Microsoft MD-102: Co-beheer en hybride omgevingen — Studiegids

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Endpoint Administrator Associate MD-102 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Co-management en hybride omgevingen stellen u in staat om Configuration Manager (ConfigMgr) te combineren met Microsoft Intune om het beheer van Windows in uw eigen tempo te moderniseren. Co-management maakt een transitie per workload mogelijk, terwijl hybrid Azure AD join een uniforme apparaatidentiteit creëert in zowel on-premises Active Directory als Azure AD. Azure AD Connect synchroniseert identiteiten en apparaten, en Cloud Attach-functies zoals de Cloud Management Gateway (CMG) en tenant attach breiden ConfigMgr uit naar de cloud en het Intune admin center voor beheer via internet en een uniforme console. De planning moet rekening houden met vereisten, identiteit, synchronisatie, beleidsvoorrang tussen Group Policy en Intune MDM, en gefaseerde workload-omschakeling om conflicten te vermijden.

Co-management architectuur en enrollment

Co-management integreert de ConfigMgr-client met Intune MDM op Windows 10/11. Hiervoor is ConfigMgr current branch (1710+; gebruik een ondersteunde recente release), een Intune-abonnement met de MDM-autoriteit ingesteld op Microsoft Intune, een Azure AD-tenant gekoppeld aan uw ConfigMgr-site, en Windows 10 versie 1709 of later of Windows 11 vereist. Apparaten moeten hybrid Azure AD–joined of Azure AD–joined zijn, zodat de ConfigMgr-client Azure AD-tokens kan verkrijgen.

De enrollment-flow voor bestaande ConfigMgr-clients gebruikt de co-management wizard in de ConfigMgr-console om de site te verbinden met uw Azure AD-tenant en automatische MDM-inschrijving voor een doelcollectie te configureren. De client ontvangt beleid met de tenantinformatie, gebruikt zijn Azure AD-apparaatidentiteit om een MDM-inschrijvingstoken aan te vragen, en schrijft zich in bij Intune zonder tussenkomst van de gebruiker. Deze automatische inschrijving ondersteunt apparaten met of zonder gebruikersaffiniteit; het vereist niet dat de eindgebruiker de inschrijving start. Zorg ervoor dat:

Azure AD Connect de apparaatobjecten en gebruikersidentiteiten op de juiste manier synchroniseert.
Automatische MDM-inschrijving is geconfigureerd in de mobiliteitsinstellingen van Azure AD en Intune-licenties zijn toegewezen.
Het apparaat ten minste één keer een directe verbinding heeft met domeincontrollers om de hybrid Azure AD join te voltooien, of via provisioning Azure AD–joined is.

Na inschrijving heeft het apparaat twee beheerkanalen: de ConfigMgr-client en het Intune MDM-kanaal. U bepaalt welke functiegebieden (workloads) door welke service worden beheerd. Gebruik pilotcollecties om te valideren voordat u alle apparaten overzet. Hanteer een duidelijk eigendomsmodel voor configuratie om dubbele handhaving te voorkomen.

CMG en tenant attach zijn complementair maar onafhankelijk. CMG biedt internetgebaseerde clientconnectiviteit voor ConfigMgr, terwijl tenant attach metagegevens van ConfigMgr-apparaten uploadt naar de cloud en real-time acties beschikbaar stelt in het Intune admin center. Beide maken deel uit van een cloud-attach-strategie die de afhankelijkheid van de bereikbaarheid van het on-premises netwerk vermindert.

Workloads, omschakelstrategie en beleidsdomeinen

Workloads vertegenwoordigen beheerdomeinen die door ConfigMgr of Intune kunnen worden aangestuurd. U kunt elke workload instellen op:

ConfigMgr: ConfigMgr is de eigenaar en handhaaft het beleid.
Pilot Intune: Een gedefinieerde pilotcollectie wordt beheerd door Intune; de rest blijft bij ConfigMgr.
Intune: Alle co-managed apparaten worden voor die workload beheerd door Intune.

