Microsoft MD-102: Apparaatconfiguratieprofielen en beleid — Studiegids

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Endpoint Administrator Associate MD-102 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Apparaatconfiguratie en beleidsbeheer in Microsoft Intune zorgen voor consistente, veilige operationele staten op Windows, macOS, iOS/iPadOS en Android. Beheerders combineren configuratieprofielen, endpoint security-beleid, compliancebeleid, Delivery Optimization en Windows Update for Business zodat apparaten worden voorzien van de vereiste instellingen, een afgedwongen beveiligingsstatus hebben, continu worden bijgewerkt en toegang krijgen tot resources op basis van hun compliancestatus. Een effectief ontwerp is afhankelijk van een goed begrip van de bronnen voor instellingen (Settings Catalog, Administrative Templates, apparaatbeperkingen en aangepaste OMA-URI), de scope en prioriteit van beveiligingsbeleid, de toewijzingsmechanismen (opnemen/uitsluiten en filters) en de integratie tussen compliance en Conditional Access.

Configuratieprofielen en Bronnen voor Instellingen

Configuratieprofielen leveren instellingen voor het besturingssysteem en applicaties. Voor Windows omvatten de belangrijkste profieltypen apparaatbeperkingen, endpoint protection (verouderde template), administrative templates (ADMX-gebaseerd) en Settings Catalog. Wanneer een vereiste instelling niet beschikbaar is in templates, wordt een aangepast OMA-URI-profiel gebruikt om de onderliggende MDM CSP aan te spreken.

Apparaatbeperkingen zijn samengestelde templates die veelvoorkomende controles centraliseren, zoals wachtwoord- en aanmeldingsvereisten, browser- en Store-controles, privacy, toegang tot Bluetooth en randapparatuur, en kiosk/Single App Mode. Op Android Enterprise (werkprofiel en volledig beheerd) bevindt de kioskconfiguratie zich in de categorie ‘Device experience’. Op iOS/iPadOS omvatten beperkingen controles voor app-installatie, AirDrop, schermopnames en iCloud-instellingen. Op Windows dekken apparaatbeperkingen de vereisten voor BitLocker, accountcontroles en UX-lockdowns.

De template voor het endpoint protection-apparaatprofiel dateert van vóór Endpoint security en configureert instellingen voor Windows Defender Antivirus, Firewall, BitLocker, SmartScreen en Exploit Guard. Geef voor nieuwe implementaties de voorkeur aan Endpoint security-profielen voor deze domeinen om de rapportage over de beveiligingsstatus te stroomlijnen en conflicten tussen templates te verminderen; behoud endpoint protection-apparaatprofielen alleen waar een benodigde instelling elders ontbreekt.

Administrative Templates worden gekoppeld aan ADMX-gebaseerd beleid via de ADMX-gebaseerde MDM CSP. Ze weerspiegelen de bekende Group Policy-paden voor Windows en Microsoft 365 Apps. Gebruik ze wanneer u het GPO-achtige model wilt (bijv. voor Office-beleidsinstellingen) en voor consistentie bij migraties van on-premises GPO’s.

Settings Catalog is de meest flexibele, toekomstgerichte bron die bijna alle CSP- en ADMX-gebaseerde instellingen opsomt, met zoekfunctionaliteit, categorieën en de mogelijkheid om de scope te beperken tot apparaat/gebruiker. Geef de voorkeur aan Settings Catalog wanneer u een precieze selectie nodig heeft, instellingen uit verschillende templates in één profiel wilt combineren, of monolithische templates wilt vervangen.

Aangepaste OMA-URI-profielen configureren elke CSP rechtstreeks wanneer een instelling niet beschikbaar is in de Intune UI. Definieer het exacte OMA-URI-pad (bijvoorbeeld,

undefined

), het datatype en de waarde. Gebruik dit ook om ADMX-bestanden van derden te importeren voor ADMX-gebaseerde CSP-scenario’s, of om macOS/iOS-payloads (bijv. plist-sleutels) te pushen die niet in de standaard templates zitten.

Om conflicten te minimaliseren, configureert u een bepaalde instelling in slechts één beleidsbron. Intune markeert een ‘Conflict’ per instelling als meerdere toegewezen beleidsregels dezelfde sleutel instellen; het gedrag van het apparaat kan ongedefinieerd zijn of ’last-write’ volgen, dus consolidatie is de beste praktijk.

