Intune-devices automatisch taggen op basis van de inschrijvingsmethode (BYOD, zakelijk, Autopilot)

BYOD en zakelijke endpoints vragen om verschillende beheerbeleidsregels, waardoor het onderscheiden van devices op schaal essentieel is. Microsoft Intune legt metadata over de inschrijving vast, maar device tagging kunt u beter automatiseren voor nauwkeurige scoping. Met Microsoft Graph en PowerShell kunnen MSP’s consistente en traceerbare labels aan devices toekennen voor meer controle en zicht.

In deze gids leest u welke methoden u nodig hebt om Intune-devices automatisch te taggen op basis van de inschrijvingsmethode.

Wilt u meer weten over dit onderwerp? Bekijk onze videohandleiding: Intune-devices automatisch taggen op basis van de inschrijvingsmethode (BYOD, zakelijk, Autopilot).

Klik om een methode te kiezen	💻 Beste voor individuele gebruikers	💻💻💻 Beste voor ondernemingen
Methode 1: het inschrijvingstype uit Intune ophalen met Microsoft Graph		✓
Methode 2: devices taggen op inschrijvingsmethode met extensiekenmerken in Graph		✓
Methode 3: dynamische groepen automatisch toewijzen op basis van de inschrijving		✓
Methode 4: devicelabels en registertags toekennen via een script		✓
Methode 5: GPO of PowerShell gebruiken tijdens Autopilot of onboarding		✓

Methoden om Intune-devices automatisch te taggen op basis van de inschrijvingsmethode

📌 Algemene vereisten:

• Microsoft Intune + Microsoft Entra ID (voorheen Azure AD) (P1 of hoger)
• PowerShell 7+ met de module Microsoft.Graph geïnstalleerd
• Een geregistreerde Microsoft Graph API-applicatie met de volgende machtigingen:
  • Device.Read.All
  • DeviceManagementManagedDevices.ReadWrite.All
  • Directory.ReadWrite.All

Optioneel: u kunt ook een RMM-tool (bijvoorbeeld NinjaOne) gebruiken om device-metadata te valideren en registercontroles uit te voeren

Methode 1: het inschrijvingstype uit Intune ophalen met Microsoft Graph

Stel voordat u automatisch tags toekent eerst vast hoe elk device in Intune is ingeschreven (BYOD, zakelijk, Autopilot enzovoort) en wie de eigenaar is (persoonlijk of bedrijf). Deze methode haalt de gegevens rechtstreeks uit Intune op via Microsoft Graph.

📌 Toepassingen: een basisinventaris opbouwen van BYOD-, zakelijke en Autopilot-devices.

Stap voor stap:

1. Druk op Win + S, typ PowerShell, klik met de rechtermuisknop en kies Als administrator uitvoeren.

💡 Tip: Windows PowerShell werkt; PowerShell 7+ wordt aanbevolen.

2. Installeer de module Microsoft Graph (als die er nog niet is):

Install-Module Microsoft.Graph -Scope CurrentUser

3. Maak verbinding met Microsoft Graph: (lees #1 ⚠️ Waar u op moet letten.)

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"

Geef toestemming voor de machtiging als daarom wordt gevraagd.

4. Definieer de eigenschappen die u wilt ophalen:

$props = "deviceName,id,azureADDeviceId,managedDeviceOwnerType,deviceEnrollmentType,enrollmentProfileName"

5. Haal alle beheerde devices op met gegevens over inschrijving en eigendom:

$devices = Get-MgDeviceManagementManagedDevice -All -Property $props | Select-Object $props.Split(',')

6. Bekijk de resultaten in tabelvorm:

$devices | Select-Object deviceName, azureADDeviceId, managedDeviceOwnerType, deviceEnrollmentType, enrollmentProfileName | Format-Table -AutoSize

Deze inschrijvingstypen bestaan er:

• • windowsAutoEnrollment – automatische inschrijving
  • windowsAzureADJoin – Azure AD Join
  • windowsBulkUserless – zakelijke bulkinschrijving
  • windowsCoManagement – hybride ConfigMgr + Intune
  • deviceEnrollmentManager – inschrijving via DEM-account
  • userEnrollment – BYOD

Methode 2: devices taggen op inschrijvingsmethode met extensiekenmerken in Graph

Omdat u nu de inschrijvingsmethode en het eigendom van elk device kent, kunt u een label wegschrijven naar een directory-extensiekenmerk op het Microsoft Entra-device. Zo ontstaat een blijvende tag die u kunt gebruiken voor dynamisch groepslidmaatschap en targeting in Intune.

