Enrollment time grouping voor Macs met ADE

Een nieuwe Mac komt uit de doos, doorloopt Setup Assistant en schrijft zich via automated device enrollment (ADE) in bij Intune. Toch zijn de apps en het beleid er dan vaak nog niet. Intune deelt een apparaat namelijk pas na de inschrijving in groepen in, op basis van inventarisgegevens, en weet pas daarna wat het apparaat moet krijgen. Volgens Microsoft kan het tot acht uur na de inschrijving duren voordat een apparaat alle apps en al het beleid heeft.

In de week van 15 juni 2026 is enrollment time grouping algemeen beschikbaar geworden voor Apple ADE op macOS en iOS/iPadOS. In deze blogpost lees je wat enrollment time grouping doet, hoe je het instelt in een enrollment policy voor macOS en welk rapport Microsoft noemt voor apparaten die niet in de groep terechtkwamen.

Wat is enrollment time grouping?

Met enrollment time grouping koppel je een Microsoft Entra-beveiligingsgroep aan een enrollment policy. Een apparaat dat zich met die policy inschrijft, wordt al tijdens de inschrijving lid van de groep, niet pas erna. Apps en beleid die je aan die groep toewijst, kan Intune daardoor sneller na de inschrijving leveren.

Een paar punten om vooraf te weten:

• Het werkt alleen in de nieuwe enrollment policies voor Apple ADE (Enrollment program tokens > Enrollment policies). De oudere profielen onder Enrollment program tokens > Profiles krijgen geen nieuwe functies en verdwijnen op termijn, aldus Microsoft.
• Het geldt alleen voor nieuwe inschrijvingen. Macs die al ingeschreven zijn, merken er niets van.
• Je koppelt één statische (assigned) beveiligingsgroep per enrollment policy. Dynamische groepen kun je niet kiezen.
• In sommige soevereine clouds, waaronder Azure Government en Azure operated by 21Vianet, is het voor Apple ADE niet beschikbaar.

Wat heb je nodig?

• Een koppeling tussen Intune en Apple Business of Apple School Manager, met een actief ADE-token (zie ook Volledig beheerde Apple-apparaten met Apple Business Manager en Intune), en een Apple MDM push certificate in Intune. Apple Business is de huidige naam van Apple Business Manager.
• Nieuwe of gewiste Macs die via Apple Business of Apple School Manager zijn gekocht.
• Een Intune-rol waarmee je enrollment policies voor macOS mag maken; welke rol dat precies is, noemt de bron niet en is hier een eigen lezing. Om een groep te koppelen heb je in elk geval de permissie enrollment time device membership assignment in een custom role, onder Enrollment programs.
• De beveiligingsgroep moet als scope group aan je Intune-rol zijn toegewezen, anders kun je hem in de policy niet kiezen.
• Om de Intune-app als eigenaar aan de groep toe te voegen: de rol Microsoft Entra Group Administrator, de permissie microsoft.directory/groups/owners/update, of je bent al eigenaar van de groep.

Maak de beveiligingsgroep aan

De groep heeft de service principal Intune Provisioning Client als eigenaar nodig. Leden hoef je nu nog niet toe te voegen.

1. Meld je aan bij het Microsoft Intune admin center.
2. Navigeer naar Groups > All groups en klik op New group.
3. Zet Group type op Security.
4. Geef de groep een naam, bijvoorbeeld “Contoso – macOS – ADE”, en een beschrijving.
5. Zet Microsoft Entra roles can be assigned to the group op No.
6. Zet Membership type op Assigned.
7. Klik onder Owners op No owners selected.
8. Zoek Intune Provisioning Client met AppId f1346770-5b25-470b-88bd-d5744ab7952c, selecteer de service principal en klik op Select.
9. Klik op Create.

💡 Let op: in sommige tenants heet dezelfde service principal Intune Autopilot ConfidentialClient. Het gaat om de AppId; die moet f1346770-5b25-470b-88bd-d5744ab7952c zijn.

Koppel de groep aan een enrollment policy voor macOS

1. Navigeer in het Intune admin center naar Devices, klap Device onboarding uit en selecteer Enrollment.
2. Open het tabblad macOS en selecteer onder Bulk Enrollment Methods de optie Enrollment program tokens.
3. Selecteer je token en kies Enrollment policies > Create policy > macOS.
4. Geef op Basics een naam en beschrijving op en klik op Next.
5. Selecteer op het tabblad Device group de groep die je net hebt aangemaakt en klik op Next.
6. Stel op Configuration settings de overige instellingen in, zoals User Affinity, Await final configuration en de schermen van Setup Assistant.
7. Klik op Next, controleer de samenvatting en klik op Create.

Wijs de policy daarna toe aan de Macs onder het token: open het token, ga naar Devices, selecteer de apparaten en kies Assign policy. Je kunt de policy ook instellen als standaard met Set Default Policy.

💡 Wijs vervolgens de apps en het beleid die een Mac als eerste nodig heeft toe aan dezelfde groep. Dat is het hele punt: wat aan de groep is toegewezen, kan Intune sneller na de inschrijving leveren.

Je kunt de groep later in de policy wijzigen. Die wijziging geldt niet voor apparaten die al met de policy zijn ingeschreven. Haal je een apparaat uit de groep, dan bepaalt Intune opnieuw welk beleid erbij hoort en laat het apparaat inchecken om de nieuwe configuratie op te halen.

Houd het rapport met fouten in de gaten

Navigeer naar Devices > Monitor > Enrollment time grouping failures. Het rapport toont alleen apparaten die niet aan de groep konden worden toegevoegd, geen geslaagde inschrijvingen. Microsoft noemt in de lijst van dit rapport Apple mobile ADE, maar macOS niet expliciet. Controleer daarom bij een Mac ook of hij werkelijk lid van de groep is geworden. Nieuwe gegevens kunnen tot 20 minuten later verschijnen. Om het rapport te zien heb je de permissie Microsoft.Intune/ManagedDevices/Read nodig.

Microsoft raadt aan dit rapport continu te volgen. Komt een apparaat niet in de groep, dan kan de configuratie na de inschrijving veranderen of van het apparaat verdwijnen.

Bekend probleem

Bewerk je een bestaande Apple ADE-policy onder Enrollment policies, dan ontbreekt de optie Remove voor de gekoppelde groep. Microsoft noemt twee omwegen: verwijder de policy en maak een nieuwe, of haal de groep weg met Microsoft Graph. Deze aanroep in de bèta-API ontkoppelt de groep van de policy:

DELETE https://graph.microsoft.com/beta/deviceManagement/configurationPolicies('{policyId}')/clearEnrollmentTimeDeviceMembershipTarget

Gebruikerservaring

De gebruiker doorloopt Setup Assistant zoals altijd. De toegewezen apps en het beleid horen volgens Microsoft al op het apparaat te staan of te worden geïnstalleerd zodra het beginscherm verschijnt.

Staat Await final configuration op Yes, dan wacht de Mac aan het eind van Setup Assistant op een vergrendeld scherm tot Intune heeft ingecheckt. Microsoft noemt de combinatie met enrollment time grouping niet als aanbeveling, maar een eigen lezing is dat Intune op dat moment al weet welke groepsgebonden apps en welk beleid erbij horen.

Tot slot

Enrollment time grouping zet een nieuwe Mac al tijdens de inschrijving in de juiste groep, zodat Intune apps en beleid kan leveren zonder eerst op de groepsindeling te wachten. Maak een statische groep met de Intune Provisioning Client als eigenaar, koppel die in een nieuwe enrollment policy en houd het foutenrapport bij.

📚 Lees meer in Set up automated device enrollment (ADE) for macOS op Microsoft Learn.