Microsoft MD-102: Beheer op afstand en monitoring — Studiegids

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Endpoint Administrator Associate MD-102 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Beheer en monitoring op afstand in Microsoft Intune is gebaseerd op drie pijlers: nauwkeurige apparaatcontrole, diepgaande observeerbaarheid en efficiënte ondersteuning. Beheerders moeten begrijpen hoe acties op afstand gebruikersgegevens en inschrijving beïnvloeden, hoe ze bruikbare inzichten kunnen verkrijgen uit Endpoint analytics en Intune-rapporten, en hoe ze snel problemen met provisioning en compliance kunnen oplossen met behulp van Remote Help, diagnostiek en auditlogs. Automatisering via door Intune geleverde PowerShell-scripts vervolledigt een complete operationele toolkit.

Apparaatbeheer op afstand: buiten gebruik stellen, wissen, synchroniseren, opnieuw opstarten en vergrendelen op afstand; en de datalevenscyclus

Acties op afstand worden uitgevoerd vanuit het Intune admin center per apparaat (of in bulk) en geleverd via het push-kanaal van het platform (WNS voor Windows, APNs voor iOS/iPadOS, FCM voor Android). Als een apparaat offline is, worden de acties in een wachtrij geplaatst tot de volgende check-in.

Buiten gebruik stellen (Retire) (selectief wissen): Verwijdert de zakelijke voetafdruk terwijl persoonlijke gegevens behouden blijven. Het schrijft het apparaat uit bij Intune, verwijdert het MDM-beheerprofiel, wist beheerde app-gegevens, trekt beheerde certificaten en Wi-Fi/VPN-profielen in, en verwijdert geïnstalleerde LOB/Win32-apps die als vereist zijn geïmplementeerd. Het besturingssysteem en door de gebruiker geïnstalleerde apps blijven intact. Buiten gebruik stellen is de juiste keuze om bedrijfsgegevens te verwijderen zonder het apparaat terug te zetten naar de fabrieksinstellingen.
Wissen (Wipe) (volledig wissen/fabrieksreset): Herstelt het apparaat naar de fabrieksstaat, waarbij alle gebruikers- en bedrijfsgegevens worden verwijderd. Dit wordt gebruikt voor verloren/gestolen bedrijfsapparaten, hergebruik of afvoer. Platformspecifieke opties kunnen het gedrag op Windows wijzigen (bijvoorbeeld opties om provisioning-pakketten te behouden of om de inschrijvingsstatus/gebruikersaccount in bepaalde scenario’s te bewaren), maar standaard is Wissen een fabrieksreset die het apparaat uit Intune en alle lokale gegevens verwijdert.
Synchroniseren (Sync): Start een onmiddellijke check-in van het apparaat om beleids-, app- en compliance-updates op te halen en om wachtende acties te versnellen. Als het apparaat offline is, wordt de opdracht ontvangen tijdens het volgende connectiviteitsvenster.
Opnieuw opstarten (Restart): Start een herstart met gebruikersmelding op ondersteunde platforms (bijv. Windows 10/11). Windows geeft een korte aftelling, wat een ‘graceful reboot’ mogelijk maakt om software-installaties of beleidswijzigingen die een herstart vereisen, te voltooien.
Vergrendelen op afstand (Remote lock): Vergrendelt onmiddellijk het apparaatscherm, waarbij de huidige toegangscode/wachtwoord vereist is om te ontgrendelen. Dit is handig wanneer een apparaat onbeheerd is of mogelijk risico loopt, maar niet als verloren is bevestigd. (Het resetten van de toegangscode is een afzonderlijke actie op iOS/iPadOS.)

Selectief wissen vs. volledig wissen:

Selectief wissen (Buiten gebruik stellen/Retire) behoudt persoonlijke gegevens en OEM-apps, en verwijdert alleen bedrijfscontent, beheerprofielen en beheerde app-gegevens.
Volledig wissen (Wissen/Wipe) zet het apparaat terug naar de fabrieksinstellingen, waarbij alle gegevens en instellingen worden gewist. Voor apparaten die eigendom zijn van het bedrijf is dit de veiligste manier om te resetten.
Apparaatrecord verwijderen: Het verwijderen van een beheerd apparaat uit Intune haalt het uit de tenant-inventaris. Voor MDM-ingeschreven apparaten, als het apparaat later incheckt, is het effect vergelijkbaar met ‘buiten gebruik stellen’ door bedrijfsgegevens te verwijderen terwijl persoonlijke gegevens intact blijven (in lijn met de noodzaak om door Intune geleverde content te verwijderen als een lang offline apparaat weer verschijnt). Verwijdering ruimt ook onmiddellijk de inventarisweergave voor de beheerder op.

Gebruik ‘buiten gebruik stellen’ of ‘verwijderen’ wanneer u bedrijfsgegevens wilt verwijderen met behoud van gebruikersgegevens; gebruik ‘wissen’ wanneer het eindpunt moet worden teruggezet naar de fabrieksstaat.

Remote Help, auditeerbaarheid en diagnostiek

Remote Help biedt veilige, conforme hulp op afstand die nauw is geïntegreerd met Intune en vereist een Remote Help-licentie (inbegrepen in de Intune Suite of als een add-on). Het ondersteunt Windows 10/11 en Android Enterprise. Sessies worden bemiddeld via HTTPS, beveiligd door Microsoft Entra ID, en maken gebruik van op rollen gebaseerd toegangsbeheer (RBAC), zodat u kunt bepalen wie welke apparaten kan helpen.

Belangrijkste aspecten:

Rol-scheiding en RBAC: Definieer wie hulp kan vragen en wie deze kan bieden. Beperk helpers tot apparaatgroepen en limiteer machtigingen voor escalatie (elevation). Integratie met Conditional Access stelt u in staat om conforme apparaten en MFA te vereisen.
Beveiliging en toestemming van de gebruiker: Een just-in-time beveiligingspincode en de toestemming van de gebruiker beschermen eindgebruikers. Beide partijen zien de geverifieerde identiteit van de helper. Sessie-activiteit is auditeerbaar.
Admin-escalatie (elevation): Op Windows kunnen helpers escalatie aanvragen om beheertaken uit te voeren wanneer dit door beleid is toegestaan, wat de oplostijd voor acties met verhoogde rechten verkort.
Logging en toezicht: Remote Help produceert sessielogs die zichtbaar zijn in Intune-rapporten ter ondersteuning van compliance en onderzoeken.

Diagnostiek op schaal:

Diagnostische gegevens verzamelen (actie op afstand): Voor Windows 10/11 kan Intune op afstand diagnostische gegevens van het apparaat verzamelen (IME-logs, event logs, registry-exports, MDM-diagnostiek en andere artefacten) in een ZIP-bestand dat beschikbaar is in het apparaatvenster. Dit versnelt de triage zonder afhankelijk te zijn van de medewerking van de gebruiker.
Auditlogs: Auditlogs voor tenantbeheer leggen vast wie wat deed, wanneer, en met welk object (bijvoorbeeld wijzigingen in app-toewijzingen, beleidsaanpassingen, acties op afstand). De bewaartermijn is doorgaans 30 dagen in de portal; voor langere bewaring en analyses, gebruik de diagnostische instellingen van Azure Monitor om te streamen naar Log Analytics/Event Hub/Storage.

Analyse en rapportage: Endpoint analytics en Intune-rapporten

Endpoint analytics levert proactieve inzichten om de gebruikerservaring te verbeteren en het aantal supportaanvragen te verminderen.

Opstartprestaties: Meet de opstart- en aanmeldtijden om een opstartscore per apparaatmodel en OS-build te produceren. Het benadrukt regressies na beleids- of driverwijzigingen en beveelt gerichte herstelacties aan.
App-betrouwbaarheid: Brengt vastgelopen/gecrashte apps aan het licht voor veelvoorkomende Win32- en Microsoft 365 Apps-processen. Het identificeert problematische versies en afwijkende apparaten om patch- of configuratiewijzigingen te sturen.
Work from anywhere (WfA)-score: Beoordeelt de gereedheid van het apparaat voor modern werken op afstand over kerndimensies zoals cloudidentiteit (Entra ID), cloudbeheer (Intune MDM), Windows-versieactualiteit, updatestatus en gereedheid voor provisioning. Scores gaan vergezeld van geprioriteerde aanbevelingen om hiaten te dichten.
Vereisten: Schakel Endpoint analytics in Intune in. Windows 10/11 Pro/Enterprise-apparaten die zijn ingeschreven bij Intune (of co-managed via Configuration Manager tenant attach) geven automatisch signalen door via de Intune management extension en OS-telemetriekanalen die voor de functie vereist zijn. Inzichten zijn bijna-realtime maar geoptimaliseerd voor trendanalyse.

Intune-rapporten bieden operationeel inzicht en inzicht in compliance:

Apparaatcompliance: Bekijk de status per apparaat en per beleid met redenen (bijv. wachtwoord niet conform, BitLocker uit, jailbreak gedetecteerd). Gebruik filters om niet-conforme apparaten te vinden, exporteer naar CSV en start herstel- of buiten-gebruik-stel-acties.
Status van app-installatie: Monitor vereiste en beschikbare apps per toewijzing met statussen als Geïnstalleerd, Mislukt, Niet van toepassing en Wordt uitgevoerd. Afhankelijkheidsketens en vervangingsrelaties worden weergegeven, wat validatie mogelijk maakt dat vereiste apps zijn geïnstalleerd (bijvoorbeeld ervoor zorgen dat App1 is geïnstalleerd vóór App2).
Status van configuratieprofiel: Bekijk de statussen succes, fout, conflict, niet van toepassing en in behandeling. De status per instelling geeft precies aan welke OMA-URI- of sjablooninstelling is mislukt, wat de analyse van de hoofdoorzaak versnelt (conflicten, CSP niet ondersteund op OS-build, of verkeerde afstemming van scope-tags).

Windows Autopilot-implementatie monitoring en probleemoplossing

Windows Autopilot stroomlijnt de provisioning en vereist een nauwkeurige apparaatregistratie, correcte profieltoewijzing, licentieverlening en netwerkgereedheid.

Implementatiestatus en de ESP: De Enrollment Status Page (ESP) toont de voortgang van de apparaat- en accountconfiguratie en blokkeert het bureaublad totdat de vereiste apps/profielen zijn geïnstalleerd. Configureer de ESP om implementatielogboeken te verzamelen bij een fout en om logboekverzameling toe te staan bij OOBE. Dit stelt supportmedewerkers in staat om Autopilot- en MDM-diagnostische gegevens te verzamelen zonder lokale beheerdersrechten.
Veelvoorkomende oorzaken van mislukte inschrijvingen:
- Apparaat niet geregistreerd of toegewezen: Zorg ervoor dat hardware-hashes zijn geïmporteerd en dat het apparaat lid is van de juiste dynamische groep (bijv. met devicePhysicalIds met ZTDID). Controleer of een Autopilot-profiel is toegewezen en gericht.
- Licentie- en inschrijvingsbeperkingen: Verifieer dat de gebruiker en de tenant Intune-licenties hebben, en dat inschrijvingsbeperkingen het platform en het type join toestaan.
- Netwerk-/proxyproblemen: Open de vereiste eindpunten en poorten voor Autopilot, Intune MDM en contentlevering. Transparante proxy’s en SSL-inspectie kunnen OOBE-flows verstoren.
- Time-outs van beleid/apps: Grote Win32-apps of verkeerd geconfigureerde afhankelijkheden kunnen de ESP-time-outs overschrijden. Pas het blokkeringsgedrag en de volgorde van de ESP aan en gebruik Win32-afhankelijkheidsregels om de installatie van vereiste apps te garanderen.
Toolkit voor probleemoplossing:
- Autopilot-diagnostiekpagina tijdens OOBE (indien ingeschakeld door de ESP) voor fouten op stapniveau en links naar gebeurtenissen.
- MDMDiagReport- en IME-logboeken voor beleidsverwerking en de verwerking van Win32-apps (bijvoorbeeld C:\Windows\Temp\MDMDiagReport.zip en C:\ProgramData\Microsoft\IntuneManagementExtension\Logs).
- Intune-apparaatvenster voor realtime status van profiel- en app-toewijzingen en foutcodes.

Automatisering met PowerShell-scripts in Intune

PowerShell-scripts in Intune worden uitgevoerd door de Intune Management Extension (IME) op Windows 10/11 en ondersteunen Azure AD joined en Hybrid Azure AD joined, MDM-ingeschreven apparaten. Apparaten die alleen Azure AD registered zijn, worden niet ondersteund voor de implementatie van scripts.

Belangrijkste gedragingen en instellingen:

Targeting en context: Wijs scripts toe aan apparaten of gebruikers. Voer uit in systeem- of gebruikerscontext, afhankelijk van de behoefte (systeem voor machineconfiguratie, gebruiker voor acties op profielniveau).
64-bit host: Kies ervoor om uit te voeren in 64-bit PowerShell op x64-apparaten om WOW64-omleidingsproblemen te voorkomen; anders worden scripts uitgevoerd in een 32-bit host.
Aangemelde referenties: Indien ingesteld op Ja, worden scripts uitgevoerd onder de interactieve gebruiker voor configuratie per gebruiker. Indien Nee, worden ze uitgevoerd onder LocalSystem.
Handtekeningverificatie: U kunt een handtekeningcontrole afdwingen om ondertekende scripts te vereisen; anders roept de IME scripts aan met een uitvoeringsbeleid dat niet-ondertekende inhoud toestaat.
Frequentie en opnieuw proberen: Scripts kunnen eenmalig of bij elke check-in worden uitgevoerd (gebruik dit spaarzaam). De IME probeert tijdelijke fouten opnieuw; schrijf idempotente scripts die veilig opnieuw kunnen worden uitgevoerd en gebruik duidelijke exitcodes en logging.
Grootte en inhoud: De scriptgrootte is beperkt (houd deze onder een paar honderd KB). Vermijd interactieve prompts en UI; scripts worden niet-interactief uitgevoerd. Gebruik robuuste logging naar bestanden en de Windows Event Log om diagnostiek te ondersteunen.
Best practices: Gebruik detectielogica om onnodige wijzigingen te voorkomen, valideer vereisten (OS-build, aanwezigheid van apps) en geef de voorkeur aan Win32 app-packaging voor complexe installatieprogramma’s waar detectieregels en afhankelijkheden nodig zijn.

Praktisch probleemscenario

Adobe moet de ondersteuning op afstand en de betrouwbaarheid van 6.000 Windows 11-laptops die door een hybride personeelsbestand worden gebruikt, verbeteren, het aantal mislukte Autopilot-inschrijvingen voor nieuwe medewerkers verminderen en ervoor zorgen dat bedrijfsgegevens snel kunnen worden verwijderd van apparaten die offline vermist raken.

Endpoint analytics inschakelen en basislijnen vaststellen

Actie: Schakel Endpoint analytics in Intune in en wijs het toe aan alle Windows-apparaten. Beoordeel de scores voor Opstartprestaties, App-betrouwbaarheid en Werken vanaf elke locatie per model en regio.
Waarom: Dit brengt systemische problemen aan het licht (trage aanmeldingen, crashende apps, verschillen in OS-versies) en biedt geprioriteerde aanbevelingen, wat datagestuurde oplossingen mogelijk maakt in plaats van ad-hoc ondersteuning.

Remote Help implementeren met RBAC en Conditional Access

Actie: Wijs Remote Help-licenties toe aan support engineers, beperk hun bereik met Intune RBAC tot regionale apparaatgroepen en schakel ’elevation’ in via beleid. Dwing MFA en toegang voor conforme apparaten af via Conditional Access.
Waarom: Remote Help verkort de oplostijd, ondersteunt taken met verhoogde beheerdersrechten op een veilige manier en produceert auditeerbare sessielogboeken die gekoppeld zijn aan Entra ID-identiteiten.

De datalevenscyclus versterken met de juiste acties op afstand

Actie: Standaardiseer het gebruik van ‘Retire’ voor een selectieve opschoning wanneer werknemers vertrekken of apparaten een nieuwe bestemming krijgen; gebruik ‘Wipe’ voor verloren/gestolen bedrijfsapparaten. Gebruik voor langdurig offline activa ‘Delete’ om inventarisobjecten onmiddellijk te verwijderen, terwijl wordt gegarandeerd dat bedrijfsgegevens worden verwijderd als het apparaat later incheckt.
Waarom: Dit behoudt gebruikersgegevens waar nodig, zorgt ervoor dat bedrijfsgegevens worden gewist en houdt de apparaatinventaris accuraat.

Autopilot-fouten monitoren en oplossen met ESP-diagnostiek

Actie: Configureer de Enrollment Status Page (ESP) om te blokkeren totdat vereiste apps zijn geïnstalleerd en om logboekverzameling bij een fout toe te staan. Valideer dynamische groepsregels (met ZTDID), profieltoewijzingen en netwerk-egress. Splits grote app-payloads op met Win32-afhankelijkheden en pas de ESP-time-outs aan.
Waarom: Zichtbaarheid via ESP plus diagnostiek vermindert ’no-output’-fouten bij OOBE, terwijl een goed ontwerp van app-afhankelijkheden time-outs voorkomt en een deterministische provisioning garandeert.

Herstelacties implementeren met Intune PowerShell-scripts

Actie: Gebruik PowerShell-scripts in apparaatcontext (64-bit host) om specifieke misconfiguraties te herstellen die door Endpoint analytics zijn ontdekt (bijvoorbeeld het uitschakelen van problematische opstartitems, het corrigeren van op het register gebaseerde beleidsafwijkingen). Schrijf idempotente scripts met robuuste logging en een eenmalige uitvoeringsconfiguratie.
Waarom: Scripts bieden snelle, gerichte oplossingen zonder te hoeven wachten op volledige app-packagingcycli, en uitvoering in systeemcontext zorgt ervoor dat instellingen op machineniveau betrouwbaar worden toegepast.

Operationele rapportage en auditing opzetten

Actie: Gebruik de ingebouwde Intune-rapporten om de apparaatconformiteit, de installatiestatus van apps en het succes van configuratieprofielen te volgen. Stuur Intune-auditlogs door naar Azure Monitor voor langdurige bewaring en dashboards.
Waarom: Consistente rapportage brengt afwijkingen en fouten snel aan het licht, terwijl auditlogs verantwoordingsplicht bieden voor configuratiewijzigingen en acties op afstand binnen een wereldwijd supportteam.

← Windows-levenscyclus en updatebeheer · Alle domeinen · Gegevensbescherming en informatiegovernance →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →