Microsoft Intune ervaringentopic

[Drardollan]

Ik heb het uitstaan (via de Settings Catalog, voorheen via een GPO). Het is al jaren problematisch voor bijvoorbeeld antivirus engine updates. En met de komst van de SSD/NVMe is het verschil ook maar klein. En anders is het jammer voor de gebruiker, dan wachten ze maar 30 seconden langer.

[ Voor 9% gewijzigd door Drardollan op 04-11-2025 09:36 ]

[HKLM_]

Drardollan schreef op dinsdag 4 november 2025 @ 09:27:
Is Intune weer kapot? Half uur geleden niet app aangemaakt en nog steeds status "Your app is not ready yet. If app content is uploading, wait for it to finish. If app content is not uploading, try creating the app again. "

Hoe groot is je app?, ik ken dit probleem eigenlijk alleen als er iets "mis" is met de package die je upload en deze corrupt geraakt is in het proces.

[HKLM_]

Blokker_1999 schreef op dinsdag 4 november 2025 @ 09:31:
Ff stomme vraag tussendoor: wat doen jullie met Windows Fast Startup? Negeren, uitzetten via registry, uitzetten via OMA-URI of geforceerd aanzetten via de settings catalog?

Ik laat dat eigenlijk gewoon aanstaan waarom zou je het uitzetten?

[Drardollan]

HKLM_ schreef op dinsdag 4 november 2025 @ 09:41:
[...]


Hoe groot is je app?, ik ken dit probleem eigenlijk alleen als er iets "mis" is met de package die je upload en deze corrupt geraakt is in het proces.

14MB geloof ik.

Uiteindelijk net maar weggegooid en opnieuw aangemaakt, en die doet het gelijk. Blijkbaar een hik in de upload.

[Drardollan]

HKLM_ schreef op dinsdag 4 november 2025 @ 09:42:
[...]


Ik laat dat eigenlijk gewoon aanstaan waarom zou je het uitzetten?

Je Windows maakt dan geen echte schone boot meer met alle mogelijke gevolgen van dien. Ik vind de voordelen niet opwegen tegen de nadelen.

[HKLM_]

Drardollan schreef op dinsdag 4 november 2025 @ 09:44:
[...]

Je Windows maakt dan geen echte schone boot meer met alle mogelijke gevolgen van dien. Ik vind de voordelen niet opwegen tegen de nadelen.

Maar is dat echt nogsteeds een issue? Ik doe zowel kleine als wat grotere omgevingen en heb er de afgelopen 5+ jaar niemand over gehoord of het moeten managen. Dit zit er ondertussen toch 10 jaar in windows? Voor mij is het hele users lastigvallen met reboots niet echt meer een ding zeker sinds we Windows Hotpatch hebben binnen de licenties.

[ Voor 11% gewijzigd door HKLM_ op 04-11-2025 09:53 ]

[Blokker_1999]

HKLM_ schreef op dinsdag 4 november 2025 @ 09:42:
[...]


Ik laat dat eigenlijk gewoon aanstaan waarom zou je het uitzetten?

Er is hier iemand van support een kruistocht gestart tegen fast startup en is over mijn hoofd gesprongen met grootspraak dat het een grote impact gaat hebben op het aantal problemen dat gebruikers rapporteren. Ik ben op dit moment op het feit dat hij over mijn hoofd springt en dat mgmt zijn vraag steunt zonder mij zelfs maar te consulteren ondanks dat ik de eindverantwoordelijkheid draag en ondanks dat dat ingaat tegen de vraag die nog geen 2 weken eerder is gesteld om zijn verzoek te onderbouwen waarmee mgmt ook akkoord is gegaan.

Dus ondanks dat ik er zeker van ben dat uitschakelen geen enkele verbetering zal brengen mag ik er nu wel mijn tijd in steken en was ik benieuwd hoe anderen er mee omgaan. Mijn insteek is dan ook: MS voorziet expliciet geen instelling in GPO of Intune om het geforceerd uit te zetten, en dat moet ook een reden hebben.

[Drardollan]

HKLM_ schreef op dinsdag 4 november 2025 @ 09:53:
[...]


Maar is dat echt nogsteeds een issue? Ik doe zowel kleine als wat grotere omgevingen en heb er de afgelopen 5+ jaar niemand over gehoord of het moeten managen. Dit zit er ondertussen toch 10 jaar in windows? Voor mij is het hele users lastigvallen met reboots niet echt meer een ding zeker sinds we Windows Hotpatch hebben binnen de licenties.

Het blokkeert nog steeds regelmatig AV Engine updates (in ieder geval van Sophos en Bitdefender) en ik heb geen hotpatch. Ik weet dus niet wat de impact daarop is. In de huidige situatie is het in ieder geval voor diverse updates nog steeds blokkerend omdat die een echte herstart vereisen. Dus dat speelt nog steeds, want dat is niet op te lossen volgens mij.

Heb eerlijk gezegd nog nooit noemenswaardig tijdsverschil gemerkt tussen fast startup aan of uit en de nadelen van niet verwerkte updates wegen voor mij zwaarder. Ik ken ook geen beheerder die het aan laat staan.

[Blokker_1999]

Drardollan schreef op dinsdag 4 november 2025 @ 09:44:
[...]

Je Windows maakt dan geen echte schone boot meer met alle mogelijke gevolgen van dien. Ik vind de voordelen niet opwegen tegen de nadelen.

Het zit reeds 10 jaar in Windows en staat al even lang standaard aan. En hoewel het geen schone boot is worden wel alle applicaties alsnog netjes afgesloten. Het is enkel de kernel en drivers die blijven draaien wat mogelijks een probleem is bij driver updates, maar ook alleen maar als die updates je systeem niet laten herstarten, want bij een herstart worden ze wel van 0 af aan ingeladen.

[Quad]

Ik zet het uit, vaak genoeg meegemaakt dat er een driver in kernel crasht waarbij Windows wel doorwerkt maar de netwerkadapter of touchscreen geen ene fluit meer doet. Kan je rebooten tot je een ons weegt, het helpt niet.
Dan is een harde reset de oplossing (powerbutton x seconden ingedrukt houden) waarna het weer functioneert.
Ik zie geen voordelen om het aan te laten staan in elk geval.

[Drardollan]

Blokker_1999 schreef op dinsdag 4 november 2025 @ 09:58:
[...]

Het zit reeds 10 jaar in Windows en staat al even lang standaard aan. En hoewel het geen schone boot is worden wel alle applicaties alsnog netjes afgesloten. Het is enkel de kernel en drivers die blijven draaien wat mogelijks een probleem is bij driver updates, maar ook alleen maar als die updates je systeem niet laten herstarten, want bij een herstart worden ze wel van 0 af aan ingeladen.

Een AV Engine update vereist ook dat je kernel en drivers opnieuw geladen worden. In ieder geval bij Sophos en Bitdefender. Wellicht gebruik je een ander product waarbij dit niet speelt, maar bij mij om die reden wel.

