Windows 11 Pro voor zakelijke eindpunten

Controleer de onderliggende licentie voordat je productcodes voor een pc-park koopt

Begin bij het gebruiksrecht, niet bij de activering. Leg voor elk apparaat vast welke editie is geïnstalleerd, hoe de oorspronkelijke licentie is verkregen en of de voorgenomen aankoop een volledige licentie of een upgrade betreft. Veel Windows-licenties uit de commerciële licentieprogramma's van Microsoft zijn upgradelicenties waarvoor een kwalificerend onderliggend besturingssysteem vereist is. Een geslaagde activering bewijst niet dat aan die voorwaarden is voldaan. Controleer de toepasselijke Microsoft Software License Terms of Product Terms voor het specifieke product en aankoopkanaal.

Ook de overdrachtsrechten hangen af van de manier waarop Windows is aangeschaft. Volgens de standaardvoorwaarden van Microsoft blijft vooraf geïnstalleerde Windows normaal gesproken gekoppeld aan het gelicentieerde apparaat en kan de licentie alleen samen met dat apparaat aan een andere eigenaar worden overgedragen. Een afzonderlijk aangeschafte retaillicentie mag doorgaans naar een ander apparaat worden overgezet, mits de software van het vorige apparaat wordt verwijderd en aan de overige voorwaarden wordt voldaan. Houd als MSP de bewijsstukken voor de licentierechten van elke klant gescheiden; een herbruikbare implementatie-image of activeringscode geeft geen gebruiksrecht voor extra apparaten van klanten.

• Bewaar facturen, licentieomschrijvingen en registraties die elk gebruiksrecht aan het bijbehorende apparaat of de gebruiker koppelen.
• Controleer de eisen aan het kwalificerende besturingssysteem voordat je een commerciële Windows-upgradelicentie koopt.
• Beschouw MAK en KMS als activeringsmethoden, niet als bewijs van onbeperkte installatierechten.
• Controleer de overdrachtsrechten voordat je een licentie van een buiten gebruik gestelde pc overzet.
• Vergelijk de kosten van commerciële licentieovereenkomsten op basis van de werkelijke behoeften; er is geen vast aantal gebruikers of apparaten waarboven deze overeenkomsten altijd goedkoper zijn.

Kies een identiteits- en inschrijvingsmodel voordat je apparaten inricht

Bepaal vóór het opzetten van je uitrolproces of apparaten een lokaal Active Directory-domein, Microsoft Entra join of een hybride configuratie gaan gebruiken. Microsoft Entra-registratie, vaak gebruikt bij het toevoegen van een werkaccount aan een privé-pc, is niet hetzelfde als het koppelen van het apparaat via Microsoft Entra join. Pc's die via Entra join zijn gekoppeld, kunnen organisatieaccounts gebruiken om bij Windows aan te melden zonder lid te zijn van een lokaal domein. Hybrid join combineert een bestaand Active Directory-domeinlidmaatschap met een apparaatidentiteit in Microsoft Entra ID.

Windows Pro ondersteunt deze koppelingsopties voor organisaties, maar bij aankoop van het besturingssysteem is geen Intune-abonnement inbegrepen. Voor automatische Intune-inschrijving via Microsoft Entra zijn passende Intune-licenties en Microsoft Entra ID P1 of P2 vereist. Microsoft 365 Business Premium bevat Intune Plan 1 en Entra ID P1, binnen de limieten en voorwaarden van het abonnement. Configureer bij een nieuwe uitrol eerst het inschrijvingsbereik en de beperkingen. Test daarna één representatief apparaat, vanaf de eerste configuratie tot en met het toepassen van beleid en het installeren van applicaties.

• Kies Microsoft Entra join voor apparaten die primair vanuit de cloud werken, tenzij een vastgestelde afhankelijkheid domeinlidmaatschap vereist.
• Beschouw het toevoegen van een werkaccount niet als bewijs dat een apparaat is gekoppeld aan een domein of Microsoft Entra, of onder beheer staat.
• Controleer vóór de uitrol de gebruikerslicenties, inschrijvingsrechten en apparaatlimieten van de tenant.
• Gebruik waar ondersteund Windows Autopilot om de inrichting te vereenvoudigen; de vereiste licenties worden hiermee niet meegeleverd.
• Voorkom dat je tegenstrijdige instellingen configureert via Groepsbeleid en Intune.

Maak van versleutelingsherstel een getest beheerproces

Versleuteling is alleen beheersbaar als bevoegde medewerkers een vergrendeld apparaat weer toegankelijk kunnen maken. Bepaal voordat je BitLocker in het hele pc-park inschakelt waar herstelgegevens worden opgeslagen en wie ze mag opvragen. Apparaten die via een domein worden beheerd, kunnen herstelgegevens opslaan in Active Directory Domain Services; correct geconfigureerde apparaten met cloudbeheer kunnen ze opslaan in Microsoft Entra ID. Configureer het relevante beleid voordat de versleuteling begint. Ga er niet van uit dat domeinlidmaatschap of inschrijving voor apparaatbeheer automatisch zorgt voor veilige opslag van elke bestaande herstelsleutel.

Controleer het volledige proces met een testapparaat: verifieer de versleutelingsstatus, zoek het herstelwachtwoord in de beoogde directory en controleer of de weergegeven herstelsleutel-id overeenkomt met de herstelgegevens van het apparaat. Reeds versleutelde pc's moeten apart worden gecontroleerd, omdat het toepassen van nieuw beleid niet bewijst dat hun herstelwachtwoorden eerder centraal zijn opgeslagen. Beperk de toegang voor de helpdesk, leg vast hoe medewerkers de identiteit van een aanvrager controleren en vervang een herstelwachtwoord nadat het is verstrekt, voor zover je beheertools dit ondersteunen.

• Configureer bij implementaties met AD-beheer het beleid dat voorkomt dat BitLocker wordt ingeschakeld voordat de herstelgegevens in AD DS zijn opgeslagen.
• Inventariseer zowel de versleutelingsstatus als de back-upstatus van de herstelsleutels.
• Test herstel alleen op een testapparaat met gecontroleerde back-ups en volgens een goedgekeurde procedure.
• Controleer vóór firmware- of TPM-wijzigingen of BitLocker tijdelijk moet worden onderbroken; wis een TPM niet zomaar.
• Zorg voor afzonderlijke back-ups van gegevens: een herstelwachtwoord kan een defecte of gewiste schijf niet herstellen.

Stem updateringen af op het einde van de ondersteuning en de hardwarevereisten

Beschouw het einde van de ondersteuning voor een onderdelenversie als een deadline voor het hele pc-park, niet alleen als een updatevoorkeur. Onderdelenversies van Windows 11 Home en Pro krijgen 24 maanden ondersteuning. Binnen een nog ondersteunde besturingssysteemfamilie kunnen dus apparaten voorkomen met een versie die niet meer wordt ondersteund. Inventariseer de editie, versie en geschiktheid van de hardware en verdeel de apparaten vervolgens over testgroepen, groepen voor brede uitrol en uitzonderingsgroepen. Uitstelbeleid helpt updates te faseren, maar verlengt de ondersteuningsperiode van een versie niet en neemt de noodzaak om bedrijfskritische applicaties te testen niet weg.

Beoordeel voor pc's die niet naar Windows 11 kunnen overstappen of vervanging, migratie van workloads of een tijdelijk Extended Security Updates-plan de beste optie is. Zakelijke apparaten met Windows 10 22H2 die aan de voorwaarden voldoen, kunnen tot drie jaar na het einde van de standaardondersteuning commerciële ESU-dekking krijgen. Hiervoor zijn jaarlijkse licenties nodig; bij instappen in een later jaar moeten ook de voorgaande jaren worden aangeschaft. ESU is een tijdelijke overbrugging met beveiligingsupdates, geen programma voor functie-upgrades of vervanging voor algemene ondersteuning. Beschouw Windows 11-installaties die de hardwarevereisten omzeilen niet als een ondersteunde strategie voor je pc-park.

• Gebruik de pagina's van Microsoft over releasestatus en levenscyclus om de einddatum van de ondersteuning voor elke uitgerolde versie bij te houden.
• Test updates met representatieve hardware, VPN-clients, beveiligingsagents en bedrijfsapplicaties.
• Onderzoek beveiligingsblokkeringen voor updates in plaats van ze standaard te omzeilen.
• Wijs voor elke uitzondering met niet-ondersteunde hardware een verantwoordelijke en een vervangingsdatum aan.
• Controleer de vereisten voor commerciële ESU en de actuele Microsoft-voorwaarden voordat je de kosten van de dekking begroot.

Identiteitsmodellen voor Windows Pro en de gevolgen voor apparaatbeheer