Handleiding: probleemoplossing bij Intune device enrollment met logboeken

Endpoint-configuratiefouten kunnen uw onboarding flink vertragen. Daarom is probleemoplossing bij Intune device enrollment essentieel. Diagnostische logboeken, een van de ingebouwde tools van Intune, zijn waardevol om kritieke processen te volgen en de gezondheid te beoordelen van het device dat wordt ingeschreven.

Dit artikel legt uit hoe u problemen met Intune device enrollment vaststelt en oplost voor Intune MDM, Autopilot, Hybrid Entra Join en meer.

Handleiding voor probleemoplossing bij Microsoft Intune device enrollment

Houd uw doelen, scope en operationele capaciteit in gedachten voordat u problemen met Intune device enrollment gaat debuggen.

Vereisten:

• Windows 10/11 Pro, Enterprise of Education
• Entra Join of een hybride Entra Join-omgeving
• Intune-licentie toegewezen aan de betreffende gebruiker
• Toegang tot Microsoft-cloudendpoints
• Beheerdersrechten
• Microsoft Entra Connect (voor hybride scenario’s)

Aanbevolen implementatiestrategieën:

dsregcmd gebruiken om de Entra Join- en MDM-status te controleren

Use cases: controleer de Entra Join-status van een device in een lichtgewicht command shell na bevoorrading.

1. Druk op Win + R, typ cmd en druk op Ctrl + Shift + Enter.
2. Voer het volgende commando uit om de join-status van het device te analyseren:

dsregcmd /status

3. Belangrijke velden om te controleren:
   1. AzureAdJoined
      1. YES: het device is gekoppeld.
      2. NO: de registratie in Microsoft Entra ID is nog niet voltooid.
   2. DeviceAuthStatus
      1. SUCCESS: het device is geverifieerd via Entra Join.
      2. FAILED/UNKNOWN: authenticatieproblemen door certificaatfouten, verkeerde tijdinstellingen, verbindingsproblemen en meer.
         1. Raadpleeg de officiële documentatie van Microsoft over apparaatgezondheidscontroles voor meer informatie.
   3. TenantDetails
      1. Correcte tenant-ID: uw device is gekoppeld aan uw organisatie (ook wel “de tenant” genoemd).
      2. Onjuiste of ontbrekende tenant-ID: het device is aan de verkeerde tenant gekoppeld of wacht nog op koppeling, waardoor Intune-beleid wordt geblokkeerd.
   4. MDMUrl
      1. URL aanwezig: uw device is geconfigureerd om in te schrijven bij Intune.
      2. Lege of onjuiste URL: het device is niet ingesteld voor MDM-inschrijving of kampt met problemen rond automatische inschrijving en licenties.
   5. DMEnrollment en MDMEnrollmentStatus
      1. YES/SUCCESS: het device is ingeschreven in Intune en kan het beleid ontvangen dat u uitrolt.
      2. NO/FAILED: de inschrijving is mislukt door licentieproblemen, verkeerd geconfigureerd beleid of inschrijvingsbeperkingen.
   6. Device State, User State en Diagnostic Data
      1. Volledige waarden: uw ingeschreven endpoint werkt zoals verwacht.
      2. Onvolledige of ongeldige waarden: verkeerd geconfigureerde gebruikers- of device-instellingen die leiden tot gedeeltelijke joins en synchronisatieproblemen.

Logboeken controleren in Logboeken

Use cases: controleer op codes die horen bij de huidige inschrijvingsstatus van uw device.

1. Druk op Win + R, typ eventvwr.msc en druk op Ctrl + Shift + Enter.
2. Ga naar:

Logboeken voor toepassingen en services > Microsoft > Windows > User Device Registration

3. Ga naar:

Logboeken voor toepassingen en services > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider

4. Klik met de rechtermuisknop op de specifieke logboekmap en selecteer Beeld > Analytische logboeken en foutopsporingslogboeken weergeven om gedetailleerde diagnostische logboeken te bekijken.

1. 1. Klik op het gebeurtenissenlogboek dat overeenkomt met het tijdstip van uw inschrijvingspoging en controleer op foutcodes.

5. Lees de kolom Gebeurtenis-ID voor ID’s die met de inschrijving te maken hebben.

Inschrijvings- en registratiestatus controleren via PowerShell

Use cases: bevestig of een device aan het netwerk is gekoppeld of registratieproblemen heeft.

Vereisten: Microsoft Graph API of de Entra Join-module voor de registratiecontrole.

1. Druk op Win + R, typ powershell en druk op Ctrl + Shift + Enter.
2. Voer het volgende uit voor de MDM-gegevens en de workplace join-status van uw device:

Get-WmiObject -Namespace root\cimv2\mdm\dmmap -Class MDM_DevDetail_Ext01

3. Controleer of het device is geregistreerd in Entra Join:

Get-MgDevice -Filter "displayName eq '<DeviceName>'"

Vervang <DeviceName> door de computernaam van het device.

1. 1. Open PowerShell.
   2. Voer dit commando uit om de naam van uw device weer te geven:

$env:COMPUTERNAME

4. Voer deze commando’s achter elkaar uit om te bevestigen dat het device is ingeschreven en wordt beheerd door Microsoft Intune.

Connect-MgGraph

Get-MgDeviceManagementManagedDevice -Filter "deviceName eq '<DeviceName>'"

Inschrijvingsartefacten controleren via de Register-editor

Waarschuwing: het bewerken van het register kan systeemproblemen veroorzaken. Maak een back-up voordat u verdergaat.

Use cases: devices inspecteren op bewijs van inschrijving.

1. Druk op Win + R, typ regedit en druk op Ctrl + Shift + Enter.
2. Controleer de registersleutels om te valideren dat de inschrijvings- of beleidsinstellingen lokaal zijn toegepast.
   1. Sleutels voor Autopilot/MDM-inschrijving:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Enrollments\

1. 1. 1. Als deze sleutel inschrijvingsgegevens bevat, is het device ingeschreven in Intune of een andere MDM

1. 2. AAD Join-artefacten:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CloudDomainJoin

1. 1. 1. Als deze sleutel Entra Join-informatie bevat (bijvoorbeeld join-status, tenant-ID), is het device Entra-joined of hybride Entra-joined.

1. 3. Windows Health Monitoring en MDM-diagnostiek:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\

1. 1. 1. Als deze sleutel geïmplementeerd MDM-beleid en synchronisatietijdstempels bevat, zijn uw instructies via Intune naar dit device gepusht.

Groepsbeleidsinstellingen voor automatische inschrijving valideren

Use cases: zorgen dat devices zich correct automatisch inschrijven in Intune.

Vereisten: een hybride Entra-omgeving.

1. Druk op een domein controller of server op Win + R, typ gpmc.msc en druk op Ctrl + Shift + Enter.
2. Ga naar:

Computerconfiguratie > Beleid > Beheersjablonen > Windows-onderdelen > MDM

3. Scrol omlaag en dubbelklik op Automatische MDM-inschrijving met standaard Entra Join-referenties inschakelen.
4. Klik op Ingeschakeld.
5. Selecteer onder Opties de optie Device Credential.
6. Klik op Toepassen en daarna op OK.
7. Forceer een beleidsupdate:

gpupdate /force

8. Gebruik Resultatenset van beleid (RSOP) of voer het volgende uit om uw wijzigingen te bevestigen:

gpresult /h report.html 

Waar u op moet letten

Bij probleemoplossing voor Intune device enrollment komen low-level instellingen kijken. Zelfs kleine fouten kunnen de bedrijfsvoering verstoren.

Veelvoorkomende oorzaken van mislukte inschrijving

Intune endpoint-fouten oplossen met dsregcmd

Dit zijn de meestvoorkomende obstakels waar IT-professionals tegenaan lopen bij probleemoplossing voor Intune device enrollment:

Restanten van mislukte inschrijvingen verwijderen

Als uw inschrijving wordt geblokkeerd, verwijder dan verouderde records in uw register onder HKLM\SOFTWARE\Microsoft\Enrollments en haal verlopen certificaten weg via de Microsoft Management Console.

Intune MDM-certificaten verlopen na 1 jaar of wanneer het device 40 dagen vóór het verstrijken geen verbinding met Intune heeft gemaakt en afvalt.

Let op: het verwijderen van registervermeldingen brengt aanzienlijke risico’s met zich mee. Verwijder alleen overbodige certificaten en documenteer elke wijziging.

Workplace Join-records wissen

Lukt het niet om een BYOD-device in te schrijven, dan komt dat waarschijnlijk door een bestaand record in Microsoft Entra ID en/of een lokale sleutel, waardoor het systeem uw device als al geregistreerd beschouwt. Zo lost u dat op:

1. Verwijder het Workplace Join-record.
   1. Voer dsregcmd /leave uit met beheerdersrechten.
   2. Ga naar Instellingen > Accounts > Toegang tot werk of school en verbreek de verbinding met het account.
2. Verwijder verouderde objecten in Microsoft Entra ID.

Waarschuwing: het verwijderen van door Intune beheerde devices in Entra leidt tot verlies van toegang tot bedrijfsresources en heeft gevolgen voor andere services zoals Autopilot, Conditional Access, Hybrid Join en meer.

3. Voer een reboot van het systeem uit en probeer uw device daarna opnieuw te koppelen.

Handmatig opnieuw koppelen

Als de automatische inschrijving mislukt, koppelt u uw device zo handmatig:

• Ga naar Instellingen > Accounts > Toegang tot werk of school en verbind het device of
• Voer dsregcmd /join uit met verhoogde rechten

Autopilot Reset gebruiken (indien ingeschakeld) voor volledige herinitialisatie

Moeten uw devices opnieuw worden geconfigureerd voor Intune-inschrijving, gebruik dan Autopilot Reset om ze een frisse start te geven met behoud van hun inschrijvingsstatus en belangrijke gegevens.

Devicelimiet bereikt

Deze veelvoorkomende fout treedt op wanneer een gebruiker het maximale aantal devices heeft geregistreerd dat het beleid toestaat. Standaard beperkt Microsoft Entra het aantal devices per gebruiker tot 5. Nieuwe inschrijvingspogingen mislukken totdat u oude of ongebruikte devices verwijdert, het devicequotum verhoogt in het Entra-beheercentrum of devices opnieuw toewijst om compliant te blijven.

De User Device Registration Service opnieuw starten

Devices worden in Microsoft Entra ID geregistreerd via de User Device Registration Service (UDRS), die u kunt vernieuwen om de werking te verbeteren. Voer daarvoor het volgende uit:

schtasks.exe /run /tn "Microsoft\Windows\Workplace Join\Automatic-Device-Join"

Gebruik dit wanneer een device een eindeloos in behandeling zijnde registratiestatus heeft of geen Primary Refresh Token (PRT) kan genereren.

Diensten van NinjaOne

Intune device enrollment stroomlijnen met custom scripting

Probleemoplossing voor Intune device enrollment vraagt om diverse geavanceerde tools. Van het controleren van gebeurtenissenlogboeken tot het opruimen van restanten van eerdere MDM’s: deze methoden gebruiken verhoogde rechten om belangrijke device-instellingen aan te passen. Houd daarom altijd een back-up achter de hand voor de integriteit van uw gegevens en eventuele nieuwe pogingen.

Vereenvoudig IT Management met geautomatiseerde oplossingen waarmee MSP’s en interne systeembeheerders elk proces aansturen vanuit een enkel dashboard.

Gerelateerde onderwerpen:

• De juiste tool voor software-implementatie kiezen: Intune versus NinjaOne – het perspectief van een gebruiker
• Azure-devices registreren in Intune
• Een bedrijfsdevice toevoegen aan Intune device management
• Een BYOD-device toevoegen aan Intune device management
• Applicaties implementeren via het Microsoft Intune-beheercentrum