Toewijzingen van Intune-configuratieprofielen automatiseren op basis van devicelabels via de Graph API

Het onboarden van devices en het toewijzen van gebruikersgroepen zijn twee veelvoorkomende handelingen die MSP’s en bedrijfs-IT-teams willen automatiseren om hun workflow te verbeteren. Op schaal gebeurt dat doorgaans via RMM of via Intune-configuratieprofielen, die gebruikmaken van devicelabels via de Graph API. Lees onze gids om aan de slag te gaan.

Liever een visuele uitleg erbij? Bekijk dan onze video: Toewijzingen van Intune-configuratieprofielen automatiseren op basis van devicelabels via de Graph API.

Stappen om toewijzingen van Intune-configuratieprofielen via de Graph API in te stellen

Gebruik de tabel om de gewenste activeringsstappen te kiezen en er snel naartoe te navigeren.

📌 Vereisten:

• Microsoft Intune-licenties
• Microsoft Entra ID Premium (voor dynamische groepen en Intune-beleid)
• Geregistreerde applicatie met Graph API-machtigingen:
  • ReadWrite.All (voor beleid uit de Settings Catalog)
  • ReadWrite.All (voor standaardconfiguratieprofielen)
  • Read.All (vereist om Intune-devicecategorieën te lezen)
  • ReadWrite.All (voor het beheren van toewijzingsgroepen)
• PowerShell 7+ met de module Microsoft.Graph
• Optioneel: lokale registertoegang voor het labelen
• Optioneel: NinjaOne of een ander RMM-platform voor endpointmetadata en scriptuitvoering

💡 Tip: bekijk het gedeelte Waar u op moet letten voor tips over het beheersen van mogelijke risico’s.

Stap 1: pas lokale devicelabels in het register toe (optioneel)

In dit voorbeeld wordt op elk device een eenvoudige registersleutel aangemaakt met waarden als Label=Finance en AssignedProfile=None.

1. Gebruik Zoeken 🔎 om Terminal → PowerShell → Als administrator uitvoeren te openen.
2. Label endpoints met metadata over rol of omgeving:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "Label" -Value "Finance"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "AssignedProfile" -Value "None"

Deze stap kunt u met Intune gebruiken of ernaast tijdens een overgangsfase. Er wordt een eenvoudige registersleutel op elk device aangemaakt, die tegelijk als metadata dient.

U kunt reg query HKLM\SOFTWARE\Org\DeviceLabels uitvoeren in CMD of PowerShell ter controle. Deze labels kunnen sturen welk Intune-profiel via externe scriptlogica moet worden toegewezen.

Stap 2: maak verbinding met Microsoft Graph en zoek devices op label

Deze scripts labelen devices op basis van een label (bijvoorbeeld DeviceCategory -eq "Finance") of via extensiekenmerken, zoals de extensie-eigenschappen van Entra ID.

1. Gebruik Zoeken 🔎 om Terminal → PowerShell → Als administrator uitvoeren te openen.
2. Maak verbinding met Graph:

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All", "Group.ReadWrite.All"

3. Zoek de devices vervolgens op categorie:

$devices = Get-MgManagedDevice | Where-Object { $_.DeviceCategory -eq "Finance" }

Gebruikt u extensiekenmerken, pas de query dan daarop aan. Intune en Entra ID kunt u het beste inzetten om ingeschreven devices te targeten.

⚠️ Technische opmerking: zorg dat uw automatisering het ManagedDevice-endpoint target en niet het standaard Entra ID Device-endpoint. Intune-specifieke kenmerken zoals DeviceCategory bestaan niet op standaard Entra ID-objecten. Een query op het verkeerde endpoint levert een lege dataset op.

Stap 3: maak of zoek configuratieprofielen en wijs ze per groep toe

Het volgende doel is zorgen dat er een doelgroep voor het label bestaat (bijvoorbeeld “Finance Devices”).

1. Gebruik Zoeken 🔎 om Terminal → PowerShell → Als administrator uitvoeren te openen.
2. Voer Get-MgDeviceManagementDeviceConfiguration uit om de bestaande configuratieprofielen weer te geven.
3. Zoek of maak daarna een toewijzingsgroep voor het gewenste label:

$group = Get-MgGroup | Where-Object { $_.DisplayName -eq "Finance Devices" }

Of maak een nieuwe groep:

$group = New-MgGroup -DisplayName "Finance Devices" -MailEnabled:$false `

-MailNickname "FinanceGroup" -SecurityEnabled:$true

4. Zodra de groep is aangemaakt, kunt u er devices aan toevoegen en een configuratieprofiel toewijzen.

• • Devices toevoegen:

Add-MgGroupMember -GroupId $group.Id -DirectoryObjectId $device.Id

• • Configuratieprofiel toewijzen:

New-MgDeviceManagementDeviceConfigurationAssignment `

-DeviceConfigurationId $configProfile.Id `

-Target @{groupId = $group.Id}

🧠 Structurele vereiste: bij het toewijzen van een configuratieprofiel via de Graph API verlangt het systeem een expliciete structurele wrapper @odata.type. Het script moet het doel expliciet definiëren als een #microsoft.graph.groupAssignmentTarget en de Group ID binnen die specifieke payloadstructuur meegeven in plaats van die rechtstreeks op het profielobject toe te passen.

