Belangrijkste punten
- Intune ondersteunt twee beheermodellen: Mobile Device Management (MDM) voor volledige controle over het apparaat en Mobile Application Management (MAM) voor bescherming op app-niveau op BYOD-apparaten.
- Intune App Protection Policies beveiligen bedrijfsgegevens binnen apps met versleuteling, toegangscontrole en regels voor voorwaardelijk starten, met of zonder inschrijving van het apparaat.
- Intune APP beschermt bedrijfsgegevens in ondersteunde apps zonder dat het hele apparaat wordt beheerd.
- Voor bedrijfsapparaten combineert Intune app protection policies, configuratieprofielen en Conditional Access.
Microsoft Intune ondersteunt twee hoofdmodellen voor het beheren van endpoint- en applicatiebeveiliging:
- Beheer van mobiele apparaten (MDM): een aanpak op apparaatniveau waarvoor volledige inschrijving in Intune nodig is.
- Mobile Application Management (MAM): een aanpak op app-niveau die bedrijfsgegevens beschermt zonder dat het apparaat ingeschreven hoeft te worden.
Intune gebruikt App Protection Policies (APP’s) om beveiligingsregels voor apps te definiëren en af te dwingen. Daarbij gaat het om versleuteling van gegevens, controle over kopiëren/plakken en opslaan, voorwaardelijk starten en authenticatie-eisen voor specifieke applicaties (vooral Microsoft 365-apps).
Deze gids beschrijft stap voor stap hoe u een Intune App Protection Policy instelt en toepast voor MAM-only (BYOD) en voor apparaten die in MDM zijn ingeschreven (bedrijfseigendom). Ook leest u hoe Intune het naast elkaar bestaan van beide ondersteunt, waarbij één apparaat zowel via MDM als via MAM wordt beheerd voor gelaagde beleidshandhaving.
Liever kijken dan lezen? Bekijk dan onze video App Protection Policies in Intune: MAM vs MDM-scenario’s.
Aanbevolen implementatiestrategieën:
| Klik om een methode te kiezen | 💻 Het beste voor individuele gebruikers | 💻💻💻 Het beste voor ondernemingen |
| App protection policies toepassen: MAM-only (voor BYOD) | ✓ | |
| App protection policies toepassen: voor apparaten die in MDM zijn ingeschreven | ✓ | |
| Conditional Access afdwingen op basis van app protection | ✓ | ✓ |
| Validatiemethode 1: PowerShell gebruiken om compliance van gebruikers/apps op te vragen | ✓ | ✓ |
| Validatiemethode 2: CMD gebruiken om de MDM-inschrijvingsstatus te controleren | ✓ | |
| Group Policy en Intune MDM naast elkaar beheren | ✓ |
Gids voor Microsoft Intune App Protection Policy (APP)
In deze gids leert u hoe u App Protection Policies (APP’s) in Microsoft Intune toepast voor MAM-only-scenario’s en voor apparaten die in MDM zijn ingeschreven. Ook komen de integratie met Conditional Access, validatiemethoden en belangrijke aandachtspunten bij de uitrol aan bod.
Algemene vereisten:
- Licenties voor Microsoft Intune en Microsoft Entra ID (Azure AD) Premium P1
- Apps moeten de Intune SDK ondersteunen (bijvoorbeeld Outlook, Teams, OneDrive).
- Voor MAM: inschrijving van het apparaat is niet nodig.
- Voor MDM: het apparaat moet in Intune zijn ingeschreven.
- Toegang tot het Microsoft Intune-beheercentrum
- Gebruikers moeten zijn toegewezen aan de beveiligingsgroepen in Microsoft Entra ID waarop het beleid is gericht.
App protection policies toepassen: MAM-only (voor BYOD)
MAM-only-beleid beschermt organisatiegegevens binnen apps zonder dat het apparaat in MDM wordt ingeschreven.
Toepassingen: dit is ideaal voor gebruikers met Bring Your Own Device (BYOD), waarbij organisaties bedrijfsgegevens in apps willen beveiligen zonder het hele apparaat te beheren.
Vereisten:
- Apparaten moeten de Intune SDK ondersteunen of de apps moeten zijn verpakt met de Intune App Wrapping Tool.
- Gebruikers moeten een licentie hebben voor Intune + Entra ID Premium P1/P2.
Stap voor stap:
- Open het Microsoft Intune-beheercentrum.
- Ga naar Apps > App protection policies > Create policy.
- Kies het platform: iOS/iPadOS/Android/Windows
- Selecteer onder Apps to target de Microsoft-apps en ondersteunde apps van derden.
- Klik op Next en configureer vervolgens de instellingen voor app protection:
- Data protection: bepaal hoe gebruikers met gegevens in de apps mogen omgaan (waaronder knippen/kopiëren/plakken/opslaan en het versleutelen van gegevens).
- Access requirements: stel de eisen in waaraan gebruikers moeten voldoen om toegang te krijgen tot apps (waaronder pincode, biometrie of voorwaardelijk starten).
- Conditional launch: stel de beveiligingseisen voor aanmelden in voor uw toegangsbeleid (waaronder toegang blokkeren of gegevens wissen na een offline-interval).
- Klik op Next en wijs het beleid op de pagina Assignments toe aan gebruikersgroepen (niet aan apparaten). (Lees punt 1 in ⚠️ Waar u op moet letten.)
- Klik op Next, controleer de instellingen en klik op Create.
- Houd de status in de gaten onder Monitor > App protection status.
Dit beleid wordt ook toegepast als het apparaat onbeheerd is (MAM Without Enrollment of MAM-WE-scenario).
App protection policies toepassen: apparaten die in MDM zijn ingeschreven
Het toepassen van app protection policies op apparaten die in MDM zijn ingeschreven verloopt via dezelfde stappen als hierboven, maar gebeurt meestal in combinatie met:
- Compliancebeleid
- Configuratieprofielen voor apparaten
- Conditional Access-beleid
Dat levert een extra beschermingslaag op naast de configuraties op apparaatniveau.
Toepassingen: ideaal voor bedrijfsapparaten die volledig worden beheerd.
Vereisten:
- Apparaten moeten zijn ingeschreven in Intune MDM
- Gebruikers moeten een licentie hebben voor Microsoft Intune
- De betreffende apps moeten Intune App Protection Policies ondersteunen
Stap voor stap:
- Open het Microsoft Intune-beheercentrum.
- Ga naar Apps > App protection policies > Create policy.
- Kies het platform: iOS/iPadOS/Android/Windows
- Selecteer op de pagina Apps de Microsoft-apps en ondersteunde apps van derden.
- Klik op Next en configureer vervolgens de instellingen voor app protection:
- Data protection: bepaal hoe gebruikers met gegevens in de apps mogen omgaan (waaronder knippen/kopiëren/plakken/opslaan en het versleutelen van appgegevens).
- Access requirements: stel de eisen in waaraan gebruikers moeten voldoen om toegang te krijgen tot apps (waaronder pincode, biometrie of voorwaardelijk starten).
- Conditional launch: stel de beveiligingseisen voor aanmelden in voor uw toegangsbeleid (waaronder toegang blokkeren of gegevens wissen na een offline-interval).
- Klik op Next en wijs het beleid toe aan gebruikersgroepen met apparaten die in MDM zijn ingeschreven. (Lees punt 1 in ⚠️ Waar u op moet letten.)
- Klik op Next, controleer alle instellingen en klik op Create om het beleid uit te rollen.
- Houd de status in de gaten onder Monitor > App protection status.
Wat is het verschil tussen MDM en MAM?
MDM-beleid bepaalt de beveiligingsstatus van het apparaat. MAM-beleid beschermt daarnaast de gegevens op app-niveau binnen beheerde apps.
Let op: als MDM en MAM allebei worden ingezet vormt MDM de basis voor de apparaatbeveiliging, terwijl MAM fijnmaziger bescherming toevoegt op app-niveau. Bij conflicterend beleid krijgt het MDM-beleid op apparaatniveau voorrang.
Toegangscontrole afdwingen op basis van app protection
Organisaties kunnen app-gebaseerd Conditional Access (CA)-beleid afdwingen zodat alleen beschermde apps toegang krijgen tot bedrijfsgegevens.
Toepassingen: gebruik dit om:
- Toegang vanaf onbeheerde apps of apparaten te blokkeren
- Compliance van gegevens op app-niveau af te dwingen (MAM-only of hybride)
- Zero Trust-beveiliging te implementeren.
Vereisten:
- Licenties voor Intune en Entra ID Premium P1/P2
- Geldige Microsoft 365-gebruikerslicenties
- Apps moeten beschermd zijn via een bestaand App Protection Policy
Stap voor stap: (lees punt 2 in ⚠️ Waar u op moet letten.)
- Meld u aan bij het Microsoft Entra-beheercentrum.
- Ga naar: Entra ID > Protection > Conditional Access > Policies > New Policy.
- Selecteer onder Assignments de gebruikers of groepen waarop u zich richt. (Lees punt 1 in ⚠️ Waar u op moet letten.)
- Kies de betreffende apps (bijvoorbeeld Exchange Online, SharePoint).
- Onder Access Controls > Grant:
- Selecteer Require app protection policy.
- Optioneel: Require MFA
- Schakel het beleid in en klik op Create.
Dit beleid werkt samen met Intune App Protection Policies (APP).
U kunt ook Hoe u Conditional Access-beleid configureert in Azure AD lezen.
Validatiemethode 1: PowerShell gebruiken om compliance van gebruikers/apps op te vragen
Met PowerShell kunt u via de Graph API beleidstoewijzingen ophalen en beoordelen hoe het beleid wordt afgedwongen op apparaten en in apps.
Toepassingen: gebruik dit om:
- APP-toewijzingen voor gebruikers in de tenant te valideren
- Te controleren welke apparaten of gebruikers via MAM worden beheerd
- Compliancerapportages te genereren voor MSP- of enterpriseomgevingen
Vereisten:
- Beheerdersrechten met de rol Intune Admin, Global Admin of Security Reader
- De Microsoft Graph PowerShell SDK moet geïnstalleerd zijn.
Zo gaat u te werk:
- Installeer de Graph SDK (als dat nog niet is gebeurd):
Install-Module Microsoft.Graph -Scope CurrentUser
- Maak verbinding met Microsoft Graph:
Connect-MgGraph -Scopes "DeviceManagementApps.Read.All","Policy.Read.All"
U wordt gevraagd u aan te melden met een beheerdersaccount.
- Vraag alle app protection policies en hun toewijzingen op:
Get-MgDeviceAppManagementTargetedManagedAppPolicy
- Vraag de toewijzing van een specifieke gebruiker op:
Get-MgDeviceAppManagementManagedAppRegistration -UserId <[email protected]>
Let op: u kunt de resultaten voor rapportage exporteren naar CSV met | Export-Csv -Path "filename.csv".
Validatiemethode 2: CMD gebruiken om de MDM-inschrijvingsstatus te controleren
Deze methode geeft snel een momentopname van de MDM-inschrijving en de Entra ID-joinstatus.
Toepassingen: gebruik dit om:
- Te bevestigen of een apparaat correct is ingeschreven in Intune MDM
- Problemen met automatische inschrijving op te lossen
Vereisten:
- U moet zijn aangemeld als beheerder.
Zo gaat u te werk:
- Druk op Win + X en selecteer Opdrachtprompt (Administrator) of Windows Terminal (Administrator).
- Voer deze opdracht uit om de MDM-inschrijving van het apparaat te controleren:
dsregcmd /status
Let op het volgende:
- MDMUrl: bevestigt het MDM-endpoint
- DeviceCompliancePolicyReceived: YES
- WIPEnabled: YES (alleen bij gebruik van Windows Information Protection)
CMD geeft geen directe MAM-indicatoren, maar helpt wel om de MDM-vereisten te valideren.
⚠️ Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Hoe u het terugdraait |
| 1. Een APP toewijzen aan de verkeerde gebruikersgroep | Gebruikers kunnen de toegang tot bedrijfsapps verliezen of onnodige app-beperkingen opgelegd krijgen. | Verwijder de groep uit de beleidstoewijzingen in Intune en rol het beleid opnieuw uit met de juiste doelgroep. |
| 2. Verkeerd geconfigureerde Conditional Access | Gebruikers kunnen gegevens benaderen vanuit onbeheerde of onbeschermde apps | Pas het Conditional Access-beleid aan zodat Require app protection policy wordt meegenomen en test opnieuw. |
| 3. Het register bewerken zonder back-up | Dit kan leiden tot een slecht functionerend apparaat, mislukte inschrijving of verlies van de MDM-verbinding. | Maak een back-up van het register voordat u wijzigingen doorvoert, gebruik een testapparaat en herstel zo nodig de vorige registersleutels. |
Aanvullende aandachtspunten
Hieronder vindt u enkele platformbeperkingen, vereisten voor gebruikers en uitleg over hoe MAM en Conditional Access samenwerken wanneer u APP met Intune toepast:
Ondersteunde apps
Beleid voor Mobile Application Management (MAM) geldt alleen voor ondersteunde apps:
- Apps die zijn geïntegreerd met de Intune App SDK
- Apps die zijn verpakt met de Intune App Wrapping Tool
Beheer op gebruikersniveau
MAM is gebaseerd op gebruikers, niet op apparaten. Dat betekent dat gebruikers een Intune-licentie toegewezen moeten hebben aan hun Microsoft Entra ID-account.
Beperkingen op Windows
MAM-ondersteuning op Windows is momenteel beperkt tot Microsoft Edge. Voor volledige controle over apparaten en apps schrijft u gebruikers in via Intune MDM.
Toegangscontrole
Conditional Access (CA)-beleid moet in lagen worden toegepast om toegang te beperken op basis van de status en bescherming van de app. Zonder CA kunnen gebruikers de bescherming omzeilen door bedrijfsgegevens via onbeheerde apps te benaderen.
Problemen oplossen
Hieronder staan veelvoorkomende problemen en oplossingen die u kunt tegenkomen bij Microsoft Intune App Protection Policies (APP) in MAM- en MDM-scenario’s:
Beleid wordt niet toegepast
Controleer of de gebruiker in de doelgroep zit en een ondersteunde app gebruikt.
- Open Intune-beheercentrum > Apps > App protection policies.
- Open het betreffende beleid en ga naar Assignments.
- Controleer of de gebruiker deel uitmaakt van een opgenomen Entra ID-groep.
Tip: raadpleeg de lijst met door Microsoft Intune beschermde apps om de compatibiliteit van de app te bevestigen.
App wordt niet beschermd
Controleer of de app is verpakt of SDK-ondersteuning heeft. Hoe doet u dat?
- Voor publieke apps raadpleegt u de lijst met door Microsoft Intune beschermde apps en zoekt u op de naam van de app.
- Voor eigen LOB-apps (Line-of-Business) vraagt u uw ontwikkelteam of de Intune App SDK is toegevoegd.
- Controleer of de app is verwerkt met de Intune App Wrapping Tool.
( Lees Android-apps verpakken met de Intune Wrapping Tool.)
MAM-WE werkt niet
Als MAM zonder inschrijving niet werkt, controleert u of de betreffende gebruiker een Intune-licentie heeft.
- Open Microsoft 365-beheercentrum > Gebruikers > selecteer de gebruiker > Licenties.
- Controleer of aan de gebruiker een Intune-licentie is toegewezen.
Controleer vervolgens of de gebruiker deel uitmaakt van de gebruikersgroep die aan het App Protection Policy is toegewezen. Controleer of het beleid op de betreffende app is gericht en of de gebruiker met het juiste werk- of schoolaccount in de app is aangemeld. Controleer ook of de app en het OS worden ondersteund en up-to-date zijn en of de vereiste broker-app is geïnstalleerd.
Foutmeldingen over geweigerde toegang
Bekijk Conditional Access en de compliancestatus in de Azure-logboeken:
- Ga naar Azure Portal > Entra ID > Security > Conditional Access > Insights & Reporting. Filter vervolgens op de betreffende gebruiker, app en fout.
De compliancestatus controleert u zo:
- Ga naar Intune-beheercentrum > Apparaten > selecteer het apparaat > Device compliance.
- Controleer de compliancestatus en het tijdstip van de laatste check-in.
Diagnostiek
Hier vindt u de logboeken:
- Logboeken van het Intune-portaal (iOS/Android)
- Logboeken van Bedrijfsportal
- Endpoint.microsoft.com > Monitor > App Protection Status
Diensten van NinjaOne
NinjaOne versterkt de bescherming op app- en apparaatniveau via:
| NinjaOne-dienst | Hoe NinjaOne de bescherming op app- en apparaatniveau versterkt |
| App-monitoring | Monitort de installatiestatus en de gezondheid van apps op apparaten die in MDM zijn ingeschreven |
| Scriptautomatisering | Automatiseert controles op vereisten en dwingt compliance af voor MDM- en app protection-beleid |
| Inzicht in inschrijvingen | Geeft inzicht in de verschillende inschrijvingstypen voor mobiele apparaten |
| Apparaten taggen | Gebruikt aangepaste velden om BYOD-, bedrijfseigen of hybride apparaten te classificeren |
| Notificaties over gedrag | Signaleert problemen zoals niet-conforme apps, ontbrekende agents en inschrijvingsfouten |
Daarmee kunnen IT-teams en MSP’s uiteenlopende apparaatparken beheren en beveiligen, ongeacht het beheertype.
Intune App Protection Policy configureren voor BYOD- en MDM-scenario’s
App Protection Policies bieden een flexibele en krachtige manier om bedrijfsgegevens te beschermen of het apparaat nu wel of niet is ingeschreven in een beheerplatform. Met dit beleid kunnen MSP’s en IT-teams consistente beveiliging op app-niveau afdwingen op apparaten in zowel MAM-only-omgevingen (BYOD) als omgevingen met apparaten die in MDM zijn ingeschreven (bedrijfseigendom).
Deze gids geeft duidelijke stappen voor het maken, configureren en toewijzen van APP’s in beide scenario’s. Daarnaast bevat hij praktische hulpmiddelen om de uitrol te valideren via het register, CMD en GPO. Verder vindt u beste praktijken voor de integratie met Conditional Access\ en leest u hoe NinjaOne MSP’s en IT-teams helpt om beleidshandhaving op schaal te stroomlijnen.
Gerelateerde onderwerpen:
