Microsoft MD-102: Windows-levenscyclus en updatebeheer — Studiegids

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Endpoint Administrator Associate MD-102 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Levenscyclus- en updatebeheer voor Windows in Microsoft Endpoint Manager (Intune) is gecentreerd rond Windows Update for Business (WUfB), de Windows Update for Business-implementatieservice en optionele automatisering met Windows Autopatch. Het doel is een voorspelbare, ring-gebaseerde uitrol van kwaliteits- en functie-updates met minimale verstoring, terwijl realtime zichtbaarheid en controle behouden blijven. In Intune configureert u updateringen, beleid voor functie- en stuurprogramma-updates en versnelde kwaliteitsupdates. Inzichten in compliance en gereedheid zijn afkomstig van Windows Update for Business-rapporten in Azure Monitor en Endpoint analytics. Gebruik voor de overstap naar Windows 11 en het herstellen van apparaten de juiste upgrade- of resetmethode op basis van de bedrijfsdoelstelling.

Windows Update for Business-ringen, targeting van functies en stuurprogramma’s

Updateringen definiëren de basiservaring voor het aanbieden en installeren van updates. Maak in Intune een ‘Windows 10 and later update ring’ aan en wijs deze toe aan Azure AD-groepen die uw implementatieringen vertegenwoordigen (bijvoorbeeld: Pilot, Early, Broad). Configureer:

Uitstelperiodes: Stel het moment uit waarop updates worden aangeboden. Typische waarden zijn 0–30 dagen voor kwaliteitsupdates en 0–365 dagen voor functie-updates. Uitstel geeft tijd om telemetrie en vroege feedback te monitoren voordat de blootstelling wordt verbreed.
Deadlines: Dwing installatie af binnen een gespecificeerd aantal dagen nadat een update is aangeboden (afzonderlijk voor kwaliteits- en functie-updates). Deadlines overschrijven het uitstel door gebruikers en zorgen ervoor dat apparaten de installatie binnen een voorspelbaar tijdsvenster voltooien.
Respijtperiode voor opnieuw opstarten: Bied een beperkt tijdsvenster na de deadline voordat een geforceerde herstart plaatsvindt. Combineer met ‘Auto reboot before deadline’ om Windows buiten actieve uren opnieuw te laten opstarten wanneer dat nodig is om aan de compliance te voldoen. U kunt ook opties voor de gebruikerservaring beheren, zoals het automatisch aanpassen van actieve uren, of gebruikers scans kunnen pauzeren en of ze updates voor andere Microsoft-producten moeten ontvangen. Cruciaal is dat de instelling Allow driver updates bepaalt of stuurprogramma’s via Windows Update worden aangeboden.

Beleid voor functie-updates richt zich op en houdt apparaten op een specifieke Windows-versie, onafhankelijk van het uitstel van de ringen. Gebruik in Intune Feature updates for Windows 10 and later om een product (Windows 10 of 11) en doelversie (bijvoorbeeld Windows 11, versie 23H2) te selecteren. Het beleid gebruikt de Windows Update for Business-implementatieservice om het apparaat aan die versie te ‘pinnen’ totdat u het beleid wijzigt of de versie het einde van de service bereikt. Safeguard holds — tijdelijke blokkades die Microsoft plaatst om apparaten met bekende compatibiliteitsproblemen te beschermen — zijn standaard van toepassing. Schakel ‘safeguards’ voor functie-updates alleen uit als u hebt gevalideerd dat het probleem geen invloed heeft op uw omgeving; het omzeilen van ‘safeguards’ forceert het aanbod bij de volgende scan en kan risico’s met zich meebrengen.

Beheer van stuurprogramma-updates kan het beste worden afgehandeld met het Windows driver update management-beleid in Intune. Stel op grote schaal Allow driver updates = No in uw updateringen voor de brede ringen, en gebruik de workflow voor het beheer van stuurprogramma-updates om:

Aanbevolen stuurprogramma-/firmware-updates per model en leverancier te ontdekken vanuit de Windows Update-catalogus.
Stuurprogramma’s goed te keuren en eerst in te plannen voor pilot-ringen, en ze vervolgens na validatie te promoten naar bredere ringen.
Goedkeuringen van problematische stuurprogramma’s te pauzeren of terug te draaien als er problemen worden gedetecteerd. Deze aanpak ontkoppelt stuurprogramma’s van de normale cadans van kwaliteitsupdates en vermindert het risico op regressie.

Versnelde updates en Windows Autopatch-automatisering

Met versnelde kwaliteitsupdates kunt u kritieke beveiligingsfixes implementeren buiten de normale uitstelvensters. Maak in Intune een Expedite quality updates-beleid aan om de nieuwste beveiligingsupdate (of een specifieke KB indien ondersteund) te leveren met een agressieve installatiedeadline en een korte respijtperiode voor opnieuw opstarten, gemeten in uren of een klein aantal dagen. Versneld beleid overschrijft uitstel en pauzes. Vereisten zijn onder meer dat apparaten door Intune worden beheerd, updates rechtstreeks van Windows Update ontvangen (niet van WSUS) en dat de Windows Update Health Tools aanwezig zijn. Versnellen is van toepassing op kwaliteits- (beveiligings-)updates, niet op functie-updates, en is bedoeld voor dringende sanering van actieve bedreigingen of zero-day-kwetsbaarheden.

Windows Autopatch biedt end-to-end automatisering voor Windows-updates, Microsoft 365 Apps for enterprise, Edge en optioneel stuurprogramma’s/firmware, met behulp van service-gestuurde ringen en beleidsorkestratie. Na de onboarding van in aanmerking komende apparaten (Windows Enterprise E3/E5 of Microsoft 365 E3/E5; Intune MDM; Azure AD join of hybrid Azure AD join), wijst Autopatch apparaten toe aan serviceringen — Test, First, Fast, Broad — volgens standaardverhoudingen en beheert het:

Windows Update-ringen, targeting van functie-updates en pauzes op basis van signalen.
Progressieve implementatie met geautomatiseerde promotie/terugdraaiing met behulp van statussignalen en ‘safeguard holds’.
Gecoördineerde patching van Microsoft 365 Apps en Edge om de afwijking tussen app en OS te minimaliseren. Autopatch is ideaal wanneer u wilt dat Microsoft de updatecadans beheert, terwijl u de zichtbaarheid en controle over toewijzingen en ‘guardrails’ behoudt. U kunt nog steeds versnelde updates vanuit Intune gebruiken naast Autopatch voor out-of-band beveiligingsincidenten.

Compliancerapportage, gereedheid voor Windows 11 en upgrade-/resetpaden

Windows Update for Business reports in Azure Monitor vervangen de verouderde Update Compliance-oplossing en bieden bijna-realtime inzichten met behulp van Azure Monitor-werkmappen en Kusto-query’s. Om dit in te schakelen:

Maak een Log Analytics-werkruimte in Azure en de Windows Update for Business reports-resource, en koppel deze aan de werkruimte.
Implementeer in Intune Windows Health Monitoring-profielen om gebeurtenisgegevens van Windows-updates in te schakelen, en stel diagnostische gegevens in op Vereist (het minimum) zodat apparaten de benodigde telemetrie kunnen verzenden.
Wijs het verbindingsprofiel toe zodat apparaten die aan Azure AD zijn gekoppeld, zich kunnen authenticeren bij de rapportagepijplijn. U kunt vervolgens de status van update-aanbiedingen/installaties, redenen voor safeguard holds, compliance van feature- en kwaliteitsupdates, de voortgang van versnelde updates en de implementatiestatus per ring of apparaatgroep monitoren, en waarschuwingen bouwen met Azure Monitor.

Beoordeel de gereedheid voor Windows 11 door hardware en compatibiliteit te valideren. Minimale vereisten zijn onder meer een compatibele 64-bits CPU (bijvoorbeeld Intel 8e generatie/AMD Zen 2 of nieuwer op ondersteunde lijsten), 4 GB RAM, 64 GB opslag, UEFI met Secure Boot, TPM 2.0, grafische kaart die geschikt is voor DirectX 12 met WDDM 2.0, en een passend beeldscherm/resolutie. Gebruik:

Het Endpoint analytics-rapport voor Windows 11-gereedheid in Intune om op grote schaal de status van TPM/Secure Boot, CPU-familie/model, RAM, opslag en blokkades voor gereedheid te inventariseren.
Werkmappen van Windows Update for Business reports om de gereedheid voor feature-updates en safeguard holds te bekijken.
Test Base for Microsoft 365 om kritieke line-of-business-apps te valideren ten opzichte van Windows 11 en komende feature-updates.

Kies de juiste OS-transitiemethode op basis van het gewenste resultaat:

In-place upgrade: Gebruik Intune Feature-updates voor Windows 10 en hoger om beheerde apparaten naar een specifieke Windows 10/11-release te verplaatsen met behoud van apps, gegevens en instellingen. Dit is de primaire methode voor feature-servicing en voor de migratie van Windows 10 naar Windows 11 wanneer de hardware compatibel is. Deze methode respecteert safeguard holds (tenzij u ze expliciet uitschakelt).
Nieuwe start (Fresh Start): Een herstelactie die Windows opnieuw installeert en door de OEM vooraf geïnstalleerde software en Win32-apps verwijdert. Het probeert gebruikersgegevens te behouden, maar reset veel instellingen. Gebruik dit om een apparaat op te schonen of een verslechterd apparaat te herstellen zonder een volledige ‘wipe’. Het apparaat blijft gekoppeld aan Azure AD en onder MDM-beheer.
Autopilot Reset: Reset een voor Windows Autopilot geregistreerd apparaat naar een bedrijfsklare staat, met behoud van de Azure AD-koppeling, apparaatnaam en Intune-inschrijving. Het verwijdert gebruikersprofielen en apps en past apparaatgerichte beleidsregels en apps opnieuw toe. Gebruik dit om een apparaat snel opnieuw te provisioneren voor een nieuwe gebruiker of te herstellen na corruptie, waarbij de Enrollment Status Page (ESP) ervoor zorgt dat de vereiste apps en beleidsregels worden toegepast vóór gebruik. Vul dit aan met een goede hygiëne van de ringstrategie: kleine pilot-ringen met minimale of geen uitstelperioden, progressief grotere ringen met afgemeten uitstelperioden en deadlines, en strikte deadlines met korte respijtperioden voor omgevingen met een hoog risico. Gebruik driverbeheer en versnelde updates om uitzonderingen te behandelen zonder de kerncadans te destabiliseren.

Praktijkscenario

Adobe moet wereldwijd 45.000 Windows-eindpunten overzetten naar een voorspelbaar maandelijks patchritme, de adoptie van Windows 11 testen (pilot) en driver-gerelateerde regressies verminderen die voorheen pieken bij de helpdesk veroorzaakten na Patch Tuesday.

Definieer Azure AD-apparaatgroepen voor ringen: Pilot (2%), Early (8%), Broad (90%). Waarom: Duidelijke afbakening maakt progressieve blootstelling en gerichte pauzes mogelijk zonder de toewijzingen elke cyclus opnieuw te hoeven vormgeven.
Maak Intune Windows Update-ringen: Pilot met 0 dagen uitstel, 3 dagen deadline voor kwaliteit, 1 dag respijt; Early met 7 dagen uitstel voor kwaliteit, 7 dagen deadline, 2 dagen respijt; Broad met 14 dagen uitstel voor kwaliteit, 7 dagen deadline, 2 dagen respijt. Stel Allow driver updates = No in voor Early/Broad. Waarom: Een strakke Pilot versnelt de signaalverzameling; gefaseerd uitstel verkleint de impactradius (blast radius); het uitschakelen van drivers in grotere ringen minimaliseert hardwareregressies.
Implementeer Feature-updates voor Windows 10 en hoger om alleen de Pilot-groep te richten op Windows 11, versie 23H2; houd Early/Broad op hun huidige versies. Respecteer safeguards. Waarom: Dit koppelt apparaten aan een geteste feature-release, sluit aan bij de ringvalidatie en voorkomt onbedoelde upgrades die alleen via de ringen zouden plaatsvinden.
Schakel Windows-driverupdatebeheer in. Keur maandelijks door de leverancier aanbevolen drivers goed voor de Pilot-groep; promoveer ze naar Early/Broad na een week met schone telemetrie. Waarom: Centraal goedkeuringsbeheer ontkoppelt drivers van kwaliteitsupdates en biedt mogelijkheden voor een rollback.
Configureer Windows Update for Business reports met een toegewezen Log Analytics-werkruimte en Windows Health Monitoring-profielen. Bouw werkmappen en waarschuwingen per ring voor installatiesucces, safeguard holds en rollback-triggers. Waarom: Azure Monitor biedt live compliance-overzichten en waarschuwingen voor problemen, zoals wanneer het aantal mislukte installaties een drempelwaarde overschrijdt.
Gebruik Endpoint analytics voor Windows 11-gereedheid om blokkades met betrekking tot CPU/TPM/Secure Boot te identificeren en te verhelpen via firmware-updates of vervangingsplannen. Waarom: Een inventarisatie van de gereedheid op grote schaal voorkomt mislukte upgrades en geeft input voor hardwarevernieuwing.
Onboard in aanmerking komende apparaten naar Windows Autopatch voor doorlopende automatisering van Windows-kwaliteitsupdates en Microsoft 365 Apps-releases, waarbij de Pilot-apparaten aanvankelijk buiten Autopatch worden gehouden om strakkere experimentele controle te behouden. Waarom: Autopatch vermindert de operationele overhead met behoud van een zorgvuldig beheerde pilot-track voor change control.
Bereid een beleid voor versnelde kwaliteitsupdates (Expedite quality updates) voor met een deadline van 2 dagen en 8 uur respijt voor herstarten voor zero-day-scenario’s; test dit nu op de Pilot-groep. Waarom: Vooraf gevalideerde instellingen voor versnelling maken een snelle, veilige reactie op urgente beveiligingsdreigingen mogelijk zonder de ringen te hoeven herconfigureren tijdens een incident.
Stel herstel-playbooks op: gebruik Autopilot Reset voor het opnieuw provisioneren van defecte apparaten met ESP-handhaving; reserveer Nieuwe start (Fresh Start) voor het opschonen van OEM-software en herstel op geselecteerde modellen. Waarom: De juiste resetpaden versnellen het herstel en zorgen ervoor dat de vereiste apps/beleidsregels opnieuw worden toegepast voordat de gebruiker toegang krijgt.

Dit ontwerp combineert service-gestuurde automatisering (Autopatch) met Intune-beleidscontrole en Azure Monitor-inzichten om veilige, observeerbare en snelle Windows-servicing op enterpriseschaal te leveren.

← Co-beheer en hybride omgevingen · Alle domeinen · Beheer op afstand en monitoring →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →