Zo voegt u een BYOD-device toe aan Intune device management

Onder een BYOD-beleid (Bring Your Own Device) mogen medewerkers persoonlijke devices voor hun werk gebruiken. Dat vraagt om een minimale mate van controle over zo’n device en meestal om inschrijving in een MDM (Mobile Device Management)– of MAM-platform (Mobile Application Management), zoals Microsoft Intune. IT-teams kunnen dan compliance-beleid afdwingen, bedrijfsgegevens beschermen via MDM of MAM en de hardwarekosten verlagen.

Anders dan bij devices van het bedrijf vraagt BYOD-inschrijving om meer zorg voor de privacy van de gebruiker en om zo min mogelijk controle over het device. In dit artikel leest u hoe u een BYOD-device toevoegt aan Intune device management.

Liever een visuele samenvatting? Bekijk onze eenvoudige handleiding: Een BYOD-device toevoegen aan Intune device management.

Inschrijvingsmethoden in Intune voor BYOD-devices

U kunt BYOD-devices inschrijven via de Windows-instellingen of via de Bedrijfsportal-app van Intune. PowerShell, de Register-editor, de opdrachtprompt en Groepsbeleid helpen daarnaast bij het voorbereiden, configureren en oplossen van problemen met de inschrijving.

Let op: als uw Microsoft 365-abonnement Intune bevat, kan het aanmelden bij een Microsoft 365-app of -service op een onbeheerd BYOD-device met een werkaccount een melding geven om het device in Intune in te schrijven. Dat hangt af van het beleid voor voorwaardelijke toegang en compliance in uw organisatie.

Vereisten:

• Een Microsoft Intune-abonnement met beschikbare licenties
• Een Azure AD-identiteit (Entra ID) voor elke gebruiker
• Beheerdersreferenties om tenantbeleid te configureren
• Correct ingestelde beperkingen voor Intune-inschrijving
• Windows 10, 11, Pro, Education, Enterprise, Android 10+ of iOS 13+

Aanbevolen strategieën:

Inschrijvingsmethode 1: handmatig inschrijven via de Windows-instellingen

Individuele gebruikers van Windows 10 of 11 kunnen hun device inschrijven via de Windows-instellingen.

Use cases: individuele gebruikers die hun persoonlijke Windows 10- of 11-device handmatig inschrijven

1. Druk op de Win-toets, typ Instellingen en druk op Enter.
2. Ga naar Accounts > Toegang tot werk of school.

3. Klik op Verbinding maken en voer uw zakelijke e-mailadres in.
4. Meld u aan, volg de instructies om het device te registreren en accepteer de MDM-voorwaarden.

Daarna verschijnt het device in Intune als persoonlijk device.

Let op: beheerders kunnen de status van het device controleren in het Endpoint Manager-beheercentrum.

Waarschuwing: voer de juiste Intune-referenties in zodat het device correct wordt ingeschreven. (Meer informatie vindt u bij: waar u op moet letten)

Inschrijvingsmethode 2: via de Bedrijfsportal-app van Intune

Microsoft Intune Bedrijfsportal is de aangewezen app om devices in te schrijven.

Use case: individuele gebruikers die hun device willen inschrijven

1. Ga naar de Microsoft Store, App Store of Google Play op uw device, zoek “Intune Company Portal” en download de app.
2. Meld u aan met uw werk- of schoolaccount.
3. Doorloop het installatieproces van het device.
4. Accepteer de overeenkomsten over device management en privacy.

Azure AD registreert het device op Windows als “Workplace Joined”. Op Android of iOS stelt de app een werkprofiel of MDM-inschrijving in, afhankelijk van het platform.

Waarschuwing: de app kan tijdens de inschrijving vastlopen waardoor de inschrijving mislukt. (Meer informatie vindt u bij: waar u op moet letten)

Inschrijving configureren met PowerShell

Met PowerShell kunt u niet rechtstreeks inschrijven, maar IT-beheerders kunnen het registratieproces er wel mee ondersteunen.

Use case: IT-beheerders die de registratie van devices willen beheren

Vereiste: beheerdersrechten

1. Druk op Win, typ PowerShell en druk op Enter.
2. Kopieer en plak de volgende scripts in de prompt en druk op Enter.

• • Configureer de Intune MDM-URL’s voor automatische detectie en inschrijving van devices:

$enrollPath = 'HKLM:\SOFTWARE\Microsoft\Enrollments'if (-not (Test-Path $enrollPath)) {

New-Item -Path $enrollPath -Force

}

Set-ItemProperty -Path $enrollPath -Name DiscoveryServiceFullURL -Value "https://enrollment.manage.microsoft.com"

Start-Process "C:\Windows\System32\deviceenroller.exe" -ArgumentList "/c /AutoEnrollMDM"

• • Controleer de registratie en status van het device:

dsregcmd /status

Get-MsolDevice -RegisteredOwners

• • Start een synchronisatie:

Start-DeviceEnrollment

Let op: volledige automatisering vereist integratie met bevoorradingstools.

Automatische inschrijving voorbereiden via de Register-editor

U kunt de Register-editor gebruiken om automatische inschrijving goed te laten verlopen.

Use case: IT-beheerders die automatische inschrijving willen voorbereiden

Vereiste: beheerdersrechten

1. Druk op Win + R, typ regedit en druk op Enter.
2. Ga naar:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\MDM

3. Maak of wijzig de volgende vermeldingen:
   • AutoEnrollMDM (DWORD): 1
   • UseAADCredentialType (DWORD): 1
4. Ga naar:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CloudDomainJoin\TenantInfo\{YOUR-TENANT-ID-HERE}

5. Maak of wijzig het volgende:
   • MDMEnrollmentURL (tekenreeks): https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc
6. Start het device opnieuw op om de wijzigingen door te voeren.

Tip: maak de vermeldingen aan door met de rechtermuisknop in het rechterdeelvenster te klikken en te kiezen voor Nieuw > DWORD (32-bits)-waarde of Tekenreekswaarde.

Let op: deze waarden werken het beste bij BYOD-scenario’s met Azure AD-registratie.

Problemen met inschrijving oplossen en diagnosticeren via de opdrachtprompt

Via de opdrachtprompt kunt u geen device inschrijven, maar IT-beheerders kunnen er wel de registratie mee onderzoeken.

Use case: IT-beheerders die de inschrijvingsstatus willen controleren

Vereisten: beheerdersrechten

1. Druk op Win, typ CMD en klik op Als administrator uitvoeren.
2. Kopieer en plak de volgende scripts in de prompt en druk op Enter.

• • Controleer de registratiestatus van het device:

dsregcmd /status

• • Forceer een controle van de Azure AD-registratie:

dsregcmd /join

• • Herstel een defecte registratie:dsregcmd /leavedsregcmd /join

• • Controleer de beschikbaarheid van de inschrijvingsservice:

ping enrollment.manage.microsoft.com

Inschrijving voor hybride Azure AD-joined devices via Groepsbeleid

Deze methode is handig voor gebruikers die zo min mogelijk inschrijvingsstappen willen. Het groepsbeleidsobject kan ook worden ingezet bij hybrid Azure AD join-scenario’s of als terugvaloptie voor BYOD.

Use case: IT-beheerders die snel willen inschrijven

Vereisten: beheerdersrechten

1. Druk op Win, typ gpedit.msc en druk op Enter.
2. Ga naar:
   • Computerconfiguratie > Beheersjablonen > Windows-onderdelen > MDM
3. Schakel het beleid in:
   • Automatische MDM-inschrijving met standaard Azure AD-referenties inschakelen
   • Stel dit in op Gebruikersreferentie
4. Forceer een update van het GPO (groepsbeleidsobject):

gpupdate /force

5. Start het device opnieuw op zodat de wijzigingen van kracht worden.

Waar u op moet letten

Beste praktijken voor het beheren van BYOD in Microsoft Intune

De grens tussen beveiliging afdwingen op BYOD-devices en de persoonlijke levenssfeer binnendringen is dun. Met dat in het achterhoofd volgen hier praktijken waarmee u BYOD effectief beheert in Intune, zodat bedrijfsgegevens beschermd blijven en de privacy van gebruikers gerespecteerd wordt.

Persoonlijke privacy

Bij het beheren van BYOD-endpoints is het cruciaal om bedrijfsgegevens te beschermen zonder de persoonlijke levenssfeer van de gebruiker te schenden. Gebruik het app-beschermingsbeleid van Intune om beveiliging af te dwingen op app-niveau in plaats van het hele device te beheren. Zo kunnen IT-beheerders datalekken voorkomen zonder persoonlijke content te wissen of in te zien.

Devices taggen

IT-beheerders moeten BYOD-devices onderscheiden van endpoints van het bedrijf om het juiste beleid op de juiste devices toe te passen. Het IT-team kan tijdens de inschrijving device-categorieën of tags configureren of dynamische Azure AD-devicegroepen of filters op basis van device-eigenschappen gebruiken om beleid gericht toe te passen.

Compliance-instellingen

Voorkom instellingen die het persoonlijke gebruik in de weg zitten. IT-teams kunnen in plaats daarvan compliance-beleid configureren dat effectief is maar niet storend. Enkele voorbeelden:

• Een minimale OS-versie vereisen om verouderde devices te blokkeren
• Controleren op vereiste apps

Dit beleid verhoogt de beveiliging en beperkt tegelijk de impact op persoonlijke instellingen, apps en gebruiksgewoonten.

Veelvoorkomende problemen oplossen

Hieronder vindt u veelvoorkomende problemen bij Intune-inschrijving en hoe u ze oplost.

Mislukte inschrijving

Sommige devices kunt u niet in Intune inschrijven omdat ze al zijn ingeschreven in een andere MDM-oplossing.

1. Druk op Win, typ Instellingen, druk op Enter en ga naar Accounts > Toegang tot werk of school om de inschrijvingsstatus te controleren.
2. Verwijder de bestaande MDM-profielen.
3. Start het device daarna opnieuw op en probeer de inschrijving opnieuw.

De pagina voor MDM-inschrijving verschijnt niet

Verschijnt de pagina voor MDM-inschrijving niet, controleer dan de volgende registersleutels om te zien of inschrijving is ingeschakeld:

• HKLM\SOFTWARE\Microsoft\Enrollments
• HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Update

Controleer ook of de MDM-detectie-URL in de Azure AD-tenant klopt. Met Logboeken kunt u bovendien controleren op fouten die met Intune of MDM te maken hebben.

1. Druk op Win, typ Logboeken en druk op Enter.
2. Ga naar:
   • Logboeken voor toepassingen en services > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Enrollment

De Bedrijfsportal-app start niet

Loopt de Bedrijfsportal vast of start de app niet, verwijder de app dan en installeer deze opnieuw. U kunt ook de cachegegevens van de app wissen via Instellingen > Apps > Bedrijfsportal > Opslag op uw telefoon.

dsregcmd toont “Not Joined”

Voer dsregcmd /status uit in de opdrachtprompt om te bevestigen dat AzureAdJoined = NO. Is het device niet joined, meld u dan aan met geldige Azure AD-referenties.

NinjaOne-diensten voor veilige BYOD-inschrijving

NinjaOne MDM BYOD Management geeft IT-teams en MSP’s tools om de BYOD-onboarding te stroomlijnen en endpoint management in hybride omgevingen efficiënter en veiliger te maken.

BYOD-devices toevoegen aan Intune

Met BYOD kunnen medewerkers persoonlijke devices voor hun werk gebruiken terwijl u compliance-beleid blijft afdwingen, gegevens beveiligt via MDM of MAM en zelfs de hardwarekosten verlaagt.

Gerelateerde onderwerpen:

• De juiste tool kiezen voor software-uitrol: Intune versus NinjaOne – het perspectief van een gebruiker
• Intune versus RMM: kan Microsoft Intune een RMM vervangen?
• Applicaties uitrollen via het Microsoft Intune-beheercentrum
• Intune versus SCCM: een vergelijking van Microsoft-oplossingen