{"id":940601,"date":"2026-11-13T17:20:13","date_gmt":"2026-11-13T17:20:13","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/azure-ad-devices-taggen\/"},"modified":"2026-11-13T17:20:14","modified_gmt":"2026-11-13T17:20:14","slug":"azure-ad-devices-taggen","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/nl\/blog\/azure-ad-devices-taggen\/","title":{"rendered":"Zo tagt u Azure AD-devices automatisch op basis van beveiligingsstatus of eigendom"},"content":{"rendered":"<p>Microsoft Entra ID (voorheen Azure AD) wordt inmiddels breed gebruikt voor hybride en cloud-native joined devices. Daardoor is het belangrijker dan ooit om <a href=\"https:\/\/www.ninjaone.com\/blog\/what-is-endpoint-device-overview-for-it-pros\/\">endpoints<\/a> te classificeren op eigendom en naleving van beveiligingsvoorschriften. Geautomatiseerd taggen staat centraal in dat proces en ondersteunt Conditional Access, rapportage, notificaties en lifecycle-workflows, zeker in multi-tenant MSP-omgevingen.<\/p>\n<p>In deze gids leest u met welke methoden u automatisch <strong>Azure AD-tags<\/strong> toekent aan devices op basis van beveiligingsstatus en eigendom. Ook leest u hoe u die tags afdwingt en gebruikt om toegangsregels toe te passen.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>Klik om een methode te kiezen<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Het beste voor individuele gebruikers<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Het beste voor grote organisaties<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-1\"><strong>Methode 1: Azure AD-dynamische groepen gebruiken voor basistagging<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-2\"><strong>Methode 2: devices taggen via de Microsoft Graph API op basis van beveiligingsstatus<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-3\"><strong>Methode 3: registertags gebruiken voor eigendom of beveiligingsclassificatie<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-4\"><strong>Methode 4: Group Policy gebruiken voor consistente tagging op zakelijke devices<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-5\"><strong>Methode 5: Conditional Access of beleidsfilters activeren op basis van tagging<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Methoden om Azure AD-devices automatisch te taggen op basis van beveiligingsstatus en eigendom<\/h2>\n<p>Voordat u met de methoden aan de slag gaat, controleert u of u aan de volgende voorwaarden voldoet voor een soepel verloop:<\/p>\n<ul>\n<li>Microsoft Entra ID (voorheen Azure AD) Premium P1 of P2 (voor dynamische groepen en Conditional Access)<\/li>\n<li>Beheerdersrechten om Entra ID (voorheen Azure AD) of de Microsoft Graph API te bevragen en bij te werken<\/li>\n<li>PowerShell 7+ met de Microsoft Graph-modules ge\u00efnstalleerd<\/li>\n<li>Beleid voor devicecompliance in Intune<\/li>\n<li>Optioneel: NinjaOne voor tagging via register\/beleid en rapportage over meerdere tenants<\/li>\n<\/ul>\n<p>Een stapsgewijze uitleg met schermafbeeldingen vindt u ook op <a href=\"https:\/\/www.ninjaone.com\/videos\/mdm\/how-to-automatically-tag-microsoft-entra-id-devices-based-on-security-state-or-ownership\/\">Zo tagt u Azure AD-devices automatisch op basis van beveiligingsstatus of eigendom<\/a>.<\/p>\n<h3 id=\"method-1\">Methode 1: Azure AD (nu Microsoft Entra ID) dynamische groepen gebruiken voor basistagging<\/h3>\n<p>Met deze basismethode voegt u devices automatisch toe of verwijdert u ze op basis van actuele kenmerken zoals eigendom, besturingssysteem of trust type. Dankzij dynamisch lidmaatschap worden devices altijd correct opgenomen of uitgesloten zonder handwerk.<\/p>\n<p>\ud83d\udccc <strong>Toepassingen:<\/strong> het beste als u devices automatisch op directoryniveau wilt groeperen op ingebouwde kenmerken zoals eigendom, OS of join type.<\/p>\n<p>Stap voor stap:<\/p>\n<ol>\n<li>Ga naar <a href=\"http:\/\/entra.microsoft.com\" target=\"_blank\" rel=\"noopener\">entra.microsoft.com<\/a> en meld u aan met uw beheerdersaccount.<\/li>\n<li>Klik in het linkermenu op <strong>Groepen<\/strong>.<\/li>\n<li>Selecteer <strong>Alle groepen &gt; Nieuwe groep<\/strong>.<\/li>\n<li>Klik bij <strong>Groepstype<\/strong> op <strong>Beveiliging<\/strong>.<\/li>\n<li>Voer de <strong>Groepsnaam <\/strong>en <strong>Beschrijving<\/strong> in.<\/li>\n<li>Selecteer bij <strong>Lidmaatschapstype<\/strong> de optie <strong>Dynamisch apparaat &gt; <\/strong>en klik op <strong>Dynamische query toevoegen<\/strong>.<\/li>\n<li>Voer deviceregels in zoals: (Lees #1 in \u26a0\ufe0f <a href=\"#things-to-look-out-for\"><em>Waar u op moet letten<\/em><\/a>.)\n<ul>\n<li><strong><code>device.deviceOwnership -eq \"Company\"<\/code><\/strong><\/li>\n<li><strong><code>device.deviceOwnership -eq \"Personal\"<\/code><\/strong><\/li>\n<li><strong><code>device.trustType -eq \"AzureAD\"<\/code><\/strong><\/li>\n<li><strong><code>device.isCompliant -eq true<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">Voorbeeld van een groepsregel voor bedrijfseigen, compliant devices:<\/p>\n<p style=\"padding-left: 40px;\"><strong><code>(device.deviceOwnership -eq \"Company\") and (device.isCompliant -eq true)<\/code><\/strong><\/p>\n<ol start=\"8\">\n<li>Klik op <strong>Opslaan<\/strong>.<\/li>\n<li>Gebruik deze dynamische groepen om beleid toe te wijzen, compliance te monitoren of rapportage te segmenteren.<\/li>\n<\/ol>\n<p><strong>\ud83d\udca1 Tip<\/strong>: lees voor meer details <a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/identity\/users\/groups-dynamic-membership\" target=\"_blank\" rel=\"noopener\"><em>Regels beheren voor dynamische lidmaatschapsgroepen in Microsoft Entra ID<\/em><\/a>.<\/p>\n<h3 id=\"method-2\">Methode 2: devices taggen via de Microsoft Graph API op basis van beveiligingsstatus<\/h3>\n<p>Dynamische groepen kunnen niet rechtstreeks filteren op compliance of risico. Met de Microsoft Graph API bevraagt u devices op compliance- of beveiligingsstatus en schrijft u aangepaste tags (extension attributes) terug naar het device-object in Entra ID (voorheen Azure AD). Die tags kunt u vervolgens gebruiken voor rapportage, automatisering of Conditional Access-beleid.<\/p>\n<p><strong>\ud83d\udccc Toepassingen:<\/strong> het beste als u tagging wilt automatiseren op basis van compliance- of risicosignalen die standaard niet in Entra beschikbaar zijn.<\/p>\n<p>Stap voor stap:<\/p>\n<ol>\n<li>Installeer de Graph-module: (Lees #2 in \u26a0\ufe0f <a href=\"#things-to-look-out-for\"><em>Waar u op moet letten<\/em><\/a>.)<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>Install-Module Microsoft.Graph -Scope CurrentUser<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code>Install-Module Microsoft.Graph.DeviceManagement -Scope CurrentUser<\/code><\/strong><\/p>\n<ol start=\"2\">\n<li>Maak verbinding met Graph:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>Connect-MgGraph -Scopes \"DeviceManagementManagedDevices.ReadWrite.All\", \"Device.ReadWrite.All\"<\/code><\/strong><\/p>\n<ol start=\"3\">\n<li>Bevraag devices met de status niet-compliant:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>$devices = Get-MgDeviceManagementManagedDevice | Where-Object { $_.ComplianceState -ne \"compliant\" }<\/code><\/strong><\/p>\n<ol start=\"4\">\n<li>Pas een extension attribute-tag toe:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>foreach ($d in $devices) {<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code> $entraDevice = Get-MgDevice -Filter \"deviceId eq '$($d.AzureADDeviceId)'\"<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code> Update-MgDevice -DeviceId $entraDevice.Id -AdditionalProperties @{<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code> extensionAttribute1 = \"NonCompliant\"<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code> }<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong><code>}<\/code><\/strong><\/p>\n<ol start=\"5\">\n<li>Gebruik deze attributen voor aangepaste compliancerapporten of om toewijzingsregels op te bouwen.<\/li>\n<\/ol>\n<h3 id=\"method-3\">Methode 3: registertags gebruiken voor eigendom of beveiligingsclassificatie<\/h3>\n<p>Als de ingebouwde kenmerken niet volstaan, voegt u aangepaste tags rechtstreeks toe aan het <a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/windows-register\/\">Windows-register<\/a>. Deze lichte tags haalt u vervolgens naar Intune met <a href=\"https:\/\/learn.microsoft.com\/en-us\/intune\/intune-service\/fundamentals\/remediations\" target=\"_blank\" rel=\"noopener\">Proactive Remediation<\/a> of Custom Compliance.<\/p>\n<p><strong>\ud83d\udccc Toepassingen: <\/strong>het beste als u aangepaste, organisatiespecifieke labels lokaal op devices wilt opslaan voor compliance of rapportage.<\/p>\n<p>Stap voor stap:<\/p>\n<ol>\n<li>Gebruik op endpoints (vooral hybrid-joined) PowerShell om registertags weg te schrijven:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>New-Item -Path \"HKLM:\\SOFTWARE\\Org\\DeviceTags\" -Force<\/code><\/strong><br \/>\n<strong><code>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\DeviceTags\" -Name \"Ownership\" -Value \"Company\"<\/code><\/strong><br \/>\n<strong><code>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\DeviceTags\" -Name \"Compliance\" -Value \"Healthy\"<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\">Hiermee maakt u een aangepast registerpad met twee tags:<\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Ownership = Company<\/li>\n<li>Compliance = Healthy<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"2\">\n<li>Controleer via de opdrachtprompt:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>reg query HKLM\\SOFTWARE\\Org\\DeviceTags<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\">Zo bevestigt u of de waarden correct zijn ingesteld.<\/p>\n<ol start=\"3\">\n<li>Gebruik RMM-tools of Intune Proactive Remediation-scripts om deze waarden centraal te verzamelen en te beheren.<\/li>\n<\/ol>\n<h3 id=\"method-4\">Methode 4: Group Policy gebruiken voor consistente tagging op zakelijke devices<\/h3>\n<p>In hybride of AD-joined omgevingen kan Group Policy registertags als basislijn afdwingen of scripts uitvoeren op alle zakelijke devices. Dat zorgt voor consistente tagging, zelfs voordat devices in Intune zijn ingeschreven.<\/p>\n<p><strong>\ud83d\udccc Toepassingen: <\/strong>het beste als u hybride of AD-joined devices beheert en consistente bedrijfstags op grote schaal wilt toepassen.<\/p>\n<p>Stap voor stap:<\/p>\n<ol>\n<li>Druk op <strong>Win + R<\/strong>, typ <strong>gpmc<\/strong>.msc en druk op <strong>Enter <\/strong>om de <strong>Groepsbeleidsbeheerconsole<\/strong> te openen.<\/li>\n<li>Ga naar de OU (Organizational Unit) met uw doeldevices. (Lees #3 in \u26a0\ufe0f <a href=\"#things-to-look-out-for\"><em>Waar u op moet letten<\/em><\/a>.)<\/li>\n<li>Klik met de rechtermuisknop op de OU <strong>&gt; Een GPO in dit domein maken<\/strong>.<\/li>\n<li>Klik met de rechtermuisknop op de nieuwe GPO <strong>&gt; Bewerken<\/strong>.<\/li>\n<li>Ga naar:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Computerconfiguratie &gt; Beleid<\/strong> <strong>&gt; Windows-instellingen &gt; Scripts &gt; Opstarten<\/strong><\/p>\n<ol start=\"6\">\n<li>Klik op <strong>Toevoegen &gt; Bladeren<\/strong> en zoek uw PowerShell-script op.<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">Plak deze opdracht in een teksteditor en sla het bestand op als .ps1-bestand:<\/p>\n<p style=\"padding-left: 40px;\"><strong><code>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\DeviceTags\" -Name \"Ownership\" -Value \"Company\"<\/code><\/strong><\/p>\n<ol start=\"7\">\n<li>Zodra het beleid is toegepast, dragen alle doeldevices consistente tags.<\/li>\n<\/ol>\n<p>Zo tagt u Windows 10\/11 Pro-devices die niet in Intune zijn ingeschreven maar wel aan Entra of hybride AD zijn gekoppeld.<\/p>\n<h3 id=\"method-5\">Methode 5: Conditional Access of beleidsfilters activeren op basis van tagging<\/h3>\n<p>Zodra devices zijn gegroepeerd of getagd (methoden 1-4), gebruiken Conditional Access en Intune-filters die tags om toegangsregels af te dwingen en de juiste basislijnen toe te passen. Hier wordt tagging pas echt bruikbaar voor beveiliging in de praktijk.<\/p>\n<p><strong>\ud83d\udccc Toepassingen: <\/strong>het beste als u toegangs- en beleidsbeslissingen wilt afdwingen op basis van bestaande devicetags.<\/p>\n<h4>Verschillende compliancebeleidsregels of beveiligingsbasislijnen toewijzen (bijvoorbeeld strengere controles voor persoonlijke devices)<\/h4>\n<ul>\n<li>Gebruik Intune-toewijzingsfilters om strengere compliancebeleidsregels en basislijnen toe te passen op zakelijke devices (bijvoorbeeld BitLocker of Defender AV verplichten) en lichtere regels op persoonlijke devices.<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Tip<\/strong>: lees voor meer details <a href=\"https:\/\/learn.microsoft.com\/en-us\/intune\/intune-service\/fundamentals\/filters\" target=\"_blank\" rel=\"noopener\"><em>Filters gebruiken bij het toewijzen van apps, beleid en profielen in Microsoft Intune<\/em><\/a>.<\/p>\n<h4>Conditional Access-beleid (CA) maken op basis van eigendom of compliance<\/h4>\n<p>Gebruik devicefilters in <a href=\"https:\/\/www.ninjaone.com\/blog\/configure-conditional-access-policies-ad\/\">Conditional Access<\/a> om toegangsregels af te dwingen op basis van eigendom en compliancestatus.<\/p>\n<p>Voorbeelden:<\/p>\n<ul>\n<li>Zakelijke devices moeten compliant zijn voordat ze toegang krijgen tot Microsoft 365-apps.<\/li>\n<li>Persoonlijke devices toestaan, maar alleen met MFA of beperkte browsertoegang.<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Tip<\/strong>: lees voor meer details <a href=\"https:\/\/docs.azure.cn\/en-us\/entra\/identity\/conditional-access\/policy-all-users-device-compliance\" target=\"_blank\" rel=\"noopener\"><em>Devicecompliance vereisen met Conditional Access<\/em><\/a> en <a href=\"https:\/\/learn.microsoft.com\/en-us\/intune\/intune-service\/protect\/create-conditional-access-intune\" target=\"_blank\" rel=\"noopener\"><em>Een apparaatgebaseerd Conditional Access-beleid maken<\/em><\/a>.<\/p>\n<h4>Microsoft Defender for Endpoint gebruiken om risicovolle of niet-getagde devices te escaleren voor herstel<\/h4>\n<ul>\n<li>Integreer risicosignalen van Defender in uw Intune-compliancebeleid.<\/li>\n<li>Devices die in Defender zijn getagd als High Risk of Noncompliant kunnen automatisch worden geblokkeerd of via Conditional Access worden gedwongen tot herstel.<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Tip<\/strong>: lees voor meer details <a href=\"https:\/\/learn.microsoft.com\/en-us\/intune\/intune-service\/protect\/advanced-threat-protection\" target=\"_blank\" rel=\"noopener\"><em>Microsoft Defender for Endpoint gebruiken om devicecompliance af te dwingen met Microsoft Intune<\/em><\/a>.<\/p>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Waar u op moet letten<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Risico\u2019s<\/strong><\/td>\n<td><strong>Mogelijke gevolgen<\/strong><\/td>\n<td><strong>Hoe u het terugdraait<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1. Onjuiste attribuutwaarden gebruiken in regels voor dynamische groepen<\/td>\n<td>De groep vult zich niet; devices worden uitgesloten van targeting<\/td>\n<td>Pas de groepsregel aan met de juiste syntaxis (bijvoorbeeld <strong><code>device.deviceOwnership -eq \"Company\"<\/code><\/strong>) en sla op<\/td>\n<\/tr>\n<tr>\n<td>2. Ontbrekende of onjuiste permission scopes voor de Graph API<\/td>\n<td>Het script mislukt zonder melding of kan device-objecten niet bijwerken<\/td>\n<td>Maak opnieuw verbinding met de juiste scope: <strong><code>Device.ReadWrite.All, DeviceManagementManagedDevices.Read.All<\/code><\/strong><\/td>\n<\/tr>\n<tr>\n<td>3. Een Group Policy Object (GPO) koppelen op domeinniveau in plaats van aan een specifieke OU.<\/td>\n<td>Tags worden toegepast op alle devices in het domein, ook op devices waarvoor ze niet bedoeld zijn<\/td>\n<td>Ontkoppel de GPO of koppel hem aan de juiste OU en voer daarna <strong><code>gpupdate \/force<\/code><\/strong> uit<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Aanvullende overwegingen<\/h2>\n<p>Houd bij het configureren van tags rekening met de volgende punten:<\/p>\n<h3>Gevoeligheid van tags<\/h3>\n<p>Tags hebben rechtstreeks invloed op toegang en beleidshandhaving. Verkeerd getagde devices kunnen beveiligingen omzeilen of juist te streng worden beheerd. Handmatig taggen is foutgevoelig en kwetsbaar voor manipulatie door lokale beheerders. Gebruik geautomatiseerde tagging via Intune-filters, de Graph API of Defender-regels om de integriteit te bewaken.<\/p>\n<h3>Beperkingen rond BYOD<\/h3>\n<p><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-management\/what-is-byod-bring-your-own-device\/\">Bring Your Own Device (BYOD)<\/a>-endpoints voldoen vaak niet aan volledige zakelijke beveiligingsbasislijnen. Met tagging past u risicogebaseerde toegangscontroles toe zonder de productiviteit te blokkeren. Gebruik eigendomstags om toegang te beperken voor persoonlijke of niet-vertrouwde devices.<\/p>\n<h3>Multi-tenant MSP-omgevingen<\/h3>\n<p><a href=\"https:\/\/www.ninjaone.com\/nl\/msp\/what-is-an-msp\/\">Managed service providers (MSP\u2019s)<\/a> die meerdere tenants beheren doen er goed aan hun tagginglogica te standaardiseren over alle omgevingen heen. Gebruik consistente registerpaden, apparaatcategorie\u00ebn of extension attributes. Stem de regels voor dynamische groepen op elkaar af zodat beleid en rapporten in elke tenant hetzelfde werken.<\/p>\n<h3>Audit trails<\/h3>\n<p>Omdat tags gekoppeld zijn aan toegang, moeten wijzigingen traceerbaar zijn. Gebruik de auditlogboeken van Microsoft Entra, de compliancerapporten van Intune-devices en de uitvoeringslogboeken van de Graph API om te controleren wie wat wanneer en waarom wijzigt.<\/p>\n<h2>Problemen oplossen<\/h2>\n<p>Dit zijn de meest voorkomende problemen tijdens de configuratie en hun oplossing:<\/p>\n<h3>Tags zijn niet zichtbaar<\/h3>\n<p>Als een device of gebruiker de verwachte tag niet toont, ligt dat meestal aan ontbrekende Graph API-permissies of aan een device-object dat niet goed is gesynchroniseerd naar Entra ID (voorheen Azure AD).<\/p>\n<ul>\n<li>Controleer de permission scopes van de Graph API:\n<ul>\n<li><strong>Device.ReadWrite.All<\/strong> om tags te schrijven<\/li>\n<li><strong>Device.Read.All <\/strong>om ze te lezen<\/li>\n<\/ul>\n<\/li>\n<li>Bevestig dat de gebruiker of het device bestaat in Azure AD (nu Entra ID) en correct is gesynchroniseerd of geregistreerd.<\/li>\n<\/ul>\n<h3>Dynamische groep vult zich niet<\/h3>\n<p>Als een nieuwe dynamische groep leeg blijft, komt dat meestal door een fout in de regelsyntaxis of door een vertraging in de evaluatie.<\/p>\n<ul>\n<li>Controleer de regelsyntaxis nog eens:\n<ul>\n<li><strong><code>(device.deviceOwnership -eq \"Company\")<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Houd er rekening mee dat het na het aanmaken of na attribuutwijzigingen tot 15 minuten kan duren voordat dynamische groepen worden ge\u00ebvalueerd. Vaak is even wachten al genoeg.<\/li>\n<\/ul>\n<h3>Registersleutels ontbreken<\/h3>\n<p>Als de verwachte registertags niet op een device verschijnen:<\/p>\n<ul>\n<li>Controleer of uw PowerShell- of GPO-script daadwerkelijk wordt uitgerold en uitgevoerd.<\/li>\n<li>Zorg dat het wordt uitgevoerd met systeem- of beheerdersrechten.<\/li>\n<li>Schakel bij Intune-scripts de optie in om ze in 64-bits PowerShell uit te voeren, zodat waarden niet onder WOW6432Node terechtkomen.<\/li>\n<\/ul>\n<h3>Intune-filters werken niet<\/h3>\n<p>Als het compliancebeleid, de basislijn of de app niet wordt toegepast zoals verwacht, terwijl de filters wel zijn geconfigureerd:<\/p>\n<ul>\n<li>Controleer of de syntaxis van de filterregel overeenkomt met de werkelijke deviceattributen.<\/li>\n<li>Controleer of de filtermodus juist is ingesteld (Opnemen of Uitsluiten).<\/li>\n<li>Zorg dat het compliancebeleid zelf geldig is en is toegewezen. Een filter heeft geen effect als er geen beleidshandhaving is.<\/li>\n<\/ul>\n<h2>NinjaOne-diensten<\/h2>\n<p>NinjaOne versterkt uw tagstrategie voor Microsoft Entra ID (voorheen Azure AD) op de volgende manieren:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong>Mogelijkheid<\/strong><\/td>\n<td><strong>Wat NinjaOne mogelijk maakt<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Tagging via scripts<\/td>\n<td>Scripts voor registertagging uitrollen op basis van devicerol, gebruiker of compliancestatus<\/td>\n<\/tr>\n<tr>\n<td>Registerrapportage<\/td>\n<td>Monitoring en rapportage over aangepaste registerwaarden zoals Ownership, Department of RiskLevel<\/td>\n<\/tr>\n<tr>\n<td>Endpointtoewijzing<\/td>\n<td><a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/\">Endpoints<\/a> binnen NinjaOne zelf taggen als spiegel van uw Azure AD-filters (bijvoorbeeld \u201cNon-Compliant\u201d, \u201cBYOD\u201d, \u201cTier1\u201d)<\/td>\n<\/tr>\n<tr>\n<td>Notificaties op basis van tags<\/td>\n<td>Notificaties of taken activeren wanneer tagwaarden van een device veranderen of buiten de verwachte waarden vallen<\/td>\n<\/tr>\n<tr>\n<td>Beleidsautomatisering<\/td>\n<td><a href=\"https:\/\/www.ninjaone.com\/backup\/backup-system\/\">Backup<\/a>&#8211; of patchingbeleid integreren op basis van groepslidmaatschap dat door tags wordt bepaald<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Met NinjaOne breiden MSP\u2019s het ecosysteem voor devicetagging van Azure AD uit met registergebaseerde logica, RMM-inzicht en automatisering.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Quick-start guide<\/h2><p>NinjaOne kan Azure AD-devices automatisch taggen op basis van beveiligingsstatus of eigendom. Zo werkt het:<\/p>\n<p><b>Belangrijkste mogelijkheden:<\/b><\/p>\n<p>1. <b>Azure AD-integratie<\/b>:<\/p>\n<ul>\n<li>NinjaOne integreert rechtstreeks met Azure AD om device-informatie op te halen<\/li>\n<li>Het heeft toegang tot belangrijke kenmerken zoals eigendom van het device (zakelijk of persoonlijk), compliancestatus en join type<\/li>\n<\/ul>\n<p>2. <b>Automatische tagging<\/b>:<\/p>\n<p>U kunt regels maken die automatisch tags toepassen op basis van Azure AD-kenmerken<\/p>\n<p><strong>Bijvoorbeeld:<\/strong> alle devices met \u201cCorporate-owned\u201d voorzien van de tag \u201cCorporate\u201d<\/p>\n<p>3. <b>Tagging op beveiligingsstatus<\/b>:<\/p>\n<ul>\n<li>Devices taggen op basis van compliancestatus (compliant of niet-compliant)<\/li>\n<li>Tags maken voor devices waarop beveiligingsupdates of <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-multifactor-authentication-mfa\/\">MFA<\/a> ontbreken<\/li>\n<\/ul>\n<p>4. <b>Tagging op basis van eigendom<\/b>:<\/p>\n<ul>\n<li>Devices automatisch taggen als \u201cCorporate\u201d of \u201cPersonal\u201d op basis van het eigendomskenmerk in Azure AD<\/li>\n<li>Dat helpt bij licenties, beleidstoewijzing en rapportage<\/li>\n<\/ul>\n<\/div>\n<h2>Pas Azure AD-tags automatisch toe voor betere beveiliging en compliance<\/h2>\n<p>Door Microsoft Entra ID-devices (voorheen Azure AD) automatisch te taggen op eigendom en beveiligingsstatus, krijgt u slimmere toegangscontrole, betere rapportage en gerichtere beleidshandhaving.<\/p>\n<p>Deze gids gaf een compleet overzicht van het gebruik van dynamische Azure AD-groepen en tagging via de Graph API, evenals tagging op endpoints via het register en GPO\u2019s. Daarnaast kwamen methoden aan bod om tags in alle systemen te valideren met de opdrachtprompt en PowerShell.<\/p>\n<p>Tot slot las u hoe NinjaOne devicetagging bij al uw klanten kan uitbreiden en monitoren, waardoor MSP\u2019s en IT-teams meer inzicht en automatisering krijgen.<\/p>\n<p><strong>Gerelateerde onderwerpen:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/msp-automation-process-overview\/\">De complete gids voor MSP-automatisering<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/azure-devices-registreren-in-intune\/\">Zo registreert u Azure-devices in Intune<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/hybrid-azure-ad-join\/\">Wat is Hybrid Azure AD Join en hoe stelt u het in?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/videos\/mdm\/how-to-create-dynamic-groups-in-microsoft-entra-id\/\">Zo maakt u dynamische groepen in Microsoft Entra ID<\/a> (video)<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Microsoft Entra ID (voorheen Azure AD) wordt inmiddels breed gebruikt voor hybride en cloud-native joined devices. Daardoor is het belangrijker dan ooit om endpoints te classificeren op eigendom en naleving van beveiligingsvoorschriften. Geautomatiseerd taggen staat centraal in dat proces en ondersteunt Conditional Access, rapportage, notificaties en lifecycle-workflows, zeker in multi-tenant MSP-omgevingen. In deze gids leest [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":539749,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4358],"tags":[],"class_list":["post-940601","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops-nl"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/940601","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/comments?post=940601"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/940601\/revisions"}],"predecessor-version":[{"id":940602,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/940601\/revisions\/940602"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media\/539749"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media?parent=940601"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/categories?post=940601"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/tags?post=940601"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}