Belangrijkste workloads en richtlijnen:

Compliancebeleid: Schakel deze workload vroeg over naar Intune, zodat de apparaatcompliance in Intune wordt geëvalueerd en kan worden gebruikt met Azure AD Conditional Access. Definieer compliance-instellingen (bijv. pincode, encryptie, OS-versie) en herstelacties via Intune. Configureer geen overlappende compliance-basislijnen in ConfigMgr voor dezelfde voorwaarden.
Apparaatconfiguratie: Dit omvat MDM-profielen zoals apparaatbeperkingen, VPN, Wi-Fi, certificaten en door ADMX ondersteunde instellingen. Wanneer u overschakelt naar Intune, verwijder of deactiveer dan overlappende ConfigMgr-configuratiebasislijnen voor pilot-apparaten om ‘churn’ (voortdurende wijzigingen) te voorkomen. Gebruik Settings Catalog of Templates in Intune en geef de voorkeur aan Endpoint security-profielen voor beveiligingscontroles.
Endpoint protection: Coördineert Windows Defender Antivirus, Firewall, SmartScreen en BitLocker. Gebruik Intune Endpoint security-beleid wanneer de workload bij Intune ligt. Als ConfigMgr eerder Endpoint Protection of BitLocker-beheer heeft geïmplementeerd, trek dat beleid dan in voor pilot-apparaten en bevestig dat er één enkele autoriteit per controlemechanisme is.
Client-apps (Win32) en Microsoft 365 Apps: Als u de implementatie van Win32-apps verplaatst naar Intune, zorg er dan voor dat de Intune Management Extension aanwezig is en gebruik app-vereisten en -afhankelijkheden om de volgorde te bepalen. Vermijd het ‘dual-targeten’ van dezelfde app vanuit zowel ConfigMgr als Intune. Beheer voor Microsoft 365 Apps de installatie- en updateconfiguratie vanuit één enkele autoriteit om kanaalconflicten te voorkomen.
Software-updates en Windows Update-beleid: Als Software-updates bij ConfigMgr blijven, blijft de client scannen tegen WSUS/SUP en kan deze CMG via internet gebruiken. Als u overschakelt naar Intune, configureer dan het Windows Update for Business (WUfB)-beleid in Intune en schakel ConfigMgr Software Updates uit voor die apparaten. Combineer geen ConfigMgr-updates met WUfB op hetzelfde apparaat.
Toegang tot resources: VPN-, Wi-Fi- en e-mailprofielen moeten door één systeem worden beheerd. Intune heeft meestal de voorkeur voor cloud-first, op identiteit gebaseerde provisioning van resourceprofielen.

Schakel gefaseerd over. Begin met Compliance, dan Apparaatconfiguratie of Endpoint Protection, en vervolgens Apps en Updates. Gebruik pilotcollecties en rapporteer over afwijkingen en conflicten voordat u naar ‘Alle’ overschakelt.

Hybrid Azure AD Join en Azure AD Connect

Hybrid Azure AD Join creëert één enkele apparaatidentiteit die zowel in on-premises AD als in Azure AD wordt weergegeven. Het is vereist voor naadloze SSO, beleidsregels voor voorwaardelijke toegang op basis van apparaten voor computers die aan een domein zijn gekoppeld, en voor de inschrijving voor co-management met behulp van apparaatcredentials. Vereisten zijn onder meer:

Een on-premises AD-forest en een Azure AD-tenant.
Azure AD Connect geconfigureerd om apparaatobjecten en de vereiste instellingen voor apparaatregistratie te synchroniseren.
Netwerk-egress naar de Azure AD-eindpunten voor apparaatregistratie en een directe verbinding met een domeincontroller tijdens de eerste registratie voor Windows 10/11.
Correcte configuratie van UPN- en DNS-achtervoegsels zodat apparaten kunnen authenticeren bij Azure AD.

Azure AD Connect is de synchronisatie-engine tussen on-premises AD en Azure AD. Kernoverwegingen voor de configuratie:

Bereik en filtering: Gebruik filtering op basis van OU’s of attributen om gebruikers, groepen en apparaten op te nemen die in Azure AD moeten bestaan. Houd het bereik minimaal en goed gedefinieerd.
Aanmeldingsmethode:
- Password hash synchronization (PHS): Hashes worden met regelmatige tussenpozen gesynchroniseerd. Azure AD valideert aanmeldingen met behulp van de gesynchroniseerde hash. Dit is de meest veerkrachtige optie met de laagste complexiteit; het ondersteunt naadloze eenmalige aanmelding en biedt een cloud-authenticatie-fallback als de on-premises infrastructuur niet beschikbaar is.
- Pass-through authentication (PTA): Een lichtgewicht agent die op een of meer servers is geïnstalleerd, valideert wachtwoorden in realtime rechtstreeks met on-premises AD. Gebruik PTA als beleid het opslaan van wachtwoordhashes in de cloud verbiedt of als u on-premises aanmeldingsbeleid moet afdwingen. Implementeer meerdere agents voor hoge beschikbaarheid.
- Federatie (AD FS): Gebruik dit alleen als u geavanceerde claimregels of scenario’s met smartcards/MFA van derden nodig heeft die niet door PHS/PTA worden ondersteund. Het introduceert meer complexiteit en afhankelijkheden.
Apparaatregistratie: Schakel in Azure AD Connect de wizard voor apparaatopties in om Hybrid Azure AD Join voor uw forest te configureren. Zorg ervoor dat het service connection point (SCP) in AD is ingesteld, zodat apparaten de Azure AD-tenant kunnen vinden. Vereisten voor oudere besturingssystemen (down-level OS) zijn niet nodig voor Windows 10/11.
Staging en HA: Overweeg de stagingmodus voor back-upservers en gebruik export/import voor de configuratie. Bewaak de synchronisatiestatus via Azure AD Connect Health.

Een correct geconfigureerde hybride koppeling zorgt ervoor dat apparaten Azure AD-apparaattokens kunnen verkrijgen, wat automatische inschrijving voor co-management en de afdwinging van cloudgebaseerd beleid mogelijk maakt.

Beleidsvoorkeur: Group Policy versus Intune MDM

Wanneer Group Policy Objects (GPO’s) en Intune MDM-beleid dezelfde instelling als doel hebben, varieert de standaardvoorkeur per instelling en implementatie. Over het algemeen winnen traditionele GPO’s bij overlappende, op het register gebaseerde instellingen, omdat ze worden toegepast door de Group Policy-engine met vernieuwingsintervallen. Om modern beheer te ondersteunen, introduceerde Windows 10 versie 1709 en later het ControlPolicyConflict-beleid om de voorkeur te geven aan MDM voor ondersteunde Policy CSP-gebieden.

Belangrijke praktijken om voorkeur te beheren en conflicten te vermijden:

Stel eigenaarschap per instelling vast. Configureer dezelfde instelling niet in zowel GPO als Intune. Migreer in blokken en neem GPO’s buiten gebruik zodra equivalente MDM-beleidsregels zijn geïmplementeerd.
Gebruik de ‘MDM wint van GPO’-instelling waar beschikbaar. Implementeer de Policy CSP ControlPolicyConflict-instelling (MDMWinsOverGP) via Intune om Windows te instrueren de voorkeur te geven aan MDM Policy CSP boven GPO voor ondersteunde categorieën. Veel ADMX-ondersteunde instellingen die via Intune Administrative Templates worden aangeboden, respecteren deze instelling, maar niet allemaal.
Geef de voorkeur aan Endpoint security-beleid in Intune voor Defender, Firewall en BitLocker, omdat deze gebruikmaken van ondersteunde CSP’s met duidelijke conflictafhandeling en rapportage.
Valideer met diagnostische gegevens. Gebruik het ingebouwde MDM Diagnostic Report (ms-settings:workplace, en dan Exporteren) en GPResult/Resultant Set of Policy om overlappingen te identificeren. Bekijk het rapport per instelling in Intune en de compliance-basislijnen van ConfigMgr/GPO om conflicten op te sporen.
Faseer de migratie. Begin met het verplaatsen van apparaatconfiguraties die een 1-op-1 CSP-mapping hebben, schakel ‘MDM wint van GPO’ in voor die categorieën, verifieer het resultaat en ontkoppel of schakel vervolgens de corresponderende GPO’s uit.

