Microsoft Intune: Windows-apparaatconfiguratie beheersbaar inrichten

Een medewerker verandert zelf een beveiligingsinstelling, een nieuwe laptop mist de juiste browserconfiguratie en op een derde apparaat staat nog een oud wifi-profiel. Als Windows-apparaten één voor één worden ingericht, ontstaan zulke verschillen bijna vanzelf. Microsoft Intune helpt om instellingen centraal vast te leggen en gecontroleerd naar beheerde apparaten te sturen.

Dat centrale beheer is waardevol, maar alleen als profielen begrijpelijk blijven. Een lange lijst met namen als “Windows beleid nieuw 2” maakt niet duidelijk wat verplicht is, wie eigenaar is of wat er gebeurt wanneer twee instellingen botsen. Een goed apparaatconfiguratiemodel begint daarom niet met zo veel mogelijk schakelaars. Het begint met een kleine basis, duidelijke doelgroepen, een pilot en bewijs dat de gewenste instelling werkelijk op het apparaat is toegepast.

In deze gids lees je hoe apparaatconfiguratieprofielen in Intune werken, welke profieltypen je kunt tegenkomen en hoe je voor Windows 10 en Windows 11 een beheersbare standaard opzet. Windows 10 bereikte op 14 oktober 2025 het einde van de algemene ondersteuning. Gebruik nieuwe inrichting daarom primair voor ondersteunde Windows 11-apparaten en behandel resterende Windows 10-systemen als een expliciete migratie- of uitzonderingsgroep.

Wat is een apparaatconfiguratieprofiel?

Een apparaatconfiguratieprofiel is een verzameling instellingen die Intune aan geselecteerde gebruikers of apparaten toewijst. Denk aan regels voor Microsoft Edge, OneDrive, beveiligingsopties, netwerkverbindingen, updategedrag, functies van Windows en de zichtbare gebruikerservaring.

Intune bewaart de gewenste configuratie in de cloud. Een beheerd apparaat meldt zich periodiek aan, ontvangt de toegewezen instellingen en rapporteert of de toepassing is gelukt, nog bezig is of een fout oplevert. Daardoor hoeft een beheerder niet bij iedere laptop langs te gaan.

Een profiel is niet hetzelfde als een app, compliancebeleid of Conditional Access-regel:

• Configuratieprofiel: bepaalt hoe een apparaat of Windows-onderdeel wordt ingesteld.
• App-toewijzing: installeert of biedt software aan.
• Compliancebeleid: beoordeelt of een apparaat aan afgesproken voorwaarden voldoet.
• Conditional Access: beslist op basis van identiteit, apparaatstatus en context of toegang wordt toegestaan.

Deze lagen werken samen. Een configuratieprofiel kan BitLocker instellen, een compliancebeleid kan controleren of versleuteling actief is en Conditional Access kan toegang beperken wanneer het apparaat niet voldoet. Verwar de lagen niet, want een ingestelde waarde is pas betrouwbaar als rapportage en toegangsbeleid logisch aansluiten.

De profieltypen die je moet kennen

Intune biedt meerdere manieren om Windows-instellingen te beheren. De beschikbare namen en opties kunnen veranderen wanneer Microsoft het beheercentrum vernieuwt, maar de hoofdvormen blijven herkenbaar.

Instellingencatalogus. Dit is voor veel nieuwe Windows-profielen het beste startpunt. Je zoekt afzonderlijke instellingen, voegt alleen de benodigde waarden toe en ziet per instelling een beschrijving. De catalogus wordt door Microsoft uitgebreid zonder dat je een compleet nieuw sjabloon nodig hebt.

Sjablonen. Een sjabloon groepeert instellingen rond een bekend onderwerp of oudere beheermethode. Voorbeelden zijn apparaatbeperkingen, endpointbeveiliging of administratieve sjablonen. Gebruik een sjabloon wanneer het onderwerp en de beheerervaring aantoonbaar beter passen dan losse catalogusinstellingen.

Aangepaste profielen. Een aangepast profiel gebruikt meestal CSP- of OMA-URI-instellingen. Dit is nuttig wanneer een ondersteunde Windows-instelling nog niet in de catalogus of een geschikt sjabloon staat. Het vraagt meer technische kennis en zorgvuldig testen. Gebruik deze route niet alleen omdat een oud script dat ooit deed.

Endpoint security-beleid. Beveiligingsonderwerpen zoals antivirus, firewall, schijfversleuteling en accountbeveiliging hebben vaak een eigen beheerervaring. Zet dezelfde beveiligingsinstelling niet tegelijk in een configuratieprofiel en een endpoint security-profiel. Kies één eigenaar en één bron voor die instelling.

Ontwerp eerst de basislaag

Begin met de vraag welke instellingen voor ieder beheerd Windows-apparaat gelijk moeten zijn. Een praktische basis kan bestaan uit:

• Microsoft Edge-beveiliging en organisatie-instellingen;
• OneDrive Known Folder Move en stille aanmelding, na een pilot;
• Windows Update-ringen en herstartgedrag;
• Defender- en firewallinstellingen via de passende beveiligingslaag;
• BitLocker-configuratie en veilige opslag van herstelsleutels;
• beperkingen op lokale beheerdersrechten;
• diagnostiek en privacyinstellingen die bij het organisatiebeleid passen;
• een beperkt aantal productiviteitsinstellingen die support aantoonbaar eenvoudiger maken.

Maak daarna alleen aanvullende profielen voor echte verschillen, bijvoorbeeld kioskapparaten, gedeelde baliewerkplekken of een afdeling met een bedrijfskritische applicatie. Bouw niet per afdeling een kopie van hetzelfde basisprofiel. Iedere kopie kan later ongemerkt anders worden.

Gebruik een vaste naamstructuur, bijvoorbeeld WIN11 - Basis - OneDrive - Productie. Neem platform, doel, onderwerp en fase op. Leg in de beschrijving ook de eigenaar, wijzigingsreden en verwijzing naar de pilot vast. Zo kan een collega maanden later nog begrijpen waarom het profiel bestaat.

Van ontwerp naar gecontroleerde toepassing

Een profiel is pas productierijp wanneer de hele keten is bewezen: doel, instellingen, toewijzing, apparaatresultaat en beheer na ingebruikname.

Wat je hier moet zien: Een veilige Intune-uitrol begint met een klein, controleerbaar profiel, bewijst de werking op pilotapparaten en gaat pas daarna naar productie met blijvende monitoring.

Ontwerp. Beschrijf het probleem dat je oplost en het verwachte resultaat op het apparaat. Voeg alleen instellingen toe die bij dat doel horen. Een profiel “alles voor Windows” is moeilijk te testen en bij een storing moeilijk terug te draaien.

Pilot. Wijs het profiel eerst toe aan een kleine groep met representatieve apparaten en gebruikers. Neem verschillende laptopmodellen, een thuiswerker en een kantoorwerkplek op. Gebruik geen groep die toevallig ook alle beheerders bevat zonder de impact te begrijpen.

Controle. Bekijk in Intune de status per instelling en per apparaat. Controleer daarnaast op het apparaat zelf of de gewenste ervaring klopt. Een groene algemene status kan onvoldoende uitleg geven wanneer één instelling niet toepasbaar is of door een andere bron wordt overschreven.

Productie. Breid de toewijzing gefaseerd uit. Houd pilot en productie herkenbaar gescheiden. Kies een moment waarop support beschikbaar is en communiceer zichtbare veranderingen vooraf.

Monitoring. Controleer fouten, conflicten en apparaten die lang niet synchroniseren. Leg vast hoeveel fouten acceptabel zijn, wie onderzoekt en wanneer een uitrol wordt gepauzeerd.

Toewijzen aan gebruikers of apparaten

De keuze tussen gebruikersgroepen en apparaatgroepen bepaalt wanneer en voor wie een profiel geldt.

Gebruik een gebruikersgroep wanneer de instelling bij de persoon en diens werkervaring hoort, ongeacht welk beheerd apparaat wordt gebruikt. Gebruik een apparaatgroep wanneer de configuratie aan het apparaatdoel is gekoppeld, bijvoorbeeld een kiosk, gedeelde balie of specifieke hardwareklasse.

Vermijd ingewikkelde combinaties van brede inclusies en veel uitsluitingen. Een profiel dat aan “alle gebruikers” is toegewezen en daarna vijf uitzonderingsgroepen gebruikt, is lastig uit te leggen en te controleren. Werk liever met een eenvoudige doelgroep en een gedocumenteerde reden voor iedere uitzondering.

Dynamische groepen kunnen apparaten automatisch selecteren op eigenschappen. Dat bespaart beheer, maar een fout in de regel kan direct een grote doelgroep raken. Test daarom hoeveel apparaten de regel selecteert en controleer voorbeelden voordat je een profiel koppelt.