[Drardollan]

Blokker_1999 schreef op dinsdag 4 november 2025 @ 09:56:
[...]
Mijn insteek is dan ook: MS voorziet expliciet geen instelling in GPO of Intune om het geforceerd uit te zetten, en dat moet ook een reden hebben.

MS voorziet dan weer wel in een expliciete registry instelling hiervoor. Vind het persoonlijk ook geen criterium om iets wel of niet in stellen. Al sinds GPO's (en alles wat daarna kwam die ik nu even onder dezelfde noemer schaar) bestaat zijn er instellingen die niet gedaan kunnen worden via die weg. MS kiest er soms om onduidelijke redenen voor om iets uit de GUI te houden (GPO's zijn uiteindelijk niks anders dan registry settings die je instelt via een GUI).

Anno 2025 kan je bijvoorbeeld ook nog steeds je Office lettertypes niet instellingen op een fatsoenlijke manier.

[Davidas]

Blokker_1999 schreef op dinsdag 4 november 2025 @ 09:31:
Ff stomme vraag tussendoor: wat doen jullie met Windows Fast Startup? Negeren, uitzetten via registry, uitzetten via OMA-URI of geforceerd aanzetten via de settings catalog?

Heb fast startup disabled, geeft alleen maar issues. Apparaten sluiten zich nooit volledig af als je het aan laat staan.

[tiguan]

Hier is fastboot uitgezet met het oog op Windows Updates die anders niet altijd werden afgerond. Wij gebruiken helaas geen Intune daarvoor, wel een third party tool. Het nadeel wat ik er zelf aan ondervind is dat het opstarten van m'n laptop nu zeker veel langer duurt en dat ik 's ochtends rustig even koffie kan gaan halen voordat m'n laptop echt weer functioneel is. Na het inloggen wordt er namelijk nog van alles opgestart wat ik nodig heb. Voorheen met fastboot, hoefde dat natuurlijk niet.

[wErudite]

Zijn er hier systeembeheerders die Universal Print werkend hebben gekregen? Wij zijn op dit moment bezig met een Intune project, maar Unviersal Print is érg onstabiel in onze omgeving. Hele basic setup met dezelfde universal driver voor elke (soortgelijke) printer.

[aGraPusher]

wErudite schreef op dinsdag 4 november 2025 @ 10:39:
Zijn er hier systeembeheerders die Universal Print werkend hebben gekregen? Wij zijn op dit moment bezig met een Intune project, maar Unviersal Print is érg onstabiel in onze omgeving. Hele basic setup met dezelfde universal driver voor elke (soortgelijke) printer.

Hier dezelfde ervaring gehad tijdens het testen. Uiteindelijk hebben we gekozen voor RICOH RSI en dat werkt nu al 2 jaar storingsvrij.

[HKLM_]

wErudite schreef op dinsdag 4 november 2025 @ 10:39:
Zijn er hier systeembeheerders die Universal Print werkend hebben gekregen? Wij zijn op dit moment bezig met een Intune project, maar Unviersal Print is érg onstabiel in onze omgeving. Hele basic setup met dezelfde universal driver voor elke (soortgelijke) printer.

tijd geleden alweer maar ik heb dat wel goed werkend gehad op een omgeving. Dingen deployen via Intune en op de multi-functional direct Universal print gekoppeld. Waar loop je precies tegenaan?

[Blokker_1999]

tiguan schreef op dinsdag 4 november 2025 @ 10:31:
Hier is fastboot uitgezet met het oog op Windows Updates die anders niet altijd werden afgerond. Wij gebruiken helaas geen Intune daarvoor, wel een third party tool. Het nadeel wat ik er zelf aan ondervind is dat het opstarten van m'n laptop nu zeker veel langer duurt en dat ik 's ochtends rustig even koffie kan gaan halen voordat m'n laptop echt weer functioneel is. Na het inloggen wordt er namelijk nog van alles opgestart wat ik nodig heb. Voorheen met fastboot, hoefde dat natuurlijk niet.

WU zou er geen last van mogen hebben daar deze een reboot triggert en er dan dus geen Fast Startup zal zijn. Bijkomend zou Fast Startup niet mogen voorkomen dat applicaties afsluiten. Het stuurt namelijk enkel de kernel en bijhorende drivers in hibernation. Applicaties zijn daarbij uitgesloten en starten wel opnieuw op. Dat is het verschil met een volwaardige hibernate.

[Blokker_1999]

wErudite schreef op dinsdag 4 november 2025 @ 10:39:
Zijn er hier systeembeheerders die Universal Print werkend hebben gekregen? Wij zijn op dit moment bezig met een Intune project, maar Unviersal Print is érg onstabiel in onze omgeving. Hele basic setup met dezelfde universal driver voor elke (soortgelijke) printer.

Wij gebruiken Papercut, onder andere omdat we met authenticated release werken voor printopdrachten waarbij onze gebruikers dus aan de printer moeten aanmelden (met hun badge) om hun printopdracht vrij te kunnen geven.

[nextware]

Hier is ook de discussie los gebarsten of we Fast Startup uit- of in moeten schakelen. Momenteel staat het ingeschakeld. Wij gebruiken ook Hotpatch (Win 11 24H2). Zelf een test gedraaid en ik kan geen enkel verschil vinden in opstart- en inlogtijden binnen Windows. Heb de Intune EndPoint Analytics nagekeken en ik kan geen enkel verschil vinden in tijden.

[HKLM_]

nextware schreef op dinsdag 4 november 2025 @ 14:05:
Hier is ook de discussie los gebarsten of we Fast Startup uit- of in moeten schakelen. Momenteel staat het ingeschakeld. Wij gebruiken ook Hotpatch (Win 11 24H2). Zelf een test gedraaid en ik kan geen enkel verschil vinden in opstart- en inlogtijden binnen Windows. Heb de Intune EndPoint Analytics nagekeken en ik kan geen enkel verschil vinden in tijden.

Ik denk dat het inderdaad ook beperkt is nu we bijna allemaal mooie NVME diskjes in onze systemen hebben zitten. Op wat oudere hardware met sata disken was het wel echt een winst maar nu is het denk bijna niet merkbaar of meetbaar inderdaad.

[ReZpie]

Blokker_1999 schreef op dinsdag 4 november 2025 @ 09:31:
Ff stomme vraag tussendoor: wat doen jullie met Windows Fast Startup? Negeren, uitzetten via registry, uitzetten via OMA-URI of geforceerd aanzetten via de settings catalog?

Ik heb het ook uitstaan met een proactive remediation. Inmiddels als een jaar of 4 zonder problemen.

[ReZpie]

HKLM_ schreef op dinsdag 4 november 2025 @ 09:53:
[...]


Maar is dat echt nogsteeds een issue? Ik doe zowel kleine als wat grotere omgevingen en heb er de afgelopen 5+ jaar niemand over gehoord of het moeten managen. Dit zit er ondertussen toch 10 jaar in windows? Voor mij is het hele users lastigvallen met reboots niet echt meer een ding zeker sinds we Windows Hotpatch hebben binnen de licenties.

Hoe is de windows hotpatch joe tot nu toe bevallen? Ik heb het alleen op mn eigen device nu. De updates installeren enorm langzaam. En de reporting is niet helemaal top doordat er andere build nummers worden gegeven. Ik ziu het graag in het nieuwe jaar willen uitrollen.

[HKLM_]

ReZpie schreef op dinsdag 4 november 2025 @ 17:43:
[...]


Hoe is de windows hotpatch joe tot nu toe bevallen? Ik heb het alleen op mn eigen device nu. De updates installeren enorm langzaam. En de reporting is niet helemaal top doordat er andere build nummers worden gegeven. Ik ziu het graag in het nieuwe jaar willen uitrollen.

Mijn ervaring is goed en ik merk er eigenlijk niet mega veel van. Behalve dat ik minder om een reboot voor windows update wordt gevraagd.

Wat betreft het installeren van de updates en dat dat lang duurt, ik maak gebruik van delivery optimalization icm Microsoft Connected Cache en zie wel dat de updates vooral daar vandaan komen. Maar verder merk ik er niks van qua installatie.

[Hero of Time]

DDX schreef op maandag 3 november 2025 @ 22:34:
Nee dat kan dus niet meer met NPS vanaf de september 2025 update :

https://techcommunity.mic...ping-in-active-di/4451386

met CloudPKI zou het wel moeten kunnen. (maar nooit echt verder in verdiept omdat je dan weer licenties nodig hebt)

Die strong mapping is waar ik het over heb. Kwam dus eind september/begin oktober erachter dat een paar systemen via Intune geen juist certificaat hadden gekregen waar die mapping dus ontbrak. Gek genoeg systemen die daarvoor én daarna certs hadden gekregen waren wel in orde. Die paar gare heb ik met het handje gemapped via de alternatieve methode (cert serienummer in omgekeerde byte volgorde). Dat is ook een methode die je zou kunnen scripten met CloudPKI, als het niet native kan voor systeem certificaten.

HKLM_ schreef op dinsdag 4 november 2025 @ 08:55:
[...]

Met Cloud PKI kan je prima Client Authentication" (OID 1.3.6.1.5.5.7.3.2) uitgeven dat is samen met Server auth (1.3.6.1.5.5.7.3.1) een van de meeste voorkomende scenarios binnen Cloud PKI.

Ik heb in mijn SCEP profile binnen Intune als subject name format CN={{AAD_Device_ID}} opgegeven i.c.m de Client Authentication" (OID 1.3.6.1.5.5.7.3.2) voor het WiFi stuk.

Ik gebruik PKCS omdat ik geen zin had om SCEP helemaal op te tuigen met een gaatje in de firewall en alles wat er nog meer bij kwam kijken. Met CloudPKI zal dat natuurlijk niet zo'n probleem zijn, het draait niet on-prem tenslotte. Maar computer certs met direct wifi op het login scherm kán dus nog wel als ik je goed begrijp? Zonder gedoe rondom strong mapping?

[Blokker_1999]

HKLM_ schreef op dinsdag 4 november 2025 @ 19:20:
[...]


Mijn ervaring is goed en ik merk er eigenlijk niet mega veel van. Behalve dat ik minder om een reboot voor windows update wordt gevraagd.

Wat betreft het installeren van de updates en dat dat lang duurt, ik maak gebruik van delivery optimalization icm Microsoft Connected Cache en zie wel dat de updates vooral daar vandaan komen. Maar verder merk ik er niks van qua installatie.

Wat is de primaire bron van je clients? Is dat MCC of andere clients in het netwerk?

[HKLM_]

Blokker_1999 schreef op dinsdag 4 november 2025 @ 20:21:
[...]

Wat is de primaire bron van je clients? Is dat MCC of andere clients in het netwerk?

De MCC is inderdaad de gener waar het meeste vandaan komt.

[repmeer]

Drardollan schreef op dinsdag 4 november 2025 @ 09:27:
Is Intune weer kapot? Half uur geleden niet app aangemaakt en nog steeds status "Your app is not ready yet. If app content is uploading, wait for it to finish. If app content is not uploading, try creating the app again. "

Heb ik ook af en toe wel eens. Ik wacht daar dan niet op en maak de app opnieuw aan. Dan gaat het wel goed.

[HKLM_]

Vraag, in hoevere is het jailbreaken en rooten van je telefoon nog een ding in 2025? In het Microsoft message center zie ik MC1179154 staan "Microsoft Authenticator app: Upcoming changes to jailbreak and root detection" Waarbij de Microsoft Authenticator niet meer gaat werken als je device een jailbreak heeft of geroot is.

Dit doen ze wel in phases waarin de user eerst een warning krijgt en later een block in de app.
Ik probeer met KQL en Device Query te achterhalen of er een mannier is om Jailbreaked en rooted devices te vinden in een organisatie maar tot nu toe lijkt er niet echt een goed rapport te zijn. Laat staan de un-managed devices van users met alleen de authentictor app...

Iemand hier al naar gekeken vanuit device management perspectief?

[ Voor 4% gewijzigd door HKLM_ op 05-11-2025 09:23 ]

[Blokker_1999]

@HKLM_ Bij ons maakt dat reeds onderdeel uit van de compliance policy, dus wij moeten er niet eens achter gaan zoeken want we hebben dat soort apparaten niet. Zou ook maar erg zijn daar de telefoons hier eigendom zijn van de werkgever.

[Quad]

Authenticator staat in principe op unmanaged devices, tenzij de aanmeldflow vereist dat die zich inschrijft, dan kan je denk ik in Intune een compliancepolicy maken om daarmee iets te achterhalen.

[Quad]

Iets andere vraag, Intune gerelateerd maar meer licentiegericht: Voor een klant Samsung tablets ingericht met Microsoft Home Screen en onboarding van tablet op een account per device.
Nu de vraag of meerdere devices op 1 account kunnen (mij niet gezien) maar dan kijk ik even naar het licentiemodel.
Ik heb destijds de tablets ingericht met MS365 F3 licenties, daar er gebruik werd gemaakt van SharePoint om PDF bestanden op te halen. Nu is men overgestapt naar een Androidapplicatie die integreert met hun productieproces en vervalt eigenlijk het SharePointdeel. Email en MS Teams zijn bijvoorbeeld ook niet nodig.

Met CA is ingeregeld dat enkel voor die tablets ingelogd mag worden op de accounts, daarbuiten lukt het mij dus niet wat prima is.
Ik zit zelf te kijken of ik voor de nieuwe lading tablets daarom F1 ga gebruiken. Kunnen de tablets netjes ingeschreven worden, gekoppeld worden aan een account en blijft functionaliteit hetzelfde. alleen scheelt het zo'n paar euro pm.