Voor co-managed apparaten moet u er ook voor zorgen dat ConfigMgr-configuratiebasislijnen of Endpoint Protection-instellingen niet dezelfde controles dupliceren als Intune-beleid. Eén enkele, gezaghebbende bron per controle voorkomt onvoorspelbare resultaten.

Cloud attach: CMG en tenant attach

Cloud Management Gateway (CMG) stelt ConfigMgr in staat om internetgebaseerde clients te beheren zonder dat een VPN vereist is. CMG draait in Azure als een PaaS-service (bij voorkeur op Virtual Machine Scale Sets) en fungeert als proxy voor clientcommunicatie naar uw on-premises site via het CMG-verbindingspunt. De mogelijkheden omvatten clientbeleid, hardware- en software-inventaris, app-implementaties, scripts, CMPivot en Software Updates wanneer clients zijn geconfigureerd voor beheer via internet. Kernvereisten en ontwerpoverwegingen:

Azure-abonnement en resourcegroep, waarbij de ConfigMgr-site is gekoppeld aan uw Azure AD-tenant.
Certificaten en authenticatie: Gebruik Azure AD-authenticatie voor clients wanneer uw apparaten hybrid/Azure AD–joined zijn en uw site Enhanced HTTP gebruikt. PKI-clientauthenticatiecertificaten worden nog steeds ondersteund, maar verhogen de complexiteit.
On-premises rollen: Implementeer een CMG-verbindingspunt en zorg ervoor dat het serviceverbindingspunt online is voor cloudconnectiviteit.
Kosten en capaciteit: Bepaal de grootte van instances op basis van het verwachte aantal gelijktijdige verbindingen en de contentdoorvoer; monitor het gebruik om de kosten te optimaliseren.
Content: Gebruik CMG voor beleid en het scannen op updates. Voor contentdistributie, combineer met cloud-distributiepunten of schakel content via CMG in, indien ondersteund door uw siteversie.

Tenant attach maakt de apparaatinventaris en acties van ConfigMgr zichtbaar in het Microsoft Intune admin center zonder dat co-management vereist is. Wanneer u “Uploaden naar Microsoft Endpoint Manager admin center” inschakelt, verschijnen apparaten onder Apparaten in de Intune-portal met ConfigMgr als de beheerautoriteit. U kunt acties uitvoeren zoals:

CMPivot-query’s en Scripts uitvoeren
Gegevens vergelijkbaar met Resource Explorer en de tijdlijn van het apparaat bekijken
Beschikbare applicaties vanuit ConfigMgr installeren
Clientacties initiëren (afhankelijk van versie en machtigingen)

Tenant attach integreert Azure AD/Intune RBAC met ConfigMgr RBAC. Voor internetclients vereisen realtime acties een CMG; voor intranetclients verlopen acties via de on-premises management points. Tenant attach vult co-management aan door een uniforme cloudconsole te bieden en helpdesktaken mogelijk te maken zonder toegang te verlenen tot de ConfigMgr-console.

Praktijkscenario

Contoso, Ltd. heeft 5.000 Windows 10/11-apparaten die worden beheerd door Configuration Manager op meerdere locaties. Het aantal thuiswerkers is toegenomen en veel apparaten maken zelden verbinding met de VPN. Contoso wil Conditional Access afdwingen op basis van apparaatcompliance, beveiligingsmaatregelen naar de cloud verplaatsen en internetgebaseerde apparaten beheren zonder afhankelijk te zijn van VPN, terwijl een big-bang-migratie wordt vermeden.

Identiteits- en apparaatfundament opzetten

Schakel hybrid Azure AD join in via Azure AD Connect voor alle aan het domein gekoppelde apparaten en verifieer de apparaatobjecten in Azure AD. Kies voor Password Hash Synchronization voor een veerkrachtige, onderhoudsarme aanmelding en schakel Seamless SSO in.
Waarom: Hybrid join levert de Azure AD-apparaatidentiteit en tokens die nodig zijn voor automatische inschrijving bij co-management en voor Conditional Access. PHS vereenvoudigt de operaties en biedt een cloud-fallback.

Co-management configureren met gefaseerde inschrijving

Voer in ConfigMgr de Co-management-wizard uit om de site te verbinden met de Azure AD-tenant en richt u op een pilot-collectie voor automatische MDM-inschrijving in Intune.
Waarom: Co-management voegt het Intune MDM-kanaal toe zonder dat een nieuwe image of gebruikersactie nodig is, waardoor Contoso workloads geleidelijk kan verplaatsen.

De workload voor Compliance-beleid overzetten naar Intune (Pilot → Alles)

Maak Intune-compliancebeleid aan dat de baselines van Contoso weerspiegelt (encryptie, Defender, OS-versies) en schakel Conditional Access-beleid in dat compatibele apparaten vereist voor Microsoft 365.
Waarom: Intune is de autoriteit voor compliance die integreert met Azure AD Conditional Access; het overzetten van deze workload maakt veilige toegangscontrole mogelijk.

Endpoint security implementeren via Intune; overlappende ConfigMgr EP buiten gebruik stellen

Maak Endpoint security-beleid voor Defender Antivirus, Firewall en BitLocker aan in Intune en verplaats de Endpoint protection-workload naar Intune voor de pilot. Schakel de equivalente ConfigMgr-antimalware- en BitLocker-instellingen uit voor de pilot-collectie.
Waarom: Intune Endpoint security gebruikt CSP’s die zijn geoptimaliseerd voor modern beheer en biedt duidelijke rapportage en afstemming met CA.

Apparaatconfiguratie migreren naar Intune met conflicthantering

Maak Settings Catalog-profielen aan voor apparaatbeperkingen, Wi-Fi en certificaten. Implementeer het MDMWinsOverGP-controlebeleid waar ondersteund, valideer dit op pilots en ontkoppel vervolgens de corresponderende GPO’s.
Waarom: Zorgt voor een schone overdracht van eigenaarschap en voorkomt ‘policy churn’ door overlappende GPO’s en MDM.

Cloud Management Gateway implementeren

Implementeer CMG met Azure AD-authenticatie en Enhanced HTTP, en voeg een CMG-verbindingspunt toe. Verifieer dat internetgebaseerde clients beleid, inventaris en software-updates ontvangen.
Waarom: CMG biedt ConfigMgr-beheer en updates via internet voor apparaten die geen VPN gebruiken, waardoor de continuïteit tijdens de migratie wordt gehandhaafd.

Tenant attach inschakelen voor uniforme operaties

Configureer “Uploaden naar Microsoft Endpoint Manager admin center” om ConfigMgr-apparaten zichtbaar te maken in de Intune-portal. Geef helpdeskmedewerkers de juiste Intune-rollen om CMPivot uit te voeren en apps te installeren.
Waarom: Tenant attach consolideert dagelijkse acties in een webconsole, waardoor de afhankelijkheid van de volledige ConfigMgr-console wordt verminderd en probleemoplossing op afstand wordt verbeterd.

Workloads uitbreiden en verouderde controles buiten gebruik stellen

Verplaats Apparaatconfiguratie en Client-apps in fasen naar Intune. Evalueer voor Windows Update een overstap naar Windows Update for Business of behoud Software Updates in ConfigMgr waar CMG volstaat. Stel overlappende GPO’s en ConfigMgr-baselines buiten gebruik naarmate het eigenaarschap wordt overgedragen.
Waarom: Een gefaseerde aanpak vermindert het risico, houdt apparaten gedurende het hele proces veilig en sluit aan bij de cloud-first-doelstellingen van Contoso, terwijl de noodzakelijke on-premises mogelijkheden tijdens de overgang behouden blijven.

← Identiteit · Alle domeinen · Windows-levenscyclus en updatebeheer →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →