Zo tagt u Azure AD-devices automatisch op basis van beveiligingsstatus of eigendom

Microsoft Entra ID (voorheen Azure AD) wordt inmiddels breed gebruikt voor hybride en cloud-native joined devices. Daardoor is het belangrijker dan ooit om endpoints te classificeren op eigendom en naleving van beveiligingsvoorschriften. Geautomatiseerd taggen staat centraal in dat proces en ondersteunt Conditional Access, rapportage, notificaties en lifecycle-workflows, zeker in multi-tenant MSP-omgevingen.

In deze gids leest u met welke methoden u automatisch Azure AD-tags toekent aan devices op basis van beveiligingsstatus en eigendom. Ook leest u hoe u die tags afdwingt en gebruikt om toegangsregels toe te passen.

Klik om een methode te kiezen	💻 Het beste voor individuele gebruikers	💻💻💻 Het beste voor grote organisaties
Methode 1: Azure AD-dynamische groepen gebruiken voor basistagging		✓
Methode 2: devices taggen via de Microsoft Graph API op basis van beveiligingsstatus		✓
Methode 3: registertags gebruiken voor eigendom of beveiligingsclassificatie		✓
Methode 4: Group Policy gebruiken voor consistente tagging op zakelijke devices		✓
Methode 5: Conditional Access of beleidsfilters activeren op basis van tagging		✓

Methoden om Azure AD-devices automatisch te taggen op basis van beveiligingsstatus en eigendom

Voordat u met de methoden aan de slag gaat, controleert u of u aan de volgende voorwaarden voldoet voor een soepel verloop:

• Microsoft Entra ID (voorheen Azure AD) Premium P1 of P2 (voor dynamische groepen en Conditional Access)
• Beheerdersrechten om Entra ID (voorheen Azure AD) of de Microsoft Graph API te bevragen en bij te werken
• PowerShell 7+ met de Microsoft Graph-modules geïnstalleerd
• Beleid voor devicecompliance in Intune
• Optioneel: NinjaOne voor tagging via register/beleid en rapportage over meerdere tenants

Een stapsgewijze uitleg met schermafbeeldingen vindt u ook op Zo tagt u Azure AD-devices automatisch op basis van beveiligingsstatus of eigendom.

Methode 1: Azure AD (nu Microsoft Entra ID) dynamische groepen gebruiken voor basistagging

Met deze basismethode voegt u devices automatisch toe of verwijdert u ze op basis van actuele kenmerken zoals eigendom, besturingssysteem of trust type. Dankzij dynamisch lidmaatschap worden devices altijd correct opgenomen of uitgesloten zonder handwerk.

📌 Toepassingen: het beste als u devices automatisch op directoryniveau wilt groeperen op ingebouwde kenmerken zoals eigendom, OS of join type.

Stap voor stap:

1. Ga naar entra.microsoft.com en meld u aan met uw beheerdersaccount.
2. Klik in het linkermenu op Groepen.
3. Selecteer Alle groepen > Nieuwe groep.
4. Klik bij Groepstype op Beveiliging.
5. Voer de Groepsnaam en Beschrijving in.
6. Selecteer bij Lidmaatschapstype de optie Dynamisch apparaat > en klik op Dynamische query toevoegen.
7. Voer deviceregels in zoals: (Lees #1 in ⚠️ Waar u op moet letten.)
   • device.deviceOwnership -eq "Company"
   • device.deviceOwnership -eq "Personal"
   • device.trustType -eq "AzureAD"
   • device.isCompliant -eq true

Voorbeeld van een groepsregel voor bedrijfseigen, compliant devices:

(device.deviceOwnership -eq "Company") and (device.isCompliant -eq true)

8. Klik op Opslaan.
9. Gebruik deze dynamische groepen om beleid toe te wijzen, compliance te monitoren of rapportage te segmenteren.

💡 Tip: lees voor meer details Regels beheren voor dynamische lidmaatschapsgroepen in Microsoft Entra ID.

Methode 2: devices taggen via de Microsoft Graph API op basis van beveiligingsstatus

Dynamische groepen kunnen niet rechtstreeks filteren op compliance of risico. Met de Microsoft Graph API bevraagt u devices op compliance- of beveiligingsstatus en schrijft u aangepaste tags (extension attributes) terug naar het device-object in Entra ID (voorheen Azure AD). Die tags kunt u vervolgens gebruiken voor rapportage, automatisering of Conditional Access-beleid.

📌 Toepassingen: het beste als u tagging wilt automatiseren op basis van compliance- of risicosignalen die standaard niet in Entra beschikbaar zijn.

Stap voor stap:

1. Installeer de Graph-module: (Lees #2 in ⚠️ Waar u op moet letten.)

Install-Module Microsoft.Graph -Scope CurrentUser

Install-Module Microsoft.Graph.DeviceManagement -Scope CurrentUser

2. Maak verbinding met Graph:

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.ReadWrite.All", "Device.ReadWrite.All"

3. Bevraag devices met de status niet-compliant:

$devices = Get-MgDeviceManagementManagedDevice | Where-Object { $_.ComplianceState -ne "compliant" }

4. Pas een extension attribute-tag toe:

foreach ($d in $devices) {

$entraDevice = Get-MgDevice -Filter "deviceId eq '$($d.AzureADDeviceId)'"

Update-MgDevice -DeviceId $entraDevice.Id -AdditionalProperties @{

extensionAttribute1 = "NonCompliant"

}

}

5. Gebruik deze attributen voor aangepaste compliancerapporten of om toewijzingsregels op te bouwen.

Methode 3: registertags gebruiken voor eigendom of beveiligingsclassificatie

Als de ingebouwde kenmerken niet volstaan, voegt u aangepaste tags rechtstreeks toe aan het Windows-register. Deze lichte tags haalt u vervolgens naar Intune met Proactive Remediation of Custom Compliance.

📌 Toepassingen: het beste als u aangepaste, organisatiespecifieke labels lokaal op devices wilt opslaan voor compliance of rapportage.

Stap voor stap:

1. Gebruik op endpoints (vooral hybrid-joined) PowerShell om registertags weg te schrijven:

New-Item -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Ownership" -Value "Company"
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Compliance" -Value "Healthy"

Hiermee maakt u een aangepast registerpad met twee tags:

• • Ownership = Company
  • Compliance = Healthy

2. Controleer via de opdrachtprompt:

reg query HKLM\SOFTWARE\Org\DeviceTags

Zo bevestigt u of de waarden correct zijn ingesteld.

3. Gebruik RMM-tools of Intune Proactive Remediation-scripts om deze waarden centraal te verzamelen en te beheren.

Methode 4: Group Policy gebruiken voor consistente tagging op zakelijke devices

In hybride of AD-joined omgevingen kan Group Policy registertags als basislijn afdwingen of scripts uitvoeren op alle zakelijke devices. Dat zorgt voor consistente tagging, zelfs voordat devices in Intune zijn ingeschreven.

📌 Toepassingen: het beste als u hybride of AD-joined devices beheert en consistente bedrijfstags op grote schaal wilt toepassen.

Stap voor stap:

1. Druk op Win + R, typ gpmc.msc en druk op Enter om de Groepsbeleidsbeheerconsole te openen.
2. Ga naar de OU (Organizational Unit) met uw doeldevices. (Lees #3 in ⚠️ Waar u op moet letten.)
3. Klik met de rechtermuisknop op de OU > Een GPO in dit domein maken.
4. Klik met de rechtermuisknop op de nieuwe GPO > Bewerken.
5. Ga naar:

Computerconfiguratie > Beleid > Windows-instellingen > Scripts > Opstarten

6. Klik op Toevoegen > Bladeren en zoek uw PowerShell-script op.

Plak deze opdracht in een teksteditor en sla het bestand op als .ps1-bestand:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Ownership" -Value "Company"

7. Zodra het beleid is toegepast, dragen alle doeldevices consistente tags.

Zo tagt u Windows 10/11 Pro-devices die niet in Intune zijn ingeschreven maar wel aan Entra of hybride AD zijn gekoppeld.

Methode 5: Conditional Access of beleidsfilters activeren op basis van tagging

Zodra devices zijn gegroepeerd of getagd (methoden 1-4), gebruiken Conditional Access en Intune-filters die tags om toegangsregels af te dwingen en de juiste basislijnen toe te passen. Hier wordt tagging pas echt bruikbaar voor beveiliging in de praktijk.

📌 Toepassingen: het beste als u toegangs- en beleidsbeslissingen wilt afdwingen op basis van bestaande devicetags.

Verschillende compliancebeleidsregels of beveiligingsbasislijnen toewijzen (bijvoorbeeld strengere controles voor persoonlijke devices)

• Gebruik Intune-toewijzingsfilters om strengere compliancebeleidsregels en basislijnen toe te passen op zakelijke devices (bijvoorbeeld BitLocker of Defender AV verplichten) en lichtere regels op persoonlijke devices.

💡 Tip: lees voor meer details Filters gebruiken bij het toewijzen van apps, beleid en profielen in Microsoft Intune.

Conditional Access-beleid (CA) maken op basis van eigendom of compliance

Gebruik devicefilters in Conditional Access om toegangsregels af te dwingen op basis van eigendom en compliancestatus.

Voorbeelden:

• Zakelijke devices moeten compliant zijn voordat ze toegang krijgen tot Microsoft 365-apps.
• Persoonlijke devices toestaan, maar alleen met MFA of beperkte browsertoegang.

💡 Tip: lees voor meer details Devicecompliance vereisen met Conditional Access en Een apparaatgebaseerd Conditional Access-beleid maken.

Microsoft Defender for Endpoint gebruiken om risicovolle of niet-getagde devices te escaleren voor herstel

• Integreer risicosignalen van Defender in uw Intune-compliancebeleid.
• Devices die in Defender zijn getagd als High Risk of Noncompliant kunnen automatisch worden geblokkeerd of via Conditional Access worden gedwongen tot herstel.

💡 Tip: lees voor meer details Microsoft Defender for Endpoint gebruiken om devicecompliance af te dwingen met Microsoft Intune.

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Hoe u het terugdraait
1. Onjuiste attribuutwaarden gebruiken in regels voor dynamische groepen	De groep vult zich niet; devices worden uitgesloten van targeting	Pas de groepsregel aan met de juiste syntaxis (bijvoorbeeld device.deviceOwnership -eq "Company") en sla op
2. Ontbrekende of onjuiste permission scopes voor de Graph API	Het script mislukt zonder melding of kan device-objecten niet bijwerken	Maak opnieuw verbinding met de juiste scope: Device.ReadWrite.All, DeviceManagementManagedDevices.Read.All
3. Een Group Policy Object (GPO) koppelen op domeinniveau in plaats van aan een specifieke OU.	Tags worden toegepast op alle devices in het domein, ook op devices waarvoor ze niet bedoeld zijn	Ontkoppel de GPO of koppel hem aan de juiste OU en voer daarna gpupdate /force uit

Aanvullende overwegingen

Houd bij het configureren van tags rekening met de volgende punten:

Gevoeligheid van tags

Tags hebben rechtstreeks invloed op toegang en beleidshandhaving. Verkeerd getagde devices kunnen beveiligingen omzeilen of juist te streng worden beheerd. Handmatig taggen is foutgevoelig en kwetsbaar voor manipulatie door lokale beheerders. Gebruik geautomatiseerde tagging via Intune-filters, de Graph API of Defender-regels om de integriteit te bewaken.

Beperkingen rond BYOD

Bring Your Own Device (BYOD)-endpoints voldoen vaak niet aan volledige zakelijke beveiligingsbasislijnen. Met tagging past u risicogebaseerde toegangscontroles toe zonder de productiviteit te blokkeren. Gebruik eigendomstags om toegang te beperken voor persoonlijke of niet-vertrouwde devices.

Multi-tenant MSP-omgevingen

Managed service providers (MSP’s) die meerdere tenants beheren doen er goed aan hun tagginglogica te standaardiseren over alle omgevingen heen. Gebruik consistente registerpaden, apparaatcategorieën of extension attributes. Stem de regels voor dynamische groepen op elkaar af zodat beleid en rapporten in elke tenant hetzelfde werken.

Audit trails

Omdat tags gekoppeld zijn aan toegang, moeten wijzigingen traceerbaar zijn. Gebruik de auditlogboeken van Microsoft Entra, de compliancerapporten van Intune-devices en de uitvoeringslogboeken van de Graph API om te controleren wie wat wanneer en waarom wijzigt.

Problemen oplossen

Dit zijn de meest voorkomende problemen tijdens de configuratie en hun oplossing:

Tags zijn niet zichtbaar

Als een device of gebruiker de verwachte tag niet toont, ligt dat meestal aan ontbrekende Graph API-permissies of aan een device-object dat niet goed is gesynchroniseerd naar Entra ID (voorheen Azure AD).

• Controleer de permission scopes van de Graph API:
  • Device.ReadWrite.All om tags te schrijven
  • Device.Read.All om ze te lezen
• Bevestig dat de gebruiker of het device bestaat in Azure AD (nu Entra ID) en correct is gesynchroniseerd of geregistreerd.

Dynamische groep vult zich niet

Als een nieuwe dynamische groep leeg blijft, komt dat meestal door een fout in de regelsyntaxis of door een vertraging in de evaluatie.

• Controleer de regelsyntaxis nog eens:
  • (device.deviceOwnership -eq "Company")
• Houd er rekening mee dat het na het aanmaken of na attribuutwijzigingen tot 15 minuten kan duren voordat dynamische groepen worden geëvalueerd. Vaak is even wachten al genoeg.

Registersleutels ontbreken

Als de verwachte registertags niet op een device verschijnen:

• Controleer of uw PowerShell- of GPO-script daadwerkelijk wordt uitgerold en uitgevoerd.
• Zorg dat het wordt uitgevoerd met systeem- of beheerdersrechten.
• Schakel bij Intune-scripts de optie in om ze in 64-bits PowerShell uit te voeren, zodat waarden niet onder WOW6432Node terechtkomen.

Intune-filters werken niet

Als het compliancebeleid, de basislijn of de app niet wordt toegepast zoals verwacht, terwijl de filters wel zijn geconfigureerd:

• Controleer of de syntaxis van de filterregel overeenkomt met de werkelijke deviceattributen.
• Controleer of de filtermodus juist is ingesteld (Opnemen of Uitsluiten).
• Zorg dat het compliancebeleid zelf geldig is en is toegewezen. Een filter heeft geen effect als er geen beleidshandhaving is.

NinjaOne-diensten

NinjaOne versterkt uw tagstrategie voor Microsoft Entra ID (voorheen Azure AD) op de volgende manieren:

Mogelijkheid	Wat NinjaOne mogelijk maakt
Tagging via scripts	Scripts voor registertagging uitrollen op basis van devicerol, gebruiker of compliancestatus
Registerrapportage	Monitoring en rapportage over aangepaste registerwaarden zoals Ownership, Department of RiskLevel
Endpointtoewijzing	Endpoints binnen NinjaOne zelf taggen als spiegel van uw Azure AD-filters (bijvoorbeeld “Non-Compliant”, “BYOD”, “Tier1”)
Notificaties op basis van tags	Notificaties of taken activeren wanneer tagwaarden van een device veranderen of buiten de verwachte waarden vallen
Beleidsautomatisering	Backup– of patchingbeleid integreren op basis van groepslidmaatschap dat door tags wordt bepaald

Met NinjaOne breiden MSP’s het ecosysteem voor devicetagging van Azure AD uit met registergebaseerde logica, RMM-inzicht en automatisering.

Pas Azure AD-tags automatisch toe voor betere beveiliging en compliance

Door Microsoft Entra ID-devices (voorheen Azure AD) automatisch te taggen op eigendom en beveiligingsstatus, krijgt u slimmere toegangscontrole, betere rapportage en gerichtere beleidshandhaving.

Deze gids gaf een compleet overzicht van het gebruik van dynamische Azure AD-groepen en tagging via de Graph API, evenals tagging op endpoints via het register en GPO’s. Daarnaast kwamen methoden aan bod om tags in alle systemen te valideren met de opdrachtprompt en PowerShell.

Tot slot las u hoe NinjaOne devicetagging bij al uw klanten kan uitbreiden en monitoren, waardoor MSP’s en IT-teams meer inzicht en automatisering krijgen.

Gerelateerde onderwerpen:

• De complete gids voor MSP-automatisering
• Zo registreert u Azure-devices in Intune
• Wat is Hybrid Azure AD Join en hoe stelt u het in?
• Zo maakt u dynamische groepen in Microsoft Entra ID (video)