📌 Toepassingen: blijvende tagging op directoryniveau voor automatisering en dynamische groepering.

📌 Vereisten:

• De tenant moet beschikken over licenties voor Microsoft Entra ID (voorheen Azure AD) en Intune
• Vereiste Graph-machtiging:
  • Directory.AccessAsUser.All (gedelegeerd)
  • Device.ReadWrite.All of Directory.ReadWrite.All (applicatie).
• U beschikt over de Azure AD-device-GUID uit Intune (uit methode 1)

Stap voor stap:

1. Druk op Win + S, typ PowerShell en druk op Enter om het programma te openen.

💡 Tip: Windows PowerShell werkt; PowerShell 7+ wordt aanbevolen.

2. Maak verbinding met Graph (gedelegeerd):

Connect-MgGraph -Scopes "Directory.AccessAsUser.All"

3. Zoek het Entra-device op deviceID (de GUID uit methode 1):

$azureAdDeviceId = "<GUID from Method 1>"
$dirDevice = Get-MgDevice -Filter "deviceId eq '$azureAdDeviceId'" -ConsistencyLevel eventual

4. Schrijf de tag weg naar een extensiekenmerk: (lees #2 ⚠️ Waar u op moet letten.)

Update-MgDevice -DeviceId $dirDevice.Id -BodyParameter @{
extensionAttributes = @{ extensionAttribute1 = "BYOD" }
}

5. Controleer de update:

Get-MgDevice -DeviceId $dirDevice.Id -Property "extensionAttributes" |
Select-Object -ExpandProperty extensionAttributes

Methode 3: dynamische groepen automatisch toewijzen op basis van de inschrijving

Bij deze methode laat u de regels voor dynamisch lidmaatschap in Azure AD het taggen afhandelen. Wanneer een device met een bepaald profiel of eigendomstype wordt ingeschreven, belandt het automatisch in de bijbehorende groep. Vervolgens kunt u met die groepen apps, beleidsregels en profielen in Intune targeten.

📌 Toepassingen: automatisch targeten van Autopilot-, BYOD- en bedrijfseigen devices op basis van eigendom of profiel.

📌 Vereisten:

• Microsoft Entra ID (voorheen Azure AD) Premium P1
• Intune is gekoppeld aan uw Entra-tenant

Stap voor stap:

1. Ga naar het Entra-beheercentrum > Groepen > Nieuwe groep.
2. Groepstype: Beveiliging > Lidmaatschapstype: Dynamisch apparaat.
3. Klik op Dynamische query toevoegen en gebruik het tekstvak voor de regelsyntaxis.

Aanbevolen regels:

• • Autopilot:

(device.enrollmentProfileName -contains "Autopilot")

• • BYOD (persoonlijk eigendom):

(device.deviceOwnership -eq "Personal")

• • Bedrijfseigen:

(device.deviceOwnership -eq "Company")

4. Sla op en maak de groep aan.

Gebruik deze dynamische groepen om compliancebeleid, app-implementaties en configuratieprofielen in Intune te targeten zodra het lidmaatschap is gevuld.

Methode 4: devicelabels en registertags toekennen via een script

Deze methode gebruikt een script om devices lokaal te classificeren. Op basis van inschrijvingstype en eigendom schrijft elk device zijn eigen tag weg naar het register, wat helpt bij rapportage of eigen automatisering.

📌 Toepassingen: dit is handig als u wilt dat het device zichzelf identificeert (bijvoorbeeld bij aanmelden, bij inschrijving of via registersleutels) en lokaal een label vastlegt.

Stap voor stap:

Schrijf voor lokale audits of RMM-integratie de inschrijvingsclassificatie van het device weg naar het register:

1. Druk op Win + S, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell (of PowerShell 7) en kies Als administrator uitvoeren.
2. Voer de volgende opdracht uit: (lees #3 ⚠️ Waar u op moet letten.)

$category = if ($device.managedDeviceOwnerType -eq "company" -and $device.enrollmentType -eq "windowsAutopilotDevice") {
"Autopilot"
} elseif ($device.managedDeviceOwnerType -eq "personal") {
"BYOD"
} else {
"Corporate"
}

New-Item -Path "HKLM:\SOFTWARE\Org\IntuneTags" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IntuneTags" -Name "EnrollmentType" -Value $category
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IntuneTags" -Name "LastUpdated" -Value (Get-Date).ToString("u")

3. Optioneel: controle via CMD:

reg query HKLM\SOFTWARE\Org\IntuneTags

Methode 5: GPO of PowerShell gebruiken tijdens Autopilot of onboarding

Deze proactieve methode verankert tagging in het implementatieproces. U bouwt tagging in het Autopilot-profiel, het onboardingscript of een Group Policy Object (GPO) in zodat devices direct na de installatie zijn gelabeld.

📌 Toepassingen: devices tijdens de build markeren als Autopilot, zakelijk of BYOD en ervoor zorgen dat de tag bestaat vóór de eerste aanmelding of direct na de inschrijving.

Stap voor stap:

• Voeg bij Autopilot of een scripted onboarding een script voor registertagging toe aan uw inrichtingspakket.
• Gebruik voor devices die lid zijn van een domein een GPO-opstartscript:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IntuneTags" -Name "EnrollmentType" -Value "Autopilot"

Combineer dit met dynamische groepstagging zodat devices vanaf dag één correct worden geclassificeerd.

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Herstelacties
1. Verbinding maken met de verkeerde tenant of scope in Connect-MgGraph	Onvolledige inventaris; ontbrekende azureADDeviceID voor volgende stappen	Maak opnieuw verbinding met de juiste -TenantID en de gedelegeerde scope DeviceManagementManagedDevices.Read.All; voer de inventarisatie opnieuw uit met de volledige –Property-lijst.
2. Het verkeerde object bijwerken of ontbrekende schrijfmachtigingen op de directory	Er worden geen extensionAttributes weggeschreven; tags verschijnen niet; dynamische groepen vullen zich niet	Zoek het Entra-device op deviceId; maak opnieuw verbinding met Directory.AccessAsUser.All (gedelegeerd) of de app-machtiging Directory.ReadWrite.All/Device.ReadWrite.All; voer Update-MgDevice opnieuw uit.
3. Script zonder verhoogde rechten of in een 32-bits host	Schrijfacties naar het register mislukken of komen onder WOW6432Node terecht; tags lijken te “ontbreken”	Voer het script uit als SYSTEM of administrator in 64-bits PowerShell; verwijder onjuiste sleutels; voer het script opnieuw uit.

Aanvullende overwegingen

Houd tijdens de configuratie ook rekening met het volgende:

Autopilot-devices

Autopilot-devices kunnen ook als AzureADJoined verschijnen, dus beschouw de join-status alleen als context. Bekijk voor de nauwkeurigheid altijd deviceEnrollmentType om te zien hoe het device is ingeschreven en managedDeviceOwnerType om het eigendom te bepalen.

BYOD-detectie

De afleiding van BYOD kan afwijken wanneer gebruikers zich inschrijven buiten de paden met bedrijfsidentificatie om. Het is alleen betrouwbaar als persoonlijk eigendom expliciet wordt geselecteerd tijdens de inschrijving.

Profieldrift

Devices worden na verloop van tijd opnieuw geïmaged, hernoemd of opnieuw toegewezen, waardoor metadata verouderd kan raken. Valideer extensiekenmerken en registerlabels volgens een vast schema met scripts of Graph-polling.

Multi-tenant MSP’s

Behandel elke klanttenant als een strikte grens. Gebruik app-registraties en API-tokens per tenant, sla secrets veilig op en voer logica uit in tenantspecifieke containers of vaults om de isolatie te behouden.

Problemen oplossen

Dit zijn de problemen die u kunt tegenkomen en hoe u ze oplost:

Tags verschijnen niet

Als tags niet verschijnen, controleert u of u naar de extensionAttributes van het Entra-deviceobject schrijft met de juiste Graph-machtigingen: DeviceManagementManagedDevices.ReadWrite.All. Voeden de tags dynamische groepen, geef de lidmaatschapsverwerking dan even de tijd.

Register wordt niet bijgewerkt

Schrijven naar het register vereist verhoogde rechten. Voer het script uit als SYSTEM of met een account met beheerdersrechten.

Device wordt niet correct geclassificeerd

Afwijkingen of onjuiste classificaties ontstaan meestal door het door elkaar gebruiken van bronnen. Vergelijk deviceEnrollmentType en managedDeviceOwnerType met de deviceOwnership uit de dynamische regel (Company/Personal) en met eventuele door gebruikers toegewezen categorielabels.

Groep wordt niet gevuld

Als een groep zich niet vult, ligt dat meestal aan syntaxisfouten of vertragingen in de Azure AD-synchronisatie. Controleer de syntaxis van de lidmaatschapsregel en ga na of u ondersteunde device-kenmerken gebruikt. Houd er rekening mee dat het groepslidmaatschap minuten tot uren kan duren voordat het stabiel is. Gebruik de ingebouwde weergave Regels valideren en de verwerkingsstatus om dit te bevestigen.

Diensten van NinjaOne

De bovenstaande methoden bieden krachtige manieren om devices in Intune te taggen, maar ze kunnen complex en tijdrovend zijn en zijn gevoelig voor fouten. Voor MSP’s die meerdere klanten beheren wordt dat al snel onhoudbaar.

NinjaOne neemt deze uitdagingen weg door device tagging te automatiseren in één multi-tenant platform:

Mogelijkheid	Wat NinjaOne mogelijk maakt
Tagging via scripts	Classificatiescripts uitrollen tijdens de onboarding of wanneer beleidsregels worden toegepast, zonder handmatig verbinding te maken met Graph of PowerShell uit te voeren.
Endpointmapping	Leest device-metadata en registervermeldingen in realtime uit, zodat tags nauwkeurig blijven, ook na een re-image of een wijziging van eigenaar.
Notificaties op basis van tags	Waarschuwt beheerders direct wanneer de inschrijvingsmethode van een device ontbreekt, verkeerd is geclassificeerd of afwijkt van het verwachte beleid.
Beleidsautomatisering	Verhelpt tagproblemen automatisch zonder handmatig ingrijpen, zodat devices altijd onder het juiste compliance- of beveiligingsbeleid vallen.
Multi-tenant rapportage	Biedt geaggregeerde rapportage over alle klanttenants, waardoor MSP’s in één overzicht het eigendom van devices en inschrijvingstrends zien.

Met NinjaOne krijgen MSP’s sneller inzicht, minder administratieve overhead en consistente nauwkeurigheid in alle beheerde tenants. IT-teams kunnen erop vertrouwen dat NinjaOne devices correct classificeert en beleidsregels op schaal toepast zoals bedoeld.

Automatiseer het taggen van Intune-devices per inschrijvingsmethode voor meer efficiëntie

Door Intune-devices automatisch te taggen op basis van hun inschrijvingsmethode, verbetert u de targeting van beleid, het compliancebeheer en de onboarding-workflows.

Deze gids beschreef de belangrijkste methoden om automatisch taggen in Intune in te richten: devices ophalen en classificeren met Microsoft Graph, apparaatcategorieën toewijzen en extensiekenmerken wegschrijven en dynamische devicegroepen opbouwen in Microsoft Entra ID op basis van de inschrijvingsmethode. Ook kwam aan bod hoe u tags lokaal vastlegt met registersleutels voor audits of RMM-gebruik.

Tot slot liet de gids zien hoe NinjaOne deze automatisering op schaal ondersteunt en zo de operationele efficiëntie verhoogt.

Gerelateerde onderwerpen:

• Azure-devices registreren in Intune
• Een BYOD-device toevoegen aan Intune device management
• Een zakelijk device toevoegen aan Intune device management