💡 Opmerking: daarnaast kunt u dynamisch lidmaatschap gebruiken wanneer uw label is opgeslagen in een kenmerk dat in groepsquery’s bruikbaar is (bijvoorbeeld een extensiekenmerk). Zo niet, dan automatiseert u het labelen via RMM.

Stap 4: automatiseer de workflow (Label → Groep → Profiel)

Deze stap draait volledig om beheer zonder handmatig werk, zodra de labelbronnen en doelprofielen netjes zijn vastgesteld en opgevraagd. Hier volgt een voorbeeldscript met de eerder gebruikte labels en profielen:

$label = “Finance”

$devices = Get-MgDevice | Where-Object { $_.DeviceCategory -eq $label }foreach ($device in $devices) {

$group = Get-MgGroup | Where-Object { $_.DisplayName -eq “$label Devices” }if (-not $group) {

$group = New-MgGroup -DisplayName “$label Devices” -MailEnabled:$false `

-MailNickname “$labelGroup” -SecurityEnabled:$true}Add-MgGroupMember -GroupId $group.Id -DirectoryObjectId $device.IdNew-MgDeviceManagementDeviceConfigurationAssignment `

-DeviceConfigurationId $configProfile.Id `

-Target @{groupId = $group.Id}}

In managed en enterprise-omgevingen moet dit script periodiek worden uitgevoerd om nieuwe endpoints op te pikken die ingedeeld moeten worden.

Stap 5: sla de toewijzingsstatus voor audits op in het register

Werk tot slot het register bij om bij te houden welk profiel is toegepast. U kunt het volgende script via PowerShell uitvoeren:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "AssignedProfile" -Value "Finance_Profile"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "LastSynced" -Value (Get-Date).ToString("u")

Zo ontstaat er een lokaal audittraject voor supportteams. Deze gegevens kunnen ook door een RMM worden verzameld of naar CSV worden geëxporteerd voor centrale rapportage.

💡 Opmerking: dit script kan worden uitgevoerd of mislukken zonder dat er een bevestiging of melding verschijnt. Controleer de bijbehorende registersleutels of systeeminstellingen om te bevestigen dat de wijzigingen succesvol zijn doorgevoerd.

⚠️ Waar u op moet letten bij het automatiseren van Intune-profieltoewijzingen

Hieronder vindt u veelvoorkomende risico’s, de mogelijke gevolgen en praktische manieren om problemen terug te draaien of te voorkomen.

Risico’s	Mogelijke gevolgen	Oplossingen
Inconsistente labelbronnen (lokaal register versus Intune DeviceCategory versus Entra-extensiekenmerken)	Devices worden mogelijk niet correct gegroepeerd; dubbele of niet-toegewezen machines	Standaardiseer op één gezaghebbende labelbron. Bouw bij een migratie waarborgen in om dubbele toewijzingen te voorkomen
Dynamische groepen maken zonder een stabiel kenmerk	Groepsregels worden nooit opgelost; devices ontvangen nooit profielen	Zorg dat labels worden opgeslagen in een kenmerk dat bruikbaar is in dynamische regels (bijvoorbeeld extensionAttribute, deviceCategory) en test de regels op een steekproef
Graph-throttling in grote omgevingen	De scriptuitvoering vertraagt; devices worden maar deels bijgewerkt	Verwerk devices in batches, voeg retrylogica toe of voer de workflow label voor label uit in plaats van alles in één keer

Een deel van de eerdere uitdagingen bij het automatiseren van profieltoewijzingen via Intune ontstaat tijdens overgangen. Doe dus goed uw due diligence, zodat labels en groeperingen niet botsen of dubbel voorkomen.

Ook kan het nodig zijn om de scripts in grote omgevingen gespreid uit te voeren, tenzij u ze draait via een RMM die past bij de schaal van de operatie.

Gebruik NinjaOne om Intune-workflows te versterken

Veel Intune-workflows kunt u aanvullen met de automatiseringsbeleidsregels, rapportage en het zowel schaalbare als gedetailleerde IT Management van NinjaOne RMM®.

• Scripts uitrollen die devices in het register labelen
• Externe Graph-scripts starten via automatiseringsbeleidsregels
• Rapporteren over devicemetadata (label, rol, locatie) als basis voor toewijzingen
• Devices zonder passend configuratieprofiel labelen voor herstel
• Waarschuwen wanneer devices afwijken van de verwachte Intune-beleidstoewijzingen

Met NinjaOne kunnen MSP’s de governance van Intune-beleid stroomlijnen en tegelijk schaalbaarheid en rapportage over meerdere klanten behouden.

Beste praktijken voor het automatiseren van profieltoewijzing in Intune

De toewijzing van Intune-configuratieprofielen automatiseren met de Graph API is een effectieve manier om beleidshandhaving te bevorderen en de onboarding van devices in uw hele netwerk te stroomlijnen.

Maar naarmate uw organisatie groeit kunt u Intune en de Graph API het beste combineren met een RMM als NinjaOne, dat automatisering en herstelmogelijkheden op schaal biedt. Deze proactieve aanpak biedt een compleet kader voor endpoint management dat schaalbaar en auditklaar is en nauwelijks handmatig werk vergt.
Gerelateerde onderwerpen:

• Azure-devices registreren in Intune
• Voor- en nadelen van Microsoft Azure: Active Directory
• Applicaties uitrollen via het Microsoft Intune-beheercentrum
• Een bedrijfsdevice toevoegen aan Intune device management
• Een BYOD-device toevoegen aan Intune device management