Voorkom conflicten en dubbele bronnen

Een configuratieconflict ontstaat wanneer twee beheerbronnen voor dezelfde instelling een andere waarde vragen. Dat kan gebeuren tussen twee Intune-profielen, tussen Intune en een oude groepsbeleidomgeving of tussen een configuratieprofiel en endpoint security-beleid.

Hanteer daarom drie regels:

1. één instelling heeft één aangewezen beleidsbron;
2. een uitzondering krijgt een eigen, smal profiel in plaats van een kopie van de hele basis;
3. wijzigingen beginnen met zoeken naar bestaande profielen die dezelfde instelling bevatten.

Bij organisaties die nog lokale Active Directory en groepsbeleid gebruiken, is extra inventarisatie nodig. Migreer niet blind ieder groepsbeleid naar Intune. Sommige oude instellingen zijn niet meer relevant, andere hebben een modernere Windows-aanpak en weer andere vereisen een technische afhankelijkheid die eerst moet worden opgelost.

Een realistische pilot uitvoeren

Kies voor de pilot minimaal vijf tot tien apparaten wanneer de omgeving dat toelaat. Zorg dat de groep niet alleen uit IT bestaat. Neem verschillende werkpatronen op en spreek vooraf af welke controles worden uitgevoerd.

Controleer tijdens de pilot:

• verschijnt de toewijzing op de verwachte apparaten;
• wordt iedere instelling als geslaagd, fout of niet toepasbaar gerapporteerd;
• blijft aanmelden met het werkaccount functioneren;
• starten kritieke applicaties en browserkoppelingen normaal;
• werken wifi, VPN, printers en externe beeldschermen;
• ontvangt de servicedesk begrijpelijke foutinformatie;
• herstelt het apparaat na herstart en synchronisatie;
• verdwijnt de instelling gecontroleerd wanneer het profiel wordt verwijderd of gewijzigd.

Test ook op mobiel internet of een normaal thuisnetwerk als medewerkers buiten kantoor werken. Een profiel dat alleen op het snelle bedrijfsnetwerk is beproefd, geeft geen volledig beeld van de uitrol.

Voor nieuwe laptops sluit dit proces aan op Windows Autopilot voor automatische laptopinrichting. Autopilot brengt het apparaat in beheer; Intune-profielen bepalen daarna de concrete werk- en beveiligingsconfiguratie. Voor apparaten die handmatig worden toegevoegd, helpt de gids Microsoft Intune: bedrijfsapparaten inschrijven via Company Portal om de inschrijvingsroute te begrijpen.

Fouten onderzoeken zonder te gokken

Begin bij een mislukte instelling niet direct met opnieuw maken van het profiel. Noteer eerst apparaat, gebruiker, tijdstip, profiel, instelling en foutcode. Controleer daarna in deze volgorde:

1. staat het apparaat actief en correct ingeschreven in Intune;
2. valt gebruiker of apparaat werkelijk binnen de bedoelde toewijzing;
3. ondersteunt Windows-editie en versie de gekozen instelling;
4. is dezelfde instelling ook vanuit een ander profiel of beheerkanaal ingesteld;
5. heeft het apparaat recent gesynchroniseerd;
6. geeft de detailstatus een foutcode of “niet toepasbaar” terug;
7. werkt de wijziging op een schoon pilotapparaat met dezelfde Windows-versie.

Een handmatige synchronisatie kan de wachttijd verkorten, maar lost geen foutieve doelgroep of niet-ondersteunde instelling op. Vermijd ook snelle noodprofielen zonder eigenaar. Zulke profielen blijven vaak bestaan en veroorzaken later precies het conflict dat je probeerde te omzeilen.

Windows 10 als bewuste uitzondering

Sinds het einde van de algemene ondersteuning op 14 oktober 2025 ontvangt Windows 10 niet meer standaard de normale beveiligingsupdates. Er bestaan specifieke Extended Security Updates-scenario's, maar die vervangen geen migratieplan naar ondersteunde Windows 11-hardware.

Maak voor resterende Windows 10-apparaten een aparte inventaris met eigenaar, reden, einddatum en migratiepad. Gebruik geen nieuw algemeen configuratieprofiel om Windows 10 stilzwijgend als normale standaard te houden. Controleer bovendien of instellingen die voor Windows 11 zijn ontworpen dezelfde ondersteuning en werking hebben op Windows 10.