Endpoint Security-profielen en Aanvalsoppervlak

De ‘Endpoint security’-sectie levert doelgerichte beleidsregels met op beveiliging gerichte rapportage. Gebruik deze met voorrang op algemene configuratieprofielen voor beveiligingsinstellingen:

Antivirus: Configureer Microsoft Defender Antivirus real-time protection, cloud-delivered protection, scanschema’s, herstelacties en MAPS-instellingen. Bescherming van het aanvalsoppervlak, zoals Network Protection en Controlled Folder Access, kan hier of in ASR-beleid worden ingesteld. Tamper Protection wordt beheerd via beveiligingsinstellingen en Defender for Endpoint en moet ingeschakeld blijven om ongeautoriseerde wijzigingen te blokkeren.
Schijfversleuteling: Dwing BitLocker af voor OS-, vaste en verwisselbare schijven; vereis TPM met of zonder pincode; schakel versleuteling stilzwijgend in waar hardware dit toestaat; sla herstelsleutels op in Azure AD (escrow); roteer herstelwachtwoorden automatisch na gebruik om insider-risico’s te verminderen. Gebruik op macOS FileVault-versleutelingsprofielen met escrow van persoonlijke herstelsleutels naar Intune.
Firewall: Configureer Windows Defender Firewall per profiel (Domain/Private/Public), blokkeer standaard inkomend verkeer, sta het samenvoegen van regels met lokaal beleid toe of weiger dit, en implementeer inkomende/uitgaande regels. Schakel logging in en definieer waar nodig IPSec-uitzonderingen.
Attack surface reduction: Stel ASR-regels in per GUID (blokkeren, auditen), schakel Controlled Folder Access, Network Protection en Exploit Protection in. ASR-regels helpen diefstal van referenties, misbruik van Office-macro’s en op scripts gebaseerde aanvallen te voorkomen. Integreer met de auditmodus voordat u de regels afdwingt om verstoring te verminderen.

Voor de onboarding van Microsoft Defender for Endpoint, maak een Endpoint detection and response (EDR)-beleid aan in Intune om het onboarding-pakket te implementeren en het verzamelen van sensordata in te schakelen. Pas op macOS de Defender AV-instellingen toe via een configuratieprofiel dat gebruikmaakt van het Defender-voorkeursdomein om de administratieve inspanning te minimaliseren.

Security baselines zijn samengestelde verzamelingen van aanbevolen beveiligingsinstellingen. Gebruik ze om snel een verdedigbare basislijn te bereiken en voeg vervolgens lagen met Endpoint security-profielen toe voor uitzonderingen en geavanceerde controles.

Naleving, Conditional Access en Toewijzingsmechanismen

Nalevingsbeleid (compliance policies) evalueert de apparaatstatus aan de hand van de vereisten van de organisatie en produceert een binaire status van conform/niet-conform (met een indicator “binnen respijtperiode”). Veelvoorkomende regels voor Windows omvatten drempelwaarden voor OS-versie/build, wachtwoordcomplexiteit, BitLocker vereist, status van Microsoft Defender, aanwezigheid van TPM en het risiconiveau van het apparaat volgens Microsoft Defender for Endpoint. Voor mobiele apparaten: vereis een pincode, versleuteling, blokkeer ‘jailbroken’/‘geroote’ apparaten en stel minimale OS-versies in.

Acties voor niet-naleving bepalen de timing van de handhaving en de escalatie. De standaardactie markeert het apparaat als niet-conform; u kunt aanvullende acties plannen, zoals het sturen van e-mailnotificaties naar gebruikers en beheerders en het op afstand vergrendelen van het apparaat op ondersteunde platforms. Elke actie ondersteunt een respijtperiode (in dagen). Zolang een apparaat zich in de respijtperiode bevindt, blijft het conform voor de evaluatie door Conditional Access, waardoor de gebruiker het probleem kan oplossen zonder onmiddellijk de toegang te verliezen.

Conditional Access gebruikt de nalevingsstatus om de toegang te reguleren. Een veelgebruikt patroon is “Vereisen dat het apparaat als conform is gemarkeerd” voor cloud-apps, wat erop vertrouwt dat Intune de naleving bevestigt. Combineer dit met aanvullende voorwaarden, zoals typen client-apps, om legacy authenticatie te beheren. Het koppelen van apparaatnaleving aan CA zorgt ervoor dat alleen vertrouwde en beheerde apparaten toegang krijgen tot bedrijfsbronnen.