Zie ik iets over het hoofd mbt F1 licentie?

[HKLM_]

Blokker_1999 schreef op woensdag 5 november 2025 @ 09:28:
@HKLM_ Bij ons maakt dat reeds onderdeel uit van de compliance policy, dus wij moeten er niet eens achter gaan zoeken want we hebben dat soort apparaten niet. Zou ook maar erg zijn daar de telefoons hier eigendom zijn van de werkgever.

Ja de compliance policy dekt wel de lading, maar had gehoopt iets met KQL of iets degelijks te kunnen achterhalen voor de toestellen welke niet managed zijn en alleen de Authenticator app hebben geinstalleerd.

[HKLM_]

Quad schreef op woensdag 5 november 2025 @ 09:33:
Iets andere vraag, Intune gerelateerd maar meer licentiegericht: Voor een klant Samsung tablets ingericht met Microsoft Home Screen en onboarding van tablet op een account per device.
Nu de vraag of meerdere devices op 1 account kunnen (mij niet gezien) maar dan kijk ik even naar het licentiemodel.
Ik heb destijds de tablets ingericht met MS365 F3 licenties, daar er gebruik werd gemaakt van SharePoint om PDF bestanden op te halen. Nu is men overgestapt naar een Androidapplicatie die integreert met hun productieproces en vervalt eigenlijk het SharePointdeel. Email en MS Teams zijn bijvoorbeeld ook niet nodig.

Met CA is ingeregeld dat enkel voor die tablets ingelogd mag worden op de accounts, daarbuiten lukt het mij dus niet wat prima is.
Ik zit zelf te kijken of ik voor de nieuwe lading tablets daarom F1 ga gebruiken. Kunnen de tablets netjes ingeschreven worden, gekoppeld worden aan een account en blijft functionaliteit hetzelfde. alleen scheelt het zo'n paar euro pm.

Zie ik iets over het hoofd mbt F1 licentie?

Is een Intune device license dan niet een betere optie als de user niks hoeft te doen op dat device?

[Blokker_1999]

Zelf stuit ik ook net op een ander Intune probleem. Vlak voor mijn vakantie had ik nog een configuratie gezet voor alle iPhones in het bedrijf, en nu kom ik er achter dat ongeveer 10% van devices deze niet toepast. Als ik dan ga zoeken naar details dan zie ik bij sommige settings staan "Noncompliant". Geen error of conflict. Ook geen verdere details. Iemand die weet wat hier aan de hand kan zijn?

[Quad]

HKLM_ schreef op woensdag 5 november 2025 @ 09:40:
[...]


Is een Intune device license dan niet een betere optie als de user niks hoeft te doen op dat device?

Daar heb ik wel eens naar gekeken, maar hoe licenseer ik dan zo'n device? Voor gebruikers kan je dat makkelijk koppelen, maar ik heb daar geen ervaring mee met intune device only licensing.

[HKLM_]

Blokker_1999 schreef op woensdag 5 november 2025 @ 09:44:
Zelf stuit ik ook net op een ander Intune probleem. Vlak voor mijn vakantie had ik nog een configuratie gezet voor alle iPhones in het bedrijf, en nu kom ik er achter dat ongeveer 10% van devices deze niet toepast. Als ik dan ga zoeken naar details dan zie ik bij sommige settings staan "Noncompliant". Geen error of conflict. Ook geen verdere details. Iemand die weet wat hier aan de hand kan zijn?

[Afbeelding]

Maak je voor de updates gebruik van Declarative Device Management?

[Blokker_1999]

HKLM_ schreef op woensdag 5 november 2025 @ 09:49:
[...]


Maak je voor de updates gebruik van Declarative Device Management?

Yep, dit is een DDM policy.

[Blokker_1999]

Antwoord van Microsoft, voor 1 keer een antwoord waardoor ik in 1 keer het ticket bij hen kan afsluiten, maar dan omdat ze me niet verder kunnen helpen:

• DDM is device-driven: Intune sends the declarative policy to Apple’s MDM framework, and then the iOS device evaluates and enforces it locally. Intune only receives a status report (e.g., Compliant or Noncompliant). If the device rejects or partially applies the policy, Intune cannot provide detailed error codes because Apple does not return granular failure reasons.
• Noncompliant without error code: This is typical for DDM because Apple does not expose detailed failure diagnostics via the MDM protocol. The “Noncompliant” state means the device did not apply the setting, but the cause (e.g., OS version, conflicting settings, timing constraints) is only visible in device-side by collecting console logs. (You need to raise case with Apple for collection and analyzing the console logs from Device side)
• Common Apple-side causes:
o Device is not on a supported iOS version for that specific setting.
o Conflicting update deferral settings from another profile.
o Device is not supervised or was restored from iCloud incorrectly.
• Local user actions (e.g., manually installing updates) override declarative policy timing.
What Intune can do:
• Confirm the policy was successfully delivered to the device.
• Show the compliance state (but not the reason for failure).
What Apple controls: (Apple support case needed)
• How the device interprets and applies the declarative payload.
• Can help in collecting and analyzing the console logs from Device end to know why DDM is failed.

[Vlassie1980]

Sinds enige weken hebben we problemen met intunen van laptops. Windows Autopilot blijft hangen bij stap 2 - Device Setup, hangt dan urenlang bij Apps (11 of 16 installed) om vervolgens na een paar uur een error te geven.

We gebruiken hier op de zaak Dell laptops. Meestal Inspiron 7450 en 5550 en de nieuwere Pro lijn. Als ik de eerste keer via de BIOS een OS Recovery eerst doe dan gaat het wel goed en blijft hij niet hangen. Dus out of the box intunen werkt niet. Irritant want op deze manier ben ik 3 keer zo veel tijd kwijt. Zijn er hier ook mensen die de laatste tijd problemen hiermee heeft i.c.m. Dell laptops?

Ik heb het idee dat Intune struikelt over de vooraf geinstalleerde Dell troep en dat dit wel werkt na een OS Recovery....

[Davidas]

Vlassie1980 schreef op woensdag 5 november 2025 @ 13:05:
Sinds enige weken hebben we problemen met intunen van laptops. Windows Autopilot blijft hangen bij stap 2 - Device Setup, hangt dan urenlang bij Apps (11 of 16 installed) om vervolgens na een paar uur een error te geven.

We gebruiken hier op de zaak Dell laptops. Meestal Inspiron 7450 en 5550 en de nieuwere Pro lijn. Als ik de eerste keer via de BIOS een OS Recovery eerst doe dan gaat het wel goed en blijft hij niet hangen. Dus out of the box intunen werkt niet. Irritant want op deze manier ben ik 3 keer zo veel tijd kwijt. Zijn er hier ook mensen die de laatste tijd problemen hiermee heeft i.c.m. Dell laptops?

Ik heb het idee dat Intune struikelt over de vooraf geinstalleerde Dell troep en dat dit wel werkt na een OS Recovery....

Kun je geen corporate ready image regelen via jullie IT partner. Dan ben je van al die troep af.

[ralpje]

En heb je de logs al even doorgespit om te zien op welke app het precies fout gaat? En eventueel de time-out voor de ESP korter gezet zodat je niet drie uur hoeft te wachten, maar na een uur al een foutmelding krijgt?

[Quad]

Ik heb dat vaker gezien, dan blijft het falen op de installatie van Office Apps (hij gaat bestaande verwijderen).

Anders even zien waar het op vastloopt met

code:

Install-Script -Name Get-AutopilotDiagnosticsCommunity

[Blokker_1999]

Quad schreef op woensdag 5 november 2025 @ 13:40:
Ik heb dat vaker gezien, dan blijft het falen op de installatie van Office Apps (hij gaat bestaande verwijderen).

Anders even zien waar het op vastloopt met

code:

Install-Script -Name Get-AutopilotDiagnosticsCommunity

Dit, command prompt openen, powershell starten, script installeren en uitvoeren (liefst met de -online parameter al zal die wel credentials komen vragen) en dan zie je welke app die probeert te installeren op dat moment. Doen we hier ook vaker wanneer het weer eens misloopt.

Office is inderdaad een app waarvan de installatie lang duurt en soms durft mislukken. Ik zou hem graag in de lijst steken van apps waarop we niet moeten wachten, maar mag niet van men client support team.

[Blokker_1999]

@Vlassie1980, misschien nog een nevenvraag, maar waarom 16 apps? Zit daar niets tussen dat kan wachten tot nadat de gebruiker op de desktop is gekomen? Je kan in Intune een selectie van applicaties meegeven die geinstalleerd moeten worden tijdens de ESP fase, en alle andere required apps worden dan na de ESP fase geinstalleerd. Dat kan ook helpen met het inkorten van de installatie alsook het voorkomen van problemen. Dit is te vinden in de ESP settings

Block device use until required apps are installed if they are assigned to the user/device

[Quad]

Heel specifieke usecase, maar ik zie het niet zo gauw waar het te regelen valt.
Klant met tablets in de productie, nav eerdere vraag, werkt nu perfect.

Alleen PDFs vanuit hun productie app openen niet. De oplossing is om de Managed Home screen af te sluiten, een willekeurige PDF te downloaden en Adobe of Edge als standaard in te stellen. Dan KIOSK weer openen en alles is klaar.

Dit moet makkelijker kunnen lijkt me, maar ik heb het nog niet gevonden

[Hero of Time]

Dell heeft in hun enorme wijsheid een tijdje terug besloten om hun productlijnen te hernoemen. Eerst had je voor laptops de XPS, Latitude, Inspirion, Precision en Vostro lijnen en voor desktops was het Optiplex. Nu is het Dell, Dell Pro en Dell Pro Max, met daar dan nog Plus en Premium subnamen die na het formaat komt (dus 14" 'Latitude' high-end is Dell Pro 14 Plus en Dell Pro 14 Premium). Voor desktops dus ook Dell Pro, de mini pc's de we hebben zijn dan weer Dell Pro Micro.

Nu heb ik in Intune 2 devicegroepen met dynamische regels om zo onderscheid te maken tussen laptop en desktop. Dat was met de oude namen prima te doen, deviceModelname startswith 'Dell Optiplex' voor desktop en voor laptops was het 'XPS' or 'Latitude' or 'Precision'. Maar nu? Startswith 'Dell Pro' omvat laptop en desktop.

Hoe kan ik nu fatsoenlijk onderscheid gaan maken zodat tijdens de AutoPilot fase al bekend is welk type apparaat het is?

[YaYo86]

Ik zou de desktops en/of laptops taggen in Autopilot en op basis daarvan een groep(en) maken.

[Quad]

Modelnaam zal wel uniek zijn toch?
Laptops hebben waarschijnlijk Dell Pro 14 in huh naam staan, waarbij desktops dit dan niet hebben.

Maar ik zou dan met @YaYo86 meegaan, en bij de inschrijving in Autopilot een grouptag meegeven als dit nu niet gedaan wordt.

[ Voor 32% gewijzigd door Quad op 11-11-2025 19:36 ]

[Hero of Time]

Ik gebruik idd tags, dat is hoe ik in het overzicht van apparaten in AP de naam bij houd. Die heb ik ook toegepast op groepen. Maar vandaag werd een van de nieuwe Dell Pro Micro's uitgerold en die faalde omdat het niet in de Desktop groep terecht was gekomen. Terwijl het iets erna, toen ik al de wipe opdracht had gegeven, wel opeens in de groep kwam.

Voordat alle eerdere apparaten waren uitgerold zag ik de objecten met serienummer al in de groep staan. Nu niet. Zal morgen even extra nakijken hoe het nou zit met de groepen en definities op beide soorten.

[Quad]

Dell Pro Micro, dan weet je in elk geval dat dit geen laptops zijn en dus in de desktopgroep horen. Kwestie van de dynamic regels aanpassen.

[Hero of Time]

Ja, voor de Micro is het niet zo'n punt, dat is geregeld. Maar de laptops heten dus ook Dell Pro. Als het niet op een 'mooiere' manier kan, dan zal ik praktisch het volledige model type moeten opgeven, dus Dell Pro 14 of Dell Pro 16. Net wat we als nieuw type gaan nemen. Wel jammer want we hadden eerst Latitude 35x0, mooi 15,6". Dat wordt nu dan iets kleiner of groter. Naja, afgerond is 15.6 ook gewoon 16.

[Hero of Time]

Vandaag nagekeken. Had alleen deviceModel in de regel staan. Heb er nu de speciale query toegevoegd voor tag. Paar minuten nadat ik dat had gedaan, zag ik de nieuwe desktops in de groep komen.

In principe waren ze allemaal al in een groep, we hebben er eentje voor Device-Windows en dan de twee andere voor laptop en desktop, Voor het auto-pilot profiel zou het niet uit moeten maken, dat staat dacht ik op de algemene groep. Maar we doen wel wat aparts met desktop en laptop. Ik weet echter niet waarom een uitrol eerder faalde, die deed ik niet en m'n collega was lekker duidelijk er mee en de reset was al bezig voor ik op het scherm kon kijken. We hebben vaker een deploy failure gehad omdat m'n rename script niet z'n ding had gedaan of een verplichte applicatie faalde. Reset en nieuwe poging later, zonder ook maar iets te veranderen en het ging wel goed. Wellicht dat dat nu ook zo was.

[cptbuttlick]

Beste beheerders,
Ik heb een nieuwe IPhone 17 van werk gekregen maar deze wordt wel beheerd door de organisatie, dus met andere woorden als ik het toestel instel laad hij direct een MDM.

Ik loop nu met 2 toestellen rond wat erg onhandig is en wil mijn eigen toestel niet gebruiken voor werk en prive.
Ik kan het toestel in dual sim zetten en mijn privé nummer ook gebruiken op dit toestel.

Echter vraag ik mij af of IT realtime kan meekijken en of ze niet in bijvoorbeeld mijn whatsapp kunnen kijken. Ik heb verder niks te verbergen maar zou zo graag naar 1 toestel switchen gewoon omdat het handiger is. Dat ik gestoord kan worden in mijn vakanties maakt mij niet zoveel uit dus dat is geen nadeel.

Wie kan mij overtuigen om dit gewoon wel of niet te doen?

[Blokker_1999]

Neen, als beheerder kunnen wij niet meekijken wat je op je toestel doet. We kunnen wel zien welke applicaties er geinstalleerd zijn, maar meer details dan dat krijgen we simpelweg niet te zien met de functionaliteit die Apple via MDM aanbiedt. De belangrijkste tools voor een bedrijf zijn vooral de mogelijkheid om vanop afstand het apparaat te kunnen wissen alsook is het een bijkomende blokkering om de toestellen te stelen en zo te hergebruiken daar men bij het opzetten van het apparaat altijd een account van het bedrijf dat eigenaar is nodig zal hebben.

[cptbuttlick]

Blokker_1999 schreef op zondag 16 november 2025 @ 14:49:
Neen, als beheerder kunnen wij niet meekijken wat je op je toestel doet. We kunnen wel zien welke applicaties er geinstalleerd zijn, maar meer details dan dat krijgen we simpelweg niet te zien met de functionaliteit die Apple via MDM aanbiedt. De belangrijkste tools voor een bedrijf zijn vooral de mogelijkheid om vanop afstand het apparaat te kunnen wissen alsook is het een bijkomende blokkering om de toestellen te stelen en zo te hergebruiken daar men bij het opzetten van het apparaat altijd een account van het bedrijf dat eigenaar is nodig zal hebben.

Bedankt voor je antwoord, het is dus gewoon wel safe om naar 1 toestel toe te stappen als ik het zo lees. Dit zou mij best wat ergernis schelen in de broekzak gezien ik 8 uur per dag 2 toestellen in mijn zak draag op het moment. Is dit bij Android anders? Valt er daar wel in te zien wat men doet?

[ Voor 6% gewijzigd door cptbuttlick op 16-11-2025 14:56 ]

[Quad]

Nee, we kunnen niet zien welke data en inhoud je verstuurd of hebt.

[cptbuttlick]

Quad schreef op zondag 16 november 2025 @ 14:58:
Nee, we kunnen niet zien welke data en inhoud je verstuurd of hebt.

Goed om te horen want ik moet er ook gewoon bankzaken mee kunnen doen welk natuurlijk uiterst prive zijn.

[Quad]

cptbuttlick schreef op zondag 16 november 2025 @ 15:02:
[...]


Goed om te horen want ik moet er ook gewoon bankzaken mee kunnen doen welk natuurlijk uiterst prive zijn.

Belangrijker is dat je geen verbinding maakt met publieke Wi-Fi netwerken en dergelijke.

[cptbuttlick]

Quad schreef op zondag 16 november 2025 @ 15:11:
[...]

Belangrijker is dat je geen verbinding maakt met publieke Wi-Fi netwerken en dergelijke.

Dat doe ik zeker niet alleen op het werk en mijn eigen netwerk thuis.

[HKLM_]

Het hangt wel heel erg van de configuratie af of ze kunnen zien welke apps er geïnstalleerd zijn op het toestel. En dan bedoel ik je prive apps. De inhoud daarvan niet uiteraard.

[cptbuttlick]

HKLM_ schreef op zondag 16 november 2025 @ 15:55:
Het hangt wel heel erg van de configuratie af of ze kunnen zien welke apps er geïnstalleerd zijn op het toestel. En dan bedoel ik je prive apps. De inhoud daarvan niet uiteraard.

Dat kunnen ze inderdaad er zit ook een bepaald verbod op sommige apps maar degene die ik gebruik mogen gewoon zoals, abn discord etc verder gebruik ik niks. Ik moet mij ook aanmelden met mijn eigen apple id

[ Voor 5% gewijzigd door cptbuttlick op 16-11-2025 16:01 ]

[Blokker_1999]

Quad schreef op zondag 16 november 2025 @ 15:11:
[...]

Belangrijker is dat je geen verbinding maakt met publieke Wi-Fi netwerken en dergelijke.

Ik snap niet waarom mensen dit soort dingen blijven zeggen. Zowat alles gaat over https vandaag de dag en zeker belangrijke dingen zoals een bank app gebruiken dan ook nog eens certificate pinning waardoor het bijna onmogelijk is om ook maar iets met dat verkeer te doen.

[Quad]

Blokker_1999 schreef op zondag 16 november 2025 @ 17:17:
[...]


Ik snap niet waarom mensen dit soort dingen blijven zeggen. Zowat alles gaat over https vandaag de dag en zeker belangrijke dingen zoals een bank app gebruiken dan ook nog eens certificate pinning waardoor het bijna onmogelijk is om ook maar iets met dat verkeer te doen.

Dat wel, maar je hoort wel vaker dat men via een tussenliggende proxy op een openbaar Wi-Fi netwerk het verkeer probeert aan te vallen.

Ik maak zelf wél eens verbinding hoor, maar dan wel vaak met een vpntunnel naar huis toe.

[DDX]

Blokker_1999 schreef op zondag 16 november 2025 @ 17:17:
[...]


Ik snap niet waarom mensen dit soort dingen blijven zeggen. Zowat alles gaat over https vandaag de dag en zeker belangrijke dingen zoals een bank app gebruiken dan ook nog eens certificate pinning waardoor het bijna onmogelijk is om ook maar iets met dat verkeer te doen.

Maar jouw browser kijkt niet of het certificaat ook echt het certificaat is wat aan de domeinnaam is uitgegeven of dat het een proxy certificaat is.
EV SSL was hier een 'prima' oplossing voor omdat je dan in balk van browser de bedrijfsnaam zag.
DANE for web bestaat op papier maar volgens mij geen browsers die dit ondersteunen.

En ja certificate pinning met apps werkt dus bankzaken zullen idd wel veilig zijn, maar verder ?

[ Voor 6% gewijzigd door DDX op 16-11-2025 17:41 ]

[HKLM_]

Zakelijk het verkeer over GSA (Global Secure Access) heen duwen is iets wat wij doen.

Je zakelijke telefoon is enrolled in Defender for Endpoint met GSA integratie voor het MS365 verkeer. Internet via GSA laten lopen is ook mogelijk maar dat onderzoeken we momenteel.

Dan maakt het niet uit op welk netwerk je zit alles gaat door de tunnel en de gebruiker kan doen wat hij wilt.

[Quad]

@HKLM_ Zijn die features beschikbaar binnen Business premium?

[HKLM_]

Quad schreef op zondag 16 november 2025 @ 19:09:
@HKLM_ Zijn die features beschikbaar binnen Business premium?

