Apps en policies gefaseerd uitrollen met deployments in Intune

Een nieuwe versie van een Win32-app of een aangepaste Settings catalog-policy wil je meestal niet in één keer naar alle Windows-apparaten sturen. Gefaseerd uitrollen betekende tot nu toe: groepen één voor één toewijzen en zelf bijhouden wanneer de volgende aan de beurt is.

In de week van 21 september 2026 heeft Microsoft daar in Intune een functie voor uitgebracht: deployment plans en deployments. In deze blogpost lees je hoe je een deployment plan met ringen maakt, hoe je daarmee een app of policy uitrolt en wat er met de toewijzingen gebeurt terwijl de ringen actief worden.

Wat zijn deployment plans en deployments?

Deployments rollen een app of policy, door Microsoft payload genoemd, gefaseerd uit via ringen. Een ring is een groepstoewijzing die op een vastgelegde datum en tijd actief wordt. De functie bestaat uit twee delen:

• Deployment plan. Een herbruikbaar sjabloon met de ringen, de groepen per ring, eventuele assignment filters, uitsluitingsgroepen en de wachttijd tussen de ringen. Een plan bevat zelf geen app of policy.
• Deployment. De uitvoering: één payload die volgens een plan, of volgens ringen die je eenmalig zelf instelt, wordt uitgerold.

💡 Microsoft markeert de functie nog als public preview: je kunt hem in productie gebruiken en Microsoft ondersteunt hem, maar op dit moment alleen voor Windows, en hij kan nog veranderen.

Deployments ondersteunen op dit moment Windows 10 en later, met deze payloads:

Voor Win32- en Enterprise App Catalog-apps werkt alleen de intent Required; Available en Uninstall worden niet ondersteund. Bij Enterprise App Catalog-apps werkt Update with supersedence wel, maar Automatically update niet.

Wat heb je nodig?

• Een app of policy van een ondersteund type die al in Intune bestaat.
• Voor een deployment plan: de permissie Create voor de categorie Deployment plan, onder meer in de ingebouwde rollen Application Manager, Endpoint Security Manager en Policy and Profile Manager.
• Voor een deployment: de permissies Read en Assign op de categorie van de payload, dus Device configurations voor een policy en Mobile apps voor een app.
• Per ring minstens één Microsoft Entra-beveiligingsgroep, of de virtuele groep All users of All devices.

Microsoft noemt op de pagina’s over deployments geen aparte licentie-eis.

Maak een deployment plan aan

1. Ga in het Microsoft Intune admin center naar Devices > Manage devices > Deployments.
2. Selecteer op de pagina Deployment plans de optie Create plan.
3. Vul op Basics een Name en Description in, zoals “Windows – three rings”, en klik op Next.
4. Kies op Deployment schedule een Platform. Het platform bepaalt welke assignment filters beschikbaar zijn; met All platforms is het plan voor elk platform en elke payload bruikbaar.
5. Klik op Add rings en geef de eerste ring een naam. De eerste ring start altijd op dag 0, uur 0; dat veld kun je niet aanpassen. De startdatum en -tijd van de eerste ring stel je pas in bij de deployment.
6. Klik op Add ring voor elke volgende ring en stel Wait time to next ring in, in dagen en uren. Die wachttijd is minstens één uur.
7. Klik op Save en voeg per ring de groepen toe, eventueel met assignment filters.
8. Voeg zo nodig Exclude groups toe. Die gelden voor alle ringen.
9. Voeg eventueel scope tags toe en sla het plan op via Review + create.

💡 Zet je All users of All devices in een ring, dan wordt dat automatisch de laatste ring. Die virtuele groepen kun je niet in dezelfde ring combineren met Microsoft Entra-beveiligingsgroepen.

In het overzicht van het plan zie je per ring wanneer die start ten opzichte van de eerste ring, zoals Day 3, Hour 0. Hieronder een voorbeeld met drie ringen, waarvan de laatste All devices gebruikt.

Een plan kun je later wijzigen. Deployments die al met het plan zijn gemaakt, veranderen daar niet door.

Rol een app of policy uit met een deployment

1. Ga naar Devices > Manage devices > Deployments en klik op de pagina Deployments op Create.
2. Vul op Basics een naam en beschrijving in en klik op Next.
3. Kies op Payload selection het Payload type: Device configuration of App.
4. Klik op Add payload, kies de app of policy en klik op Select payload. Klik op Next.
5. Klik op Deployment schedule op Load deployment plans en stel de Start date en Start time van de eerste ring in.
6. Kies het plan en klik op Select. Je kunt de groepen en filters voor deze deployment nog aanpassen.
7. Controleer alles op Review + create en klik op Create.

Wil je geen plan gebruiken, kies dan bij stap 5 Add rings en stel de ringen, de starttijd van de eerste ring, de wachttijden en de groepen eenmalig zelf in.

Een payload kan maar in één geplande of actieve deployment tegelijk zitten. Na het aanmaken kun je alleen de naam en beschrijving van de deployment wijzigen, niet de payload, de ringen, het schema of de groepen.

Wat gebeurt er met de toewijzingen?

Een deployment werkt via de gewone toewijzingen van de payload. Elke ring die actief wordt, voegt zijn groepen als include-toewijzing toe (bij apps met de intent Required); de groepen van eerdere ringen blijven staan. Wordt de ring met All users of All devices actief, dan vervangt die virtuele groep de eerdere include-toewijzingen aan beveiligingsgroepen. Uitsluitingen blijven bestaan.

Let op deze punten:

• De payload blijft leidend. Een deployment vergrendelt de app of policy niet. Wijzig je de payload tussendoor, dan krijgen de al toegewezen groepen de wijziging bij de volgende check-in en krijgt de volgende ring de nieuwe versie. Directe wijzigingen aan de toewijzingen van de payload gaan voor.
• Botsingen. Staat dezelfde groep zowel in de toewijzingen van de payload als in een ring, dan meldt Intune dat bij het aanmaken. Ontdekt Intune het pas als een ring actief wordt, dan gaat de deployment in een foutstatus en pauzeert. Haal de groep uit de toewijzingen van de payload en klik op Resume.
• Verwijderde groepen. Een ring met een verwijderde Microsoft Entra-groep zet de deployment bij het activeren in een foutstatus. Een groep die nog binnen de 30 dagen van soft-delete valt, kun je herstellen, waarna je de deployment hervat. Is de groep definitief verwijderd, dan kun je de deployment alleen annuleren of verwijderen en opnieuw aanmaken; een plan met een verwijderde groep kun je pas weer opslaan of gebruiken als je die groep eruit haalt.

Pauzeer of annuleer een deployment

Open de deployment onder Devices > Manage devices > Deployments. Op het tabblad Deployment status zie je hoeveel ringen klaar zijn, een fout hebben of nog niet zijn gestart, en per ring de status en de startdatum. Het voorbeeld hieronder is een deployment die nog moet beginnen.

Bovenaan kies je:

• Pause om de voortgang naar de volgende ringen te stoppen;
• Resume om verder te gaan;
• Cancel om de volgende ringen niet meer uit te voeren.

Pauzeren en annuleren halen toewijzingen van ringen die al actief waren niet weg. Wil je de uitrol echt terugdraaien, pas dan de toewijzingen in de eigenschappen van de app of policy zelf aan.

Gebruik je Multi Admin Approval, dan geldt die ook hier. