Microsoft Intune ervaringentopic

[HKLM_]

Microsoft Intune

Microsoft Intune is de strategische infrastructuur voor het beheren en beveiligen van de apparaten, apps en gegevens van uw organisatie. Daarnaast helpt Microsoft Intune ervoor te zorgen dat uw eindgebruikers de beste ervaring hebben met de productiviteit.



Microsoft Intune: Intune is 100% een provider van cloudservices voor het beheren van mobiele apparaten (MDM of Mobile Device Management) en mobiele toepassingen (MAM of Mobile Application Management), voor uw apps en apparaten. U kunt er functies en instellingen op apparaten met Android, Android Enterprise, iOS/iPadOS, macOS en Windows 10 mee beheren. Intune kan worden geïntegreerd met andere services, waaronder Azure Active Directory (AD), verdedigingssoftware tegen mobiele bedreigingen, ADMX-sjablonen, Win32- en aangepaste LOB-apps en meer.

Configuration Manager: Configuration Manager is een on-premises oplossing voor het beheren van desktopcomputers, servers en laptops die zich op uw netwerk of op internet bevinden. U kunt deze cloud inschakelen voor integratie met Intune, Azure Active Directory (AD), Microsoft Defender for Endpoint en andere cloudservices. Gebruik Configuration Manager om apps, software-updates en besturingssystemen te implementeren. U kunt ook naleving controleren, query's uitvoeren en in realtime op clients reageren, en nog veel meer.

Co-beheer: met co-beheer combineert u uw huidige investering in on-premises Configuration Manager met de cloud omdat er gebruik wordt gemaakt van Intune en andere Microsoft 365-cloudservices. U kunt kiezen of Configuration Manager of Intune de beheerinstantie is die voor de zeven verschillende workloadgroepen moet worden gebruikt.

Desktop Analytics: Desktop Analytics is een cloudservice die kan worden geïntegreerd met Configuration Manager. Desktop Analytics biedt inzicht en intelligentie zodat u beter geïnformeerde beslissingen kunt nemen over de updategereedheid van Windows. De service combineert gegevens van uw organisatie met gegevens die zijn verzameld van miljoenen apparaten die zijn verbonden met de Microsoft-cloud. Ze geeft informatie over beveiligingsupdates, apps en apparaten in uw organisatie, en identificeert compatibiliteitsproblemen met apps en stuurprogramma's. Voer een test uit met apparaten die waarschijnlijk de beste inzichten bieden in assets in uw organisatie.

Windows Autopilot: met Windows Autopilot kunt u nieuwe apparaten installeren en vooraf configureren, zodat ze klaar zijn voor gebruik. Windows Autopilot is ontworpen om het gebruik van Windows-apparaten tijdens alle fasen van de levenscyclus te vereenvoudigen, voor zowel IT-medewerkers als eindgebruikers, vanaf de eerste implementatie tot het einde van de cyclus.

Azure Active Directory (AD) : Azure AD wordt gebruikt door de eindpuntbeheerder voor de identiteit van apparaten, gebruikers, groepen en meervoudige verificatie (MFA). Azure AD Premium, wat extra kosten met zich meebrengt, heeft extra functies om apparaten, apps en gegevens te beschermen, met inbegrip van dynamische groepen, automatische inschrijving en voorwaardelijke toegang.

Endpoint Manager-beheercentrum: het beheercentrum is een website die alles biedt wat u nodig hebt voor het maken van beleidsregels en het beheren van uw apparaten. Het maakt gebruikt van andere belangrijke services voor het beheer van apparaten, waaronder groepen, beveiliging, voorwaardelijke toegang en rapportage. In dit beheercentrum vindt u ook apparaten die worden beheerd door Configuration Manager en Intune (als preview-versie).

Starten met Microsoft Endpoint Manager

Als je nog geen ervaring hebt met Microsoft Endpoint manager en hier mee wil starten dan heeft microsoft een
Snelstartgids: Microsoft Intune gratis proberen hiermee kan je een trail tenant maken van 30 dagen. Zakelijke gebruikers kopen wat sneller een licentie maar als Endpoint beheerder of student kan je ook een Microsoft 365 Business Basic en een EMS E3 licentie aanschaffen dit kost je dan ongeveer 150,- per jaar.

Studie tools

Er is online heel veel te vinden over Endpoint manager hieronder een aantal varianten

• https://www.youtube.com/intunetraining
• https://docs.microsoft.co...ntro-to-endpoint-manager/
• https://docs.microsoft.co...onstrate-deployment-on-vm

Ook zijn er verschillende boeken welke je kunt gebruiken bijvoorbeeld de boeken van MS-100,MS-101, MD-100 en MD-101 zelf gebruik ik ook het boek learning microsoft endpoint manager

Microsoft AutoPilot

Een zeer uitgebreide uitleg over autopilot: Demonstrate Autopilot deployment

[ Voor 0% gewijzigd door TheVMaster op 19-04-2023 16:57 ]

[HKLM_]

tdm850ed schreef op woensdag 6 oktober 2021 @ 11:18:
[...]


Script draaide lokaal op de laptop via de beheertool en de output werd opgeslagen op een share waar iedereen access naar toe heeft.

Je linkt brengt me direct verder Denk dat ik dit eens ga uitvogelen binnenkort
https://msendpointmgr.com...ws-autopilot-information/

[HKLM_]

nextware schreef op woensdag 6 oktober 2021 @ 16:42:
[...]


Bestaande devices worden bij ons niet omgezet naar Autopilot. Alleen bij nieuwe laptops wordt er gebruik gemaakt van Autopilot. De hardware hash hiervoor wordt door onze supplier direct in onze Endpoint tenant geplaatst. Wanneer een bestaande laptop crashed en deze hoeft nog niet vervangen te worden wordt deze laptop nog via MDT opnieuw geïnstalleerd.

We maken nu nog gebruik van een Azure Hybrid AD-join omgeving welke we voor 31-12 aanstaande hopen te vervangen voor een full Azure-AD join omgeving.

En binnenkort gaan we ook kijken om desktop van Autopilot uit te rollen. De eerste testen leveren een totale installatie tijd van ongeveer 18 minuten op terwijl de MDT sequence ruim 40 minuten duurt.

Dat in de tenant uploaden ken ik inderdaad, ik ga toch eens kijken hoe ik bestaande laptops makkelijk kan laten joinen (zonder veel werk)

Voor laptops welke nog niet in autopilot zitten maar je wel gaat herinstalleren is dit ook een oplossing. https://www.robinhobo.com...ws-autopilot-even-faster/ Dan kan je vanuit de window 10 setup via shift + F10 en wat commando's het device registreren en dan verder gaan

Dit werkt ook en is best handig, als je Windows installeert en aangeeft dat het een werk device is (Even aanmelden met een gebruikersnaam en password) Als je dan in je Autopilot profiel hebt aangevinkt dat nieuwe devices ook een Autopilot device moeten worden dan ben je er direct

[ Voor 27% gewijzigd door HKLM_ op 06-10-2021 19:38 ]

[duronbug]

Alternatieve optie om bestaande devices in Intune + Autopilot te krijgen is een provisioning package: https://docs.microsoft.co...lment/windows-bulk-enroll

In combinatie met deze setting:

[nextware]

D_Jeff schreef op dinsdag 2 november 2021 @ 13:32:
@TheVMaster

Mijn issue:
Als ik daarbij Autopilot gebruik gaan fase 1 & fase 2 prima. Daarna komt het login scherm (waarbij ingelogd wordt met de Windows AD gegevens) en blijft het Autopilot proces hangen op "Joining your organization's network". (2 uur+, de Time Out value van de ESP wordt straalhard genegeerd )

@D_Jeff Tegen dit probleem zijn wij bij de implementatie van Autopilot ook aangelopen.
Na uitvoerig overleg met Microsoft support medewerkers blijkt dit proces te "wachten" op een sync vanuit de Azure AD-omgeving waarin het device een bericht krijgt dat de registratie compleet is. Daarna krijgt de gebruiker een loginscherm om de registratie te voltooien. De timeout binnen de ESP heeft hier inderdaad totaal geen effect op.

Microsoft raadt ook aan om de User ESP geheel over te slaan gedurende Autopilot (bron: Microsoft Support). Dit kun je doen door een configuration profile aan te maken binnen Endpoint.

Je kunt eens op de volgende plaatsen zoeken naar een mogelijke oplossing:

1: in Azure AD; kijk even of de gebruiker een device mag registeren:

Zet ook de optie eronder bij "Maximum number of devices per user" op een iets hoger getal. Wij hebben hem op 20 staan.

2: Als je gebruik maakt van een Hybrid omgeving; probeer de sync setting van de Azure AD synchronization agent even op 10 minuten te zetten en kijk of dit effect heeft

3: Die "joining your organization's network" is een taakje op het device zelf. Het kan ook zijn dat deze taak vastloopt. Probeer onderstaand Powershell script eens wat je in je Autopilot sequence op het device laat installeren:

code:

$DurationTimeSpan = New-TimeSpan -Hours 1
$RepetitionTimeSpan = New-TimeSpan -Minutes 5
$Trigger1 = New-ScheduledTaskTrigger -AtLogon
$Trigger2 = New-ScheduledTaskTrigger -At (Get-Date) -Once -RepetitionDuration $DurationTimeSpan -RepetitionInterval $RepetitionTimeSpan
$TaskPath = (Get-ScheduledTask -TaskName "Automatic-Device-Join").TaskPath
Set-ScheduledTask -TaskName "Automatic-Device-Join" -TaskPath $TaskPath -Trigger $Trigger1,$Trigger2

Dit is de beschrijving van het script:

it keeps the user logon trigger, but instead of the default on-domain-join-and-then-every-hour-for-one-day trigger, it actually triggers the registration task the moment the PowerShell script is run and then every 5 minutes for the next hour

LET OP: dit script is afkomstig van een Microsoft support medewerker. Gebruik is echter wel op eigen risico !!

Dit distribueer je dan als een Powershell script gedurende de Autopilot sequence. Vergeet uiteraard niet de groep met Autopilot devices hierop rechten te geven



Die error 1097 is een error dat MFA in de weg zit om de ESR (Enterprise State Roaming) uit te laten voeren.

Ik vermoed dat dit een reguliere error is die wel verdwijnt op het moment dat de Autopilot deployment geheel is uitgevoerd.

En de laatste tip: we hebben gemerkt dat de Autopilot sequence ook niet lukt als het device is verbonden met ons corporate (WiFi-) netwerk. Daarom adviseren wij ook iedereen om de deployment thuis te doen. Of als ze het persé op kantoor willen doen dat ze dan ons gasten WiFi hiervoor gebruiken en het device niet op een netwerkkabel aansluiten op kantoor.

[ Voor 8% gewijzigd door nextware op 02-11-2021 14:29 ]

[Hann1BaL]

HKLM_ schreef op woensdag 6 oktober 2021 @ 11:12:
Direct een mooie vraag Hoe gaan de mede Endpoint beheerders om met bestaande devices welke gemigreerd moeten worden naar autopilot? Hoe hebben jullie de HWID van de bestaande laptops in autopilot gekregen?

Als je devices in SCCM hebt, deze registreren in Intune (Enterprise registration) en de devices een autopilot profile assigning geeft je de optie de hardware ID direct op te slaan voor al je devices.

Het kan uiteraard ook met PS script op de devices zelf die de ID uploadt, maar is nu tegenwoordig een ingebouwde feature:

[akimosan]

@D_Jeff
Drivemapping N:


Script: Omdat we gebruikmaken van persistent mappings moet UseOptions met de juiste HEX waarde worden gevuld. Die hex waarde stoppen we in een variabele.
De variabele kun je vervolgens hergebruiken. We gaan wel uit van single signon dus dat je de de mapping kunt doen met de UPN van de user die is ingelogd.
Meer drivemappings? Kopieer en plak de sectie vanaf New-Item onderaan het script en pas de driveletters en RemotePath aan

Create-NetworkDrives.ps1

code:

$UsePersistent = "44,65,66,43,7c,00,00,00,04,00,74,00,00,00,02,00,03,00,00,00,02,00,00,00,10,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,6f,00,00,00,08,01,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,80,00"
$hexified = $UsePersistent.Split(',') | % { "0x$_"}
#
#Pas de waarde achter Name aan
#
New-Item -Path HKCU:\Network -Name 'N' -Force
#
#Pas de laatste waarde aan
#
$RegPath = 'HKCU:\Network\N'
Set-ItemProperty -Path $RegPath -Name 'RemotePath' -Type String -Value '\\server\share\folder'
Set-ItemProperty -Path $RegPath -Name 'UserName' -Type String -Value '0'
Set-ItemProperty -Path $RegPath -Name 'ProviderName' -Type String -Value 'Microsoft Windows Network'
Set-ItemProperty -Path $RegPath -Name 'ProviderType' -Type DWord -Value '131072'
Set-ItemProperty -Path $RegPath -Name 'ConnectionType' -Type DWord -Value '1'
Set-ItemProperty -Path $RegPath -Name 'ProviderFlags' -Type DWord -Value '1'
Set-ItemProperty -Path $RegPath -Name 'DeferFlags' -Type DWord -Value '4'
Set-ItemProperty -Path $RegPath -Name 'ConnectFlags' -Type DWord -Value '0'
Set-ItemProperty -Path $RegPath -Name 'UseOptions' -Type Binary -Value ([byte[]]$hexified)
#

Deployment hebben we als script gedaan, ik schreef W32app met script maar is script only..

[ Voor 14% gewijzigd door akimosan op 02-11-2021 18:50 ]

[TheVMaster]

Jazzy schreef op Wednesday 3 November 2021 @ 12:58:
Laat ik het concreet maken met een voorbeeld. Stel ik heb sinds jaar en dag een EAS policy met de volgende instellingen:
- Pin vereist
- Pin minimaal 6 karakters
- Pin na 90 dagen verplicht aanpassen

Inmiddels ondersteunen we alleen nog maar Outlook Mobile in de organisatie. Helaas ondersteunt Outlook Mobile maar een kleine subset van de EAS policy:
- Pin vereist - Ja
- Pin minimaal 6 karakters - Alleen Android
- Pin na 90 dagen verplicht aanpassen - Nee

Daar zit dus de "gap" die ik probeer aan te vullen. Onze devices zijn BYOD dus ik kan niet het device managen maar alleen de apps. In de App Configuration Policy kun je afdwingen dat een pin vereist is voordat je de App kunt benaderen, maar ook dat hij minimaal zoveel karakters is en dat hij na een bepaalde tijd verloopt.

Ik heb in onze test tenant nu een kopie gemaakt van de twee standaard App Configuration Policies die we al hebben, eentje voor Android en eentje voor iOS. Die kun je niet echt kopiëren, je moet hem gewoon namaken met dezelfde instellingen. Volgende stap is nu dus om in de ACP de beveilingingsinstellingen aan te passen en te testen hoe ze werken op mijn testtelefoon.

Hoop dat dit duidelijker is. Om dit vervolgens in productie te brengen moet ik dezelfde instellingen aanpassen op elke ACP die er al is, ook bij eventuele wijzigingen later. Tenminste, als ik het goed begrijp kan ik niet één extra ACP aanmaken die alleen de beveiligingsinstellingen toepast als aanvulling op de al bestaande ACP.

Edit: ik bedoelde dus App Protection Policy, niet App Configuration Policy.

- Pin vereist
- Pin minimaal 6 karakters
- Pin na 90 dagen verplicht aanpassen

Dit kan allemaal gewoon via een App Protection Policy.... Eh...over wat voor soort Outlook policy hebben we het in hemelsnaam? De APP policy kan bovenstaand namelijk gewoon allemaal, maar jij verwijst naar een artikel die het niet over MEM heeft, maar over Outlook zelf.

Wat probeer je nu te bereiken dan met de apps, want volgens mij haal jij zaken door elkaar?

Hieronder een voorbeeld APP voor iOS:

[ Voor 10% gewijzigd door TheVMaster op 03-11-2021 14:02 ]

[TheVMaster]

Jazzy schreef op Wednesday 3 November 2021 @ 19:50:
[...]
Een App Protection Policy is per definitie van toepassing zodra iemand zijn zakelijke account wil gebruiken in één van de apps die in de APP zit. Of bedoel je wat anders?

Dat is natuurlijk waar, maar dan moet die betreffende app wel een APP hebben natuurlijk. Je zou dat met CA dus kunnen afdwingen Hier vindt je een lijstje met de apps die daarvoor worden ondersteund (het linkje naast dat checkboxje) : https://docs.microsoft.co...ire-app-protection-policy

[ Voor 13% gewijzigd door TheVMaster op 04-11-2021 09:43 ]

[RPHN]

Iemand enig idee hoe deze gevuld kan worden?



Devices zijn onboarded in Defender ATP met een onboard package pushed via een Configuration Profile.

[RPHN]

Devices zijn via Autopilot enrolled en managed by Intune

[jeroentjeh]

Om dat in te regelen gebruik ik al een tijdje het volgende configuratie profiel :

[D_Jeff]

HKLM_ schreef op dinsdag 11 januari 2022 @ 20:40:
[...]


1: +- 100MB
2: ja en dat werkt gewoon (msiexec /i "GitHubDesktopSetup-x64.msi" /q)
3: nee

Het commando msiexec /i "GitHubDesktopSetup-x64.msi" /q wordt ook gebruikt in de Intunepackage en dan werkt het dus wel… dat is natuurlijk prima maar wel vreemd.

/i -- dude, remove it -- Die heb je daar helemaal niet nodig. Intune voert zelf /i of /a uit (afhankelijk van de keuze die je maakt: user / system).
Feitelijk wordt er nu 2x /i gedaan en dat snapt msiexec.exe niet
------------------------------
Edit, dit maal met voorbeeld:


De enigste parameter die je nog wil meegeven is /q in het veld "Command-Line arguments"

[ Voor 16% gewijzigd door D_Jeff op 11-01-2022 20:58 ]

[HKLM_]

D_Jeff schreef op dinsdag 11 januari 2022 @ 20:52:
[...]


/i -- dude, remove it -- Die heb je daar helemaal niet nodig. Intune voert zelf /i of /a uit (afhankelijk van de keuze die je maakt: user / system).
Feitelijk wordt er nu 2x /i gedaan en dat snapt msiexec.exe niet

De enigste parameter die je nog wil meegeven is /q

Mmmmm oké maar dit commando maakt Intune er zelf van hoor
Plaatje is van de Intune package. Ik zal morgen dan eens een MSI package maken zonder de i



Edit a thx ik gaf het commando op zal het eens met alleen /q proberen thx

[ Voor 4% gewijzigd door HKLM_ op 11-01-2022 21:02 ]

[Le Enfant!]

Ik heb hier een vreemd issue met enkele devices die op geen enkele manier updates binnen kunnen halen.
Ik zie volgende foutmeldingen in zowel de ScanAgent.log als de WUAHander.log
ScanAgent.log

WUAHandler.log


Als ik via CCMTrace de error opzoek, dan kom ik volgende uit:
Error 0x87d00631 betekent ‘Scan retry Pending’
Error 0x80244007 betekent “Same as SOAPCLIENT_SOAPFAULT - SOAP client failed because there was a SOAP fault for reasons of WU_E_PT_SOAP_* error codes.”

Als ik zoek op foutmelding 0x80244007, dan kom ik enkele hits tegen in Google. Ik heb de aanpassingen in web.config en een IIS reset geprobeerd, maar dat biedt niet veel soelaas.

Ik heb voor de rest al volgende acties ondernomen op de getroffen clients:
- Reinstall SCCM client
- Reset WSUS client (by stopping the service and remove the content of SoftwareDistribution)
- Registry.pol heraangemaakt

SSL is uitgeschakeld op zowel de IIS WSUS website, op de SUP server als op de SCCM Management server. Dus daar kan het ook niet liggen.

Ik denk ook niet dat er iets anders in de netwerk infrastructuur (daar heb ik ook verder geen zicht op) de boel ophoudt, want dit is verspreid over meerdere toestellen in verschillende locaties. Alsook met toestellen die enkel thuis verbonden staan.

Iemand een idee hoe ik dit kan oplossen? Ik ben er bijna heel de week mee bezig geweest en men wordt een beetje kribbig omdat de 'cijfers niet kloppen'.

[HKLM_]

@nextware @Hann1BaL Ik heb het de afgelopen dagen uitgebreid kunnen testen en er zijn eigenlijk geen issues. Intune detecteert netjes dat bitlocker al actief is en de nieuwe Intune policy gaat er gewoon overheen en past eventueel dingen aan. (wachtwoord -> Pin policy bijvoorbeeld)

Ben er wel blij mee het scheelt ruim 500 laptops opnieuw encrypten Nu alleen nog zorgen dat de users een pop-up krijgen om hun pin te wijzigen.. dat zit niet standaard in intune volgens mij maar met deze https://oliverkieselbach....n-on-windows-with-intune/ zal het vast lukken. (iemand hier toevallig ervaring mee?)

[ Voor 41% gewijzigd door HKLM_ op 01-02-2022 19:10 ]

[HKLM_]

asing schreef op donderdag 17 februari 2022 @ 22:50:
[...]


Kan je "doorklikken"? Of van high naar medium zetten om te zien of je dan ineens wel een groen vinkje krijgt?

Wat bedoel je met doorklikken? Als ik in Intune op mijn device klik zie ik staan Not Compliant



Als ik daar vervolgens op klik dan krijg ik dit



Misschien komt het ook hier door



Alleen die Compliance policy bestaat dus wel



Als ik in security.microsoft.com kijk zie ik mijn device daar ook terug met de status Active en een Test Alert via Powershell wordt ook netjes geregistreerd.

[TheVMaster]

_Dune_ schreef op vrijdag 29 april 2022 @ 16:57:
Interessant topic dit, heb ik gelijk een vraag. Binnen de organisatie hebben wij de agenda in Outlook zo ingesteld dat vergadertijden verkort zijn en je standaard geen vergaderingen direct na elkaar kunt planning.

Dit is voor de 'normale'werkplek middels een GPO geregeld, echter hebben wij nog een ~120 laptops welke uitsluitend vanuit Endpoint Manager worden beheerd. Is er ergens een instelling binnen Endpoint Manager waarmee dit voor de laptops ook makkelijk geregeld kan worden of is het hier een kwestie een reg-key te distribuëren naar de laptops?

Weet jij zo welke GPO dat is, dan kan ik wel even kijken of ik die erin kan krijgen hier Volgens mij is dat deze policy

[ Voor 13% gewijzigd door TheVMaster op 29-04-2022 17:13 ]

[HKLM_]

TheVMaster schreef op zondag 6 november 2022 @ 09:56:
[...]


Wat bedoel me met het ‘admin center’?

Admin.Microsoft.com, je kan daar sinds kort je AutoPilot profielen maken, devices uploaden, MAM policies maken enzo.. maar Why?

[ Voor 8% gewijzigd door HKLM_ op 06-11-2022 10:09 ]

[DDX]

Iemand toevallig ervaring met de Intune Update Policy for macOS ?
https://learn.microsoft.c...ct/software-updates-macos
Aangezien het nog preview is gaat microsoft support helaas geen antwoord geven.

Ik heb een policy ingesteld :





Staat er al zo'n 2 weken, maar ondertussen worden devices niet geupdate :




Nu las ik dat je via monitor failures zou kunnen zien maar hier staat niets :



Iemand enig idee ? / Zie ik iets over het hoofd ?

[DDX]

[HKLM_]

D_Jeff schreef op donderdag 16 maart 2023 @ 20:32:
[...]

De halfjaarlijkse ring krijgt 2x andere mogelijkheden, maar doet netjes mee in de maandelijkse security patching rondes.
"Even overgaan" naar een andere ring ga ik er niet doorheen krijgen (geen optie).

Daarom moet ik tot op de punt komma de juiste build hebben. Intune kan al netjes laten zien wat de exacte build version is, nu nog een manier om het geforceerd zsm daar te krijgen

Not 100% sure maar kan je dit aftrappen op de cliënt?, via Powershell of een Remidation

code:

 “C:\Program Files\Common Files\Microsoft Shared\ClickToRun\OfficeC2RClient.exe” /update user displaylevel=false forceappshutdown=true updatetoversion=X.X.X.X

Voorbeeld: updatetoversion=16.0.14931.20392

Ik ben even niet in de gelegenheid om het voor je te testen of een Remidation scriptje voor je te maken.

@D_Jeff Anoop heeft zojuist een video gepost waar dit in voorkomt.



YouTube: FIX Outlook Client Vulnerability | Force Office Apps Update using In...

[ Voor 36% gewijzigd door HKLM_ op 16-03-2023 21:08 ]

[xven0mxz]

HKLM_ schreef op donderdag 6 april 2023 @ 10:28:
[...]


Als ik zijn blog zo lees dan zit het er in maar kan het nog niet aan?

Zou goed kunnen. Zit er wel aan te komen dan.

Verder is de enige optie een package momenteel.

Edit;

Nog een stukje nostalgie op donderdag.

[ Voor 40% gewijzigd door xven0mxz op 06-04-2023 12:42 ]

[TheVMaster]

racoon schreef op donderdag 20 april 2023 @ 17:43:
[...]


Als ik Don’t run specified Windows Applications wil instellen waar in de intune admin portal kan ik dat instellen?

Het lijkt mij een Settings Catalog setting als ik het zo zie op de screenshots.

[ Voor 34% gewijzigd door TheVMaster op 20-04-2023 17:54 ]

[racoon]

welke setting moet ik kiezen, catalogus met instellingnen of sjabloon?

[xven0mxz]

racoon schreef op woensdag 26 april 2023 @ 10:54:
[...]


hoe kan ik een via de nieuwe store integratie geinstalleerde app van 1 laptop verwijderen, ik heb hem al wel uit de bedrijfsportaal kunnen verwijderen maar toch staat hij nog geinstalleerd.

Groep waar de gebruiker of device inzit koppelen aan de de-installatie in de applicatie in intune onder assignments.



Edit:
Misschien verstandig om de volgende video's van dit kanaal te bekijken, leer je een hoop van . https://www.youtube.com/@IntuneTraining

[ Voor 36% gewijzigd door xven0mxz op 26-04-2023 11:00 ]

[racoon]

xven0mxz schreef op woensdag 26 april 2023 @ 10:57:
[...]


Groep waar de gebruiker of device inzit koppelen aan de de-installatie in de applicatie in intune onder assignments.

[Afbeelding]

Edit:
Misschien verstandig om de volgende video's van dit kanaal te bekijken, leer je een hoop van . https://www.youtube.com/@IntuneTraining

Ik heb het zo ingesteld, echter blijft de app o pde lapto pstaan, of duurt dat een tijd?

[xven0mxz]

TheVMaster schreef op dinsdag 30 mei 2023 @ 13:07:
[...]


Waarom zou je on-prem willen blijven?

Omdat de problemen die je gaat ervaren met Hybrid AAD zonde zijn van de tijd. Daarvoor kan je dan beter alvast een AAD opzetten.

Ik zou de complete stap hybrid overslaan. Dan loont het om wat langer on-prem te blijven en ervoor te zorgen dat je gelijk naar AAD kan.

De tijd en moeite die we bij meerdere klanten in hybrid hebben gestoken doet nog steeds zeer. En niet alleen bij ons. Microsoft heeft het ons in de toekomst ook afgeraden.

[ Voor 27% gewijzigd door xven0mxz op 30-05-2023 13:15 ]

[TheVMaster]

HKLM_ schreef op dinsdag 30 mei 2023 @ 17:45:
[...]


Me2 en die nieuwe plek heeft die dik verdiend trouwens (ik heb hem al)

Hmm, ik heb verschillende test-tenants en ze zitten allemaal in een andere ring ofzo. Heb de nieuwe features nooit overal tegelijk. Ook nu dus niet. Hij zit nog op de 'oude plek', al staat er wel bij dat hij gaat moven.

Crap, ik zit in de nieuwe Devices Preview view en daar zit hij niet in, in de oude view zit hij wel.

[ Voor 16% gewijzigd door TheVMaster op 30-05-2023 17:51 ]

[HKLM_]

DarkSide schreef op maandag 3 juli 2023 @ 10:13:
Klopt het dat er binnen de nieuwe driver updates in intune wel firmware updates staan.
Maar geen bios updates worden vrijgegeven.
Meende dat er ook bios updates aangeboden konden worden? Maar zie dat niet terug ook niet in de catalog

Bios updates kunnen ook inderdaad. Ik zag een twitter post van Johan langs hobbelen.

[TheVMaster]

Harmen schreef op donderdag 30 november 2023 @ 15:49:
MS logica Met wat moeite en uitzoekwerk een Entra id groep toegevoegd aan de lokale groep Netwerkconfiguratieoperators. Had verwacht dat een standaard user dan in staat zou moeten zijn om ip settings aan te passen. Helaas! Iemand nog een idee?

Kwam wel het volgende tegen: https://call4cloud.nl/2021/04/dude-wheres-my-admin/#changing

Waarom zo enorm omslachtig btw? Je kunt toch gewoon een user toevoegen aan een lokale group met een Endpoint Security Policy?

[Davidas]

Iemand wel eens meegemaakt dat Autopilot op de Account Setup (laatste fase) blijft hangen, ik weet dat je dit kan omzeilen met een custom OMA-URI maar begrijp niet goed waar het mis gaat.

[-ChRiZz-]

Kwam deze tegen op X, direct doorgevoerd:



https://x.com/AndreasSten.../1759650466227425468?s=20

Docs: https://learn.microsoft.c...ilot/enrollment-autopilot

[TheVMaster]

Nogne schreef op donderdag 9 mei 2024 @ 09:08:
[...]


Hoe is het mogelijk om in Outlook het werk account niet zichtbaar te hebben buiten de tijden dat iemand aan het werk is. Wist namelijk niet dat dit mogelijk was in Outlook.

Het is een combinatie van Focus Profielen in iOS en die dus koppelen aan je ‘werk’ of ‘Persoonlijke’ profiel in Outlook. En op het moment dat je dan een Focus Profiel in Outlook inschakelt, dan zie je dus alleen de profielen die gekoppeld zijn.

[ Voor 3% gewijzigd door TheVMaster op 09-05-2024 14:12 ]

[Quad]

HKLM_ schreef op woensdag 29 mei 2024 @ 20:16:
Ik weet dat ik heb geroepen AutoPilotv2 eind van deze maand maar nu de maand nog twee dagen telt begin ik wel te twijfelen of het nog gaat gebeuren

Nou ik heb wel onderstaand gezien in de Nederlandstalige portal:

Hmm klassieke Autopilot?

[Quad]

HKLM_ schreef op woensdag 29 mei 2024 @ 21:09:
[...]


Ik heb hem in het engels maar zie dat niet staan. Of het komt omdat ik op mobiel zit

Nederlands vs Engels.
Ik weet niet hoelang het in de Nederlandse versie eventueel staat, zovaak kom ik niet op Nederlandstalige tenants omdat ik dit standaard wijzig naar Engels.

[Hoianddoei]

Wordt ook bevestigd dat het in de build van May zit, dus nog een paar dagen max.

[HKLM_]

TheVMaster schreef op vrijdag 31 mei 2024 @ 12:45:
[...]


Interessant. Ik zie hem nog niet terug in mijn EMEA en US tenants. Ik blijf F5'en vandaag.

12 minuten geleden gepost.

[HKLM_]

Quad schreef op vrijdag 31 mei 2024 @ 19:58:
[...]

Geen idee waar jij woont, maar dit weekend beloofd droog te blijven.

Buienradar laat bij mij in noord-holland toch wel wat buien zien qua verwachting maar het is natuurlijk afwachten wat daar uit komt

De intune documentatie is nog niet bijgewerkt zie ik wel dit mooie plaatje sinds deze week erbij staan. Wat een zeer goed beeld geeft van Intune in 1 overzicht.

[ Voor 44% gewijzigd door HKLM_ op 31-05-2024 20:02 ]

[HKLM_]

Zojuist een Device preparation policie aangemaakt en toch de documentatie erbij moeten pakken
De security groep die je aanmaakt moet een owner hebben, dat had ik wel gelezen maar niet dat dit een specifieke owner moest zijn "Intune Autopilot ConfidentialClient" of "Intune Provisioning Client" lijkt een beetje van je tenant af te hangen. Daarna easy peasy en nu loopt de installatie met een Windows Dev built van Windows 11

Wat me nu opvalt is dat je geen device name template kan opgeven in het profiel...

[ Voor 32% gewijzigd door HKLM_ op 03-06-2024 12:12 ]

[Sjod]

HKLM_ schreef op maandag 3 juni 2024 @ 11:59:
Zojuist een Device preparation policie aangemaakt en toch de documentatie erbij moeten pakken
De security groep die je aanmaakt moet een owner hebben, dat had ik wel gelezen maar niet dat dit een specifieke owner moest zijn "Intune Autopilot ConfidentialClient" of "Intune Provisioning Client" lijkt een beetje van je tenant af te hangen. Daarna easy peasy en nu loopt de installatie met een Windows Dev built van Windows 11

Wat me nu opvalt is dat je geen device name template kan opgeven in het profiel...

[Afbeelding]

Hmm bij mij wordt de Device Group steeds weer ontkoppeld.



Bijft deze bij jouw wel zichtbaar ?

[TheVMaster]

Yeah! Eindelijk!

Hmm....interessant proces wel: https://learn.microsoft.c...oup#create-a-device-group

[ Voor 18% gewijzigd door TheVMaster op 05-06-2024 09:10 ]

[Quad]

Doar goat ie.

---

@Blokker_1999 Als dependency opvoeren is ook geen optie? Dan wacht het namelijk met het uitvoeren van de installatie tot app X is gedetecteerd.

[ Voor 17% gewijzigd door Quad op 05-06-2024 13:48 ]

[HKLM_]

ik kwam gisteravond deze blog tegen: https://oofhours.com/2024...prises-including-updates/ en daar staat wel iets interessants in m.bt. 24H2

[TheVMaster]

HKLM_ schreef op vrijdag 7 juni 2024 @ 09:19:
ik kwam gisteravond deze blog tegen: https://oofhours.com/2024...prises-including-updates/ en daar staat wel iets interessants in m.bt. 24H2

[Afbeelding]

Die kwam ik ook al tegen op m'n test machine. Vaag dat ik btw (ik had een 23H2 ISO, maar die had niet de laatste KB geinstalleerd blijkbaar) niet direct de nieuwe AP interface kreeg. Maar na een eerste test is het ook hier gelukt



Ik zie hem wel direct terug in de Monitoring btw.

[ Voor 15% gewijzigd door TheVMaster op 07-06-2024 10:12 ]

[HKLM_]

Ik krijg met Windows Autopilot device preparation nog wel deze schermen Heb wel een Corporate device indentifier van mijn VM) maar ik zou toch verwachten dat deze schermen niet komen?

[Quad]

En Intune admincenter heeft weer een update in het verschiet. links nieuw, rechts huidig.

[Gr4mpyC3t]

Nogne schreef op dinsdag 18 juni 2024 @ 13:09:
Hier gelukkig nog op de oude layout, hopelijk is in de nieuwe layout niet standaard alles ingeklapt zoals in Entra het geval is.

Je kunt de menu's standaard laten uitklappen. Rechts bovenin bij het tandwieltje en dan bij 'Appearance + startup views'.

[Quad]

Kan wel, je kan via de settings een apparaat enkel als apparaat registreren in Intune.

Dan denk ik wel dat je aansluitend intune device license moet hebben, maar dat terzijde.

[Davidas]

makooy schreef op dinsdag 6 augustus 2024 @ 14:02:
[...]


Een Company Portal enrollment op een device welke niet supervised is(dus ook niet in ABM staat) zou toch altijd een Personal "Ownership" moeten krijgen?

Anders wordt het filteren tussen "Supervised" en "BYOD" ook een lastig verhaal omdat er geen andere verschillende filters mogelijk zijn.

Als het goed is zodra de eindgebruiker aan de slag gaat met het Company Portal dan wordt er gevraagd of het om een Supervised of BYOD device gaat, zie onderstaand als voorbeeld:


Op basis daarvan wordt het Ownership type bepaald.

[nextware]

Blokker_1999 schreef op donderdag 22 augustus 2024 @ 11:31:
I found the issue

Het is geen probleem met de apparaten
Het is geen probleem met profielen of settings
Het is ook geen probleem met Intune, of misschien wel?

Ik probeer even een andere test account, en alles werkt

Op de standaard account staan 4 iPhones terwijl de limiet 5 is en als ik op alle devices in intune zoek op die gebruikersnaam vind ik er 12. Toch lijkt er ergens een limiet getriggered te zijn. Dat mag ook wel eens duidelijker gemaakt worden, en nu maar verder zoeken totdat ik die limiet gevonden heb.

Ben je niet op zoek naar deze informatie:

Intune device limit restrictions --> Create a device limit restriction

[ Voor 22% gewijzigd door nextware op 22-08-2024 11:58 ]

[nextware]

nextware schreef op woensdag 4 september 2024 @ 13:36:
[...]


Ik heb de laptop net aangesloten op mijn netwerk thuis maar ook hierin kan de service geen verbinding maken (error 0xD0000272). Een collega heeft een call ingelegd bij Microsoft. Maar eens even kijken wat eruit komt..

En het "issue" is magisch opgelost.. Alle betreffende systemen zijn nu weer netjes Win 11 Enterprise en de scheduled task wordt zonder problemen uitgevoerd.




Al vermoed ik dat het te maken heeft dat op zowel onze NA als EMEA tenant de M365 licenties per 1 september jl zijn verlengd en dat het even heeft geduurd voor dit door alle systemen van Microsoft is gesynchroniseerd..

[ Voor 6% gewijzigd door nextware op 06-09-2024 08:24 ]

[HKLM_]

Zal het iets met het Apple event te maken hebben?

[Blokker_1999]

HKLM_ schreef op dinsdag 1 oktober 2024 @ 19:35:
[...]


Mag hopen dat je WUFB of autopatch zo hebt ingesteld dat het nog niet naar je clients gaat. Toch? 😳

In principe wel, maar is de eerste keer dat we een feature update hebben sinds we er gebruik van maken, maakt een mens altijd zenuwachtig

Zie trouwens wel dat ie beschikbaar is gekomen:

[ Voor 24% gewijzigd door Blokker_1999 op 01-10-2024 19:40 ]

[HKLM_]

Blokker_1999 schreef op zondag 6 oktober 2024 @ 15:43:
Ik realiseer me net dat ik nog iets mis bij het distribueren van apps via intune naar Windows. We kunnen wel selecteren of we 32bit danwel 64bit nodig hebben, maar er is nog geen toggle voor ARM.

Goede! Dit zal binnenkort wel komen, maar kan wel even duren. Nieuwe Windows Builds duren vaak ook eventjes.

24H2 is ook nog niet toegevoegd aan de lijst

[ Voor 34% gewijzigd door HKLM_ op 06-10-2024 17:20 ]

[HKLM_]

Blokker_1999 schreef op maandag 7 oktober 2024 @ 16:55:
Ik wacht zelf meer op die verbeterde device raportering die volgens de roadmap ook in Oktober hoort uit te rollen. Verwacht dat die met de oktober release van Intune komt, en zou me niet verbazen dat die Dell connector ook op de volgende Intune release zal moeten wachten. En dan is het dus pas eind deze maand.

Volgens mijn bron is het vanuit de link beschikbaar.

[Quad]

Ik zie hier wat duidelijkere info voor mij om de settings te configureren: https://petervanderwoude....ness-multi-factor-unlock/

OMA URI hoeft niet meer:

[HKLM_]

Intune Enhanced device inventory lijkt verplaatst te zijn naar november ipv oktober.

[Quad]

HKLM_ schreef op dinsdag 12 november 2024 @ 19:40:
[...]


hehe je zit er niet ver naast meer een applicatie die zegt werk op chrome anders geen support....
Ik ben maar extern dus die battle ga ik niet voeren nu, ik las ook iets over de Enterprise console van google maar dat is nog wat vaag voor mij (eigenlijk de hele google suite) en dat hou ik liever ook zo haha

Funfact, die applicaties werken vaak soepeler in Edge.

Ik snap je, heb dat zelf ook eens moeten doen. Ik dat geval heb ik accounts aanmelden, sync opties, default pagina enz aangepast.

Het idee was simpel, zoveel mogelijk blokkeren, iets vrijgeven kan daarna altijd wel..

Chrome niet aantrekkelijk maken voor gebruik, Edge wel.

Als die applicatie eventueel een url heeft, dan die als shortcut op een desktop plaatsen en Chrome daarmee openen.

code:

"C:\Program Files\Google\Chrome\Application\chrome.exe" --app=https://www.applicatieurl.nl

Krijg je een 'webapp' zonder tabbladen enz.

[ Voor 15% gewijzigd door Quad op 12-11-2024 19:55 ]

[ibmpc]

HKLM_ schreef op dinsdag 12 november 2024 @ 19:30:
Iemand hier goede ervaringen met het managen van Google chrome in de organisatie via Intune. Ik heb de SSO plugin geinstalleerd dit werkt wel aardig maar ben vooral benieuwd hoe andere organisaties chrome managen.

Wij hebben hier drie opties voor bij klanten:
1. Chrome in InCognito only via policy
2. Chrome met diverse syncs uitgeschakeld en geforceerde third party passwordmanager
3. Chrome unmanaged met risico op datalekken en met name wachtwoorden

We proberen altijd heel sterk te pushen op InCognito only, meestal wordt dit advies gevolgd.

Dit:

[ Voor 6% gewijzigd door ibmpc op 13-11-2024 01:28 ]

[HKLM_]

Iemand deze nieuwe baselines al gespot? De documentatie pagina's zwijgen tot nu toe.

[ Voor 12% gewijzigd door HKLM_ op 13-12-2024 15:17 ]

[TheVMaster]

HKLM_ schreef op vrijdag 13 december 2024 @ 15:16:
Iemand deze nieuwe baselines al gespot? De documentatie pagina's zwijgen tot nu toe.

[Afbeelding]

Zeker!

[Blokker_1999]

@HKLM_ we maken allemaal wel eens keuzes die achteraf gezien beter hadden gekund. Ja, een goede inventarisatie is belangrijk om je vereisten duidelijk op papier te krijgen, maar een goede inventarisatie kost ook gruwelijk veel tijd als je die al niet hebt en daar moet je mgmt ook weer van overtuigd krijgen.

Van in het begin van het Win11 project bij ons in de onderneming heb ik geprobeerd om hybrid te vermijden. Met de belangrijkste vereisten die we hadden zou hybrid zeer moeilijk worden. Ik sta uiteindelijk dicht tegen het voltooien van heel de setup, ga 3 weken met vakantie en kom daarna terug om te ontdekken dat men boven mijn hoofd beslist had om toch naar hybrid te gaan en dat collega's een hoop aanpassingen hadden gemaakt om dat mogelijk te maken waar ik uiteindelijk maanden later nog last van had met opkuisen. Dit omdat het voor 1 applicatie noodzakelijk was en buiten mijzelf op dat moment niemand echt goed de impact van alles begreep.

Dit jaar hebben we eindelijk nagegaan wie die applicatie eigenlijk nog lokaal moet kunnen draaien, en dan val je bijna achterover wanneer je bedenkt hoeveel pijn en moeite die beslissing van hogerhand gekost heeft om te leren dat het allemaal voor niets was.

Wij hadden een externe consultant ingehuurd om ons te helpen bij het opzetten van onze setup. Die mannen zijn niet goedkoop. Maar als je dan eenvoudige vragen stelt zoals: wat met LAPS in een non-hybrid setup (dit was voor de nieuwe LAPS die met Intune werkt) en die consultant moet op Google gaan zoeken om dan het eerste antwoord te vinden dat hij tegenkomt, dan vraag ik me af waarom we ervoor betalen. Niet alleen dat, maar hij kwam dan ook met een oplossing die hij zelf nog nooit gezien of getest had en waarbij hij ook de reacties onder die blogpost had gemist die waarschuwde voor de mogeijks sterk oplopende kosten van die oplossing. De basis is niet moeilijk, die kan ik zelf ook vinden, en als je consultant voor elke moeilijkere vraag die je stelt zelf Google moet openen of aan collgega's moet gaan vragen die dan niet antwoorden, dan is die zijn geld ook niet waard. Dus ook daar moet je maar weer geluk hebben dat je een goed persoon treft.

Met wifi hebben we vandaag hetzelfde probleem. We maken gebruik van NPS voor authenticatie en 1 van de voorwaarden is dat de computer in het domein te vinden is. We hebben ondertussen al naar andere radius oplossingen zitten kijken die hetzelfde kunnen met bijv. Entra, maar vinden niet direct een goede oplossing hiervoor. Technisch gezien kan je puur op het certificaat gaan vertrouwen als de private key niet exporteerbaar is, maar ook dat moet je weer voorbij je security afdeling krijgen. Wij hadden zelf de switch naar 802.1x dit jaar al willen maken, het zal nu voor volgend jaar zijn. En net zoals Hero hebben wij geworsteld met de enkele macbooks die we hebben.

Apple edvices blijven relatief beperkt in Intune imho. Zelf hangen we nog altijd vast aan Jamf voor het beheer van de macbooks, al wil mgmt graag dat we omschakelen naar Intune. Maar zolang Intune het niet mogelijk maakt om de superuser rechten af te nemen van de gebruiker die het toestel opzet en de Intune join doet, blijven wij vasthangen aan Jamf. Het kan niet zijn dat wij een hoop policies gaan zetten en dan de gebruiker de rechten geven om die gewoon ongedaan te maken.

@Hero of Time, wat wifi betreft, er is een mogelijkheid om dit werkende te krijgen. Mijn Entra ID joined test devices kunnen wel op onze wifi. Ik heb daarvoor wel een script lopen dat elk kwartier een sync doet met Entra ID, een oplijsting maakt van alle Entra ID joined devices en hiervoor dummy objecten gaat aanmaken in AD waarna de check voor het apparaat wel werkt. Als je wenst kan ik eens kijken of ik nog gevonden krijg waar ik alles vandaan heb gehaald.Heb ik ineens een OU met dit soort van apparaten: En geen paniek, want de sync verwijderd ook apparaten die niet meer bestaan.



Voor je local admin kan je kijken naar EPM wat onderdeel is van Intune Suite, maar ook los verkrijgbaar. Is wel een bijkomende licentiekost, maar maakt het mogelijk om applicaties, en tegenwoord zelfs specifieke PowerShell scripts, als admin te draaien zonder dat de gebruiker admin rechten moet hebben op heel de machine. Werkt op zich wel netjes. Er zijn trouwens ook andere commerciele partijen die gelijkaardige software aanbieden. Het is iets dat je in het achterhoofd kunt houden als verbeterproject. Zelf zijn we net zeer blij dat we eindelijk van de lokale admin rechten vanaf zijn op onze systemen en tot op heden nog geen EPM nodig gehad.

Onze macbooks zijn niet domain joined, als ik dan vraag waarom dat zo is, dan kan niemand daar een goed antwoord op geven, enkel dat het zo werd aanbevolen door de firma die ons Jamf heeft verkocht als MDM platform voor de macbooks. Zelf hebben we wel ABM (en je kan bestaande devices alsnog in ABM zetten) waardoor onze macbooks netjes bij het opzetten van de macbook zich reeds bij Jamf en Intune aanmelden. Dat laatste maakt dan weer de passwordsync met AD mogelijk. Belangrijkste nadeel van niet domain joined te zijn is dat we voor onze SMB shares niet kunnen verwijzen naar de DFS root \\fqdn.domain maar naar een specifieke server moeten verwijzen.

En ik geef je deels gelijk, Apple is niet geschikt om te integreren in een zakelijke omgeving als deze al jarenlang is ingericht voor Windows only gebruik en volledig gebruik maakt van een Microsoft stack. Mijn god, de tijd die ik bijv. verloren heb in het uitzoeken of we die macbooks toch niet konden verbinden met onze Microsoft Always-On VPN servers om uiteindelijk in de logs te vinden dat ze een verschillend, niet compatibel type van EAP willen gebruiken langs bijde kanten.

@TheVMaster , met de ervaring van vandaag moet ik Microsoft en de vele roepers gelijk geven. Maar zo eenvoudig is het niet altijd. Ik kwam tijdens mijn implementatie toen ik op zoek was naar oplossingen ook voldoende blogposts tegen die aanhaalden dat je hybrid altijd zou moeten vermijden als het kan, heb voldoende memes zien passeren hierover. Maar als je ineens een applicatie hebt met harde eis dat je systeem domain joined moet zijn, dan hang je er aan vast, hoe spijtig dat ook is, hoe problematisch dat ook is.

Ondertussen heb ik nog altijd de eerste AADJ built laptop op kantoor liggen en gebruik deze nog regelmatig. Ook het systeem dat ik op mijn private laptop (testen met ARM cpu ) heb gezet is een AADJ systeem en ik heb er zelf geen enkel probleem mee. We weten ondetussen ook dat we voor 99,9% van onze gebruikers perfect naar AADJ zouden kunnen overstappen en voor die laatste 0,1% kunnen we, op verzoek, Hybrid devices leveren. Alles is klaar om dit op te nemen, enkel de goedkeuring van mgmt krijgen om er tijd in te mogen steken. Ben ik blij dat begin januari ik eindelijk versterking krijg op dit vlak, op de dag dat we klaar zijn om de laatste stap in heel ons Win11 project te beginnen uitrollen, namelijk de upgrade van de laatste Win10 machines

🧑‍🎄🎄🎁

[Blokker_1999]

Quad schreef op vrijdag 27 december 2024 @ 11:06:
Wat kost de connected cache? Je hebt toch Azure resources nodig? Ik zie de teller daarvoor dan al oplopen.

Niets, het klopt dat je er een azure resource aan moet koppelen, maar die is gratis en hoort ook gratis te blijven.


Niet vergeten dat de service uiteindelijk op jouw eigen hardware draait als je het on-prem gebruikt en dat je net Microsoft helpt met het besparen op internetverkeer.

[ibmpc]

HKLM_ schreef op vrijdag 27 december 2024 @ 20:12:
In ander News iemand de POC Entra Device Compliance Bypass gezien of al geprobeerd?

https://github.com/zh54321/PoCEntraDeviceComplianceBypass

Ben benieuwd, ik ga dit eens proberen.

-edit-
Is dit niet behavior by design? De Intune Company Portal moet wel exempt zijn van compliance policies, anders is enrollment toch restricted?

HKLM_ schreef op vrijdag 27 december 2024 @ 20:16:
[...]


Ik bedoel er mee aanmelden in autopilot de passkey staat op je iPhone of iOS device in de Authenticator app.

Dit?
Vreemd dat je inderdaad niet kunt kiezen voor Authenticator passkey. En wel voor WHFB PIN, maar dat kan toch helemaal niet als je die nu juist moet gaan instellen?

[ Voor 9% gewijzigd door ibmpc op 27-12-2024 20:27 ]

[Blokker_1999]

Dat is dus de situatie zoals ik hem heb. Ben ondertussen 1 stap verder geraakt. Na het aanmelden op de server met domain admin (wat eigenlijk not done is) ben ik er in geslaagd om de sign-in te voltooien. Vreemd genoeg is de connector nog altijd niet verschenen in Intune, maar de sign-in knop is nu wel uitgegrijsd terwijl de setup knop voor de MSA kan aangeklikt worden... met een volgende foutmelding.

Ofwel komt ie met een melding dat de account "" niet gebruikt kan worden omdat de account msaODJ<random> niet geldig is, ofwel vindt ie de account leuk genoeg, maar krijg je een andere foutmelding die ik even vergeten ben op te schrijven, maar waarbij, als je in de logfile gaat kijken, ziet dat er eerst een hoop rechten gezet worden in het register en op de OU, om die daarna terug af te nemen zonder dat er gemeld wordt waarom.

--edit--
correctie, foutmelding is terug

[ Voor 11% gewijzigd door Blokker_1999 op 18-03-2025 16:47 ]

[HKLM_]

Vulnerability Remediation Agents komen naar Intune toe per aanstaande mei.

https://techcommunity.mic...test-ai-in-intune/4395079

[theduke1989]

hebben jullie ook problemen met de enrollment dat je het niet kan deleten?

alles is healthy, maar ht blijft maar terug komen.

[Blokker_1999]

Ik ben iets over het hoofd aan het zien en ik weet niet wat. Ik wil een "app" pushen naar nieuwe laptops tijdens hun onboarding, dit is gewoon een script dat de bloat van Dell moet verminderen. Probleem is, het werkt niet. Het script gaat gewoon in het register op zoek naar software van Dell om te uninstallen en als ik alles zelf uitvoer, dan is er geen enkel probleem. Alles werkt gewoon. Maar maak ik dan mijn package, laat ik het uitvoeren door de sysnative powershell (om de 64bit versie te hebben), dan krijg ik 0 resultaten terug ipv het tiental apps dat Dell voorinstalleert op deze systemen.

code:

$DellPackages = @()
Write-Output "Getting uninstall information for 64Bit applications"
$DellPackages += Get-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*' | Select-Object DisplayName, DisplayVersion, UninstallString, QuietUninstallString | Where-Object {$_.DisplayName -like "Dell*"}
Write-Output "Getting uninstall information for 32Bit applications"
$DellPackages += Get-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' | Select-Object DisplayName, DisplayVersion, UninstallString, QuietUninstallString | Where-Object {$_.DisplayName -like "Dell*"}
$DellPackages

En die variabele is dus leeg als de IME deze uitvoert, maar niet wanneer ik het handmatig uitvoer, zelfs niet als ik PsExec64 gebruik om powershell als System te draaien.



En als ik dan de boel even bootstrap naar Powershell 7 toe, dan werkt het daar trouwens wel, maar zou graag die bootstrapping achterwege laten. En voor hen die willen weten hoe je dat doet:

code:

# Relaunch as PowerShell 7 if necessary
if ($PSVersionTable.PSVersion.Major -ne 7) {
    Install-PackageProvider -Name NuGet -MinimumVersion 2.8.5.201 -Force
    Set-PSRepository -Name "PSGallery" -InstallationPolicy Trusted
    Install-Script PS7Bootstrap -Force -ErrorAction Ignore
    PS7Bootstrap.ps1 $PSCommandPath
    Exit $LASTEXITCODE
}

[Blokker_1999]

nickertNL schreef op maandag 26 mei 2025 @ 16:58:
[...]


Heb je ook logging aan het script toegevoegd? Lijkt mij dat het onder een andere context uitgevoerd word als verwacht. Let ook op dat inderdaad vanuit IME vaak toch de 32 bit powershell gestart word. Wat ik zelf nog wel eens doe is een .bat file in de application zetten als install command. Vanuit daar trap ik dan de 64bit powershell met het script af.

Uiteraard is er logging . Het is zo dat ik weet dat er effectief 0 resultaten terugkomen, en het is ook effectief de sysnative versie die gestart wordt door de IME, dus de 64bit variant. Als je een script wil gebruiken als install command en het moet in 64Bit draaien, dan start je

code:

C:\Windows\sysnative\WindowsPowerShell\v1.0\powershell.exe

. En nee, je gaat deze folder niet zien in je 64bit verkenner

Gr4mpyC3t schreef op maandag 26 mei 2025 @ 19:24:
[...]


Hoe ziet de installatiestring van je applicatie er uit? Het eerste waar ik aan denk is de execution policy van PowerShell die dan niet op ‘bypass’ staat.

Die policy zet ik altijd op bypass

Sjod schreef op maandag 26 mei 2025 @ 21:24:
[...]


Utf encoding in het script ? (Wat volgens mij bij een win32 app niet zou moeten uitmaken maar toch)

Waarom doe je zo’n script via een app en niet gewoon via de script functie ? (Uit nieuwsgierigheid)

De debloat moet gebeuren tijdens de OOBE, anders komt vlak nadat de gebruiker op de desktop komt Dell Command Update bijvoorbeeld al vragen om drivers en firmware te updaten, dat terwijl wij net controle willen hebben over die updates vanuit Intune. Bijkomend is het ook een snelle manier om die Dell Optimizer die ze gepind hebben op de taakbalk daar weg te krijgen, een app waarvan ik ook niet direct de bijkomende waarde zie. Fabrikanten moeten gewoon al die crap niet installeren wanneer je als bedrijf laptops koopt. Wij kiezen zelf wel welke software wij ter beschikking van gebruikers willen stellen.

En als je dit als script doet, en dat hebben we in het verleden op de harde manier geleerd, dan loop je de kans dat dat script een uninstaller start tijdens de OOBE terwijl Windows op dat moment een andere app wenst te installeren waardoor de install van die app faalt en heel je deploy in de problemen komt. First line was not amused.

[akimosan]

@Blokker_1999

wat config die we sowieso noodzakelijk hebben (zo moeten we de schijf partitioneren want we hebben software die een folder op E:\ verwacht)

Ik kan niet zeggen of het voor jullie usecase een oplossing is, maar ipv partitioneren zou je ook nog een extra driveletter naar een map in je systeemvolume kunnen toekennen met een registerinstelling als in onderstaand voorbeeld:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\DOS Devices
REG_SZ=X:
VALUE=\??\D:\Downloads\Work\MyFiles



Deze driveletter is permanent en ook zichtbaar/vindbaar voor applicaties die in system context draaien (wat niet het geval is met SUBST).

Daarmee vermijd je dan eventuele perikelen met partities, bitlocker, heb je je data in 1 volume en kun je toch een driveletter gebruiken voor die specifieke (legacy) software

[TheVMaster]

Blokker_1999 schreef op donderdag 12 juni 2025 @ 12:01:
Deze is ook nieuw, krijg net een screenshot doorgestuurd van een collega die het Win11 start menu toont met in de recommend een shortcut om Whatsapp te installeren. We blokkeren nota bene heel de MS Store net om dit soort van crapware van onze systemen te houden, en dan gaat MS het er alsnog in adverteren. Iemand enig idee of dit tegen te houden is?

Je blokkeert de MS Store, maar ik neem aan dat je built-in apps wel laat updaten?

Kun je dat btw niet met policies dicht zetten, volgens mij kan dat met deze setting: Show recommendations for tips, shortcuts, new apps, and more.

[TheVMaster]

Iets anders, herkennen jullie dit? Ik probeer te PIM-en, maar ik kan dus pas na een paar minuten in het Reason veld klikken dus iets intypen en dan doorgaan. Zo frustrerend, heb dat sinds een paar weken...geen idee waardoor het komt. Irritant is het wel.

[Quad]

Komt een extra vereiste optie aan in Intune bij het uploaden van Win32Apps. Onder requirements moet/kan je naast de minimum OS versie ook een architectuur straks opgeven.
Standaard staat deze optie op Nee, toestaan op alle systemen.

De vorige optie om te kiezen tussen 32/64 bit vervalt hier dan mee.

[ Voor 7% gewijzigd door Quad op 13-06-2025 16:11 ]

[akimosan]

Zelf heb ik nu een redelijke keten van wat tools die beschikbaar zijn in winget om deze met powershell scripts te deployen via Intune

Basically: 3 powershell scripts en 1 custom app (winget-autoupdate) + configuration profile met een custom ADMX die winget-autoupdate configureert

Workflow: 3 scripts: check.ps1, install.ps1, uninstall.ps1

• Maak een working folder aan voor je app (ik gebruik meestal de winget ID ook als naam van de map)
• Plaats daarin de scripts
• Bewerk de scripts en in elk script zet je de value voor variable $programname naar de winget package ID
• Gebruik IntuneWinAppUtil.exe en maak een intunewin file aan met daarin de install.ps1 en uninstall.ps1 die je net bewerkt hebt
• Maak een win32 app aan
• Gebruik als Install command: %SystemRoot%\sysnative\WindowsPowerShell\v1.0\powershell.exe -executionpolicy bypass -command .\install.ps1
• Gebruik als Uninstall command: %SystemRoot%\sysnative\WindowsPowerShell\v1.0\powershell.exe -executionpolicy bypass -command .\uninstall.ps1
• Voor detection rules maak je gebruik van het custom detection script check.ps1

Rest is wat je normaliter ook doet voor apps die je installeert in de system context.
Assign naar behoefte

Hiermee heb je de deployment van je app maar nog niet je versiebeheer op orde.

In principe zou je de detection script nu verder kunnen gaan uitbouwen naar 1 of meer remediation scripts die kijken of een upgrade beschikbaar is en deze dan installeren.
Daarvoor maak ik echter gebruik van Romanitho.Winget-AutoUpdate
Deze app deploy ik ook (met bovenstaande optie)
De tool maakt standaard een geplande taak aan die bij logon alle geïnstalleerde apps, die een update beschikbaar hebben via winget bijwerkt.

Daarnaast is er een ADMX template: https://github.com/Romani...ain/Sources/Policies/ADMX
Welke ik importeer en via een Configuration profile gebruik ik dan een blacklist om apps waarvan ik weet dat ze niet lekker bijwerken via winget, of waarvan ik tijdelijk een update/versie wil blokkeren, uit te zonderen.

En op deze manier werkt het nu vrij aardig

Nieuwe installaties van apps krijgen direct de recentste versie
Bestaande installaties worden bijgewerkt "at logon"

Voorbeeld Romanitho.Winget-AutoUpdate:

check.ps1

code:

$ProgramName = "Romanitho.Winget-AutoUpdate"

# resolve winget_exe
$winget_exe = Resolve-Path "C:\Program Files\WindowsApps\Microsoft.DesktopAppInstaller_*_*__8wekyb3d8bbwe\winget.exe"
if ($winget_exe.count -gt 1){
        $winget_exe = $winget_exe[-1].Path
}

if (!$winget_exe){
    Write-Error "Winget not installed"
}else{
    $wingetPrg_Existing = & $winget_exe list --id $ProgramName --exact --accept-source-agreements
        if ($wingetPrg_Existing -like "*$ProgramName*"){
        Write-Host "Found it!"
    }
}

install.ps1

code:

Param
  (
    [parameter(Mandatory=$false)]
    [String[]]
    $param
  )
  
$ProgramName = "Romanitho.Winget-AutoUpdate"
$Path_local = "$Env:Programdata\Microsoft\IntuneManagementExtension"
Start-Transcript -Path "$Path_local\Logs\$ProgramName-install.log" -Force -Append

# resolve winget_exe
$winget_exe = Resolve-Path "C:\Program Files\WindowsApps\Microsoft.DesktopAppInstaller_*_*__8wekyb3d8bbwe\winget.exe"
if ($winget_exe.count -gt 1){
        $winget_exe = $winget_exe[-1].Path
}

if (!$winget_exe){Write-Error "Winget not installed"}

& $winget_exe install --exact --id $ProgramName --silent --accept-package-agreements --accept-source-agreements --scope=machine $param

Stop-Transcript

Uninstall.ps1

code:

$ProgramName = "Romanitho.Winget-AutoUpdate"
$Path_local = "$Env:Programdata\Microsoft\IntuneManagementExtension"
Start-Transcript -Path "$Path_local\Logs\$ProgramName-uninstall.log" -Force -Append

# resolve winget_exe
$winget_exe = Resolve-Path "C:\Program Files\WindowsApps\Microsoft.DesktopAppInstaller_*_*__8wekyb3d8bbwe\winget.exe"
if ($winget_exe.count -gt 1){
        $winget_exe = $winget_exe[-1].Path
}

if (!$winget_exe){Write-Error "Winget not installed"}

& $winget_exe uninstall --exact --id $ProgramName --silent --accept-source-agreements

Stop-Transcript

Win32 app


ADMX


Device config policy

[Blokker_1999]

Lijkt mij wel, de drivers die gewoon in Windows Update zitten. Nu zie ik zelf ook maar ongeveer 1% van onze devices melden dat ze een recente Intel Displaydriver wensen te installeren:


Geen idee waarom andere devices deze niet komen opvragen. En zie dat bij meerdere drivers. Ondanks dat we een redelijk homogeen laptop park hebben, elk jaar een nieuw model in 2 formaten, blijft het mij verbazen hoeveel systeemdrivers De belangrijkste vraag wordt dan al snel: is de rapportering foutief? Of werkt de detectie van Microsoft niet goed? Want waar we wel inzicht hebben in de updates van Windows zelf, heb je geen enkel inzicht in de driver updates, en ook veel minder controle.

[HKLM_]

Ik heb opeens drie nieuwe icoontjes op mijn taskbar staan... iemand deze ook al gespot?

1 is People
2 is File Search
3 is Calendar

[Quad]

En weer iets nieuws in Intune, ook nog prominent aanwezig ook.

https://learn.microsoft.c...t/copilot-intune-explorer

[xven0mxz]

Aantal leuke toevoegingen.

MacOS LAPS is toegevoegd


En quick recovery is toegevoegd


En nog meer updates! https://techcommunity.mic...-intune-july-2025/4435146

[ Voor 9% gewijzigd door xven0mxz op 24-07-2025 20:18 ]

[Blokker_1999]

@kromme Welke problemen heb je dan? (en ja, ik typ dit vanop een Surface Laptop 7 die geboot is in een omgeving die door Intune beheerd wordt).



Je gaat even moeten oppassen met de apps die je installeert. Niet alles zal werken. Maar dat had je vooraf moeten uitzoeken uiteraard. Zo kan ik onze antivirus niet installeren en moet ik aan ons netwerk team een geupdate VPN client vragen telkens die een versiebump krijgt omdat ons VPN portaal enkel x86/x64/mac versies geeft. En gelukkig heeft MS recent de optie aan Intune toegevoegd van arm64 aan de target platformen. Voorheen viel dat gewoon onder x64 .

[Blokker_1999]

Drardollan schreef op donderdag 4 september 2025 @ 09:42:
Slag om de arm, maar mijn nieuwe apps verschenen net in mijn Company Portal. Of er heeft een proces gelopen om alles bij te werken of de boel is opgelost, benieuwd of jullie dit ook ervaren.

Volgens MS zou het sinds vanacht inderdaad opgelost moeten zijn:

[Blokker_1999]

Nieuwe settings aan het testen, AP deployment faalt.
Installeren van get-autopilotdiagnostics, installatie faalt

verdorie wat is er toch aan de hand?

Ah, certificaat op *.azureedge.net is vervallen 🤦. Je zou toch verwachten dat MS zijn certmgmt in orde heeft ...

[Blokker_1999]

Ik las het ook net. 🤣.

Een jaar aan gewerkt, en op het moment dat je je september updates uitrolt, waarbij je de functie introduceert, trek je het alweer opnieuw weg.

Zucht.

Je kan het testen, maar het doet dus blijkaar weer niet veel meer. Benieuwd hoe lang we nu weer gaan mogen wachten want dit toont aan dat het niet slechts enkele weken zal zijn:



Zou me niet verbazen dat er veel mensen alsnog ontevreden zijn over de implementatie. Geen controle in AutoPilot v2, geen controle als je de ESP niet aan hebt staan en als je dan wel de ESP gebruikt, gaat het alsnog enkel achter de user phase en niet tijdens de device phase waardoor updates tijdens preprovisioning ook niet werken met deze optie. Benieuwd welke van die mogelijkheden de oorzaak van deze pullback is. Al verwacht ik primair dat men de optie ook naar v2 wil brengen daar men steeds meer mensen die richting uit wil laten gaan.

[Drardollan]

Vraagje aan de andere Intune beheerders, hoe gaan jullie om met Windows Updates in Intune? En dan specifiek of jullie jullie update ringen op users of devices hebben staan?

Ik heb op dit moment alles op de user staan, dat leek een goed idee. Maar nu ik er over na heb gedacht is het helemaal niet zo logisch. In WSUS vroeger deed je het ook per device tenslotte. En ook hier kan het prima dat 2 users op 1 device inloggen en dat klinkt niet handig met updates die aan een user hangen.

Dus kort door de bocht, hoe is het ingericht bij jullie?

Poll: Intune Windows Update Assignment
• Users
• Devices
• Ik doe niet aan updates!
<sup>Tussenstand:

Ook een poll maken? Klik hier</sup>