Veelgemaakte fouten

Alles in één profiel stoppen

Een monolithisch profiel is moeilijk te testen, te begrijpen en gecontroleerd te wijzigen. Groepeer instellingen per doel en houd de basis compact.

Meteen aan alle apparaten toewijzen

Een foutieve instelling kan aanmelden, netwerk of kritieke applicaties raken. Begin met een pilot, meet en breid gefaseerd uit.

Alleen naar de groene totaalscore kijken

Controleer status per instelling en het werkelijke apparaatgedrag. Een samenvatting kan uitzonderingen en niet-toepasbare waarden verbergen.

Oude profielen laten bestaan

Niet-toegewezen of vervangen profielen vergroten de kans op verwarring. Archiveer de wijzigingsreden, verwijder pas na controle en behoud waar nodig auditbewijs.

Geen terugvalplan hebben

Bepaal vooraf hoe je een foutieve toewijzing stopt, welke instelling moet worden hersteld en hoe support getroffen gebruikers bereikt. Test terugdraaien in de pilot.

Controlelijst voor productie

• Doel, eigenaar en verwachte apparaatuitkomst zijn beschreven.
• Het profiel bevat alleen instellingen voor één samenhangend onderwerp.
• Er is gecontroleerd op dubbele of conflicterende beleidsbronnen.
• De doelgroep en eventuele uitzondering zijn begrijpelijk.
• Representatieve pilotapparaten rapporteren de instellingen correct.
• De werking is ook op het apparaat zelf gecontroleerd.
• Windows-versie en editie ondersteunen de gekozen instellingen.
• Zichtbare veranderingen zijn aan gebruikers en support uitgelegd.
• Foutcodes, conflicten en niet-synchroniserende apparaten worden bewaakt.
• Er is een getest terugvalplan.
• Resterende Windows 10-apparaten hebben een migratiedatum.

Wil je weten welke Windows-apparaten, beleidsconflicten en beveiligingsinstellingen in jouw omgeving als eerste aandacht vragen? Vraag de gratis IT-scan aan voor een concrete verbeterlijst.

Veelgestelde vragen

Hoe snel ontvangt een apparaat een nieuw profiel?

Intune werkt met periodieke controles en signalen vanuit de cloud. De tijd verschilt per apparaatstatus, verbinding en type wijziging. Een handmatige synchronisatie kan helpen bij testen, maar plan een productie-uitrol niet op de aanname dat ieder apparaat onmiddellijk reageert.

Is de instellingencatalogus altijd de beste keuze?

Voor veel nieuwe Windows-instellingen wel, omdat je gericht waarden kunt zoeken en toevoegen. Gebruik een sjabloon of endpoint security-beleid wanneer Microsoft daar een duidelijker, ondersteund beheerpad voor het onderwerp biedt.

Kan Intune lokaal groepsbeleid volledig vervangen?

Veel moderne Windows-instellingen kunnen via Intune worden beheerd, maar niet ieder oud groepsbeleid heeft een directe of zinvolle cloudvervanger. Inventariseer eerst wat het beleid doet, verwijder verouderde regels en test de moderne aanpak.

Wat betekent “niet toepasbaar”?

De instelling past mogelijk niet bij de Windows-versie, editie, apparaatmodus of beheercontext. Controleer de documentatie van de specifieke instelling en vergelijk met een representatief apparaat. Behandel “niet toepasbaar” niet automatisch als succes.

Moet een profiel aan gebruikers of apparaten worden gekoppeld?

Dat hangt af van het doel. Persoonsgebonden werkervaring past meestal bij gebruikers; apparaatgebonden functies zoals kiosk of gedeelde werkplek passen meestal bij apparaten. Kies één logisch model en documenteer uitzonderingen.

Hoe vaak moeten profielen worden beoordeeld?

Voer minimaal periodiek en na grote Windows- of bedrijfswijzigingen een review uit. Controleer eigenaar, doel, toewijzing, foutpercentage, overlap en resterende Windows 10-doelgroepen. Koppel de frequentie aan het risico van de instellingen.

Gebruikte Microsoft-bronnen

De productwerking en Windows-ondersteuningsstatus zijn op 2 augustus 2026 gecontroleerd tegen:

• Create a device profile in Microsoft Intune
• Use the settings catalog to configure settings on Windows devices
• Windows 10 Home and Pro lifecycle