Microsoft MD-102: Intune-beheer en governance — Studiegids

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Endpoint Administrator Associate MD-102 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Beheer en governance van Intune draaien om toegang met minimale rechten (least-privilege), afgebakende zichtbaarheid, gecontroleerde wijzigingen en herhaalbare configuratie. Role-based access control (RBAC) en scope-tags bepalen wie wat waar kan doen. Goedkeuringsworkflows bewaken acties met een hoog risico. Gespecialiseerde connectors integreren met on-premises Active Directory voor hybrid join-scenario’s. Education-tenants gebruiken vereenvoudigde processen die worden aangestuurd door roostergegevens. De Microsoft Intune Suite breidt de operationele mogelijkheden uit met geavanceerde analyses, veilige hulp op afstand en per-app VPN. Tot slot maken gedisciplineerde export/import en ‘configuration as code’-praktijken tenant-naar-tenant-verplaatsingen en bedrijfscontinuïteit mogelijk.

Rolgebaseerd beheer, scope-tags en goedkeuring door meerdere beheerders

Gebruik Entra ID-rollen om tenant-brede Intune-rechten te verlenen, en Intune RBAC om granulaire rechten binnen Intune toe te passen. De rol Intune Administrator (voorheen Intune Service Administrator) in Microsoft Entra ID verleent volledige administratieve controle over Intune. Reserveer deze voor platformeigenaren. Binnen Intune verlenen ingebouwde RBAC-rollen afgebakende, taakspecifieke rechten. Help Desk Operator is ontworpen voor eerstelijnsondersteuning: deze rol kan apparaat- en gebruikersdetails lezen en beperkte externe acties uitvoeren (bijvoorbeeld synchroniseren, op afstand vergrendelen, toegangscode opnieuw instellen), maar kan geen beleidsregels maken, bewerken of verwijderen. Andere ingebouwde rollen zoals Policy and Profile Manager, Application Manager, Endpoint Security Manager en Read Only Operator dekken gangbare verantwoordelijkheden zonder brede rechten. Maak aangepaste rollen wanneer u machtigingensets moet aanpassen die verder gaan dan de ingebouwde; selecteer alleen de vereiste machtigingen en vermijd het toekennen uit gewoonte.

RBAC-toewijzingen koppelen een rol aan:

Administratieve groep (de gebruikers/beheerders die de rol ontvangen)
Bereik (groepen apparaten/gebruikers die de rol kan beheren)
Scope-tags (labels die beperken welke objecten de beheerder kan zien en waarop hij zich kan richten)

Scope-tags dwingen een ‘segment’ van de tenant af. Tag uw objecten (apps, beleidsregels, scripts, profielen) en pas dezelfde tags toe op de roltoewijzing. Een beheerder met een roltoewijzing die beperkt is tot de scope-tag “Region-EU” zal alleen objecten zien en bewerken die getagd zijn met “Region-EU”. Scope-tags beheren niet de targeting van beleid; ze beheren de zichtbaarheid en impact voor de beheerder. Plan tags om operationele grenzen weer te geven, zoals regio, dochteronderneming of omgeving (Productie, Pilot). Houd een kleine, stabiele set tags aan, wijs standaardtags toe bij het aanmaken van objecten en controleer periodiek objecten zonder tag.

Multi-admin approval (MAA) beschermt gevoelige Intune-wijzigingen door te vereisen dat een tweede beheerder goedkeuring verleent voordat de actie wordt voltooid. Definieer vanuit Tenant administration goedkeuringsbeleid dat specificeert welke resourcetypes en operaties worden bewaakt (bijvoorbeeld het maken, bijwerken, verwijderen of toewijzen van apps en beleidsregels; het implementeren van scripts; of het toepassen van acties die veel gebruikers/apparaten beïnvloeden, zoals toewijzen aan All Users/All Devices). Wijs vertrouwde goedkeurdersgroepen toe en stel vervaltermijnen in voor aanvragen. Aanvragers kunnen hun eigen wijzigingen niet goedkeuren, en de activiteit wordt vastgelegd in auditlogs. MAA wordt afgedwongen via het Intune admin center en Graph, wat ‘defense-in-depth’ ondersteunt voor operaties met een hoge impact en in lijn is met de vereisten voor scheiding van taken (separation-of-duties).

Education-tenants en de Intune Connector for Active Directory

Intune for Education is een gestroomlijnd portaal en beleidsmodel dat is afgestemd op scholen. Het biedt veelvoorkomende apparaatinstellingen via vereenvoudigde sjablonen, optimaliseert Windows voor gedeeld gebruik (Shared PC-modus) en maakt de toewijzing van apps aan klassen eenvoudig. School Data Sync (SDS) importeert roosters uit leerlinginformatiesystemen of CSV om klassen, docenten en studentengroepen in Entra ID aan te maken en te onderhouden. Deze dynamische groepen vormen de ruggengraat voor apparaat- en app-toewijzingen: docenten krijgen docenten-apps; studenten ontvangen curriculum-apps; computerlokalen erven kiosk- of examen-lockdownprofielen. Integreer met Apple School Manager en Google-inschrijving voor respectievelijk Apple- en Android-vloten, en gebruik Autopilot voor snelle Windows-provisioning met minimale IT-inspanning. De onderwijsweergave verbergt de complexiteit, maar behoudt de standaard Intune-fundamenten voor RBAC, scope-tags en rapportage.

Hybrid Azure AD join met Autopilot vereist de Intune Connector for Active Directory. Installeer de connector op een Windows Server die lid is van het domein, met ’line-of-sight’ naar domeincontrollers en uitgaande HTTPS-toegang tot Intune. Autopilot hybrid gebruikt een offline domain join (ODJ)-workflow: tijdens de provisioning geeft Intune de connector een signaal om het computeraccount aan te maken in de doel-OU die is gedefinieerd in het domain join-profiel, stuurt de ODJ-blob terug naar het apparaat en voltooit de domain join. Het apparaat moet tijdens de provisioning domeincontrollers kunnen bereiken. Geef de voorkeur aan bekabelde of on-premises netwerktoegang tijdens de OOBE, of gebruik Autopilot pre-provisioning om apparaten binnen het netwerk voor te bereiden. Onderhoud meerdere connectors voor redundantie en beperk hun machtigingen tot de OU-structuur die ze beheren.

Intune Suite add-ons en Microsoft Tunnel

De Microsoft Intune Suite breidt de operationele toolkit van Intune uit:

Advanced Endpoint Analytics vult de kernanalyses aan met anomaliedetectie, diepere inzichten in de betrouwbaarheid van apps en aanbevolen herstelacties. Het helpt u de gebruikerservaring te kwantificeren, regressies na updates precies aan te wijzen en fixes te prioriteren op basis van bedrijfsimpact.
Remote Help biedt veilige hulp op afstand voor Windows en Android Enterprise. Het integreert met Intune RBAC en Conditional Access, ondersteunt elevatie binnen de sessie voor UAC-prompts en logt uitgebreide sessietelemetrie voor auditdoeleinden. Vereis apparaatconformiteit om verbinding te maken en beperk helpers tot de rol Help Desk Operator of een aangepaste rol.
Tunnel biedt per-app VPN en “Tunnel for Mobile App Management (MAM)” voor niet-ingeschreven BYOD. Het dwingt netwerktoegang met de minste privileges af, uitsluitend vanaf beheerde of door beleid beheerde apps.

De Microsoft Tunnel VPN-gateway draait op Linux (Ubuntu LTS of RHEL) achter uw firewall. Maak in Intune een Tunnel-site aan, genereer een serverconfiguratie en gebruik het installatiescript om containers en services te implementeren op een of meer Linux-servers. Gebruik een openbaar TLS-certificaat dat wordt vertrouwd door apparaten; open TCP 443 vanaf het internet naar de gateway; cluster meerdere servers per site voor hoge beschikbaarheid. Definieer VPN-profielen in Intune die per-app VPN inschakelen, zodat alleen aangewezen iOS/iPadOS- en Android-apps verkeer door de tunnel sturen. Op Android en iOS functioneert de Microsoft Defender for Endpoint-app als de tunnelclient voor zowel MDM-beheerde als MAM-scenario’s. Wijs per-app VPN toe naast app-configuratie- en app-beschermingsbeleid om een zero-trust-pad te creëren: compliant apparaat, goedgekeurde identiteit, beschermde app, netwerk met de minste privileges. Voor BYOD op niet-ingeschreven apparaten wordt Tunnel for MAM gekoppeld aan Intune app-beschermingsbeleid om per-app netwerktoegang te bieden zonder apparaatinschrijving.

Tenantmigratie en configuratieback-up

Intune heeft geen back-upfunctie die met één knop werkt. Behandel configuratie als code en automatiseer exports. Inventariseer en bepaal de volgorde van afhankelijkheden vóór een tenant-naar-tenant migratie of DR-oefening:

Fundamentele identiteiten en connectors: Apple MDM Push Certificate (behoud de oorspronkelijke Apple ID), Apple VPP/ASM-tokens, Google Enterprise-koppelingen, certificaatconnectors (PKCS, SCEP, PFX), Windows Store-verbindingen, TeamViewer of Remote Help, Tunnel-sites en de Intune Connector for AD
Kernobjecten: scopetags, RBAC-rollen en -toewijzingen, filters, apparaatcategorieën, compliancebeleid, configuratieprofielen (settings catalog en templates), endpoint security-beleid, Windows Update-ringen en feature/quality updates, scripts, ASR- en firewall-baselines, Enrollment Status Page, Autopilot-profielen, inschrijvingsbeperkingen en -tokens
Apps: Microsoft 365 Apps, store-apps, LOB-pakketten (.msi, .intunewin, .ipa, .apk of Google Play-links), app-configuratie- en app-beschermingsbeleid, afhankelijkheden, vervanging (supersedence) en instellingen voor delivery optimization
Toewijzingen: gebruikers-/apparaatgroepen en filters waarnaar door al het bovenstaande wordt verwezen

