Ja, Microsoft Intune is een MDM-oplossing, maar daarmee is slechts een deel van het verhaal verteld.
Intune ondersteunt Mobile Device Management voor onder andere Windows, macOS, iOS, iPadOS en Android. Organisaties kunnen daarmee apparaten registreren, configureren, beveiligen en centraal beheren.
Maar Microsoft Intune gaat verder dan traditioneel MDM. Het platform ondersteunt ook applicatiebeheer, compliance, App Protection Policies, endpoint security, Windows Autopilot en integratie met Microsoft Entra Conditional Access.
Daarom is Intune beter te zien als een modern endpointmanagementplatform dan als alleen een klassieke MDM-tool.
In dit artikel leggen we uit wat dat precies betekent.
Is Microsoft Intune een MDM-oplossing?
Ja.
Microsoft Intune kan worden gebruikt voor Mobile Device Management, oftewel MDM.
Met MDM kan een organisatie ondersteunde apparaten onder centraal beheer brengen.
Daarna kunnen bijvoorbeeld:
- configuraties worden toegepast;
- beveiligingsinstellingen worden beheerd;
- applicaties worden toegewezen;
- compliance worden gecontroleerd;
- bepaalde remote actions worden uitgevoerd;
- apparaatstatussen worden bekeken.
Dat zijn typische MDM-functies.
Maar Intune bevat daarnaast meerdere beheerlagen die buiten klassieke MDM vallen.
Wat betekent MDM?
MDM staat voor:
Mobile Device Management
Historisch richtte MDM zich vooral op smartphones en tablets.
Denk aan:
- iPhones;
- iPads;
- Android-smartphones;
- Android-tablets.
Moderne MDM-oplossingen ondersteunen echter veel bredere endpointscenario’s.
Ook Windows-laptops en Macs kunnen bijvoorbeeld onder modern device management worden gebracht.
Daarom is de term “mobile” tegenwoordig enigszins misleidend.
Wat doet een traditionele MDM-oplossing?
Een klassieke MDM-oplossing richt zich primair op het apparaat.
Typische functies zijn:
- device enrollment;
- device inventory;
- security settings;
- password policies;
- device restrictions;
- Wi-Fi-configuratie;
- VPN-configuratie;
- certificaten;
- remote wipe;
- compliance-informatie.
De centrale vraag is:
Hoe beheren en beveiligen we het apparaat?
Microsoft Intune ondersteunt veel van deze functies.
Waarom is Intune meer dan MDM?
Moderne werkplekken vragen om meer dan alleen apparaatbeheer.
Een organisatie moet bijvoorbeeld ook nadenken over:
- applicaties;
- bedrijfsgegevens;
- identity;
- toegang;
- endpoint security;
- compliance;
- provisioning;
- updates;
- BYOD;
- lifecycle management.
Microsoft Intune ondersteunt veel van deze gebieden.
Daarom is de volgende beschrijving beter:
Intune = MDM + MAM + application management + compliance + endpoint security + modern provisioning + integratie met identity en access
Niet ieder onderdeel zit technisch uitsluitend in Intune zelf, maar Intune vormt wel een centrale managementlaag binnen deze bredere Microsoft-architectuur.
Intune als MDM-platform
Laten we eerst kijken naar de MDM-kant.
Met Intune kunnen organisaties apparaten registreren en centraal beheren.
Afhankelijk van platform en enrollmentmodel kunnen administrators onder andere policies toewijzen aan:
- Windows-devices;
- Macs;
- iPhones;
- iPads;
- Android-devices.
Hierdoor kan de organisatie proberen een consistente beheersituatie te creëren.
Device enrollment
Een apparaat moet meestal eerst worden enrolled voordat uitgebreid device management mogelijk is.
Enrollment creëert een beheerrelatie tussen:
Apparaat
↓
Gebruiker of organisatie
↓
Microsoft Intune
Daarna kunnen relevante policies en configuraties worden toegepast.
De precieze enrollmentmethode verschilt per platform.
Windows beheren met Intune
Windows is voor veel organisaties een van de belangrijkste Intune-workloads.
Een beheerde Windows-laptop kan bijvoorbeeld configuraties ontvangen voor:
- Microsoft Edge;
- OneDrive;
- BitLocker;
- Windows Hello for Business;
- Windows Firewall;
- Defender;
- Wi-Fi;
- VPN;
- device restrictions.
Daarnaast kunnen applicaties en updates worden beheerd.
Hiermee gaat Intune al duidelijk verder dan het oorspronkelijke idee van “mobiele telefoons beheren”.
macOS beheren met Intune
Ook Macs kunnen binnen ondersteunde scenario’s via Intune worden beheerd.
Organisaties kunnen bijvoorbeeld bepaalde:
- configuratieprofielen;
- compliance policies;
- applicaties;
- beveiligingsinstellingen;
- certificaten;
toewijzen.
De beschikbare mogelijkheden verschillen van Windows.
Een goed endpointontwerp moet daarom rekening houden met platformverschillen.
iOS en iPadOS beheren
Intune ondersteunt verschillende Apple mobile-device-managementscenario’s.
Afhankelijk van het ownership- en enrollmentmodel kan een organisatie bijvoorbeeld zakelijke iPhones en iPads centraal beheren.
Daarbij kan worden gedacht aan:
- apparaatconfiguratie;
- applicaties;
- restrictions;
- compliance;
- certificaten;
- securityinstellingen.
Ook integraties met Apple-managementdiensten kunnen relevant zijn.
Android beheren
Voor Android ondersteunt Microsoft verschillende beheermodellen.
Bijvoorbeeld:
- persoonlijk apparaat met Work Profile;
- fully managed corporate device;
- corporate-owned device met work profile;
- dedicated devices.
Hieruit blijkt opnieuw dat “MDM” niet één universeel beheermodel betekent.
Het juiste model hangt af van hoe het apparaat wordt gebruikt.
Configuration Profiles
Een belangrijk onderdeel van Intune MDM is configuration management.
Een administrator kan policies maken voor bijvoorbeeld:
- Windows-instellingen;
- Wi-Fi;
- VPN;
- certificates;
- restrictions;
- browserconfiguratie;
- OneDrive;
- security.
De organisatie definieert centraal welke configuratie gewenst is.
Dat maakt standaardisatie mogelijk.
Settings Catalog
Voor Windows- en andere ondersteunde configuraties kan de Settings Catalog een belangrijke rol spelen.
Beheerders selecteren daarin specifieke instellingen en combineren deze in policies.
Dat geeft veel flexibiliteit.
Maar die flexibiliteit vereist governance.
Zonder duidelijke structuur kunnen na verloop van tijd tientallen overlappende policies ontstaan.
Compliance Policies
Compliance is een ander belangrijk onderdeel van Intune.
Een organisatie kan regels definiëren waaraan een apparaat moet voldoen.
Bijvoorbeeld:
- minimum OS-versie;
- encryption;
- password requirements;
- bepaalde securityvoorwaarden.
Intune kan vervolgens beoordelen of een device compliant is.
Deze status kan vervolgens binnen andere Microsoft-securityprocessen worden gebruikt.
Intune en Conditional Access
Hier gaat Intune duidelijk verder dan puur traditioneel MDM.
Microsoft Entra Conditional Access kan bijvoorbeeld apparaat- en compliancesignalen gebruiken bij toegangsbeslissingen.
Een vereenvoudigd scenario:
Gebruiker logt in
↓
Entra ID controleert identity
↓
Conditional Access controleert voorwaarden
↓
Device compliance wordt beoordeeld
↓
Toegang toegestaan of geblokkeerd
Daardoor wordt device management gekoppeld aan identity security.
Intune ondersteunt MAM
Naast MDM ondersteunt Intune ook Mobile Application Management.
MAM richt zich niet primair op het volledige apparaat, maar op zakelijke applicaties en bedrijfsgegevens.
Dit is vooral relevant bij BYOD.
Een medewerker kan bijvoorbeeld een privé-iPhone gebruiken voor Outlook en Teams.
De organisatie wil de zakelijke gegevens beschermen, maar niet noodzakelijk het volledige privéapparaat beheren.
App Protection Policies kunnen daar een rol in spelen.
App Protection Policies
Met App Protection Policies kunnen in ondersteunde scenario’s regels worden toegepast op zakelijke applicaties.
Denk bijvoorbeeld aan:
- copy/paste beperken;
- opslaan naar persoonlijke locaties beperken;
- Open In beheren;
- PIN eisen;
- app-data selectief verwijderen.
Dit is iets anders dan device management.
Daarom is Intune niet alleen een MDM-product.
MDM en MAM binnen één platform
Een organisatie kan verschillende managementmodellen naast elkaar gebruiken.
Bijvoorbeeld:
Corporate Windows laptop
→ MDM
Corporate iPhone
→ MDM + MAM
Privé-iPhone
→ MAM
Privé-Android-device
→ MAM of een passend BYOD-enrollmentmodel
Deze flexibiliteit is een belangrijk voordeel van modern endpointmanagement.
Intune beheert applicaties
Application management is nog een gebied waarin Intune verder gaat dan klassieke MDM.
IT kan bijvoorbeeld software toewijzen aan gebruikers en apparaten.
Voorbeelden zijn:
- Microsoft 365 Apps;
- Microsoft Edge;
- Win32-applicaties;
- Microsoft Store-apps;
- mobiele apps;
- interne bedrijfsapplicaties.
Apps kunnen verplicht of beschikbaar worden gemaakt.
Dit maakt Intune ook een softwaredistributieplatform.
Win32 application management
Voor Windows is Win32 application management bijzonder relevant.
Een beheerder kan een applicatie voorbereiden en daarbij instellingen definiëren voor:
- installatie;
- uninstall;
- requirements;
- detection;
- dependencies;
- supersedence.
Dit maakt relatief geavanceerde softwaredistributie mogelijk.
Tegelijkertijd vereist het goede packaging en troubleshootingkennis.
Intune en Windows Autopilot
Windows Autopilot is een belangrijk voorbeeld van modern endpointmanagement.
Traditioneel werd een nieuwe Windows-computer vaak handmatig voorbereid door IT.
Met Autopilot kan het provisioningproces veel verder worden geautomatiseerd.
Een mogelijke flow:
Nieuwe laptop
↓
Windows Autopilot
↓
Gebruiker meldt zich aan
↓
Intune enrollment
↓
Policies
↓
Applicaties
↓
Security
↓
Werkplek gereed
Dit gaat veel verder dan simpel mobiel device management.
Intune en endpoint security
Intune ondersteunt ook verschillende endpoint security-configuraties.
Afhankelijk van platform, architectuur en licenties kan beleid worden beheerd rond bijvoorbeeld:
- Microsoft Defender Antivirus;
- Windows Firewall;
- BitLocker;
- Attack Surface Reduction;
- security baselines;
- account protection;
- Endpoint Privilege Management.
Hiermee wordt device management gecombineerd met security management.
BitLocker
BitLocker-beheer is een duidelijk voorbeeld.
Een organisatie wil dat zakelijke Windows-laptops versleuteld zijn.
Met Intune kan relevante BitLocker-configuratie centraal worden toegepast en beheerd.
Dat helpt om encryptie als standaard onderdeel van de endpointconfiguratie te behandelen.
Microsoft Defender
Intune kan ook worden gebruikt om bepaalde Microsoft Defender-instellingen centraal te configureren.
Hierdoor kan endpoint protection beter worden geïntegreerd in het bredere device-managementproces.
Intune vervangt daarmee niet iedere securityoplossing, maar kan een belangrijke managementfunctie vervullen.
Intune en Windows-updates
Ook update management is onderdeel van modern endpointbeheer.
Een organisatie kan beleid definiëren rond Windows-update-uitrol.
Daarbij kan bijvoorbeeld met deployment rings worden gewerkt:
Test
↓
Pilot
↓
Productie
Hiermee worden updates gecontroleerd uitgerold.
Intune en remote management
MDM-platforms bieden traditioneel remote actions.
Ook Intune ondersteunt afhankelijk van het apparaat verschillende remote beheeracties.
Denk aan:
- sync;
- retire;
- wipe;
- restart;
- andere platformspecifieke acties.
Omdat sommige acties zeer ingrijpend zijn, moet toegang ertoe goed worden geregeld via rollen en processen.
Intune en RBAC
Role-Based Access Control helpt organisaties om beheerrechten te beperken.
Niet iedere beheerder hoeft Global Administrator of volledige Intune Administrator te zijn.
Een goede RBAC-strategie kan bijvoorbeeld verschillende rollen creëren voor:
- servicedesk;
- endpointbeheer;
- application management;
- security;
- senior administrators.
Dit ondersteunt least privilege.
Intune en rapportage
Een endpointmanagementplatform moet niet alleen configureren, maar ook inzicht bieden.
Intune kan informatie geven over bijvoorbeeld:
- apparaten;
- compliance;
- policy deployment;
- applicatie-installaties;
- enrollment;
- bepaalde securitystatussen.
Deze informatie helpt bij dagelijkse operations en troubleshooting.
Intune en troubleshooting
Een belangrijk voordeel van centraal beheer is dat IT op afstand meer context kan verzamelen.
Stel dat een gebruiker meldt:
Mijn bedrijfsapplicatie wordt niet geïnstalleerd.
Een beheerder kan dan onder andere kijken naar:
- staat het device in Intune?
- wanneer was de laatste sync?
- is de juiste assignment aanwezig?
- voldoet het apparaat aan requirements?
- wat rapporteert de installatiestatus?
- werkt de detection rule?
Intune wordt daardoor ook een belangrijk troubleshootingplatform.
Is Intune een UEM-oplossing?
UEM staat voor Unified Endpoint Management.
Deze term wordt gebruikt voor oplossingen die meerdere endpointtypes en managementfuncties binnen één platform combineren.
Omdat Intune verschillende platforms, apps, security, compliance en managementfuncties ondersteunt, wordt het vaak in de bredere UEM-categorie geplaatst.
Voor de meeste organisaties is de praktische vraag echter belangrijker dan de terminologie:
Kan één platform onze verschillende endpointtypen centraal beheren?
In veel Microsoft-georiënteerde omgevingen is Intune daarvoor een belangrijk onderdeel.
MDM versus UEM
Een eenvoudige manier om het verschil te bekijken:
MDM
focus op device management.
UEM
bredere managementlaag voor meerdere soorten endpoints, applicaties, security en lifecycle.
Microsoft Intune is daarom functioneel veel breder dan klassieke MDM.
Is Intune hetzelfde als Microsoft Endpoint Manager?
Microsoft gebruikte eerder de naam Microsoft Endpoint Manager voor het gecombineerde endpointmanagementaanbod.
De productnaamgeving is later weer sterker rond Microsoft Intune geconsolideerd.
Daardoor kunnen oudere documentatie, blogs en vacatures nog termen zoals:
- Microsoft Endpoint Manager;
- MEM;
- Endpoint Manager;
gebruiken.
In moderne omgevingen staat Microsoft Intune weer centraal als productnaam.
Intune versus traditionele MDM-tools
Traditionele MDM-tools zijn vaak ontstaan vanuit mobiel beheer.
Microsoft Intune heeft zich ontwikkeld richting een veel bredere moderne workplace-managementoplossing.
De focus omvat inmiddels onder andere:
- Windows;
- Apple;
- Android;
- applications;
- security;
- compliance;
- provisioning;
- identity integration.
Voor organisaties die sterk op Microsoft 365 en Entra ID leunen, kan die integratie een belangrijke reden zijn om Intune te gebruiken.
Intune versus Group Policy
Intune moet niet simpelweg worden gezien als “Group Policy in de cloud”.
Beide technologieën kunnen Windows-instellingen beheren, maar de architectuur en beheerprincipes verschillen.
Group Policy is historisch sterk gekoppeld aan Active Directory en domeinbeheer.
Intune gebruikt moderne cloud- en MDM-mechanismen.
Bij een migratie moeten bestaande GPO’s daarom opnieuw worden beoordeeld in plaats van blind te worden gekopieerd.
Intune versus Configuration Manager
Microsoft Configuration Manager biedt uitgebreide traditionele endpointmanagementmogelijkheden.
Intune richt zich sterker op cloudgebaseerd modern management.
Organisaties kunnen afhankelijk van hun situatie:
- volledig richting Intune bewegen;
- beide platforms naast elkaar gebruiken;
- co-management inzetten.
Er bestaat dus niet één universeel migratiepad.
Wanneer is Intune interessant?
Intune wordt vooral interessant wanneer een organisatie bijvoorbeeld:
- Microsoft 365 gebruikt;
- hybride medewerkers heeft;
- Windows-laptops centraal wil beheren;
- mobiele devices wil beheren;
- BYOD wil ondersteunen;
- applicaties centraal wil distribueren;
- compliance wil gebruiken;
- Conditional Access wil koppelen aan device status;
- Autopilot wil gebruiken;
- endpoint security wil standaardiseren.
Hoe meer van deze situaties gelden, hoe sterker de businesscase vaak wordt.
Wanneer is alleen MDM-denken onvoldoende?
Stel dat een organisatie Intune uitsluitend implementeert om mobiele telefoons te beheren.
Dat kan technisch prima werken.
Maar mogelijk blijven dan belangrijke mogelijkheden onbenut.
Denk aan:
- Windows management;
- application deployment;
- Autopilot;
- compliance;
- Conditional Access;
- endpoint security;
- App Protection Policies.
Daarom is het verstandig om Intune vanuit een bredere endpointstrategie te ontwerpen.
Een volwassen Intune-architectuur
Een volwassen omgeving kan bijvoorbeeld bestaan uit:
Identity
Microsoft Entra ID
↓
Enrollment
Windows Autopilot / platform enrollment
↓
Device Management
Microsoft Intune
↓
Configuration
Configuration Profiles / Settings Catalog
↓
Applications
Win32 / Microsoft 365 / mobile apps
↓
Endpoint Security
BitLocker / Defender / Firewall / ASR
↓
Compliance
Device compliance
↓
Conditional Access
Toegangscontrole
↓
Monitoring & Operations
Rapportage, troubleshooting en lifecycle management
Dit laat zien dat MDM slechts één laag is.
Veelgemaakte fout: Intune zien als alleen een technische tool
Een Intune-project mislukt zelden omdat iemand niet weet waar de knop “Create Policy” staat.
Problemen ontstaan vaker door:
- onduidelijke requirements;
- slechte groepsstructuur;
- geen naming conventions;
- onvoldoende testen;
- te brede assignments;
- slechte documentatie;
- onduidelijk eigenaarschap;
- te weinig governance.
Daarom moet een Intune-implementatie zowel technisch als organisatorisch worden ontworpen.
Begin met use cases
Een goede implementatie begint met concrete use cases.
Bijvoorbeeld:
Use case 1
Nieuwe Windows-laptops automatisch provisionen.
Use case 2
Zakelijke applicaties automatisch installeren.
Use case 3
Privételefoons veilig toegang geven tot Outlook en Teams.
Use case 4
Alleen compliant devices toegang geven tot gevoelige applicaties.
Use case 5
BitLocker organisatiebreed standaardiseren.
Voor iedere use case kan vervolgens worden bepaald welke Intune-functionaliteit nodig is.
Intune voor kleine organisaties
Ook kleinere organisaties kunnen Intune gebruiken.
Het voordeel kan juist groot zijn wanneer er weinig IT-capaciteit beschikbaar is.
Automatisering van:
- laptopconfiguratie;
- applicatie-installatie;
- security policies;
- onboarding;
kan handmatig werk verminderen.
De omgeving moet wel eenvoudig en beheersbaar worden gehouden.
Intune voor grotere organisaties
Bij grotere organisaties groeit vooral de behoefte aan governance.
Er zijn meer:
- gebruikers;
- apparaten;
- applicaties;
- landen;
- beheerders;
- uitzonderingen;
- security requirements.
Hierdoor worden onderwerpen zoals RBAC, scope, naming conventions, policy lifecycle en change management steeds belangrijker.
Is Intune voldoende als complete securityoplossing?
Nee.
Microsoft Intune is primair een endpointmanagementplatform.
Het kan veel securityinstellingen beheren, maar vervangt niet automatisch:
- SIEM;
- SOC-processen;
- identity governance;
- vulnerability management in volledige breedte;
- security awareness;
- incident response;
- backup;
- data governance.
Intune moet dus onderdeel zijn van een bredere securityarchitectuur.
Is Intune voldoende voor compliance?
Ook hier is het antwoord nee.
Intune kan technische controles ondersteunen, maar maakt een organisatie niet automatisch compliant met bijvoorbeeld:
- AVG;
- NIS2;
- ISO 27001;
- sectorspecifieke normen.
Compliance vraagt ook om:
- beleid;
- processen;
- risicoanalyse;
- documentatie;
- training;
- governance;
- monitoring.
Intune kan technische bewijsvoering en handhaving ondersteunen, maar is niet het volledige complianceprogramma.
MDM of modern endpoint management?
Voor nieuwe Intune-projecten is het nuttig om niet uitsluitend te vragen:
Hoe richten we MDM in?
Een betere vraag is:
Hoe willen we endpoints gedurende hun hele lifecycle beheren en beveiligen?
Daaronder vallen:
- enrollment;
- configuration;
- application management;
- security;
- compliance;
- access;
- support;
- offboarding.
Dat leidt doorgaans tot een completer ontwerp.
Veelgestelde vragen
Is Microsoft Intune een MDM?
Ja. Microsoft Intune ondersteunt Mobile Device Management.
Is Intune alleen MDM?
Nee. Intune biedt daarnaast onder andere MAM, application management, compliance, endpoint security en Windows-managementmogelijkheden.
Welke apparaten kan Intune beheren?
Intune ondersteunt verschillende scenario’s voor Windows, macOS, iOS, iPadOS en Android.
Kan Intune laptops beheren?
Ja. Windows- en macOS-laptops kunnen in ondersteunde scenario’s met Intune worden beheerd.
Kan Intune privételefoons beheren?
Ja, er bestaan verschillende BYOD-modellen. Daarnaast kan MAM worden gebruikt om zakelijke apps en data te beschermen zonder volledige device enrollment.
Kan Intune software installeren?
Ja. Intune ondersteunt verschillende application-deploymentscenario’s, waaronder Win32-applicaties voor Windows.
Kan Intune BitLocker beheren?
Ja. Intune kan relevante BitLocker-configuraties voor ondersteunde Windows-apparaten beheren.
Kan Intune samenwerken met Conditional Access?
Ja. Device- en compliance-informatie uit Intune kan onderdeel zijn van Conditional Access-beleid.
Is Intune hetzelfde als Microsoft Endpoint Manager?
Microsoft Endpoint Manager was een eerdere productnaam binnen Microsofts endpointmanagementportfolio. Microsoft Intune staat tegenwoordig weer centraal in de productnaamgeving.
Is Intune een UEM-oplossing?
Intune heeft veel kenmerken van Unified Endpoint Management doordat verschillende endpointplatforms en beheerfuncties binnen één oplossing worden gecombineerd.
Conclusie
Microsoft Intune is absoluut een MDM-oplossing, maar alleen naar Intune kijken als Mobile Device Management doet het platform tekort.
Intune ondersteunt het centrale beheer van apparaten, maar daarnaast ook:
- applicaties;
- App Protection Policies;
- compliance;
- endpoint security;
- Windows Autopilot;
- updates;
- moderne Windows-configuratie;
- integratie met Conditional Access.
Daarom past modern endpoint management beter bij wat organisaties tegenwoordig met Intune kunnen doen.
Voor een succesvolle implementatie is het belangrijk om niet te beginnen met afzonderlijke policies, maar met de volledige endpoint lifecycle.
Welke apparaten heeft u?
Wie gebruikt ze?
Welke applicaties zijn nodig?
Welke gegevens moeten worden beschermd?
Welke securityvoorwaarden gelden?
En onder welke voorwaarden krijgt een apparaat toegang tot bedrijfsresources?
Wanneer die vragen duidelijk zijn, kan Microsoft Intune veel meer worden dan alleen een MDM-tool.
Heeft u een vraag over Microsoft Intune of MDM?
Wilt u weten of Microsoft Intune geschikt is voor uw huidige device-managementomgeving? Of wilt u bestaande MDM vervangen, Windows-apparaten toevoegen of MDM combineren met MAM en Conditional Access?
Stel uw Intune-vraag. Uw eerste vraag is gratis.
Beschrijf kort welke apparaten u beheert, welke oplossing u momenteel gebruikt en wat u met Intune wilt bereiken. Wij geven u een eerste praktisch advies over de mogelijke aanpak of vervolgstappen.