Co-management: Microsoft Configuration Manager + Intune integreren

Microsoft System Center Configuration Manager (SCCM) is een tool voor systeembeheer die vooral on-prem Windows-devices beheert. Intune heeft daarentegen een cloud-native architectuur die het beheer van hybride en externe omgevingen met Windows, iOS, Android en macOS vereenvoudigt.

De combinatie van beide brengt balans tussen de functies van on-prem en cloud-based software uit beide oplossingen voor endpoint management. Door ConfigMgr te integreren met Intune, krijgen beheerders cloud-based beheermogelijkheden en behouden ze tegelijk diepgaande on-prem controle voor legacy workloads en complexe implementaties.

Deze gids behandelt co-management met Microsoft Configuration Manager (ConfigMgr) en Intune, waarmee een hybride, moderne aanpak van device management mogelijk wordt.

Wanneer is co-management zinvol voor organisaties?

Co-management wordt vaak ingezet bij moderniseringsprojecten voor endpoints, waarbij organisaties cloud-native beheer willen invoeren zonder hun bestaande Configuration Manager-infrastructuur meteen te vervangen.

Veelvoorkomende use cases:

• Ondersteuning van externe en hybride medewerkers
• Workloads geleidelijk migreren naar Intune
• Bestaande workflows voor softwaredistributie behouden
• Devices beheren die via internet verbonden zijn
• Conditional access en Zero Trust-initiatieven mogelijk maken
• Minder afhankelijkheid van endpoints met een VPN-verbinding

Voor veel bedrijven is co-management een tussenfase op weg naar volledig cloud-native endpoint management.

Co-management tussen SCCM en Intune configureren

Oorspronkelijk ondersteunde SCCM alleen on-prem omgevingen, wat de schaalbaarheid in de cloud beperkte. Dankzij de co-managementintegratie met Intune kunnen organisaties hun on-prem infrastructuur nu verbinden met modern, cloud-based beheer.

Met co-management kunt u endpoints tegelijkertijd beheren via de diepgaande on-prem functies van SCCM en de cloud-native mogelijkheden van Intune. Zo verloopt de overgang naar modern cloud-based beheer, zoals remote actions en conditional access, geleidelijk zonder dat u uw bestaande SCCM-omgeving hoeft los te laten.

📌 Vereisten:

• SCCM Current Branch versie 1710 of hoger
• Cloud Management Gateway is optioneel maar wordt aanbevolen.
• Microsoft Entra ID (P1- of P2-licentie)
• Automatische enrollment in Windows Intune ingeschakeld
• Microsoft Entra Connect Sync geconfigureerd voor synchronisatie van hybride identiteiten
• Beheerderstoegang tot Configuration Manager
• Intune-licentie en toegang tot het Microsoft Intune-beheercentrum
• Devices met Windows 10/11 Pro, Enterprise of Education

📌 Aanbevolen implementatiestrategieën:

Enrollmentmethode 1: co-management inschakelen via het Configuration Manager-portaal (SCCM)

📌 Use case: beheerders kunnen SCCM-beheerde clients via het Configuration Manager-portaal aanmelden bij Intune, zonder dat opnieuw imagen of opnieuw enrollen nodig is.

⚠️ Waarschuwing: test co-management eerst op een pilotgroep voordat u alle SCCM-devices koppelt aan Intune. (Zie ⚠️ Waar u op moet letten.)

📌 Vereiste: Configuration Manager, current branch 2111 of hoger

1. Druk op Win + S, typ Configuration Manager, klik met de rechtermuisknop en selecteer Als administrator uitvoeren.
2. Ga naar Beheer > Cloudservices > Cloud Attach.
3. Klik met de rechtermuisknop op Cloud Attach en selecteer Cloud Attach configureren.
4. Klik op de vervolgkeuzelijst naast Cloudomgeving en selecteer de juiste versie:
   • AzurePublicCloud
   • AzureUSGovernmentCloud
   • AzureChinacCloud
   • 💡 AzureChinaCloud ondersteunt geen Endpoint analytics en geen device-upload naar het Microsoft Intune-beheercentrum.
5. Klik op Aanmelden en verifieer met een Microsoft Entra ID-account met de rechten Globale beheerder of Intune-beheerder.
6. Klik op het keuzerondje naast de Cloud Attach-instellingen die overeenkomen met uw enrollmentvoorkeur:
   • Standaardinstellingen gebruiken (aanbevolen).
     • Meldt alle in aanmerking komende SCCM-devices automatisch aan bij Intune.
     • Schakelt Endpoint analytics in voor de betreffende devices.
     • Uploadt automatisch alle devices naar het Microsoft Endpoint Manager-beheercentrum en uploadt gegevens van Microsoft Defender for Endpoint.
   • Instellingen aanpassen.
     • Hiermee schakelt u de opties onder de standaardinstellingen zelf in of uit.
7. Kiest u Instellingen aanpassen, bevestig dan de melding AAD-toepassing maken en voer de volgende stappen uit:
   1. Kies of u alle devices die door Microsoft Configuration Manager worden beheerd wilt uploaden of een specifieke deviceverzameling.
   2. Schakel het selectievakje in naast Endpoint Analytics, Op rollen gebaseerd toegangsbeheer en Microsoft Defender for Endpoint om de instelling te activeren.
8. Selecteer Volgende om verder te gaan naar het Inschakelen-proces en kies welke groep devices automatisch wordt aangemeld bij Intune.
   • Alle: uploadt automatisch alle in aanmerking komende devices naar Intune.
   • Pilot: hiermee kan de beheerder een specifieke verzameling kiezen als pilotgroep om te testen.
   • Geen: schakelt co-management voor alle devices uit.
9. Doorloop de stappen van de wizard Cloud Attach-configuratie door op Volgende te klikken tot het tabblad Voltooiing en klik daarna op Sluiten.

Enrollmentmethode 2: automatische enrollment via GPO voor Microsoft Entra hybrid-joined devices

📌 Use case: beheerders die SCCM-beheerde on-prem devices onderhouden die zijn toegevoegd via Hybrid Azure AD, kunnen die devices centraal aanmelden via GPO.

📌 Vereisten:

• Minimaal Windows 10 versie 1709 of hoger
• Configuration Manager-devices die Microsoft Entra hybrid-joined zijn
• Automatische enrollment ingeschakeld in het Microsoft Intune-beheercentrum
• WinRM en PowerShell-remoting (optioneel om Groepsbeleid te vernieuwen)

⚠️ Belangrijk: een onjuiste GPO-configuratie voor automatische enrollment leidt tot gedeeltelijke joinstatussen of mislukte enrollments bij Intune. (Zie ⚠️ Waar u op moet letten.)

1. Open de Groepsbeleidsbeheerconsole.
2. Klik met de rechtermuisknop op Groepsbeleidsobjecten, klik op Nieuw en geef de GPO een naam.
   • Bijvoorbeeld: Hybrid Azure AD Auto Enrollment
3. Klik met de rechtermuisknop op de nieuwe GPO en selecteer Bewerken.
4. Ga naar het volgende pad:

Computerconfiguratie > Beleid > Beheersjablonen > Windows-onderdelen > MDM

5. Dubbelklik op Automatische MDM-inschrijving met standaard Azure AD-referenties inschakelen en zet het beleid op Ingeschakeld.
6. Klik op de vervolgkeuzelijst naast Selecteer het type referentie dat moet worden gebruikt en selecteer Gebruikersreferentie.
   • Klik op Toepassen en OK om de beleidsconfiguratie door te voeren en sluit daarna het beleidsvenster.
7. Klik met de rechtermuisknop op de gewenste OU, selecteer Een bestaand GPO koppelen…, klik onder Groepsbeleidsobjecten op de GPO voor automatische enrollment en klik op OK.
8. Voer het volgende script uit in een PowerShell-venster met verhoogde rechten om de wijziging door te voeren:

Import-Module ActiveDirectory
Get-ADComputer -SearchBase "OU=Workstations,DC=yourdomain,DC=com" -Filter * | ForEach-Object {
Invoke-Command -ComputerName $_.Name -ScriptBlock { gpupdate /force } -ErrorAction SilentlyContinue
}

• • Vervang “OU=Workstations,DC=yourdomain,DC=com” door de Distinguished Name (DN) van uw eigen OU.

Validatiemethode 1: probleemoplossing via de opdrachtregel met dsregcmd

📌 Use cases: nadat een device automatisch is aangemeld bij Intune via Hybrid Azure AD Join, kunnen beheerders met dsregcmd de co-managementstatus controleren. Beheerders kunnen dit ook gebruiken als diagnosemethode bij een gedeeltelijke of mislukte device-enrollment in Intune.

📌 Vereisten: een device dat is aangemeld voor co-management.

1. Druk op Win + R, typ cmd en klik op OK.
2. Voer de volgende opdracht in:

dsregcmd.exe /status

3. Zoek de volgende uitvoer op en controleer de status:

• • Komen de bovenstaande instellingen niet overeen, dan kan de koppeling voor co-management mislukken.

Validatiemethode 2: de co-managementstatus opzoeken in registersleutels

📌 Use cases: nadat u een SCCM-device hebt aangemeld bij Intune kunt u de co-managementstatus controleren via de Register-editor.

📌 Vereisten:

• Een device dat is aangemeld voor co-management.
• Windows 10, versie 1607 of hoger.

💡 Opmerking: dit onderdeel dient uitsluitend om de MDM-enrollment en de co-managementstatus van een device te valideren via het register. Het wijzigen van waarden in het register kan leiden tot instabiliteit en storingen op het device.

1. Druk op Win + R, typ regedit en klik op OK.
2. Ga naar het volgende pad:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Enrollments

3. Vouw de GUID-subsleutels in Enrollments uit en zoek naar waarden die de MDM-enrollmentstatus aangeven.
   • DiscoveryServiceFullURL: bevat de URL voor de Intune-enrollment.
   • UPN: geeft de Microsoft Entra-identiteit van de gebruiker aan die voor de enrollment is gebruikt.
   • EnrollmentType: geeft de MDM-enrollment aan, doorgaans ingesteld op 6.
   • EnrollmentID: bevat de unieke ID die aan de MDM-sessie is toegewezen.
4. Ga daarna naar het volgende pad om de co-managementstatus van het device te controleren.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DeviceManageabilityCSP\CoManagement

5. Zoek naar de volgende DWORD-waarden (32-bits),
   • CoManagementEligible = 1: geeft aan dat het device geschikt is voor co-management.
   • CoManagementConfigured = 1: co-management is actief op het device.

Validatiemethode 3: co-managementstatus controleren en workloadinstellingen beheren via PowerShell

📌 Use cases: beheerders kunnen PowerShell gebruiken om de co-managementstatus te valideren en de workloadinstellingen van devices te beheren.

📌 Vereisten:

• PowerShell-module van Configuration Manager
• Toegang tot de Microsoft Graph Intune PowerShell SDK
• Een device dat co-management ondersteunt

⚠️ Belangrijk: bij het werken met de PowerShell-prompt zijn nauwkeurige cmdlets en een correcte scriptsyntaxis vereist. (Zie ⚠️ Waar u op moet letten.)

1. Open het Configuration Manager-portaal.
2. Klik met de rechtermuisknop ergens in het navigatiegebied van het portaal en selecteer Verbinding maken via Windows PowerShell.
3. Voer de onderstaande cmdlet in om de algemene co-managementconfiguratie van de volledige SCCM-omgeving te controleren:

Get-CMCoManagementConfiguration

• • Deze cmdlet laat zien of co-management is geconfigureerd, welke workloads door Intune worden beheerd en welke methode voor de enrollment is gebruikt.
  • U kunt ook cmdlets gebruiken om de co-managementinstellingen in SCCM te configureren.
    • Deze opdracht start bijvoorbeeld een pilot voor co-management in een testgroep:

Set-CMCoManagementPolicy -PolicyName "CoMgmtPolicy01" -AutoEnroll $true -PilotCollectionName "CoMgmtPilot" -Workloads "CompliancePolicy","WindowsUpdate"

4. Om de bij Intune aangemelde devices te controleren, opent u een PowerShell-prompt met verhoogde rechten en voert u de volgende opdrachten afzonderlijk uit:
   • De vereiste PowerShell-modules installeren:

Install-Module Microsoft.Graph.Intune

• • • Sla deze stap over als de module al is geïnstalleerd.
  • Maak na de installatie verbinding met Graph door het volgende in te voeren:

Connect-MSGraph

• • • U wordt gevraagd u aan te melden met uw beheerdersaccount.
  • Voer de volgende cmdlet uit voor een overzicht van uw Intune-devices:

Get-IntuneManagedDevice

Beste praktijken voor workloadovergangen

Bij het inschakelen van co-management verplaatst u workloads beter stapsgewijs in plaats van alle beheertaken ineens naar Intune over te hevelen.

Aanbevolen beste praktijken:

• Begin met pilotverzamelingen van devices
• Verplaats één workload tegelijk
• Houd tijdens de migratie beleidsconflicten in de gaten
• Valideer de compliancerapportage voordat u de uitrol uitbreidt
• Houd het eigenaarschap van ConfigMgr- en Intune-workloads duidelijk gescheiden
• Documenteer terugrolprocedures vóór de uitrol naar productie

Een gefaseerde uitrol beperkt overlappend beleid en verkleint het risico op inconsistent gedrag van endpoints.

⚠️ Waar u op moet letten

Veelvoorkomende workloads binnen co-management

Met Microsoft co-management kunnen beheerders specifieke endpointworkloads stapsgewijs verplaatsen van Configuration Manager naar Intune. In plaats van alles in één keer te migreren kunnen organisaties workloads geleidelijk verplaatsen terwijl ze het gedrag van beleid en de compliance van devices valideren.

Veelvoorkomende co-managementworkloads:

• Compliancebeleid
• Windows Update-beleid
• Endpoint Protection
• Resource Access-profielen
• Beleid voor deviceconfiguratie
• Office Klik-en-Klaar-apps
• Clientapps
• BitLocker-beheer

Veel organisaties beginnen met compliancebeleid of Windows Update for Business voordat ze complexere workloads verplaatsen.

Belangrijke aandachtspunten bij co-management met SCCM en Intune

Hoewel co-management de mogelijkheden van SCCM en Intune combineert, is het belangrijk een aantal factoren te kennen die de werking van de functie beïnvloeden. De volgende aandachtspunten behandelen beperkingen van het platform die de effectiviteit van co-management onder bepaalde omstandigheden kunnen aantasten.

Beperkingen van Device Enrollment Manager (DEM)

Met Device Enrollment Manager kunnen beheerders devices aanmelden bij Intune, maar de evaluatie van de gebruikersidentiteit die nodig is voor hybride beheer ontbreekt. Gebruik daarom Microsoft Entra ID voor automatische enrollment om compatibiliteit met co-management te garanderen.

Co-management werkt alleen met Windows-devices

Hoewel Intune ook andere besturingssystemen ondersteunt, zoals Linux en macOS, werkt SCCM uitsluitend met Windows. Daardoor is co-management beperkt tot Windows-devices.

Problemen met co-management tussen SCCM en Intune oplossen

Probleem 1: device wordt niet aangemeld bij Intune

De Intune-enrollment kan mislukken door onvoldoende licenties, verkeerd gekoppelde GPO’s of een device dat niet correct is toegevoegd aan Hybrid Azure AD. Door te controleren of aan alle drie de vereisten is voldaan, zorgt u ervoor dat het device in aanmerking komt voor automatische MDM-enrollment.

Probleem 2: conflicterend beleid in SCCM en Intune

Beleid in SCCM en Intune kan botsen over het eigenaarschap van bepaalde beheergebieden, zoals Windows Updates en compliancebeleid. Zonder goede afstemming leidt dit tot inconsistent gedrag of mislukte beleidshandhaving.

Binnen co-management wijzen workloadschuifregelaars de beheertaken van devices toe aan één instantie, in dit geval Configuration Manager of Intune.

Beheerders kunnen deze schuifregelaars binnen pilotgroepen aanpassen om te testen welke configuratie het beste werkt voordat ze uitrollen.

Probleem 3: Configuration Manager geeft niet aan dat het device co-managed is

Als de Configuration Manager-client niet meldt dat het device co-managed is, kunnen beheerders de co-managementstatus controleren in ComanagerHandler.log. Dit logbestand bevestigt of het co-managementbeleid is toegepast of de Intune-enrollment is gestart en of er tijdens het proces fouten zijn opgetreden.

Ga hiervoor naar C:\Windows\CCM\Logs\CoManagementHandler.log en zoek naar logs die met co-management te maken hebben.

Probleem 4: Microsoft Entra hybrid join mislukt

Als Microsoft Entra hybrid join mislukt, is de oorzaak meestal een onjuist geconfigureerd of ontbrekend Service Connection Point (SCP) of verkeerde instellingen in Microsoft Entra ID.

U kunt dit valideren via PowerShell met de volgende opdrachten:

1. Voer het volgende in om de AD-module te importeren:

Import-Module ActiveDirectory

2. Voer het volgende in om het SCP-object op te vragen:

Get-ADObject -SearchBase "CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=yourdomain,DC=com" `
-Filter * -Properties keywords

• • Vervang yourdomain en com door uw eigen domeincomponenten.

3. Daarna ziet u de tenantnaam en GUID van uw Microsoft Entra Connect Sync en of deviceregistratie is ingeschakeld.
   • Is de eigenschap keywords leeg, dan is het SCP mogelijk niet geconfigureerd tijdens de installatie van Azure AD Connect.
   • Voer als tijdelijke oplossing Microsoft Entra Connect Sync > Configure device options opnieuw uit en schakel Micrsoft Entras Hybrid join in voor het juiste forest.

NinjaOne inzetten ter ondersteuning van co-managementworkloads

Co-management biedt gedetailleerde controle over endpointworkloads, zowel on-prem als op afstand. NinjaOne kan die opzet versterken met de volgende functies:

Workloads verdelen over SCCM en Intune met co-management

Met co-management kunnen beheerders workloads verdelen over SCCM en Intune, wat flexibiliteit biedt tussen on-prem en remote management. Door co-management in te schakelen, kunnen MSP’s en IT-teams geleidelijk overstappen op moderne, cloud-native workloads zonder hun on-prem investeringen op te geven.

Beheerders kunnen SCCM en Intune integreren via het Configuration Management-portaal of via GPO voor devices in Azure Hybrid AD. Na het inschakelen van co-management kunt u de status controleren met CMD, het register of PowerShell.

Gerelateerde onderwerpen:

• Intune versus SCCM: een vergelijking van Microsoft-oplossingen
• De juiste tool voor softwaredistributie kiezen: Intune versus NinjaOne – het perspectief van een gebruiker
• SCCM versus WSUS: wat u moet weten