GPO’s vormen al jaren de basis van Windows-beheer, maar ze zijn ontworpen voor domeingekoppelde, on-premises infrastructuur. Intune-configuratieprofielen bieden daarentegen meer gedetailleerde controle en ondersteuning voor meerdere platforms, wat essentieel is voor schaalbaarheid en efficiënt endpoint management.
Wilt u Intune opnemen in uw IT Management-kader? Deze gids beschrijft stap voor stap hoe u migreert van on-premises GPO’s naar Intune-configuratieprofielen.
Stappen voor de overgang van GPO naar Intune
Neem eerst de volgende punten door. U hebt ze nodig om de migratie te voltooien.
📌 Vereisten:
- Windows 10/11-endpoints die aan Azure AD of hybride zijn gekoppeld
- Toegewezen Microsoft Intune-licenties
- Beheerderstoegang tot het Microsoft Endpoint Manager-beheercentrum
- PowerShell 5.1+ of de Microsoft Graph-module (Controleer uw PowerShell-versie)
- Optioneel: GPO-analytics inschakelen via de Group Policy Migration-tool
💡 Let op: sommige stappen kunnen afwijken, afhankelijk van bestaande standaardinstellingen of configuraties.
Dit video-overzicht laat zien hoe het werkt: Moderne GPO-alternatieven: overstappen op Intune-configuratieprofielen.
Stap 1: bestaande GPO’s controleren en de migratie prioriteren
Controleer met Group Policy Analytics of de actieve beleidsregels door Intune worden ondersteund. Zo voorkomt u incompatibiliteit of beperkt u die tot een minimum.
- Ga in het Microsoft Endpoint Manager-beheercentrum naar Apparaten → Group Policy Analytics (Preview).
- Importeer uw GPO-back-up (.xml-bestand).
- Bekijk de ondersteuningsstatus (Ondersteund, Niet ondersteund, Afgeschaft).
- Druk op Win + R, typ gpmc.msc en klik op OK om de Groepsbeleidsbeheerconsole (GPMC) → Backup GPOs te openen.
💡 Let op: bepaal welke GPO’s betrekking hebben op beveiligingsinstellingen, BitLocker-beleid, Windows Update-instellingen en app-beheer en eindpuntbeveiliging. Voor deze GPO’s bestaat doorgaans een directe tegenhanger in Intune, wat de migratie vergemakkelijkt.
Stap 2: de bijbehorende Intune-configuratieprofielen maken
Vervolgens maakt u voor uw bestaande beleidsregels het bijbehorende Intune-configuratieprofiel aan.
- Ga naar Apparaten → Configuratieprofielen → Profiel maken.
- Selecteer het platform Windows 10 en hoger. Kies daarna het profieltype:
- Instellingencatalogus (aanbevolen)
- Sjablonen (voor specifieke scenario’s zoals BitLocker, wifi, VPN)
- Aangepaste OMA-URI (voor niet-ondersteunde instellingen)
- Koppel uw oude GPO-instellingen aan de equivalenten in de catalogus of, waar nodig, aan OMA-URI-vermeldingen.
Stap 3: de toepassing van het beleid valideren en monitoren
In deze fase is het belangrijk om uw voortgang te controleren en te valideren of het Intune-beleid daadwerkelijk wordt toegepast.
1. Toepassing van Intune-beleid controleren via PowerShell
- Gebruik Zoeken 🔎 om Terminal → PowerShell → Als administrator uitvoeren te openen.
- Bevestig de actieve beleidsinstellingen met de opdracht Get-MDMPolicyResultantSetOfPolicy | Format-List .
Daarnaast kunt u ook het volgende gebruiken:
Get-ItemProperty -Path "HKLM:\SOFTWARE
\Microsoft\PolicyManager\current\device\Defender"
Hiermee haalt u de specifieke CSP-waarde (Configuration Service Provider) op.
2. Toepassing van Intune-beleid monitoren via Logboeken
- Druk op Win + R, typ eventvwr en klik op OK om Logboeken te openen.
- Ga naar Logboeken van toepassingen en services → Microsoft → Windows → DeviceManagement-Enterprise-Diagnostics-Provider → Admin.
Pas binnen dit logboek het juiste filter toe om snel de status van de beleidstoepassing en specifieke gebeurtenissen te vinden. U kunt ook zoeken op gebeurtenis-ID, zoals 813 of 814, die doorgaans horen bij logboekvermeldingen van Intune-beleid.
3. Toepassing van Intune-beleid forceren via de opdrachtprompt
Voor deze stap kunt u ook de opdrachtprompt gebruiken om de beleidssynchronisatie te forceren als dat nodig is.
- Druk op Win + R, typ cmd en klik op OK om de opdrachtprompt te openen.
- Voer vervolgens de volgende opdracht uit:
dsregcmd /status start ms-device-enrollment:?mode=mdm
Het forceren van de beleidstoepassing is meestal niet nodig, omdat Intune-apparaten automatisch op vaste intervallen synchroniseren. Daarnaast zijn er doorgaans beheerdersrechten vereist om deze opdrachten uit te voeren.
Stap 4: OMA-URI gebruiken voor niet-ondersteunde of geavanceerde instellingen
Voor instellingen die niet in de instellingencatalogus staan (bijvoorbeeld oude of geavanceerde beleidsregels) kunt u aangepaste profielen gebruiken:
- Maak een aangepast profiel in Intune.
- Gebruik de bekende CSP-documentatie om beleid toe te passen. Bijvoorbeeld om Taakbeheer uit te schakelen:
- OMA-URI: ./Device/Vendor/MSFT/Policy/Config/TaskManager/AllowTaskManager
- Gegevenstype: Integer
- Waarde: 0
U kunt dit verder valideren door het bijbehorende registerpad te controleren:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\TaskManager.
Stap 5: beveiligingsbasislijnen toepassen waar dat kan
Beveiligingsbasislijnen vervangen veelgebruikte GPO-configuraties en Intune bevat er een aantal kant-en-klaar voor Microsoft Defender, Windows 10/11 en Microsoft Edge. Zo past u ze toe:
- Ga naar Eindpuntbeveiliging → Beveiligingsbasislijnen.
- Kies een basislijn en wijs die toe aan de juiste groep.
Deze stappen zijn aan te raden als aanvulling op configuratieprofielen en als vervanging van een aantal veelgebruikte GPO’s.
Stap 6: beleidsconflicten en voorrang afhandelen
Als het om voorrang gaat, overschrijft Intune-beleid de GPO’s op apparaten die aan Azure AD zijn gekoppeld.
- Op apparaten die aan Azure AD zijn gekoppeld, heeft Intune-beleid voorrang.
- Op hybride gekoppelde apparaten kunnen conflicten ontstaan wanneer zowel GPO als Intune dezelfde instelling beheren. In die gevallen wint de “last writer”.
Om dat te voorkomen, is het aan te raden dat u instellingen niet dubbel vastlegt in GPO en Intune. Via Intune-rapportage → Eindpuntbeveiliging → Status per instelling kunt u conflicten proactief opsporen.
Stap 7: GPO’s buiten gebruik stellen na een geslaagde migratie
Na de migratie en de validatie van het beleid, en zodra u zeker weet dat workflows en assets naar behoren werken in de nieuwe omgeving, kunt u de GPO’s gaan verwijderen.
- Ontkoppel GPO’s geleidelijk in GPMC.
- Controleer endpoints op configuratiedrift.
- Zorg dat alle instellingen worden afgedwongen via Intune of PowerShell-scripts
- Houd protocollen voor back-up en herstel van GPO’s in stand.
NinjaOne zorgt voor een soepele Intune-migratie
In IT-omgevingen helpen deze diensten en mogelijkheden van NinjaOne bij de overgang:
- Niet-conforme instellingen detecteren die nog door oude GPO’s worden toegepast.
- Registersleutels monitoren en bevestigen dat het Intune-beleid wordt afgedwongen.
- PowerShell-scripts uitrollen om aangepaste configuraties af te dwingen.
- Endpoints labelen op basis van het beleidsprofiel (beheerd via GPO of via Intune).
- Realtime notificaties geven wanneer instellingen afwijken of niet goed worden toegepast.
Voor IT-teams en MSP’s kan NinjaOne dienen als centrale hub om cloud-based beleidsmigraties te valideren en te versterken. Op grote schaal kan NinjaOne een direct alternatief voor Intune zijn en biedt het tegelijk een breed pakket aan endpoint management-diensten van enterprise-niveau vanuit hetzelfde centrale dashboard.
⚠️ Waar u tijdens de Intune-migratie op moet letten
Iets over het hoofd gezien? Bekijk deze scenario’s en tips om fouten af te handelen, systeemproblemen te voorkomen en beleid te versterken.
| Risico’s | Mogelijke gevolgen | Oplossingen |
| Apparaat synchroniseert niet | Intune-profiel wordt niet toegepast | Voer dsregcmd /status uit en controleer de MDM-inschrijving |
| Hybride koppeling met conflicterende GPO’s | GPO nog steeds actief | Gebruik Groepsbeleidsresultaten (gpresult) om de beleidsstatus te bevestigen |
| Ongeldig CSP-pad | OMA-URI mislukt | Vergelijk met de CSP-documentatie van Microsoft |
| Vertraging in het synchronisatieschema | Vertraagde toepassing | Start een handmatige synchronisatie via het paneel Toegang tot werk of school |
Ingebouwde tools zoals PowerShell, gpresult, Logboeken en het register helpen u fouten bij de uitrol van Intune-beleid te herleiden. Zorg wel dat u over de juiste toegangsrechten beschikt en voldoende vertrouwd bent met deze tools om problemen efficiënt te diagnosticeren en op te lossen.
Beste praktijken voor de Intune-migratie
De overstap van GPO’s naar Intune-configuratieprofielen is een flinke stap vooruit voor endpoint management. Het biedt krachtigere mogelijkheden voor beleidshandhaving en meer aanpassingsopties, ideaal om moderne workflows te organiseren.
IT-teams en MSP’s die cloud- en hybride omgevingen beheren willen op den duur mogelijk meer dekking dan de eigen oplossing van Microsoft biedt. Een RMM zoals NinjaOne levert in dat geval schaalbaar en flexibel endpoint management dat Intune kan aanvullen of zelfs vervangen.
Uiteindelijk is het vervangen van de ene tool door de andere zelden het hele verhaal bij endpoint management. Meestal draait het om het bouwen van een stack die de huidige omgeving efficiënt ondersteunt en de basis legt voor groei en aanpassingsvermogen.