Jazeker! GSA met M365 traffic forwarding en MDE op iOS of Android zit in de Business Premium licentie.
Voor internet traffic is wel een aanvullende nodig, maar je zakelijke verkeer is inbegrepen, tevens voorzie je dan direct in token protectie.

[ Voor 20% gewijzigd door HKLM_ op 16-11-2025 19:11 ]

[TheVMaster]

Blokker_1999 schreef op zondag 16 november 2025 @ 17:17:
[...]


Ik snap niet waarom mensen dit soort dingen blijven zeggen. Zowat alles gaat over https vandaag de dag en zeker belangrijke dingen zoals een bank app gebruiken dan ook nog eens certificate pinning waardoor het bijna onmogelijk is om ook maar iets met dat verkeer te doen.

Tuurlijk, maar toch is bij ons toch echt de richtlijn om gewoon de 5G op de werk telefoon te gebruiken, we hebben daar gelukkig wel een onbeperkte bundel voor die we volgens mij wereldwijd kunnen gebruiken zelfs.

Ik zou ook niet zo heel snel publieke wifi gebruiken overigens, zowel niet met werk devices als ook privé devices.

[Quad]

HKLM_ schreef op zondag 16 november 2025 @ 19:10:
[...]


Jazeker! GSA met M365 traffic forwarding en MDE op iOS of Android zit in de Business Premium licentie.
Voor internet traffic is wel een aanvullende nodig, maar je zakelijke verkeer is inbegrepen, tevens voorzie je dan direct in token protectie.

Hm, focus ligt momenteel voor mij toch op datalekpreventie, daar valt GSA dan wel mooi binnen. Vooral nu we toch met diverse CA policies bezig zijn in een standaard te gieten.

[HKLM_]

Quad schreef op zondag 16 november 2025 @ 19:17:
[...]

Hm, focus ligt momenteel voor mij toch op datalekpreventie, daar valt GSA dan wel mooi binnen. Vooral nu we toch met diverse CA policies bezig zijn in een standaard te gieten.

Daar kan je nog wel wat leuke dingen mee doen inderdaad.

[cptbuttlick]

Zijn er hier mensen die hun beheerde toestel van werk ook privé gebruiken?

[pjlgt]

cptbuttlick schreef op zondag 16 november 2025 @ 20:05:
Zijn er hier mensen die hun beheerde toestel van werk ook privé gebruiken?

Ja, maar meer omdat ik (nog) geen zin heb om op een werkdag met 2 toestellen te lopen.

[cptbuttlick]

pjlgt schreef op zondag 16 november 2025 @ 20:24:
[...]

Ja, maar meer omdat ik (nog) geen zin heb om op een werkdag met 2 toestellen te lopen.

Exact hier ook doe het al jaren met 2 toestellen maar het begint mij te irriteren.

[HKLM_]

cptbuttlick schreef op zondag 16 november 2025 @ 20:05:
Zijn er hier mensen die hun beheerde toestel van werk ook privé gebruiken?

Nu niet, alleen MAM van de zaak, voorheen wel een full managed toestel gehad van de zaak welke ik ook prive gebruikte.

[pjlgt]

Zijn wel bezig om MAM te implementeren, maar pas een handjevol mensen die het testen. Tot op heden geen klachten. Wat mij betreft ook een mooiere oplossing dan MDM. Dat voelt toch meer als het compleet gijzelen van een toestel.

[cptbuttlick]

Opzich kan ik wel gewoon veel met het toestel maar er zijn zeker beperkingen. Denk aan Ali expres telegram etc.

[HKLM_]

pjlgt schreef op zondag 16 november 2025 @ 20:51:
Zijn wel bezig om MAM te implementeren, maar pas een handjevol mensen die het testen. Tot op heden geen klachten. Wat mij betreft ook een mooiere oplossing dan MDM. Dat voelt toch meer als het compleet gijzelen van een toestel.

Voor BYOD toestellen is MAM inderdaad een goede oplossing. Voor zakelijke toestellen is MDM wel een must qua management en is gijzelen van de devices niet echt nodig natuurlijk. Als je zie wel vaak dat organisaties/beheerders denken dat omdat ze een MDM toestel uitgeven geen MAM nodig hebben helaas

[SuBBaSS]

cptbuttlick schreef op zondag 16 november 2025 @ 20:56:
Opzich kan ik wel gewoon veel met het toestel maar er zijn zeker beperkingen. Denk aan Ali expres telegram etc.

Let er wel op dat je maar 1 apple id kunt gebruiken. Weet niet of je werk daarin voorziet?
Maar in het geval van gebruik met je eigen apple id wordt het wel een ding om de zaken gescheiden te houden.
Persoonlijke- en bedrijfscontacten bijv. Of documenten van je werk die in je privé-omgeving terecht (kunnen) komen.

Via je werkgever zal het via een "bedrijfsportal" aangeboden worden, maar als ze ook een apple id op je werk-email 'afdwingen' ga je al.
Daar hadden ze ons bij niet zo goed over nagedacht.
Vanuit de ondersteuningskant gaf dat nogal wat uitdagingen. Want je wilt eigenlijk geen (privé) apple id-dingen ondersteunen, maar zonder is zo'n iphone ook maar een manke oplossing.
Je hebt er gewoon eentje nodig voor bijv. de appstore.


Ligt er allemaal aan hoe het ingeregeld/ afgesproken is op je werk.

[Davidas]

PowerShell Script Support Added for Win32 Intune App Deployment

[HKLM_]

Davidas schreef op maandag 17 november 2025 @ 17:00:
PowerShell Script Support Added for Win32 Intune App Deployment

Goede verbetering inderdaad!

[Hero of Time]

Nice! Vooral dit blijf ik echt bizar vinden:

64-bit PowerShell: Calling PowerShell.exe will result in a 32-bit PowerShell instance. You had to force 64-bit execution with a specific command.

Je draait een 64 bit OS en de standaard is nog steeds de architectuur van 30! jaar geleden, 32 bit. Dat is vandaag de dag toch wel bizar te noemen. Wij gebruiken voor veel installaties ook een simpele wrapper en roepen dan %windir%/sysnative/powershell.exe (oid) aan, mede om fatsoenlijk het register beschikbaar te hebben ipv beperkt te zijn tot de syswo64 hive voor alleen 32 bit zut.

[Grvy]

Hero of Time schreef op maandag 17 november 2025 @ 20:05:
Nice! Vooral dit blijf ik echt bizar vinden:

[...]

Je draait een 64 bit OS en de standaard is nog steeds de architectuur van 30! jaar geleden, 32 bit. Dat is vandaag de dag toch wel bizar te noemen. Wij gebruiken voor veel installaties ook een simpele wrapper en roepen dan %windir%/sysnative/powershell.exe (oid) aan, mede om fatsoenlijk het register beschikbaar te hebben ipv beperkt te zijn tot de syswo64 hive voor alleen 32 bit zut.

OK? dit was je dagelijkse MS rant?

Ze geven zelf ook aan dat het default behavior is en je het zelf kan wisselen. En nu met de nieuwe optie is het gewoon een slider.

Ook Linux heeft vage defaults van vroeger.. rustig maar.

[HKLM_]

Conditional Access heeft nu ook de mogelijkheid om de user sessie in te trekken als een user at risk is.
Via de Require risk Remediation optie, dit is wel echt een zeer welkome aanvulling zeker nu we steeds meer passwordless gaan zien en het wachtwoord resetten steeds minder nut heeft.

[Hero of Time]

Grvy schreef op maandag 17 november 2025 @ 20:16:
[...]

OK? dit was je dagelijkse MS rant?

Ze geven zelf ook aan dat het default behavior is en je het zelf kan wisselen. En nu met de nieuwe optie is het gewoon een slider.

Ook Linux heeft vage defaults van vroeger.. rustig maar.

Ik weet nog ten tijde van IE dat je ook apart IE (64 bit) had. Die snapte ik nog wel ivm ActiveX en de shitload aan plugins die de vele 32-bit applicaties er in frotte. Maar iets als de CLI by default 32 bit maken? Waarom? Vast ook weer een gevalletje van "men zal wel wat met 32 bit dingen doen".

Bij Windows 10 (en Server 2016) was de CLI die je via rechtermuisknop op Start kreeg ook standaard nog command prompt en had je een optie om het te veranderen naar Powershell. Beter was het om het andersom te maken, cmd optioneel, Powershell standaard.

[DDX]

Of powershell 7 uitbrengen maar ondertussen stug versie 5 starten als je powershell start. (moet je weer pwsh gebruiken)
Allemaal om zaken compatible te houden maar irritant is het vaak wel.

[Hero of Time]

Ja, dat heb ik ook niet echt begrepen, waarom de meegeleverde Powershell nooit vernieuwd is, zeker met W11/Server 2025. Ik heb al gehad met een bepaalde module dat ik de melding kreeg dat het alleen in v7 werkte. En de standaard versie dan aanpassen? Nope, kan ook niet. Wel waar Terminal mee start dacht ik, of het was cmd vs Powershell en niet een specifieke versie.

[DDX]

En dan heb je ook nog powershell 2, die ze recent wel verwijderd hebben.
Dus over 5 jaar gaan ze vast powershell 5 weer verwijderen ofzo.

[HKLM_]

Powershell 5.x zit dusdanig diep in windows dat dit er voorlopig nog niet uit gaat is mijn verwachting.

[wagenveld]

HKLM_ schreef op maandag 17 november 2025 @ 20:23:
Conditional Access heeft nu ook de mogelijkheid om de user sessie in te trekken als een user at risk is.
Via de Require risk Remediation optie, dit is wel echt een zeer welkome aanvulling zeker nu we steeds meer passwordless gaan zien en het wachtwoord resetten steeds minder nut heeft.

Is hier ook al een doc of message center item van? Kan hier niks vinden, maar gezien de info vervangt het dan ook de optie 'Require password change'?

[HKLM_]

wagenveld schreef op dinsdag 18 november 2025 @ 10:08:
[...]


Is hier ook al een doc of message center item van? Kan hier niks vinden, maar gezien de info vervangt het dan ook de optie 'Require password change'?

De Microsoft docs lijkten nog niet bijgewerkt. Voor Passwordless users vervangt dit inderdaad ook de require password change aangezien deze geen wachtwoord gebruiken want passwordless en voor Hybride identity wordt het password ook gereset.

[HKLM_]

Microsoft Ignite is aan de gang en hier zijn de Intune updates: https://techcommunity.mic...-intune-at-ignite/4468114

Veel AI en Agents en ik vind het wel gaaf, zeker nu security copilot includes is in de E5 licentie 😬

[DDX]

Je linkje werkt niet, redirect terug naar https://techcommunity.microsoft.com/
Juiste linkje volgens mij :
https://techcommunity.mic...-intune-at-ignite/4471043

[TheVMaster]

HKLM_ schreef op dinsdag 18 november 2025 @ 18:05:
Microsoft Ignite is aan de gang en hier zijn de Intune updates: https://techcommunity.mic...-intune-at-ignite/4468114

Veel AI en Agents en ik vind het wel gaaf, zeker nu security copilot includes is in de E5 licentie 😬

Vooral die laatste is wel heel fijn. Meeste klanten hebben E5, maar geen aparte Security Copilot en kunnen het straks wel mooi gebruiken.

[DarkSide]

yep ook wel interesse in Secuity copilot
Los aanschaffen en de SCU regelen was niet rond te krijgen qua business case.
Nu met E5 mooi meegenomen.

[DDX]

Weet iemand of het mogelijk is om autopilot/intune windows devices te migeren naar een andere tenant zonder reinstall ?
Macos kan je vanuit apple business aan een andere intune tenant hangen en dan verplaatsen de clients vanzelf.

[HKLM_]

DDX schreef op woensdag 19 november 2025 @ 20:26:
Weet iemand of het mogelijk is om autopilot/intune windows devices te migeren naar een andere tenant zonder reinstall ?
Macos kan je vanuit apple business aan een andere intune tenant hangen en dan verplaatsen de clients vanzelf.

Volgens mij heeft Steven dat voor elkaar met zijn tool: Tenant to Tenant Intune Device Migration

https://www.getrubix.com/...the-beginning-of-a-series

[ Voor 4% gewijzigd door HKLM_ op 19-11-2025 20:37 ]

[HKLM_]

DarkSide schreef op woensdag 19 november 2025 @ 19:43:
yep ook wel interesse in Secuity copilot
Los aanschaffen en de SCU regelen was niet rond te krijgen qua business case.
Nu met E5 mooi meegenomen.

Ik gebruik security copilot nu sinds de release en heb er een paar 100 euro aan verbrand in oa Intune en het begint nu wel mooie functionaliteit te worden.

[HKLM_]

Vanavond Security Copilot eens aangezet op de nieuwe agents in Intune te bekijken en de Policy configurator is wel een leuk iets hoor! Je geeft hem een beetje kennis met wat je wilt en hij zoekt het vervolgens in de setting catalog voor je op en gaan!



+ Intune speed up news vanuit Ignite

[ Voor 47% gewijzigd door HKLM_ op 20-11-2025 21:00 ]

[TheVMaster]

HKLM_ schreef op donderdag 20 november 2025 @ 20:16:
Vanavond Security Copilot eens aangezet op de nieuwe agents in Intune te bekijken en de Policy configurator is wel een leuk iets hoor! Je geeft hem een beetje kennis met wat je wilt en hij zoekt het vervolgens in de setting catalog voor je op en gaan!

[Afbeelding]

+ Intune speed up news vanuit Ignite

[Afbeelding]

Goeie tip, ik ga hem ook eens ff afstoffen.