Zakelijk aanmelden meegeven
Zo hoeven medewerkers hun werkadres niet in te typen: het aanmeldscript op Windows en het apparaatprofiel dat op een Mac hetzelfde doet.
Zakelijk aanmelden meegeven
Op Windows
Het aanmeldscript vertelt de extensie en de desktop-app welk werkadres bij de aangemelde Windows-gebruiker hoort. Medewerkers hoeven daardoor geen adres meer in te typen en geen account meer te kiezen.
Het script draait in de systeemcontext, omdat een standaardgebruiker geen schrijfrechten heeft op de beveiligde beleidssleutels in het Windows-register. Het zoekt zelf de aangemelde werkaccounts op het apparaat op en schrijft per gebruiker het browserbeleid voor Chrome en Edge plus de sleutel voor de desktop-app. Op een apparaat met alleen een lokaal Windows-account mislukt het script zichtbaar in Intune. Een groen vinkje betekent dus altijd dat er echt iets is weggeschreven.
Download het aanmeldscript
Voeg het toe als platformscript
Intune: Apparaten → Scripts en herstel → Platformscripts → Toevoegen → Windows 10 en hoger.
Vul de instellingen zo in
| Intune-veld | Invullen |
|---|---|
| Dit script uitvoeren met de aanmeldingsreferenties van de gebruiker | Nee (dan draait het in de systeemcontext) |
| Handtekeningcontrole voor script afdwingen | Nee |
| Script uitvoeren in 64-bits PowerShell-host | Ja |
Wijs toe aan je doelgroep
Wijs het script toe aan de beveiligingsgroep uit "Wat je nodig hebt".
Windows haalt nieuw toegewezen scripts op bij elke herstart en daarnaast op gezette tijden. Zo forceer je het direct: Instellingen → Accounts → Toegang tot werk of school → het gekoppelde werkaccount → Info → Synchroniseren. Gebruikt je organisatie de Bedrijfsportal-app, dan werkt de synchronisatieknop daar ook.
Het script lijkt niet te draaien
Controleer met dsregcmd /status of het apparaat aan Microsoft Entra ID is gekoppeld (Entra joined) en of de gebruiker met een werkaccount is aangemeld (AzureAdPrt: YES). Een apparaat dat alleen geregistreerd is, ontvangt geen scripts; in een sessie met een lokaal Windows-account valt er niets in te stellen en mislukt het script zichtbaar in Intune.
Het script staat op Geslaagd, maar loginHint ontbreekt
Er zijn drie mogelijke oorzaken; controleer ze in deze volgorde:
- De gebruiker was niet aangemeld toen het script draaide. Het script zet alleen sleutels voor de profielen die op dat moment geladen zijn. Laat het opnieuw draaien terwijl de gebruiker is aangemeld (zie het kader "Eén keer per apparaat of gebruiker" hierboven).
- Het aanmeldadres van de gebruiker ligt op een domein dat niet in BeeSensible is geverifieerd. De hint wordt dan wel gezet, maar de extensie herkent hem niet. Verifieer dat domein onder Identiteit.
- De sessie gebruikt een lokaal Windows-account, dus er is geen werkaccount om in te stellen.
Wat het script per gebruiker heeft gedaan, staat op het apparaat in dit logboek:
C:\ProgramData\Microsoft\IntuneManagementExtension\Logs\AgentExecutor.log
Het script draaide al, maar een nieuwe gebruiker heeft geen hint
Wijzig het script in Intune en sla het opnieuw op; dan draait het opnieuw voor alle aangemelde gebruikers op het apparaat. Of dat na de pilot nog nodig is, lees je in het kader "Eén keer per apparaat of gebruiker".
Waar zie ik wat het script deed?
In Intune staat onder het script bij Controleren de status per apparaat. De logregels van het script zelf (per gebruiker: gezet of overgeslagen) staan op het apparaat in AgentExecutor.log; de beheerextensie legt de levering van het script vast in IntuneManagementExtension.log. Beide staan in deze map:
C:\ProgramData\Microsoft\IntuneManagementExtension\Logs
Op een Mac
Op macOS bestaat dit script niet. Dat is geen vergeten functie, maar een beperking van macOS: een configuratieprofiel op het apparaatkanaal kan geen adres per gebruiker bevatten, en wie een adres vastzet in machinebeleid, koppelt het apparaat aan precies één persoon.
Je geeft dus niet mee wie de gebruiker is, maar bij welke organisatie het apparaat hoort: één waarde die voor iedereen op die Mac geldt. De medewerker komt daarmee zonder te kiezen bij de juiste organisatie binnen; welk account er wordt gebruikt, bepaalt de Mac.
Download het profiel
De uitrolconsole genereert het bij deze stap, zodra je organisatie een gekoppelde identity-provider heeft. Zonder koppeling is er niets om in het profiel te zetten en toont de console de knop niet.
Uitrolconsole, stap Zakelijk aanmelden meegevenDaar staat het profiel, met de identity-provider van je organisatie er al in.Voeg het toe als aangepast profiel
Intune: Apparaten → macOS → Configuratie → Nieuw beleid → Sjablonen → Aangepast, en kies het apparaatkanaal.
Wijs toe
Wijs het profiel toe aan dezelfde doelgroep als de andere stappen.
Wat dit niet wegneemt
Daarmee is de keuze aan de kant van BeeSensible verdwenen. Of de aanmelding daarna helemaal zonder vragen verloopt, hangt ervan af of de browser de bestaande sessie bij Microsoft mag hergebruiken. Dat bepaalt het besturingssysteem:
- macOS doet dit via de Enterprise SSO plug-in van Microsoft en Platform SSO. Die rol je zelf via Intune uit; het zijn Microsoft-componenten. Zonder die plug-in vraagt Microsoft eenmalig een bevestiging.
- Voorwaardelijke toegang (Conditional Access) kan altijd alsnog een extra controle afdwingen, hoe je dit ook inricht.
Beide gelden ook op Windows; daar loopt het via CloudAPAuthEnabled en het aanmeldbewijs van Windows.
