Autopilot Device Association: apparaten cryptografisch aan de tenant koppelen vóór de eerste Intune-inschrijving

Windows Autopilot Device Preparation heeft in augustus 2026 een cruciale nieuwe mogelijkheid gekregen: Device Association. Hiermee koppelt u apparaten via TPM-attestatie aan uw tenant vóórdat ze zijn ingeschreven in Intune. Onbekende apparaten worden al tijdens de out-of-box experience geblokkeerd.

Het inschrijven van een Windows-apparaat in Microsoft Intune begon klassiek altijd pas nadat de eindgebruiker het apparaat al in handen had. Dat betekende een tijdvenster tijdens de out-of-box experience (OOBE) waarin geen organisatiebeleidsregels actief waren. Met Windows Autopilot Device Preparation, de opvolger van het klassieke Autopilot-profiel, pakt Microsoft dit patroon structureel aan. De nieuwste stap in die aanpak, Device Association, is in augustus 2026 algemeen beschikbaar geworden en voegt een cryptografische verificatielaag toe die al actief is vóórdat een gebruiker ook maar een wachtwoord intypt.

Device Association maakt het mogelijk om apparaten via TPM-attestatie (Trusted Platform Module) aan uw tenant te koppelen nog vóór de Intune-inschrijving plaatsvindt. Pas als die koppeling is bevestigd, mag het apparaat de OOBE-flow voltooien met de organisatiecontext. Apparaten die niet in de associatielijst staan, worden tegengehouden.

Wat is Windows Autopilot Device Preparation?

Windows Autopilot Device Preparation (DPP) is de architecturele opvolger van het klassieke Autopilot-profiel. Waar het klassieke model werkte met statische profielen die gekoppeld waren aan hardware-hashes, werkt DPP met voorbereiding via beleidsregels die bij het apparaat worden geconfigureerd vóór de inschrijving. Dit geeft IT-teams meer controle over het OOBE-proces en maakt de onboarding minder afhankelijk van de exacte volgorde van stappen die een gebruiker doorloopt.

DPP integreert rechtstreeks met Microsoft Entra ID en Intune. Apparaten worden toegewezen aan een DPP-beleid op basis van dynamische apparaatgroepen. Zodra een apparaat voor het eerst opstart en verbinding maakt, checkt Windows Autopilot of het apparaat in een geldig beleid valt en of de bijbehorende associatie klopt.

Wat doet Device Association precies?

Device Association voegt een verificatiestap toe aan het begin van het inschrijvingstraject. Wanneer een apparaat opstart en de OOBE start, genereert de TPM-chip een cryptografische sleutel die uniek is voor die specifieke hardware. Die sleutel wordt aangeboden aan de Microsoft-infrastructuur, die vervolgens controleert of dit apparaat al is geassocieerd met uw tenant in Intune.

Als de associatie bestaat en klopt, mag het apparaat de OOBE voltooien als een organisatieapparaat. Als dat niet zo is, stopt het proces. Dit voorkomt dat een apparaat dat toevallig uw netwerk bereikt, of een apparaat dat ergens in de logistieke keten is verwisseld, zomaar als organisatieapparaat wordt ingericht. TPM-attestatie werkt op hardwareniveau en kan niet worden gespoofed via software.

Naast het beveiligingsvoordeel biedt Device Association ook praktische voordelen voor de onboarding. Apparaatnamen kunnen vóór inschrijving worden ingesteld op basis van de associatie. OOBE-pagina's kunnen worden aangepast op basis van de gekoppelde apparaatcategorie. En apparaatgebaseerde beleidsregels, zoals BitLocker-configuratie en compliance-eisen, kunnen al actief zijn vóórdat een gebruiker zijn referenties invoert.

Welk probleem lost dit op?

In een klassieke Intune-onboarding bestaat een tijdvenster tussen het eerste opstarten van een apparaat en het moment waarop organisatiebeleidsregels actief worden. In dat venster draait het apparaat als een niet-beheerd consumentensysteem. Voor de meeste apparaten is dit risico beperkt, maar voor omgevingen met strikte compliance-eisen, verwerkende bedrijven of organisaties met gevoelige klantdata is dit toch een kwetsbaar moment.

Een concreter risico is apparaatverwisseling. Als een laptop wordt besteld, geconfigureerd en afgeleverd via een externe partij, en er vindt ergens in die keten een verwisseling plaats, dan detecteert een klassieke Intune-inschrijving dit niet automatisch. Met Device Association is de koppeling cryptografisch: alleen het exacte apparaat met de juiste TPM-handtekening kan de associatie doorlopen. Een andere laptop met hetzelfde modelnummer komt er simpelweg niet doorheen.

Hoe configureert u Device Association?

De configuratie verloopt volledig via het Intune-beheercentrum en vereist geen extra licenties bovenop uw bestaande Microsoft Intune-abonnement. De stappen op hoofdlijnen zijn als volgt.

Eerst registreert u de apparaten in Intune via de gebruikelijke weg, hardware-hash importeren of via OEM-directe inschrijving via een fabrikant of reseller die is aangesloten op het Windows Autopilot-programma. Vanaf dat moment is het apparaat bekend in uw tenant.

Vervolgens maakt u in het Intune-beheercentrum een Windows Autopilot Device Preparation-beleid aan onder Apparaten > Windows > Inschrijving > Autopilot Device Preparation. In dit beleid schakelt u Device Association in. U wijst het beleid toe aan een dynamische apparaatgroep op basis van de hardware-ID of aankoopgroep.

De Feature vereist een specifieke Windows-update die meerollt met de augustus 2026-updatecyclus. Apparaten die die update nog niet hebben ontvangen, doorlopen de OOBE zonder associatiecontrole. Zorg er dus voor dat de updatecyclus op orde is voordat u Device Association actief enforceert.

Voor de pilotfase kunt u Device Association in rapporteermodus zetten. Dat betekent dat de associatiecontrole plaatsvindt en het resultaat wordt gelogd in Intune-rapporten, maar het OOBE-proces wordt niet geblokkeerd bij een mislukte verificatie. Zo kunt u zien welke apparaten door de controle zouden vallen zonder operationele impact.

Vereisten en apparaatcompatibiliteit

Device Association vereist TPM 2.0. Vrijwel alle Windows 11-gecertificeerde apparaten voldoen aan deze eis, want TPM 2.0 is een vereiste voor Windows 11-installatie. Apparaten die op Windows 10 draaien of apparaten ouder dan 2019 hebben mogelijk een TPM 1.2 of helemaal geen TPM. Die zijn niet compatibel.

Naast de TPM-eis geldt dat het apparaat bij eerste opstart verbinding moet kunnen maken met de Microsoft Autopilot-service. Dit lukt in de meeste netwerkomgevingen automatisch, maar als u werkt met een strict gefilterd netwerk of een proxy die bepaalde eindpunten blokkeert, dient u de Autopilot-endpoints in uw firewall-uitzonderingen op te nemen.

Wat kunt u deze maand regelen?

Vier concrete stappen om Device Association klaar te zetten voor uw omgeving. Ten eerste, controleer of u al gebruikmaakt van Windows Autopilot Device Preparation of nog van het klassieke Autopilot-model. DPP en de oude profielen bestaan naast elkaar, maar Device Association is alleen beschikbaar binnen DPP.

Ten tweede, verifieer de TPM-versie van uw actuele apparaatpopulatie. In Intune zijn apparaatinventarisrapporten beschikbaar die de TPM-versie per apparaat tonen. Zo weet u meteen welke apparaten in aanmerking komen.

Ten derde, sluit Device Association aan op uw inkoopproces. Bespreek met uw hardwareleverancier of reseller of zij OEM-directe inschrijving ondersteunen, zodat nieuwe apparaten al geassocieerd zijn op het moment dat ze worden afgeleverd. Dit elimineert de handmatige hash-import stap voor nieuwe aankopen.

Ten vierde, stel een pilotgroep in met Device Association in rapporteermodus. Zo vergaart u data over welke apparaten door de controle komen en welke niet, vóórdat u de functie in enforcement-modus zet. Wilt u advies bij de inrichting van Autopilot Device Preparation, de overgang van klassieke Autopilot-profielen of de koppeling aan uw inkoopproces? Neem contact op met Zarioh voor een gericht gesprek.