Microsoft Intune backup: Hvad tager Intune reelt backup af?
Et af de mest udbredte spørgsmål blandt IT-administratorer og virksomhedsledere er, hvordan begrebet intune backup i praksis skal forstås. Der hersker en udbredt misforståelse om, at Microsoft Intune fungerer som en traditionel backupmotor, der automatisk gemmer spejlbilleder af computernes harddiske, lokale mapper, personlige fotobiblioteker og brugerens skrivebordsfiler i skyen. Sandheden er en helt anden – og hvis man fejlfortolker Intunes rolle, risikerer man alvorlige datatab.
Microsoft Intune er en avanceret MDM- (Mobile Device Management) og MAM-platform (Mobile Application Management). Dens primære formål er at konfigurere, styre, overvåge og sikre endpoints på tværs af Windows, macOS, iOS og Android. Intune sikrer, at enhederne overholder organisationens compliance-krav, udruller applikationer og håndhæver kryptering som BitLocker. Som vi også har beskrevet i vores dybdegående gennemgang af Intune sikkerhed og beskyttelse af virksomhedens enheder, er platformen designet til policyhåndtering, ikke filarkivering.
Når virksomheder taler om backup i relation til Intune, refererer begrebet i virkeligheden til to fundamentalt forskellige discipliner: For det første, hvordan Intune orkestrerer enhedens indbyggede mekanismer til at sende brugerens arbejdsdata mod skyen (såsom OneDrive Known Folder Move). For det andet, hvordan man som organisation sikrer selve Intune-konfigurationen – herunder compliance policies, PowerShell-scripts, konfigurationsprofiler og app-indstillinger – mod utilsigtede sletninger, administratorfejl eller ondsindede hackerangreb.
Hvad Intune IKKE er
Intune er ikke et traditionelt "Image Backup"-værktøj. Det tager ikke en bit-for-bit klon af din bærbare PC's styresystem, programmer og lokale dokumenter, som kan gendannes på en tom maskine via et eksternt drev.
Hvad Intune FAKTISK gør
Intune administrerer enhedens tilstand og tvinger enheden til at gemme brugerdata i sikre cloud-tjenester. Samtidig gemmer Intune enhedens hardware-ID og sikkerhedsnøgler (f.eks. BitLocker-gendannelsesnøgler) sikkert i Microsoft Entra ID.
Det store blinde punkt
Microsoft tager ikke automatisk historisk versionsbackup af dine Intune-konfigurationsprofiler. Sletter en administrator ved en fejl en kompleks udrulningsprofil, findes der ingen indbygget "Fortryd"-knap i Intune admin-centeret.
Enhedsadministration vs. Datasikring: Hvor går grænsen?
For at opbygge en holdbar IT-infrastruktur er det nødvendigt at adskille enhedens tilstand (configuration state) fra enhedens data (user data). Intune opererer efter princippet om, at selve hardwaren er udskiftelig og forbrugsvenlig, mens identiteten og dataene altid skal leve uafhængigt i skyen.
I et moderne cloud-miljø bygges pc'er ikke længere ved hjælp af tunge, lokale backup-images, der indeholder både Windows, drivere og tusindvis af filer. I stedet anvendes moderne udrulningsteknologier. Som vi har forklaret i artiklen om hvordan Microsoft Intune og Autopilot hænger sammen, er formålet med en moderne arbejdsplads, at en medarbejder kan miste sin computer mandag morgen, hente en ny maskine i uåbnet emballage mandag formiddag, logge på med sin arbejdskonto, og være i fuld drift inden for en time.
Dette stiller imidlertid helt specifikke krav til, hvordan backups orkestreres. Intune leverer konfigurationerne – men hvis brugeren gemmer sine projekter lokalt på C:\Data uden synkronisering, er disse data uigenkaldeligt tabt, hvis computeren går i stykker eller nulstilles via en fjernsletning (Remote Wipe).
- 01
Orkestreret datasynkronisering med OneDrive KFM
Intune kan gennemtvinge Known Folder Move (KFM), hvilket sikrer, at medarbejderens Skrivebord, Dokumenter og Billeder automatisk omdirigeres og spejles til OneDrive for Business uden brugerindblanding.
- 02
BitLocker og LAPS nøgleopbevaring
En af de mest kritiske "backup"-funktioner i Intune er automatisk escrowing af BitLocker-gendannelsesnøgler og Local Administrator Password Solution (Windows LAPS) adgangskoder direkte i skyen.
- 03
Stateless Device filosofien
Moderne endpoint management behandler pc'er som "stateless" enheder. Går en bærbar ned, spilder IT-afdelingen ikke tid på at gendanne en gammel backup; maskinen genskabes eller erstattes lynhurtigt via Intune-politikker.
Hvad beskytter Intune automatisk – og hvad kræver eksterne værktøjer?
For at få det fulde overblik over virksomhedens sikkerhedsniveau er det vigtigt at sammenligne, hvad Intune håndterer som en del af platformens standardfunktioner, hvad der dækkes af andre Microsoft 365-komponenter, og hvilke elementer der efterlades ubeskyttede uden en dedikeret backuprutine.
Mange IT-afdelinger bruger ugevis på at fintune komplekse compliance-regler, udrulle Wi-Fi-certifikater, konfigurere VPN-profiler og skrive avancerede PowerShell-detektionsscripts i Intune. Men hvad sker der, hvis en administrator ved et uheld overskriver eller sletter en kritisk konfigurationsprofil? I Intune findes der ingen indbygget papirkurv eller versionshistorik til slettede politikker. Det gør tenant-backup til en afgørende nødvendighed.
| Datatype / Konfiguration | Håndteres af Intune? | Hvordan beskyttes det i praksis? | Kræver det ekstern backup? |
|---|---|---|---|
| Lokale brugerfiler på PC (C:\) | Nej (intet indbygget) | Intune gennemtvinger OneDrive Known Folder Move | Ja, M365 cloud-backup til OneDrive |
| BitLocker gendannelsesnøgler | Ja (automatisk backup) | Gemmes krypteret i Microsoft Entra ID / Intune | Nej, beskyttet af Microsofts cloud-infrastruktur |
| Enhedskonfigurationer & Policies | Nej (ingen versionsbackup) | Ligger kun live i den aktive lejer (tenant) | Ja! Kræver Graph API export eller backupværktøj |
| PowerShell udrulningsscripts | Nej (kun aktiv tilstand) | Ligger i Intune, men kildekode kan gå tabt ved sletning | Ja, Git-versionering eller dedikeret backup |
| Pakkede applikationer (.intunewin) | Delvist (kan ikke downloades igen) | Intune udruller pakken, men filen kan ikke udtrækkes | Ja, lokalt/cloud kildearkiv over app-installere |
| LAPS lokale administrator-koder | Ja (automatisk rotation) | Gemmes sikkert i Entra ID med tidsbegrænset levetid | Nej, dynamisk synkroniseret i skyen |
Som tabellen illustrerer, må man aldrig forveksle Intunes evne til at konfigurere enheder med en egentlig disaster recovery-plan for selve konfigurationerne. Hvis en utilfreds medarbejder med administrationsrettigheder sletter alle compliance-politikker, kan samtlige enheder i organisationen pludselig blive erklæret "non-compliant", hvilket lukker for adgangen til e-mail og forretningssystemer på tværs af hele virksomheden.
Er dine Intune-profiler og enhedsdata sikret mod nedbrud?
Velata IT hjælper din virksomhed med at designe, konfigurere og sikre et professionelt Intune-miljø. Vi etablerer automatiserede rutiner for backup af jeres politikker, så I hurtigt kan genetablere driften uden driftstab.
Backup af Intune som kode: Beskyt jeres konfigurationer
I en tid præget af stigende trusselsniveauer og skærpede compliance-krav bør enhver IT-organisation behandle deres cloud-konfigurationer med samme stringens som softwarekode. Dette koncept kaldes ofte for "Infrastructure as Code" eller "Configuration as Code".
Når et moderne IT-miljø sættes op via Zero Touch Deployment med Intune og Autopilot, afhænger hele udrulningskæden af, at Intune-miljøets opbygning er 100% konsistent og intakt. Hvis en uheldig konfigurationsændring introduceres på et live-miljø fredag eftermiddag, og 200 enheder modtager en defekt firewall-regel eller et fejlbehæftet certifikat, kan det lamme hele organisationens netværksadgang.
Microsoft Graph API integration
Alle elementer i Intune – fra politikker til app-tildelinger – kan udtrækkes som JSON-strukturer via Microsoft Graph API. Dette gør det muligt at tage fuldautomatiske daglige snapshots af samtlige indstillinger i jeres lejer.
Versionsstyring via Azure DevOps / GitHub
Ved at eksportere Intune-profiler til et sikkert Git-arkiv opnår virksomheden fuld versionshistorik. I kan se præcis, hvem der ændrede en indstilling, hvornår det skete, og rulle tilbage til gårsdagens version med ét klik.
Forebyggelse af "Configuration Drift"
Over tid ændrer administratorer ofte småting ad hoc. Uden fast backup og dokumentation af baseline-konfigurationer opstår der drift, hvor miljøet gradvist fjerner sig fra godkendte sikkerhedsstandarder som CIS eller NIST.
Trin-for-trin guide: Sådan opbygger du en skudsikker Intune backup-strategi
For at sikre, at hverken brugerdata eller administrative konfigurationer går tabt i Intune-økosystemet, anbefaler vi en struktureret 6-trins proces. Denne fremgangsmåde dækker både klientsiden (medarbejderens maskine) og administrationslaget i skyen.
Opret en Intune Configuration Profile, der automatisk og lydløst omdirigerer Skrivebord, Dokumenter og Billeder til OneDrive for Business med versionsstyring.
Opsæt en Endpoint Security policy, der kræver, at Windows-klienter automatisk uploader deres BitLocker-gendannelsesnøgle til Entra ID, før krypteringen fuldføres.
Tillad brugere at synkronisere deres personlige Windows-indstillinger, Wi-Fi profiler og browser-bogmærker sikkert i skyen på tværs af deres enheder.
Opsæt et PowerShell-script baseret på Microsoft.Graph modulet (eller open source værktøjer som IntuneBackupAndRestore) til at eksportere alle profiler som JSON.
Gem altid en kopi af de oprindelige installationsfiler (.msi, .exe) og tilhørende PowerShell-scripts i et versionsstyret, sikkert fillager uden for Intune-portalen.
Udfør jævnlige tests, hvor en testmaskine fjernslettes (wipe) for at validere, at medarbejderen hurtigt kan genindlæse sine profiler og filer via skyen uden tab.
Konkret use case: Tyveri af bærbar computer i udlandet
Forestil dig, at en salgschef mister sin bærbare computer i en lufthavn. Computeren indeholder fortrolige kundekontrakter og tilbudsmateriale. I et traditionelt IT-miljø ville man håbe på, at computeren var blevet sikkerhedskopieret for nylig, og IT-afdelingen skulle manuelt klargøre en ny enhed over flere dage.
Med Intune og en korrekt sammensat backup-arkitektur forløber processen gnidningsfrit: Administratoren sender øjeblikkeligt en fjernsletning (Remote Wipe) via Intune admin-centeret. Harddisken er allerede krypteret med BitLocker, så eventuelle tyve har ingen adgang. Salgschefen køber en standard bærbar PC i en lokal butik, tænder den og taster sit arbejdslogin. Gennem Autopilot og Intune installeres alle firmapolitikker, certifikater og applikationer automatisk. Da Known Folder Move var aktiveret, downloades alle personlige dokumenter og skrivebordsikoner øjeblikkeligt fra skyen. Brugeren er i fuld drift igen på under en time – uden noget datatab.
De 4 mest kritiske faldgruber ved Intune og datastyring
Når virksomheder implementerer Microsoft Intune, sker der ofte misforståelser omkring, hvad systemet dækker ud af boksen. Her er de vigtigste faldgruber, som IT-chefer skal være opmærksomme på:
- 01
At tro at "Wipe" og "Retire" bevarer lokale data
Udfører du en "Wipe" på en enhed i Intune, nulstilles maskinen til fabriksindstillinger. Ligger der lokale filer, som ikke er synkroniseret med skyen, slettes de permanent. Sørg altid for at verificere datasynkronisering, inden en enhed genstartes eller nulstilles.
- 02
Manglende backup af tilpassede scripts og detektionsregler
I Intune kan man uploade komplekse PowerShell- og Shell-scripts til at detektere og udbedre fejl på klienterne. Intune tilbyder ikke mulighed for at hente kildekoden ud af portalen igen, hvis den slettes lokalt. Hav altid en backup i jeres eget script-arkiv.
- 03
At overse mobile enheder (iOS og Android)
På smartphones og tablets tager Intune ikke backup af private billeder eller sms'er. Intune anvender MAM (App Protection Policies) til at isolere virksomhedsdata i apps som Outlook og OneDrive. Data heri er beskyttet af M365-backuppen, men private data forbliver på brugerens eget ansvar.
- 04
Ingen procedure for gendannelse af overskrevne profiler
Hvis en administrator ved en fejl ændrer en kompleks Configuration Profile, der påvirker 500 computere, kan man ikke blot "rulle tilbage" via Intune-brugerfladen. Uden en dokumenteret eksport af JSON-definitionerne skal profilen rekonstrueres manuelt fra bunden.
Ved at integrere Intune med Microsoft 365's øvrige beskyttelseslag og etablere faste eksportrutiner for administrationsmiljøet eliminerer I disse risici og opnår en driftssikker, moderne IT-arbejdsplads.
Få fuldstændig styr på enhedsstyring og backup med Velata IT
Vil du være sikker på, at din virksomheds computere er optimalt konfigureret med Microsoft Intune, og at både brugerdata og administrative politikker er sikret mod tab? Vores certificerede konsulenter står klar til at hjælpe med professionel rådgivning, implementering og drift.
Hvad kan vi ellers hjælpe med?
AirBOSS Økonomisystem
Autoriseret AirBOSS-forhandler og supportcenter med fokus på stabil økonomi- og serverdrift.
Backup & databeskyttelse
Backup af servere, virtuelle miljøer og Microsoft 365 med fokus på gendannelse og kontinuitet.
Cloud & virtuelt datacenter
Hosted Desktop og virtuelle datacentre med fokus på stabil drift og skalerbar infrastruktur.
Infrastruktur & arkitektur
Design, modernisering og 3rd level specialistrådgivning inden for Microsoft-baseret infrastruktur.
IT-sikkerhed
Segmenteret sikkerhedsarkitektur med fokus på identitet, AD-tiering og beskyttelse af Microsoft-miljøer.
IT-Support & it-drift
Ekstern ServiceDesk og samlet ansvar for drift, support og koordinering af virksomhedens IT-miljø.
IT-udstyr & licenser
IT-udstyr og licenser er fundamentet for en driftssikker og skalerbar IT-løsning.
Microsoft Intune
Moderne enhedsstyring, automatiseret deployment og central sikkerhed via Intune og Autopilot.
Microsoft 365
Migrering, sikker konfiguration og løbende administration af Microsoft 365-platformen.
Netværk & WiFi
Design og drift af netværksinfrastruktur, firewall, segmentering og trådløse løsninger.
SentinelOne
SentinelOne er en moderne endpoint-sikkerhedsplatform designet til at opdage og stoppe både kendte og ukendte trusler.