Toewijzingen bepalen het bereik (scope). Neem groepen (gebruikers/apparaten) op om te targeten; gebruik groepsuitsluitingen om subsets te verwijderen. Uitsluitingen hebben voorrang op insluitingen. Filters verfijnen toewijzingen op het moment van evaluatie op basis van apparaateigenschappen (OS-versie, fabrikant, inschrijvingstype, eigendom, jointype, etc.) met logica voor opnemen of uitsluiten. Dit is vooral handig bij toewijzing aan “Alle apparaten/gebruikers” terwijl u zich alleen op in aanmerking komende endpoints richt. Om beleidsconflicten te vermijden, stemt u eigendom en platform-scoping op elkaar af, vermijdt u het instellen van dezelfde CSP-sleutels in meerdere beleidstypen en geeft u de voorkeur aan één enkele bron (bijv. Endpoint security) voor beveiligingsmaatregelen. Voor Windows Update-beleid, onthoud de voorrangsregels: een beleid voor functie-updates (Feature updates) dat een specifieke release vastzet, heeft voorrang op het uitstellen van functies in een Update-ring; versnelde kwaliteitsupdates (Expedited quality updates) hebben voorrang op uitstelperiodes en deadlines voor de geselecteerde update.

Windows Update for Business en Delivery Optimization

Windows Update for Business (WUfB) houdt apparaten up-to-date zonder WSUS of SCCM. Gebruik drie complementaire beleidstypen:

Updateringen voor Windows 10 en later beheren het servicekanaal, uitstelperiodes voor kwaliteits- en functie-updates, herstartgedrag, actieve uren, deadlines voor automatisch herstarten en de gebruikerservaring (UX). Maak ringen (bijv. Pilot, Broad, Critical) om de uitrol te faseren met progressieve uitstelperiodes en deadlines.
Functie-updates voor Windows 10 en later vergrendelen apparaten op een specifieke Windows-versie totdat u deze bijwerkt. Dit beleid heeft voorrang op de uitstelperiodes van ringen voor functie-upgrades, wat deterministische controle geeft over wanneer een apparaat overgaat naar een nieuwe release.
Versnelde updates voor Windows 10 en later leveren snel een specifieke kwaliteitsupdate om kwetsbaarheden te verhelpen. Versnelde updates overschrijven de uitstelperiodes van ringen en worden binnen enkele uren toegepast, waarbij gebruik wordt gemaakt van Windows-pushmeldingen en Update Health Tools. Gebruik dit spaarzaam voor zero-day-scenario’s.

Delivery Optimization (DO) vermindert het WAN-gebruik door content zoals Windows-updates, Microsoft 365 Apps, Intune Win32-apps en Microsoft Store-apps via peers te delen. Configureer DO met een Settings Catalog of een Delivery Optimization-profiel. Belangrijke instellingen zijn de downloadmodus, bandbreedtelimieten, cachegedrag en VPN-bewustzijn. Typische modi zijn:

Alleen HTTP: geen peer-to-peer; download alleen van Microsoft CDN.
LAN: deel met apparaten achter dezelfde NAT; het beste voor de meeste kantoren.
Groep: deel binnen een gedefinieerde groep (site-ID), ideaal voor gedistribueerde ondernemingen; stel de Group ID consistent in via beleid of DHCP.
Internet: neem internet-peers op; zelden aanbevolen vanwege onvoorspelbaarheid.
Simple- of Bypass-modi: voor probleemoplossing of om geavanceerde DO-functies tijdelijk uit te schakelen.

Stel bandbreedte in als een percentage van de gemeten doorvoer of als absolute limieten, maak onderscheid tussen voorgrond en achtergrond, beperk de uploadbandbreedte, definieer cachegrootte en bestandsleeftijd, en blokkeer peering op VPN. Combineer DO met WUfB-ringen om risico’s en bandbreedte-impact te minimaliseren terwijl de updatesnelheid behouden blijft.

Praktijkscenario

Contoso Ltd. beheert 2.500 Windows 11-laptops verspreid over wereldwijde kantoren en 300 macOS-apparaten die door de engineeringafdeling worden gebruikt. Zij moeten: schijfversleuteling afdwingen, Defender-beveiliging standaardiseren, de uitrol van Windows-updates beheren met de mogelijkheid voor noodpatches, het WAN-gebruik verminderen en de toegang tot Microsoft 365 blokkeren tenzij apparaten compliant zijn. Sommige Windows-apparaten worden gebruikt door externe contractanten en mogen geen kiosk- of bedrijfs-UX-beperkingen ontvangen.

Maak Endpoint security-beleid voor schijfversleuteling

Windows: Configureer BitLocker voor stille activering met TPM, sla herstelsleutels op in Azure AD en schakel automatische rotatie van herstelsleutels in. macOS: Configureer FileVault met opslag van institutionele en persoonlijke herstelsleutels in Intune. Waarom: Endpoint security-beleid voor schijfversleuteling biedt platform-native versleuteling en sleutelopslag met minimale hinder voor de gebruiker en gecentraliseerd herstel.

Maak Endpoint security-beleid voor Antivirus en Attack surface reduction

Schakel Defender AV real-time en cloud-delivered protection in, plan scans, activeer Network Protection en belangrijke ASR-regels in auditmodus voor één ring, en dwing deze vervolgens af na validatie. Schakel Controlled Folder Access in voor apparaten van de financiële afdeling via toewijzingsfilters. Waarom: Endpoint security-beleid biedt gerichte beveiligingsrapportage en voorkomt conflicten met verouderde endpoint protection-sjablonen; ASR vermindert veelvoorkomende aanvalsvectoren.

Onboard naar Microsoft Defender for Endpoint

Implementeer een EDR-onboardingbeleid voor Windows- en macOS-verzamelingen en integreer het risiconiveau van het apparaat met Intune-compliance. Waarom: EDR-signalen informeren compliance en Conditional Access en verbeteren tegelijkertijd detectie en respons.

Definieer compliancebeleid met respijtperiodes en acties

Windows: Vereis BitLocker, Defender-status ‘healthy’, OS ≥ doel-build. macOS: Vereis FileVault en OS-baseline. Configureer e-mailmeldingen op dag 0, markeer als non-compliant op dag 3. Waarom: Respijtperiodes behouden de productiviteit terwijl ze herstel stimuleren; compliance wordt de hefboom voor het afdwingen van toegang.

Configureer Conditional Access

Maak een beleid dat vereist dat een apparaat als compliant is gemarkeerd voor Exchange Online, SharePoint en Teams; sluit break-glass-accounts uit; voeg een client-app-voorwaarde toe om legacy-authenticatie te blokkeren. Waarom: Koppelt toegang aan een geverifieerde postuur, waardoor gaten van onbeheerde of legacy-auth-clients worden gedicht.

Implementeer Windows Update for Business

Maak updateringen: Pilot (0 dagen uitstel), Broad (7/14 dagen uitstel) en Critical (korte deadlines). Maak een functie-updatebeleid dat apparaten vastzet op Windows 11 23H2 totdat ze klaar zijn voor de overstap. Schakel versnelde kwaliteitsupdates in voor de mogelijkheid om zero-day-patches uit te rollen. Waarom: Ringen zorgen voor voorspelbare fasering; functie-updates creëren deterministisch beheer van functies; versnelde updates maken noodherstel mogelijk.

Optimaliseer content met Delivery Optimization

Stel de downloadmodus in op LAN voor kantoren en op Group voor regio’s met gedefinieerde Group ID’s. Beperk de achtergrondbandbreedte tot 20% en stel een limiet in voor uploads; schakel peering op VPN uit. Waarom: Vermindert de WAN-belasting en versnelt de distributie van patches/apps zonder extra infrastructuur.

Wijs toe met groepen en filters; vermijd conflicten

Richt beleid op dynamische apparaatgroepen per OS en eigendom; gebruik toewijzingsfilters om alleen apparaten in bedrijfseigendom op te nemen voor de beveiligingspostuur en om apparaten van contractanten uit te sluiten van UX-beperkingen. Consolideer instellingen per bron (Endpoint security voor beveiliging, Settings Catalog voor DO/WUfB) om CSP-conflicten te voorkomen. Waarom: Een strategie met groepen en filters zorgt voor precieze targeting, een minimaal risico op conflicten en schone rapportage.

Deze aanpak gebruikt Intune Endpoint security voor een versterkte postuur, compliance plus Conditional Access voor toegangscontrole, WUfB voor beheerde updates met noodrespons, en Delivery Optimization voor bandbreedte-efficiëntie—afgestemd op Contoso’s omgeving met gemengd eigendom en meerdere platforms voor betrouwbaar, schaalbaar eindpuntbeheer.

← Apparaatinschrijving en Azure AD Join · Alle domeinen · Applicatiebeheer en implementatie →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →