Zakelijk aanmelden meegeven
Het aanmeldscript op Windows, en het apparaatprofiel dat op een Mac hetzelfde doet.
Zakelijk aanmelden meegeven
Op Windows
Het aanmeldscript vertelt de extensie en de desktop-app welk werkadres bij de aangemelde Windows-gebruiker hoort. Medewerkers slaan daarmee het invullen van een adres en de accountkeuze over.
Het script draait als systeem, omdat een standaardgebruiker geen schrijfrechten heeft op de beveiligde beleidstak van het register. Het zoekt zelf de aangemelde werkaccounts op het apparaat op en schrijft per gebruiker het browserbeleid voor Chrome en Edge plus de sleutel voor de desktop-app. Op een apparaat met alleen een lokaal Windows-account faalt het script zichtbaar in Intune: een groen vinkje betekent altijd dat er echt iets is gezet.
Download het aanmeldscript
Voeg het toe als platformscript
Intune: Apparaten → Scripts en herstel → Platformscripts → Toevoegen → Windows 10 en hoger.
Vul de instellingen zo in
| Intune-veld | Invullen |
|---|---|
| Dit script uitvoeren met de aanmeldingsreferenties van de gebruiker | Nee (dat is de systeem-stand) |
| Handtekeningcontrole voor script afdwingen | Nee |
| Script uitvoeren in 64-bits PowerShell-host | Ja |
Wijs toe aan je doelgroep
Toewijzen aan de beveiligingsgroep uit Wat je nodig hebt.
Windows haalt nieuw toegewezen scripts op bij elke herstart en verder periodiek. Zo forceer je het direct: Instellingen → Accounts → Toegang tot werk of school → het gekoppelde werkaccount → Info → Synchroniseren. Gebruikt je organisatie de Bedrijfsportal-app, dan werkt de synchronisatieknop daar ook.
Het script lijkt niet te draaien
Controleer met dsregcmd /status dat het apparaat Entra joined is en dat de gebruiker een werkaccount-aanmelding heeft (AzureAdPrt: YES). Een apparaat dat alleen geregistreerd is ontvangt geen scripts; in een sessie met een lokaal Windows-account is er niets om te zetten en faalt het script zichtbaar in Intune.
Het script staat op Geslaagd, maar loginHint ontbreekt
Drie oorzaken, in deze volgorde controleren:
- De gebruiker was niet aangemeld toen het script draaide. Het script zet alleen sleutels voor de profielen die op dat moment geladen zijn. Laat het opnieuw draaien terwijl de gebruiker is aangemeld (zie de callout hierboven).
- Het aanmeldadres van de gebruiker ligt op een domein dat niet in BeeSensible is geverifieerd. De hint wordt dan wel gezet, maar de extensie herkent hem niet. Verifieer dat domein onder Identiteit.
- De sessie draait op een lokaal Windows-account; er is dan geen werkaccount om te zetten.
Wat het script per gebruiker deed staat op het apparaat in dit logboek:
C:\ProgramData\Microsoft\IntuneManagementExtension\Logs\AgentExecutor.log
Het script draaide al, maar een nieuwe gebruiker heeft geen hint
Wijzig het script in Intune en sla het opnieuw op; dan draait het opnieuw voor alle aangemelde gebruikers op het apparaat. Of dat na de pilot nog nodig is, staat in de callout Eén keer per doel.
Waar zie ik wat het script deed?
In Intune staat onder het script bij Controleren de status per apparaat. De regels die het script zelf schrijft (gezet of overgeslagen, per gebruiker) staan op het apparaat in AgentExecutor.log; de aflevering van het script logt de beheerextensie in IntuneManagementExtension.log. Beide staan hier:
C:\ProgramData\Microsoft\IntuneManagementExtension\Logs
Op een Mac
Op macOS bestaat dit script niet, en dat is geen omissie maar een grens van het platform: een configuratieprofiel op het apparaatkanaal kan geen adres per gebruiker dragen, en een adres vastzetten in machinebeleid maakt het apparaat van precies één persoon.
In plaats van wie de gebruiker is, geef je mee bij welke organisatie het apparaat hoort. Dat is één waarde die voor iedereen op die Mac geldt. De medewerker komt daarmee zonder keuze bij de juiste organisatie binnen; welk account het is, bepaalt de Mac.
Download het profiel
De uitrolconsole genereert het bij deze stap, zodra je organisatie een gekoppelde identity-provider heeft. Zonder koppeling is er niets om in het profiel te zetten en toont de console de knop niet.
Uitrolconsole, stap Zakelijk aanmeldenDaar staat het profiel, met de identity-provider van je organisatie er al in.Voeg het toe als aangepast profiel
Intune: Apparaten → macOS → Configuratie → Nieuw beleid → Sjablonen → Aangepast, en kies het apparaatkanaal.
Wijs toe
Aan dezelfde doelgroep als de andere stappen.
Wat wij hier niet kunnen wegnemen
De keuze aan de kant van BeeSensible is weg. Of de aanmelding daarna volledig stil verloopt, hangt af van of de browser de bestaande sessie bij Microsoft mag hergebruiken, en dat regelt het besturingssysteem:
- macOS doet dit via Microsofts Enterprise SSO plug-in en Platform SSO. Die rol je zelf via Intune uit; het zijn Microsoft-componenten. Zonder die plug-in vraagt Microsoft eenmalig een bevestiging.
- Conditional Access kan altijd alsnog een controle afdwingen, hoe je dit ook inricht.
Beide gelden ook op Windows, daar met CloudAPAuthEnabled en het aanmeldbewijs van Windows.
