Complete gids: compliance policies en Conditional Access in Intune

Met een Intune compliance policy kunnen organisaties en MSP’s efficiënt beveiligingsstandaarden handhaven in hun hele IT-netwerk. In sommige situaties kan een IT-team Microsoft Intune naast of als alternatief voor een RMM inzetten, ondanks de beperkte schaalbaarheid. Gebruik deze gids als startpunt om beleid in te stellen en te beheren met Intune en Azure AD (Entra ID)

Device-based compliance versus app-based compliance

Bij BYOD (Bring Your Own Device) kunnen devices die eigendom zijn van de medewerker en niet zijn ingeschreven in Intune MDM meestal geen volledige compliancestatus rapporteren. Daardoor voldoen ze niet aan Conditional Access-beleid dat vereist dat “een device als compliant is gemarkeerd”. In die gevallen kunnen organisaties beter Intune App Protection Policies (MAM) gebruiken in combinatie met app-based Conditional Access, waarmee bedrijfsgegevens op appniveau worden beschermd zonder dat het device volledig hoeft te worden ingeschreven.

Device-based compliance policies leunen daarentegen op Intune om devices in te schrijven en te beheren. Intune verzamelt dan compliancegegevens (zoals OS-versie, versleutelingsstatus en antivirusconfiguratie) en geeft die informatie door aan Microsoft Entra ID, zodat Conditional Access in realtime toegangsbeslissingen kan nemen.

Liever een visuele samenvatting? Bekijk dan onze video Complete gids: compliance policies en Conditional Access in Intune.

Manieren om Intune-beleid aan te maken en te beheren

Raadpleeg de onderstaande tabel om te bepalen of Intune compliance policies of Conditional Access het beste aansluit op uw wensen en eisen. Houd om te beginnen rekening met deze vereisten:

• Intune-licenties zijn toegewezen aan de betreffende gebruikers.
• Een Microsoft 365-tenant met Entra ID.
• Devices moeten zijn ingeschreven in Intune (Windows, Android, iOS/iPadOS, macOS).
• U hebt toegang nodig tot het Microsoft Endpoint Manager-beheercentrum en de Conditional Access-blade in Entra ID.

U kunt ook direct door naar de sectie Waar u op moet letten om uw actieplan te optimaliseren en risico’s te beheersen.

Methode 1: een compliance policy aanmaken via Intune

U kunt compliance policies rechtstreeks in Microsoft Intune aanmaken, zodat alleen veilige en aangewezen devices toegang krijgen tot bedrijfsresources.

1. Ga naar intune.microsoft.com.
2. Ga naar Apparaten → Beheerde apparaten → Naleving → Beleid maken.
3. Selecteer een platform (bijvoorbeeld Windows 10/11, iOS of Android Enterprise).
4. Dit zijn voorbeelden van instellingen die u kunt vastleggen:
   • Wachtwoordvereisten: handhaaf complexiteit, lengte en verlooptermijn.
   • Versleuteling: stel in dat BitLocker (Windows) of FileVault (macOS) verplicht is.
   • Firewall: zorg dat deze ingeschakeld en actief is.
   • Defender-antivirus en -antispyware: realtimebeveiliging, antispyware en antivirus moeten ingeschakeld en up-to-date zijn.
   • Minimale OS-versie: voorkom verouderde of niet-ondersteunde OS-versies.
   • Jailbreak-/rootdetectie (voor mobiel): blokkeer gecompromitteerde mobiele devices.
5. Bij Acties voor niet-naleving kunt u het volgende instellen:
   • Een respijtperiode instellen (bijvoorbeeld 1-30 dagen voordat actie wordt ondernomen).
   • Het device direct of na een respijtperiode als niet-compliant markeren.
   • Notificatie-e-mails naar gebruikers of beheerders sturen.
   • Op afstand vergrendelen of wissen (bij integratie met Conditional Access-beleid).
6. Wijs het beleid toe aan de betreffende devices of gebruikersgroepen of filter erop en maak het beleid aan.

Zodra het beleid actief is, toetst de compliance policy elk ingeschreven device aan de gedefinieerde criteria en houdt u uw IT-netwerk veilig en compliant.

Methode 2: Conditional Access-beleid aanmaken in Entra AD

Conditional Access-beleid kan samen met compliance policies worden ingezet om toegangscontroles op endpoints af te dwingen. Deze methode heeft de voorkeur bij uitrol over de hele organisatie.

1. Ga naar Entra ID → Beveiliging → Beveiligen → Voorwaardelijke toegang → Nieuw beleid maken.
2. Kies de gebruikers of groepen waarop het nieuwe beleid van toepassing is.
3. Selecteer de betreffende cloud-apps (bijvoorbeeld Exchange Online of SharePoint Online).
4. Definieer voorwaarden zoals:
   • Deviceplatform (bijvoorbeeld iOS, Android of Windows)
   • Filter op compliancestatus: alleen compliant devices toestaan
   • Optioneel: filter op aanmeldingsrisico, locatie of client-app
5. Onder Toegangsbeheer kunt u instellen dat toegang alleen wordt verleend als het device als compliant is gemarkeerd. Eventueel kunt u ook MFA (Multi-Factor Authentication) vereisen voor extra beveiliging.
6. Test het beleid met een pilotgroep voordat u het breed uitrolt, zodat u toegangsproblemen voorkomt.

Overweeg Conditional Access te integreren met Intune compliance policies om de beveiliging en de toegangscontrole voor gebruikers in het hele netwerk te versterken.

Compliance en beleidshandhaving valideren en controleren

In deze sectie leest u met welke praktische methoden u kunt bevestigen dat devices aan de compliancevereisten voldoen en dat beleid correct wordt toegepast en gehandhaafd in uw omgeving.

U kunt uw beleid met de volgende methoden evalueren:

1. Valideren via CMD en dsregcmd
2. Beleidshandhaving controleren via het register
3. PowerShell gebruiken voor monitoring en evaluatie
4. Group Policy configureren voor co-managed omgevingen

1. Compliance lokaal valideren via CMD en dsregcmd

Met de volgende opdracht controleert u of een Windows-device zoals bedoeld is toegevoegd aan Entra ID en ingeschreven in Intune.

1. Gebruik Zoeken 🔎 om Terminal → Opdrachtprompt → Als administrator uitvoeren te openen.
2. Voer de volgende opdracht uit: dsregcmd /status.
3. Bekijk in de uitvoer de volgende belangrijke indicatoren:
   • EntraIDJoined: YES – bevestigt dat het device is toegevoegd aan Entra ID
   • MDMUrl: moet een Intune-inschrijvings-URL tonen – bevestigt de MDM-inschrijving
   • DeviceCompliancePolicyReceived: YES – geeft aan dat compliance policies zijn ontvangen
   • ComplianceState: Compliant – bevestigt dat het device momenteel compliant is

Deze methode is handig om snel en lokaal de Entra ID- en Intune-compliancestatus van een device te controleren, vooral tijdens het oplossen van problemen of bij controles vóór de uitrol.

2. Beleidshandhaving controleren via het Windows-register

Denk eraan dat Intune instellingen wegschrijft via CSP’s (Configuration Service Providers), die alleen zichtbaar zijn in het registerpad PolicyManager.

1. Druk op Win + R, typ regedit en selecteer OK om de Register-editor te openen.
2. Navigeer naar het onderstaande pad of kopieer en plak het in de adresbalk van het register. Is het pad onvolledig, maak dan de benodigde sleutel aan.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\

3. Bekijk de sleutels (bijvoorbeeld SecurityKeys, BitLocker en Defender) om te bevestigen of Intune het beleid zoals bedoeld heeft gehandhaafd.

Waarschuwing: het bewerken van de database kan systeemproblemen veroorzaken. Maak een back-up van het register voordat u verdergaat.

3. PowerShell gebruiken voor compliancemonitoring en evaluatie van Conditional Access

U hebt de juiste Graph API-machtiging nodig (bijvoorbeeld beheerderstoegang) om de volgende scripts uit te voeren.

1. Gebruik Zoeken 🔎 om Terminal → PowerShell → Als administrator uitvoeren te openen.
2. Maak met het volgende script verbinding met de benodigde scopes om te authenticeren en toegang te krijgen tot de gegevens van uw device management:

Connect-MgGraph -Scopes "DeviceManagementConfiguration.Read.All", "Policy.Read.All", "DeviceManagementManagedDevices.Read.All"

3. Haal een lijst met compliance policies op met:

Get-MgDeviceManagementCompliancePolicy.

4. Controleer vervolgens specifieke beleidstoewijzingen met:

Get-MgDeviceManagementCompliancePolicyAssignment -CompliancePolicyId<ID>

Vervang <ID> door de ID van het beleid uit de vorige opdracht.

5. Bekijk tot slot de compliancestatus van de devices met:

Get-MgDeviceManagementManagedDevice | Select DisplayName, ComplianceState

Deze gegevens kunt u ook filteren of exporteren (bijvoorbeeld naar CSV voor audits of overzichten op tenantniveau) voor rapportage en analyse. Daarnaast zijn deze scripts bijzonder nuttig voor IT-beheerders in grote organisaties die rapportage, beleidsvalidatie of compliancehandhaving op schaal willen automatiseren.

Dit script kan worden uitgevoerd of mislukken zonder bevestiging of melding. Controleer de bijbehorende registersleutels of systeeminstellingen om te bevestigen dat de wijzigingen zijn doorgevoerd.

4. Group Policy configureren voor co-managed omgevingen

Gebruikt u Microsoft Endpoint Configuration Manager (ConfigMgr/SCCM) in een co-managementopzet met Intune, dan kunt u Group Policy inzetten om automatische MDM-inschrijving voor Windows-devices te activeren.

Zorg vooraf dat u een aan het domein toegevoegde beheercomputer gebruikt.

1. Druk op Win + R, typ gpmc.msc en klik op OK om de Groepsbeleidsbeheerconsole te openen.
2. Ga naar Computerconfiguratie → Beheersjablonen → Windows-onderdelen → MDM.
3. Zoek het beleid Automatische MDM-inschrijving met standaardreferenties van Microsoft Entra ID inschakelen, schakel het in en kies Apparaatreferenties als optie voor de gebruikersreferenties.
4. Pas het beleid toe en voer gpresult /h report.html uit om de toepassing van het beleid te controleren.

Open het bestand report.html in een browser om uw configuratie te controleren en te bevestigen dat het MDM-beleid correct is toegepast.

Waar u op moet letten bij het configureren van beleid in Intune

Mist u nog iets? Bekijk dan deze situaties en tips om fouten af te handelen, systeemproblemen te voorkomen en beleid te versterken.

Denk eraan dat het belangrijk is om een systeem te hebben waarmee u compliancewijzigingen in de loop van de tijd volgt, zodat u hiaten bij elke update kunt aanpakken. Plan regelmatige rapportage en notificaties via de Graph API of het rapportagedashboard van Intune om uw beveiligingsbeleid te bewaken.

NinjaOne-diensten en -functies die goed samengaan met Intune-beleid

Het handhaven en monitoren van compliance op endpoints kan een intensief proces zijn voor IT-teams in grote organisaties. Hoe pakt u dat op schaal aan? Juist daar komen de oplossingen van NinjaOne Endpoint Management® het best tot hun recht in handen van MSP’s en IT-beheerders.

Monitoring van beleidshandhaving

NinjaOne biedt krachtige mogelijkheden om notificaties en herstelstappen te automatiseren wanneer beheerde endpoints niet langer voldoen aan het Intune-beleid. Routinetaken en monitoring automatiseert u naadloos, zodat beheerders zich kunnen richten op urgentere taken.

Daarnaast kan NinjaOne uw Helpdesk ontlasten omdat IT automatisch een notificatie krijgt, nog voordat bepaalde situaties escaleren en de productie verstoren.

Inzicht in al uw endpoints

NinjaOne MDM™ biedt een breed scala aan oplossingen voor dynamische IT-netwerken of verspreide endpoints. Zo kunt u er inzicht en controle mee houden over compliant en niet-compliant devices in alle tenants en op alle OS-typen.

Aangepaste compliancescripts

Een van de beste manieren om NinjaOne RMM® in te zetten is het uitrollen en inplannen van PowerShell- of CMD-scripts die lokale configuratieproblemen detecteren en verhelpen die verder gaan dan het inzicht en de controle die Intune biedt.

Bovendien geeft NinjaOne u met aangepaste scripts en uitrolstrategieën meer gedetailleerde zeggenschap over het netwerk. Blader door de scriptbibliotheek van NinjaOne voor kant-en-klare scripts die NinjaOne-gebruikers direct kunnen inzetten.

De beste manier om Intune compliance policies uit te rollen

Het combineren van compliance policies met Conditional Access in Intune is een uitstekende manier om de basis te leggen voor een Zero Trust-beveiligingsmodel. Toch schiet Microsoft Intune soms tekort of schaalt het niet goed op eigen kracht. Overweeg voor een completere en toekomstbestendige aanpak om Intune te combineren met NinjaOne, zodat u meer inzicht krijgt en herstelacties op al uw endpoints automatiseert.

Gerelateerde onderwerpen:

• Intune versus RMM: kan Microsoft Intune een RMM vervangen?
• Doet Microsoft Intune aan patchbeheer?
• 12 beste alternatieven voor & concurrenten van Microsoft Intune
• Conditional Access-beleid configureren in Azure AD