Mange IT-afdelinger har flyttet styringen af bærbare og telefoner fra gruppepolitikker til Microsoft Intune. Det giver et samlet billede af enhederne, men det flytter også et sikkerhedsspørgsmål: hvilke krav skal en enhed opfylde for at få adgang til mail og filer, og hvad sker der med de enheder, der ikke opfylder dem? En test, der omfatter Intune, ser på netop det. Svaret hviler på samspillet mellem politikker for overholdelse, sikkerhedsbaselines og reglerne for betinget adgang i Entra ID, som Microsoft selv beskriver som tæt forbundne.
Hvad Intune-delen af en test handler om
Intune er et testområde for infrastruktur, ikke for programmer. Testen ser på de politikker, IT har lavet for enhederne, og på, hvordan de bruges, når en enhed vil have adgang. Den afprøver ikke apps på telefonerne og er ikke en test af mobilapplikationer.
I praksis stiller testen fire spørgsmål:
- Hvilke krav gælder? · minimumsversion af styresystemet, kryptering, skærmlås og lignende.
- Hvad sker der med enheder uden politik? · om de regnes som godkendte eller ej.
- Bruges status i reglerne for login? · om en enhed, der ikke opfylder kravene, faktisk bliver afvist.
- Hvordan er enhederne sat op? · om sikkerhedsbaselines og konfigurationsprofiler er i brug og passer sammen.
Enheder uden politik
Microsoft beskriver en indstilling for hele lejeren, der afgør, hvordan Intune behandler enheder, som ikke har fået tildelt en politik for overholdelse. Standardværdien er, at sådanne enheder regnes som godkendte. Microsoft skriver selv, at sikkerhedsfunktionen dermed er slået fra, og anbefaler, at indstillingen ændres til ikke godkendt, hvis I bruger enhedens status i reglerne for betinget adgang.
Det er et klassisk fund. En enhed, der er tilmeldt Intune, men som er havnet uden for de grupper, politikkerne er tildelt, slipper igennem som godkendt. Det kan ske ved nye enhedstyper, testenheder eller enheder fra en opkøbt afdeling.
Rettelsen er ikke bare at skifte indstillingen. Før skiftet skal I vide, hvilke enheder der i dag står uden politik, så medarbejdere ikke pludselig bliver afvist. → Rettelser uden nedetid
Status i reglerne for login
Politikker for overholdelse gør i sig selv ikke meget. De markerer en enhed som godkendt eller ikke godkendt. Det er først, når reglerne for betinget adgang i Entra ID kræver en godkendt enhed, at statussen får betydning for adgangen.
Testen ser derfor på sammenhængen:
- Kræves godkendt enhed overhovedet? · eller bruges politikkerne kun til rapportering.
- Gælder kravet alle tjenester? · eller kun mail, mens filer og andre programmer kan nås fra enhver enhed.
- Er der undtagelser? · grupper eller konti, der ikke er omfattet, og hvorfor.
- Hvad med browser og ikke-administrerede enheder? · om de kan bruges som en bagdør uden om kravet.
Huller i reglerne for login er et selvstændigt fundområde. → Betinget adgang i Entra ID
Microsoft beskriver desuden en gyldighedsperiode, inden for hvilken enheder skal melde deres status. En enhed, der ikke melder i tide, behandles som ikke godkendt. Standarden er 30 dage, og den kan justeres. Testen kan kommentere, om perioden passer til jeres drift.
Sikkerhedsbaselines og konfigurationsprofiler
Intune tilbyder sikkerhedsbaselines: samlinger af anbefalede indstillinger fra Microsofts sikkerhedsteams, der kan tildeles enheder. Microsoft skriver, at standardværdierne i baselines i næsten alle tilfælde er de mest restriktive, og at man skal kontrollere, at de ikke kommer i konflikt med andre politikker. Microsoft anbefaler også, at prøveversioner af baselines ikke bruges i produktion.
Fund på området handler ikke nødvendigvis om, at en baseline mangler helt. De handler om:
- Konflikter · flere baselines eller profiler, der sætter den samme indstilling forskelligt, så resultatet på enheden er uforudsigeligt.
- Gamle versioner · profiler bygget på en ældre baseline, som ingen har opdateret.
- Lokale undtagelser · indstillinger, der er slået fra for en gruppe for at løse et driftsproblem og aldrig slået til igen.
- Forskel mellem politik og virkelighed · enheder, der rapporterer fejl eller ikke har modtaget profilen.
Baselines hører sammen med den generelle opsætning af klienter, som også kan testes på enheden selv. → Klientopsætning
Det, IT-afdelingen gør klar
- Testenhed · en administreret enhed med en almindelig medarbejders opsætning, så testeren kan se, hvad politikkerne gør i praksis.
- Ikke-administreret enhed · aftal, om testeren må forsøge at få adgang fra en enhed, der ikke er tilmeldt, så hullerne i kravene bliver synlige.
- Oversigt over politikker · hvilke politikker for overholdelse, baselines og profiler der er tildelt hvilke grupper.
- Kendte undtagelser · grupper og enhedstyper, der bevidst er undtaget.
- Kontaktperson i servicedesken · hvis en testenhed bliver markeret som ikke godkendt og låst.
Fra fund til rettelse
Prioritér efter, hvor stor en del af adgangen fundet påvirker. Et hul, hvor enheder uden politik regnes som godkendte, og reglerne for login stoler på den status, rammer hele lejeren og står øverst. Konflikter mellem baselines er vigtige, men påvirker typisk indstillinger på den enkelte enhed og kan tages i en planlagt runde.
Fordel også ejerskabet. Politikker for overholdelse og baselines ejes typisk af den, der passer klienterne. Reglerne for login ejes ofte af den, der passer identitetsplatformen. Er det to forskellige personer eller to forskellige leverandører, skal rettelsen koordineres, ellers bliver den ene halvdel lavet og den anden glemt. Notér i opgaven, hvem der ejer hvilken del, og hvornår de to dele skal være på plads samtidig.
Rul ændringer ud til en pilotgruppe først. Intune-politikker rammer mange enheder på én gang, og en stram politik, der rammer forkert, kan stoppe en hel afdeling. → Skærpelser, brugerne mærker
Det skal I lade være med
- At skifte standarden for enheder uden politik uden forberedelse. Medarbejdere kan blive afvist fra den ene dag til den anden.
- At bruge politikker uden at koble dem til reglerne for login. Så er de kun en rapport.
- At lade prøveversioner af baselines køre i produktion. Microsoft fraråder det selv.
- At ignorere konflikter, fordi enhederne virker. Resultatet på enheden er måske ikke det, I tror.
- At blande enhedspolitikker sammen med test af apps. Det er to forskellige opgaver.
Hvad kan og ikke kan konkluderes
Testen viser, hvordan politikker for overholdelse, baselines og regler for login virkede for de testede enheder og konti på testtidspunktet. Den viser ikke, at alle enheder i jeres flåde har modtaget de samme indstillinger, og den afprøver ikke programmer på enhederne. Intune-rapporterne siger noget om tilstanden på enhederne. Testen siger noget om, hvad den tilstand betyder for adgangen.
Tjekliste til Intune
- ☐ Er enheder uden politik markeret som ikke godkendt?
- ☐ Kræver reglerne for login en godkendt enhed?
- ☐ Gælder kravet alle relevante tjenester?
- ☐ Er konflikter mellem baselines og profiler gennemgået?
- ☐ Bruges kun udgivne versioner af baselines i produktion?
- ☐ Rulles ændringer ud til en pilotgruppe først?
Kilder
- Microsoft Learn: Device compliance policies in Microsoft Intune: indstillingen for enheder uden politik med standarden godkendt, anbefalingen om ikke godkendt ved brug af betinget adgang, gyldighedsperioden med standard på 30 dage og samspillet med Entra ID.
- Microsoft Learn: Intune security baselines for Windows devices: baselines som anbefalede indstillinger, de mest restriktive standardværdier, risiko for konflikter og frarådning af prøveversioner i produktion.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Microsoft 365-test for IT-afdelingen · Kryptering af bærbare
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