Gebruik Microsoft Graph met de Graph PowerShell SDK of automatiseringsscripts om de JSON van elk beleid en de bijbehorende toewijzingen te exporteren. Sla de geëxporteerde configuratie op in versiebeheer en tag releases. Bewaar voor LOB- en Win32-apps de originele pakketten; u moet de content opnieuw uploaden in de doeltenant. Bouw eerst de identiteitsconnectors opnieuw op in de doelomgeving (APNs, ABM/ASM, Google, cert-connectors), importeer vervolgens RBAC en scopetags, gevolgd door filters, compliance-, configuratie- en beveiligingsbeleid, en ten slotte de apps. Maak Autopilot-profielen en ESP opnieuw aan, exporteer apparaat-hashes uit de bron (of leg ze vast bij de OEM) en registreer apparaten bij de doeltenant. Valideer toewijzingen met gefaseerde pilotgroepen; monitor de implementatiestatus van apparaten en apps, beleidsconflicten en regressies in de endpoint analytics-score. Bevries wijzigingen tijdens de overgang en documenteer de stappen voor een rollback. Stel een terugkerend exportschema op voor doorlopende back-ups en neem auditlogs en Data Warehouse-extracten op om de operationele context te behouden.

Praktijkscenario

Starbucks staat voor drie uitdagingen: het segmenteren van beheertaken per regio, het beveiligen van risicovolle wijzigingen en het mogelijk maken van veilige toegang tot een verouderd intranet vanaf mobiele apparaten zonder elke telefoon in te schrijven.

Definieer RBAC en scopetags

Maak scopetags voor AMER, EMEA en APAC. Bouw aangepaste rollen voor App Curator en Policy Curator met alleen create/read/update-rechten op apps of apparaatprofielen, zonder delete-permissies. Wijs App Curator (EMEA) toe aan de EMEA engineering-beheerdersgroep, met als scope de EMEA-apparaat-/gebruikersgroepen en de EMEA-scopetag. Dit dwingt ’least privilege’ en een regionale scheiding van taken af.

Waarom: Scopetags beperken de zichtbaarheid tot regionale objecten, wat voorkomt dat er verschillen tussen regio’s ontstaan. Aangepaste rollen verkleinen de ‘blast radius’ in vergelijking met de volledige Intune Administrator-rol.

Activeer goedkeuring door meerdere beheerders

Maak in Tenant administration goedkeuringsbeleid aan dat goedkeuring vereist voor app-toewijzingen aan All Users/All Devices en voor het verwijderen van apps en apparaatconfiguratieprofielen. Stel de goedkeurders in op een globale Intune platform owner-groep en vereis dat de goedkeurder een andere persoon is dan de aanvrager.

Waarom: Het afschermen van wijzigingen met een hoge impact voorkomt onbedoelde storingen in de hele tenant en ondersteunt auditeerbaarheid.

Implementeer Microsoft Tunnel met per-app VPN

Zet een Microsoft Tunnel-site op met twee Ubuntu LTS-servers achter een load balancer, publiceer TCP 443 en koppel een openbaar TLS-certificaat. Maak per-app VPN-profielen voor iOS en Android die alleen verkeer voor de mobiele bestel- en HR-apps van Starbucks routeren. Gebruik de Microsoft Defender for Endpoint-app als tunnelclient en koppel deze aan app-beschermingsbeleid. Gebruik voor de BYOD van contractanten Tunnel for MAM om apparaatinschrijving te vermijden, terwijl per-app databescherming toch wordt afgedwongen.

Waarom: Per-app VPN beperkt de netwerkblootstelling tot alleen goedgekeurde apps en routeert alleen het noodzakelijke verkeer. Tunnel for MAM levert veilige toegang zonder het hele apparaat te beheren.

Verhard waar nodig de hybride Autopilot-join

Installeer de Intune Connector for Active Directory op twee domein-gekoppelde servers met beperkte OU-permissies. Configureer Autopilot domain join-profielen per regio en vereis bekabelde onboarding in bedrijfskantoren of pre-provisioning door IT.

Waarom: Zorgt voor een betrouwbare offline domein-join met ’least-privilege’ directory-toegang en voorkomt OOBE-fouten door onbereikbaarheid van het domein.

Zet configuratieback-up en migratieparaatheid op

Automatiseer een nachtelijke export van beleid en toewijzingen via Microsoft Graph naar een Git-repository. Archiveer Win32-pakketten extern. Documenteer en plan de verlengingen voor APNs-, VPP/ASM- en Google-koppelingen.

Waarom: Configuratie in versiebeheer en bewaarde app-content maken snel herstel en een soepele migratie mogelijk, met volledige traceerbaarheid van wijzigingen.

← Gegevensbescherming en informatiegovernance · Alle domeinen

Oefen deze vragen → · Getimede oefening op ExamRoll.io →