt in principe je eigen installers ook toevoegen aan een patchflow (en Robopack vervolgens de rest in Intune afhandelt, inclusief aanmaken van de apps en opruimen van supersedence)

offtopic:
Daar ga ik zelf ook nog eens naar kijken want ik heb ook nog een paar installers die ik nu handmatig bijhoud en zelf package. Ik zal mijn ervaringen delen.

De bibliotheek van ondersteunde apps in Robopack/PatchMyPC/PDQ Connect en vergelijkbare diensten is ook best groot. Sowieso vaak alles wat in winget/MS store zit en meer.

En zie het zo: als een grasmaai robot 90% van het grasveld maait en je nog maar 10% nog met de hand moet doen, kan het toch een nuttige investering zijn

[akimosan]

Iemand die ook problemen ervaart met devices die plots verwijderd worden uit Intune?

We zien vandaag het aantal Windows devices teruglopen in onze tenant. Auditlog laat het volgende zien:

Activity
Date: 8/31/2026, 9:33 AM
Activity Type: Update device
Correlation ID: <id>
Category: Device
Status: success
Status reason
User Agent
Initiated by (actor)
Type: Application
Display Name: Device Registration Service
App ID
Service principal ID: <id>
Service principal name
Additional Details
DeviceId: <id>
DeviceOSType: Windows
DeviceTrustType: AzureAd

Vervolgens wat Modified attributes, New value

Target / PropertyName / Old Value / New Value

<devicename> / TargetId.DeviceId / / <id>

<devicename> / TargetId.DeviceOSType / / "Windows"

<devicename> / TargetId.DeviceTrustType / / "AzureAd"

[GrasshopperNL]

akimosan schreef op maandag 31 augustus 2026 @ 09:55:
Iemand die ook problemen ervaart met devices die plots verwijderd worden uit Intune?

We zien vandaag het aantal Windows devices teruglopen in onze tenant. Auditlog laat het volgende zien:

Activity
Date: 8/31/2026, 9:33 AM
Activity Type: Update device
Correlation ID: <id>
Category: Device
Status: success
Status reason
User Agent
Initiated by (actor)
Type: Application
Display Name: Device Registration Service
App ID
Service principal ID: <id>
Service principal name
Additional Details
DeviceId: <id>
DeviceOSType: Windows
DeviceTrustType: AzureAd

Vervolgens wat Modified attributes, New value

Target / PropertyName / Old Value / New Value

<devicename> / TargetId.DeviceId / / <id>

<devicename> / TargetId.DeviceOSType / / "Windows"

<devicename> / TargetId.DeviceTrustType / / "AzureAd"

Mogelijk heb je een device cleanup rule staan.

[akimosan]

Sorry, dat was ik vergeten te vermelden. Nee geen device cleanup rule voor Windows devices (enkel voor Android)

[Blokker_1999]

De vraag wordt dan al snel: zijn ze ook effectief verwijderd en hebben je gebruikers er last van of is het een probleem met het portaal?

[akimosan]

Ik denk dat het wel iets van weergave is, want een sync/policy refresh via de Company Portal app op een device laat geen fouten zien.
Ook een dynamic device group in EntraID met daarin een query voor MDM+Windows laat het normale aantal devices zien. Maar uit de Portal "verdwijnen" ze dus.
De impact is beperkt tot gebruikers met een incompliant device. Normaliter lost onze servicedesk dat op met een device sync triggered vanuit de Intune portal, maar dat werkt nu dus niet meer.
En rapportages gaan ook over de zeik, uiteraard.

Ook de view https://admin.cloud.microsoft/#/IntuneDevices is bij ons compleet leeg.

[makooy]

akimosan schreef op maandag 31 augustus 2026 @ 09:55:
Iemand die ook problemen ervaart met devices die plots verwijderd worden uit Intune?

We zien vandaag het aantal Windows devices teruglopen in onze tenant. Auditlog laat het volgende zien:

Activity
Date: 8/31/2026, 9:33 AM
Activity Type: Update device
Correlation ID: <id>
Category: Device
Status: success
Status reason
User Agent
Initiated by (actor)
Type: Application
Display Name: Device Registration Service
App ID
Service principal ID: <id>
Service principal name
Additional Details
DeviceId: <id>
DeviceOSType: Windows
DeviceTrustType: AzureAd

Vervolgens wat Modified attributes, New value

Target / PropertyName / Old Value / New Value

<devicename> / TargetId.DeviceId / / <id>

<devicename> / TargetId.DeviceOSType / / "Windows"

<devicename> / TargetId.DeviceTrustType / / "AzureAd"

Is de "Primary user UPN" ook leeg in het "All devices" overzicht?
daar hebben wij last van, zie ook https://www.reddit.com/r/..._devices_by_primary_user/

[akimosan]

Ja, daar heeft het wel mee te maken, lijkt het.

Ik heb net de rol Intune Administrator geactiveerd (hebben we middels PIM ingeregeld) en dan floept mijn weergave terug naar +1000 devices.

Andere workaround (voor users zonder de Intune Admin role maar met een beperkte rol):

1. Vanuit de weergave van Windows Autopilot devices, zoek device op.
2. Klik serial number aan en vervolgens kun je klikken op Associated Intune device. Daar ziet ie hem dan weer wel en kun je de reguliere acties uitvoeren.

Phew..

Primary User UPN is wel leeg in de weergave Windows Devices, maar niet via de weergave die getoond wordt als je via Autopilot devices navigeert.

[ Voor 12% gewijzigd door akimosan op 31-08-2026 15:12 ]

[HKLM_]

Dat de Primary User UPN leeg was was mij al opgevallen vanmiddag, goed om te zien dat meer mensen er last van hebben. Wij hebben vanaf donderdag eigenlijk wat last van Intune welke met autopilot soms het device naam niet goed meegeeft vanuit het profiel... en het is traaaaaaaag

[repmeer]

akimosan schreef op maandag 31 augustus 2026 @ 14:53:
Ja, daar heeft het wel mee te maken, lijkt het.

Ik heb net de rol Intune Administrator geactiveerd (hebben we middels PIM ingeregeld) en dan floept mijn weergave terug naar +1000 devices.

Andere workaround (voor users zonder de Intune Admin role maar met een beperkte rol):

1. Vanuit de weergave van Windows Autopilot devices, zoek device op.
2. Klik serial number aan en vervolgens kun je klikken op Associated Intune device. Daar ziet ie hem dan weer wel en kun je de reguliere acties uitvoeren.

Phew..

Primary User UPN is wel leeg in de weergave Windows Devices, maar niet via de weergave die getoond wordt als je via Autopilot devices navigeert.

Er wordt een issue gemeldt op in de intune Portal dat hier mee te maken heeft

[nextware]

HKLM_ schreef op maandag 31 augustus 2026 @ 19:19:
Dat de Primary User UPN leeg was was mij al opgevallen vanmiddag, goed om te zien dat meer mensen er last van hebben. Wij hebben vanaf donderdag eigenlijk wat last van Intune welke met autopilot soms het device naam niet goed meegeeft vanuit het profiel... en het is traaaaaaaag

Ik zie vooral veel devices die in het deployment report een naam hebben "serial not listed"... Maar als ik zoek binnen de Windows Devices zie ik wel netjes het device met de correcte naam staan.. Wellicht update niet helemaal goed gegaan / getest / doorgevoerd ?

[DDX]

Macos 27 released.
Nu hebben we in intune netjes ingesteld staan Major Period In Days: 14
Leek soort van goed te werken, mijn (test)mac kwam gisteren met melding dat macos 27 klaar stond maar klikte ik daarop werd enkel 26.7 aangeboden (die tegelijk released was met security updates)
Alleen vandaag toch weer 27 aangeboden en die installeerde ook gewoon...

Na installatie popup van company portal met sign-in request op entra. (voor sso)
Alleen accept die niet mijn wachtwoord. (zoiezo username lijkt daar zonder domein te zijn...)

[HKLM_]

DDX schreef op woensdag 16 september 2026 @ 10:48:
Macos 27 released.
Nu hebben we in intune netjes ingesteld staan Major Period In Days: 14
Leek soort van goed te werken, mijn (test)mac kwam gisteren met melding dat macos 27 klaar stond maar klikte ik daarop werd enkel 26.7 aangeboden (die tegelijk released was met security updates)
Alleen vandaag toch weer 27 aangeboden en die installeerde ook gewoon...

Na installatie popup van company portal met sign-in request op entra. (voor sso)
Alleen accept die niet mijn wachtwoord. (zoiezo username lijkt daar zonder domein te zijn...)

Dat van OS27 aanklikken en dat dan 26.7 geinstalleerd wordt is een bug naar mijn weten, op X en volgens mij ook op de FB onder het artikel heb ik dit zien terug komen bij mensen die gingen up-daten.

[Blokker_1999]

Even een lekker ouderwetse vraag: hoe doen jullie het met fileshares? Gewoon aan de user overlaten? Scripten gebruiken? Registry settings? ADMX ingestion?

[TheVMaster]

Blokker_1999 schreef op woensdag 16 september 2026 @ 11:48:
Even een lekker ouderwetse vraag: hoe doen jullie het met fileshares? Gewoon aan de user overlaten? Scripten gebruiken? Registry settings? ADMX ingestion?

Die zijn er niet meer. Althans bij de projecten waar ik Intune kom doen, daar is het device stuk maar een deel van. Vaak is het een combi van Microsoft 365, en dan gaat alles naar OneDrive/SharePoint.

[ Voor 18% gewijzigd door TheVMaster op 16-09-2026 12:00 ]

[Davidas]

Blokker_1999 schreef op woensdag 16 september 2026 @ 11:48:
Even een lekker ouderwetse vraag: hoe doen jullie het met fileshares? Gewoon aan de user overlaten? Scripten gebruiken? Registry settings? ADMX ingestion?

Als ik het nog tegenkom en we ontkomen er niet aan dan via ADMX.

[HKLM_]

Poe tijd geleden, de laatste keer heb ik ADMX gebruikt met die aangepaste van rudy en wel met cloud kerberos ivm whfb.

@Blokker_1999 Deze: Intune Drive Mappings | Managing Drive letters with an ADMX

[ Voor 40% gewijzigd door HKLM_ op 16-09-2026 12:29 ]

[ZeRoC00L]

Blokker_1999 schreef op woensdag 16 september 2026 @ 11:48:
Even een lekker ouderwetse vraag: hoe doen jullie het met fileshares? Gewoon aan de user overlaten? Scripten gebruiken? Registry settings? ADMX ingestion?

Deze gebruik ik meestal:

https://intunedrivemapping.azurewebsites.net/

ICM Cloud Kerberos ivm Entra Only devices.

[Davidas]

ZeRoC00L schreef op woensdag 16 september 2026 @ 12:16:
[...]

Deze gebruik ik meestal:

https://intunedrivemapping.azurewebsites.net/

ICM Cloud Kerberos ivm Entra Only devices.

Heb het via deze weg nooit goed kunnen instellen, ook al had ik Cloud Kerberos ingericht.

[ Voor 3% gewijzigd door Davidas op 16-09-2026 12:25 ]

[HKLM_]

ZeRoC00L schreef op woensdag 16 september 2026 @ 12:16:
[...]

Deze gebruik ik meestal:

https://intunedrivemapping.azurewebsites.net/

ICM Cloud Kerberos ivm Entra Only devices.

Dat Script wat gebruikt wordt is echt belachelijk groot voor wat het moet doen

[ralpje]

HKLM_ schreef op woensdag 16 september 2026 @ 12:28:
[...]

Dat Script wat gebruikt wordt is echt belachelijk groot voor wat het moet doen

Mwa. Het houdt rekening met wat edge cases, het checkt groupmemberships voor de mapping, verwijderd drives als je uit een groep gehaald bent, doet een stukje logging.... Ik snap de complexiteit wel. Kun je het minder? Vast. Maar omdat dit een script is wat publiek aangeboden wordt wil je dat alle mogelijke situaties hier ook gelijk in meegenomen zijn en dat maakt het gelijk een stuk compleser.

[DDX]

HKLM_ schreef op woensdag 16 september 2026 @ 11:38:
[...]

Dat van OS27 aanklikken en dat dan 26.7 geinstalleerd wordt is een bug naar mijn weten, op X en volgens mij ook op de FB onder het artikel heb ik dit zien terug komen bij mensen die gingen up-daten.

Zal in dezelfde bug wel iets zitten dat 27 niet als major gezien wordt en zich dus niets aantrekt van de intune/mdm setting om de major pas later aan te bieden.

[grimson]

'Hier' onlangs ook de ADMX drive mappings template geïmporteerd en gebruikt.
In combinatie met Cloud Kerberos trust werkt het ook goed via een VPN, de mappings blijven 'persistent' aanwezig. Ook als je een mapping weghaalt en weer aanmeld (op de computer) komt hij terug.

Het is niet echt fraai maar het werkt

Oja de mappings zijn niet in NetBIOS style als \\fileserver\share maar in FQDN style als \\fileserver.domain.dit\share.

Volgens mij doet Kerberos het beter met FQDN namen zegmaar.

[ Voor 24% gewijzigd door grimson op 16-09-2026 16:20 ]

[Blokker_1999]

TheVMaster schreef op woensdag 16 september 2026 @ 11:58:
[...]

Die zijn er niet meer. Althans bij de projecten waar ik Intune kom doen, daar is het device stuk maar een deel van. Vaak is het een combi van Microsoft 365, en dan gaat alles naar OneDrive/SharePoint.

Te veel legacy in de omgeving op dit moment. We zijn sinds deze zomer bezig met een verhuis naar Azure, waarbij we ook voor het eerst non-domain joined AVDs gaan opzetten maar aan de andere kant moeten onze file shares ook over naar storage accounts waarbij vele shares nu al gaan aanlopen tegen de beperkingen van de Azure backup policies (max 10TB en max 10 miljoen bestanden) waardoor we DFS shares verder gaan moeten uitsplitsen. En we lopen ook verder aan tegen data die we vandaag ontsluiten met access based enumeration, wat ook niet meer werkt en we ook weer oplossingen voor moeten zoeken.

En SharePoint is voor veel van deze data geen oplossing, want het zijn geen office documenten, het is niet echt data die gebruikers verwerken. We hebben shares van tientallen terabytes vol met builds en dus binaire data, terabytes aan database en memory dumps, ... . Dat zet je niet op SP .

[TheVMaster]

Blokker_1999 schreef op woensdag 16 september 2026 @ 19:53:
[...]

Te veel legacy in de omgeving op dit moment. We zijn sinds deze zomer bezig met een verhuis naar Azure, waarbij we ook voor het eerst non-domain joined AVDs gaan opzetten maar aan de andere kant moeten onze file shares ook over naar storage accounts waarbij vele shares nu al gaan aanlopen tegen de beperkingen van de Azure backup policies (max 10TB en max 10 miljoen bestanden) waardoor we DFS shares verder gaan moeten uitsplitsen. En we lopen ook verder aan tegen data die we vandaag ontsluiten met access based enumeration, wat ook niet meer werkt en we ook weer oplossingen voor moeten zoeken.

En SharePoint is voor veel van deze data geen oplossing, want het zijn geen office documenten, het is niet echt data die gebruikers verwerken. We hebben shares van tientallen terabytes vol met builds en dus binaire data, terabytes aan database en memory dumps, ... . Dat zet je niet op SP .

AVD's...? Waarom niet naar Windows 365? Hmm...geen idee hoe developers dat doen, heb wel met veel developers te maken. Zij gebruiken allemaal DevBoxes (en/of Windows 365). Hun data staat niet op fileshares weet ik....

[HKLM_]

TheVMaster schreef op donderdag 17 september 2026 @ 01:31:
[...]

AVD's...? Waarom niet naar Windows 365? Hmm...geen idee hoe developers dat doen, heb wel met veel developers te maken. Zij gebruiken allemaal DevBoxes (en/of Windows 365). Hun data staat niet op fileshares weet ik....

Omdat AVD soms de betere keuze is ten opzichte van Windows 365. Als je het rekensommetje gaat maken AVD/W365 dan komt daar regelmatig nog steeds AVD uit (wel afhankelijk van de case natuurlijk)

Zeker als je een beetje performance wilt is W365 knetter duur, en anders is het niet vooruit te branden.

[HKLM_]

DDX schreef op woensdag 16 september 2026 @ 15:59:
[...]


Zal in dezelfde bug wel iets zitten dat 27 niet als major gezien wordt en zich dus niets aantrekt van de intune/mdm setting om de major pas later aan te bieden.

Zag deze voorbij komen om 27 aan te bieden vanuit Intune ipv 26.7

[Davidas]

Met de RBAC rol Intune Administrator moet ik toch Windows 365 Cloud PC kunnen beheren?

bijvoorbeeld een provisioning policy aanmaken. Krijg nu namelijk een foutmelding dat ik niet genoeg rechten heb, zal dat komen omdat we nog geen enkele Windows 365 subscriptie actief hebben in de betreffende tenant?

[HKLM_]

Davidas schreef op donderdag 17 september 2026 @ 08:33:
Met de RBAC rol Intune Administrator moet ik toch Windows 365 Cloud PC kunnen beheren?

bijvoorbeeld een provisioning policy aanmaken. Krijg nu namelijk een foutmelding dat ik niet genoeg rechten heb, zal dat komen omdat we nog geen enkele Windows 365 subscriptie actief hebben in de betreffende tenant?

Daar zit die inderdaad, je moet wel een W365 licentie hebben wil je zaken kunnen configureren, de Intune Administrator rol kan dat dan doen ja

[DennusF]

Er is wel wat gewijzigd binnen intune, eerder kon onze servicedesk gewoon devices wipen en zonder wijziging in de rechten kunnen ze alleen nog maar compliant devices wipen.

[Blokker_1999]

TheVMaster schreef op donderdag 17 september 2026 @ 01:31:
[...]

AVD's...? Waarom niet naar Windows 365? Hmm...geen idee hoe developers dat doen, heb wel met veel developers te maken. Zij gebruiken allemaal DevBoxes (en/of Windows 365). Hun data staat niet op fileshares weet ik....

Omdat er redelijk wat dingen zijn die niet mogelijk zijn met W365. Zo kan je geen multisessie systemen maken, eenvoudig op- en afschalen. Wanneer je mensen 8u per werkdag werken moet je bij W365 nog altijd voor 24/7 uptime betalen, de netwerkmogelijkheden zijn beperkter, met AVD kunnen we ook gebruik maken van onze E3/E5 licenties voor de windows licentie kost af te dekken.

* Blokker_1999 had hier nog veel uitleg getypt, maar toch maar weer verwijderd, want teveel interne info delen wordt ook niet echt gewaardeerd

[HKLM_]

Blokker_1999 schreef op donderdag 17 september 2026 @ 09:09:
[...]

Omdat er redelijk wat dingen zijn die niet mogelijk zijn met W365. Zo kan je geen multisessie systemen maken, eenvoudig op- en afschalen. Wanneer je mensen 8u per werkdag werken moet je bij W365 nog altijd voor 24/7 uptime betalen, de netwerkmogelijkheden zijn beperkter, met AVD kunnen we ook gebruik maken van onze E3/E5 licenties voor de windows licentie kost af te dekken.

* Blokker_1999 had hier nog veel uitleg getypt, maar toch maar weer verwijderd, want teveel interne info delen wordt ook niet echt gewaardeerd

Kan je deze eens toelichten? "de netwerkmogelijkheden zijn beperkter" Ik ben benieuwd wat je al beperkter ziet? W365 kan je namelijk volledig over Azure Network Connection laten routeren, je kan dan extreem ver gaan net zoals bij AVD.

[Blokker_1999]

Het is al weer even geleden dat we de sessies daaromtrend gehad hebben, maar van wat ik mij daarvan herinner en wat AI ook snel onderschrijft heeft (of had) W365 minder mogelijkheden rondom NSGs alsook peering met VPN/Expressroute.

Kan uiteraard zijn dat daar ondertussen ook alweer werk van is gemaakt, maar dan nog blijven er andere nadelen staan voor ons.

Neemt niet weg dat W365 in vele gevallen uiteraard gewoon wel een goed alternatief kan zijn.

[ralpje]

Zoals ik het meestal breng (en ik mag mezelf sinds de laatste renewal Windows 365 MVP noemen, yay!) zit het verschil met name op de beheerslaag. Wil je wel gevirtualiseerde desktops kunnen aanbieden, maar je niet druk maken om de achterlaag aan sessie-hosts, images, gateways, en dat soort meuk? Dan ga je voor W365.

Ja, door de multi-sessie opties in AVD kán dat goedkoper zijn (als zijn er met de Flex Shared en Flex Dedicated ook prima alternatieven in W365) - maar als je 'verborgen' kosten van die achterkant meerekent kan die rekensom wel eens alsnog uitvallen in het voordeel van W365.

Maar goed, consultancy antwoord: it depends

[Quad]

Mijn klanten worden vooral blij van: het kost je 80 euro per maand dan: het kan 50 euro kosten, maar misschien ook wel 120 euro..

[HKLM_]

ralpje schreef op donderdag 17 september 2026 @ 22:24:
Zoals ik het meestal breng (en ik mag mezelf sinds de laatste renewal Windows 365 MVP noemen, yay!) zit het verschil met name op de beheerslaag. Wil je wel gevirtualiseerde desktops kunnen aanbieden, maar je niet druk maken om de achterlaag aan sessie-hosts, images, gateways, en dat soort meuk? Dan ga je voor W365.

Ja, door de multi-sessie opties in AVD kán dat goedkoper zijn (als zijn er met de Flex Shared en Flex Dedicated ook prima alternatieven in W365) - maar als je 'verborgen' kosten van die achterkant meerekent kan die rekensom wel eens alsnog uitvallen in het voordeel van W365.

Maar goed, consultancy antwoord: it depends

Die beheerslaag is wel een heel interesant item binnen W365 inderdaad, Hoe ga jij om met Windows updates op de Windows 365 Cloud PC machines? Onboard je ze in Windows Autopatch?

Bij AVD update je de sessie host en merkt de gebruiker er helemaal niets van, mijn ervaring is bij Windows 365 dat het meer een "normal" device is welke toch met updates komt soms maar dat kan ook een config dingetje zijn. (Voor flex weet ik dat ze iets speciaals hebben gemaakt bij een inactieve CPC)

[DDX]

HKLM_ schreef op donderdag 17 september 2026 @ 06:57:
[...]

Zag deze voorbij komen om 27 aan te bieden vanuit Intune ipv 26.7

[Afbeelding]

Ik kom die hele setting niet tegen in intune bij Declarative Device Management (DDM)
Lijkt een iOS setting te zijn.

[ Voor 3% gewijzigd door DDX op 18-09-2026 11:13 ]

[Blokker_1999]

ralpje schreef op donderdag 17 september 2026 @ 22:24:
...

Maar goed, consultancy antwoord: it depends

Tsjah, dat is natuurlijk altijd het antwoord. Elke situatie is uniek en als je eenmaal een goed beelt hebt op de benodigheden kan je een goed advies uitbrengen met wat vandaag beschikbaar is.

[ralpje]

HKLM_ schreef op vrijdag 18 september 2026 @ 10:16:
[...]

Die beheerslaag is wel een heel interesant item binnen W365 inderdaad, Hoe ga jij om met Windows updates op de Windows 365 Cloud PC machines? Onboard je ze in Windows Autopatch?

Ja, ik onboard ze in Autopatch. Eigenlijk is dat ook een beetje in de lijn met wat in aan eindgebruikers uitleg: je krijgt een laptop van bedrijf X, maar het is geen laptop maar een computer ergens in een datacenter. Alle settings, software, updatebeleid, etc. is dan ook gewoon vergelijkbaar met een reguliere laptop.

Nou heb ik ook best wat Flex en Flex Shared machines draaien (voor het publishen van een app of een desktop) en daar is dat natuurlijk weer net ff wat anders en doen we periodiek een reprovisioning om de updates in de basis mee te laten komen. Dus ook hier: it depends

[Hero of Time]

Het is jammer dat er niet een optie is om vanuit Intune bij een device direct een applicatie te verwijderen die gevonden is. We hebben nieuwe kiosken waar de monitoring piept over Intel License Manager service. Geen flauw idee waarom die troep erop staat, want het is bedoelt voor developers. Er staat wel wat Intel software op, maar dat is voor de videokaart. Kan nou niet echt iets vinden over 'license' in de lijst van gedetecteerde software.

Heb nu maar de service op de ignore lijst gegooid van m'n monitoring, maar had liever de software er helemaal niet op.

[Quad]

@Hero of Time Uitzoeken hoe te verwijderen en dan de 'installatie' als win32app uploaden naar Intune met devices op verwijderen?

[Hero of Time]

@Quad, ja, dat zag ik ook zo'n beetje als antwoord. Probleem is, ik heb geen flauw idee welk pakket die Intune heeft gevonden de license manager bevat. En online vind ik info van Intel met dit:

Login to the Intel Registration Center. Find the Intel Software License Manager in your product list and click the Version link.

Dat gaat er dus van uit dat je een account hebt waar je de licentie manager mee wilt downloaden zodat je de license server kan opzetten. Andere resultaten gaan weer over welke services uit te schakelen zijn. Dat zie ik ook niet in Intune om services te beheren.

Sowieso nogal ruk om die service mee te leveren, die dus niet start, met een driver. Het is opeens aanwezig bij twee kiosks die het eerder niet hadden.

[akimosan]

Hoe komt het op de kiosken?

• Windows update policy die automatisch driver updates goedkeurt (komt dan mee met een Windows driver update
• Software die anderszins drivers en apps up-to-date houdt (denk aan iets als Dell Command Update of vergelijkbare vendor software)

Zoiets?

Zie bijvoorbeeld:

Driver voor Intel Management Engine Interface | Details driver | Dell Nederland

Daarin komt Intel Platform License Manager Service ook mee.

Het is waarschijnlijk NIET de Intel Software License Manager (dat is inderdaad een door Intel "branded" FlexLM license service voor floating licenses)

[ Voor 46% gewijzigd door akimosan op 21-09-2026 21:10 ]

[Hero of Time]

Er staat idd een redelijk basic en standaard WU policy in onze Intune voor alle apparaten. Dit bevat ook drivers en de kiosken hebben een Intel iGPU. We hebben twee merken kiosken in Intune, maar alleen 1 van de twee typen heeft deze service. Morgen kijk ik ook iets verder, toen ik de mails erover zag konden ze al gebruikt worden en was het niet zo makkelijk meer om wat te proberen (voor zover dat mogelijk is in kiosk mode).

[HKLM_]

Intune deployment plans is naar de public preview state gegaan: https://learn.microsoft.com/en-us/intune/device-management/deployments/overview

Zeker even de moeite waard om te bekijken, ik heb hem vanuit de private preview mogen testen en het is een mooie optie om applicaties of configuration profiles ring based te deployen. Vragen ask!

[Hero of Time]

Vanochtend naar die kiosk gekeken. De melding in m'n monitoring was op dezelfde dag als de Intel video driver update. En uiteraard omdat het kiosk is, kan er niks interactief verwijdert worden. Ding staat nu in de exclude bij m'n monitoring.

[Blokker_1999]

Drivers ... gruwel ... gruwel. Direct een reden dat ik nooit automatisch drivers goedkeur in Intune en softwarecomponenten ook niet snel handmatig zal goedkeuren.

[akimosan]

Blijft natuurlijk ook een kat en muis spel.

Regelmatig kwetsbaarheden die nog in drivers en bijkomende software geleverd worden. Dus ook drivers en biossen en microcontrollers moeten gepatched worden.

En kiosk systemen zijn in principe vaak ook juist fysiek bereikbaar en daarmee kwetsbaar.

[Blokker_1999]

Klopt, maar ook daarom is selectief zijn niet slecht, want wat er niet op staat kan ook niet kapot . Maar wat er op staat moet je uiteraard wel bijwerken.

Maar een andere reden dat ik geen automatische goedkeuring geef is net om wat ik vorige week weer op mijn eigen laptop gezien heb, 1 van de weinige test toestellen in productie. Intel brengt over enkele dagen verspreid een hoop driver updates uit, die installeren verspreid over meerdere dagen en het aantal reboots dat ik heb gehad waarbij je binnen het kwartier moet herstarten, zonder pardon, was niet op 1 hand te tellen.

[HKLM_]

Windows 11 26H2 is GA An IT pro’s guide to Windows 11, version 26H2 - Windows IT Pro Blog

[Quad]

Eens zien wanneer deze voor OSD beschikbaar is.

[HKLM_]

Er is ook een nieuwe security baseline: https://techcommunity.microsoft.com/blog/microsoft-security-baselines/windows-11-version-26h2-security-baseline/4560382

[willempjuh]

Anderen problemen met preprovisioning vandaag? Apparaat lijkt geen verbinding te maken met de Intune tennant.

[YaYo86]

Ja er zijn problemen, wij kunnen geen hashes uploaden en met de tenant verbinden in de OOBE.

https://www.reddit.com/r/Intune/comments/1wtty57/autopilot_device_upload_not_working/

https://www.reddit.com/r/Intune/comments/1wtxx9t/intune_problems_staging/

[ Voor 22% gewijzigd door YaYo86 op 30-09-2026 10:19 ]

[Quad]

Ik zie voorlopig nog niets hierover in de adminportal bij MS.

[Misterxbee]

ja hier ook problemen

[DennusF]

Gister hadden we hier ook al last van..

[Dirtyrockers]

ook wij lopen ertegenaan dat devices niet willen registreren in autopilot.

[willempjuh]

Quad schreef op woensdag 30 september 2026 @ 12:33:
Ik zie voorlopig nog niets hierover in de adminportal bij MS.

Ik lees net ergens dat ze hebben toegegeven dat er een probleem is, maar ik zie nog niks op de diverse Health portals. Hier wel: Microsoft Intune Status. Check if Microsoft Intune is down or having an outage. | StatusGator

[Blokker_1999]

Wat ben ik blij met deze groep mensen. Men rapporteert hier vanuit 1st line een probleem en ik kom gewoon hier kijken om bevestigd te zien wat ik al vermoed .

[willempjuh]

Microsoft durft het aan om iets te zeggen: Some admins may be unable to register new Windows Autopilot devices or update Autopilot group tags in Microsoft Intune. User impact: Admins may be unable to register new Windows Autopilot devices or update Autopilot group tags in Microsoft Intune. More info: Affected admins may observe that Windows Autopilot group tag updates don't persist after saving, and hardware hash imports remain in an incomplete or processing state indefinitely. As a result, profile assignments that rely on Autopilot group tags may not apply as expected, and registration of new Windows Autopilot devices may fail. Current status: We've identified that requests to update Autopilot group tags are returning successful responses but aren't being applied as expected. We're analyzing service telemetry and recent platform activity to identify the root cause and next steps required to mitigate impact. Scope of impact: Some admins attempting to register new Windows Autopilot devices or update Autopilot group tags in Microsoft Intune may be impacted. Next update by: Wednesday, September 30, 2026, at 3:30 PM UTC

[mentaloscar]

willempjuh schreef op woensdag 30 september 2026 @ 16:03:
Microsoft durft het aan om iets te zeggen: Some admins may be unable to register new Windows Autopilot devices or update Autopilot group tags in Microsoft Intune. User impact: Admins may be unable to register new Windows Autopilot devices or update Autopilot group tags in Microsoft Intune. More info: Affected admins may observe that Windows Autopilot group tag updates don't persist after saving, and hardware hash imports remain in an incomplete or processing state indefinitely. As a result, profile assignments that rely on Autopilot group tags may not apply as expected, and registration of new Windows Autopilot devices may fail. Current status: We've identified that requests to update Autopilot group tags are returning successful responses but aren't being applied as expected. We're analyzing service telemetry and recent platform activity to identify the root cause and next steps required to mitigate impact. Scope of impact: Some admins attempting to register new Windows Autopilot devices or update Autopilot group tags in Microsoft Intune may be impacted. Next update by: Wednesday, September 30, 2026, at 3:30 PM UTC

Heb je toevallig een link? Zou graag een bevestiging zien van MS.

EDIT: al gevonden

in je service health

[willempjuh]

Ik zie net dat het bij sommigen weer werkt.

[Davidas]

Final status: We’ve identified and reverted a change in the Intune service, and telemetry confirms that the service has returned to normal functionality and that customer impact has resolved.

[Blokker_1999]

Ook weer een leuke gehad vandaag. Ben aan het experimenteren met Cloud PKI. Netjes een CA opgezet, policy aangemaakt en aan mezelf gehangen om mee te testen. Ik krijg maar geen certificaat. Terwijl ik wat anders aan het testen ben, en voor het eerst in jaren een non-hybrid machine uitrol, zie ik daar het certificaat onmiddelijk verschijnen 🤦.

We mogen weer gaan zoeken naar de verschillen dus.

[HKLM_]

Blokker_1999 schreef op donderdag 1 oktober 2026 @ 19:33:
Ook weer een leuke gehad vandaag. Ben aan het experimenteren met Cloud PKI. Netjes een CA opgezet, policy aangemaakt en aan mezelf gehangen om mee te testen. Ik krijg maar geen certificaat. Terwijl ik wat anders aan het testen ben, en voor het eerst in jaren een non-hybrid machine uitrol, zie ik daar het certificaat onmiddelijk verschijnen 🤦.

We mogen weer gaan zoeken naar de verschillen dus.

Staat je AzureAdPrt state op yes?

[-ChRiZz-]

Administrator Protection werkte via het configuration profile eindelijk in 25H2, maar werkt niet meer in versie 26H2. Iemand dezelfde ervaring? Wederom geduld hebben?

[Davidas]

-ChRiZz- schreef op donderdag 1 oktober 2026 @ 23:45:
Administrator Protection werkte via het configuration profile eindelijk in 25H2, maar werkt niet meer in versie 26H2. Iemand dezelfde ervaring? Wederom geduld hebben?

Waarom draai je nu al 26H2, mijn advies is om altijd een paar weken te wachten zodat alle kinderziektes eruit zijn.

[Blokker_1999]

Mogelijks een test setup, ik ga ook mijn eerste test machines upgraden deze week om te zien wat er gebeurdt.

[Blokker_1999]

HKLM_ schreef op donderdag 1 oktober 2026 @ 21:15:
[...]

Staat je AzureAdPrt state op yes?

yes

En nu ook geleerd dat hybrid/non-hybrid geen verschil maakt. Heb namelijk 1 actieve non-hybrid die ik al lang thuis gebruik, en die haalt het cert ook niet binnen . There goes that theory.

[HKLM_]

-ChRiZz- schreef op donderdag 1 oktober 2026 @ 23:45:
Administrator Protection werkte via het configuration profile eindelijk in 25H2, maar werkt niet meer in versie 26H2. Iemand dezelfde ervaring? Wederom geduld hebben?

Ik zie heel die optie nog niet eens 😅

[HKLM_]

Blokker_1999 schreef op vrijdag 2 oktober 2026 @ 07:11:
[...]

yes

En nu ook geleerd dat hybrid/non-hybrid geen verschil maakt. Heb namelijk 1 actieve non-hybrid die ik al lang thuis gebruik, en die haalt het cert ook niet binnen . There goes that theory.

Ik heb er een aantal maanden geleden ook mee zitten stoeien en had ook wisselende ervaringen om het werkend te krijgen. Uiteindelijk zat het in het SCEP profiel met de Key storage provider (KSP) settings. Het device of de devices waar je op uitrolt moet de instellingen die je daar mee geeft goed kunnen handelen.

[Davidas]

Blokker_1999 schreef op vrijdag 2 oktober 2026 @ 07:09:
Mogelijks een test setup, ik ga ook mijn eerste test machines upgraden deze week om te zien wat er gebeurdt.

Ja, die snap ik. Mag hopen dat je het nog niet deployed naar al je endpoints in productie. Volgende week ga ik de configuratie binnen Autopatch maken, ergens november eerste uitrol naar fase 1 devices.

[-ChRiZz-]

Ik zag de optie op 25h2 ook niet bij account protection maar moest wel mijn pincode of gezicht scan doen. Ook zie ik nog netjes in c:\users\ADMIN_chris en c:\users\chris van voordat ik de 26h2 upgrade heb uitgevoerd. Idd als test, niet productie. Volledige restart was helaas nog geen : Reboot immer gut ervaring.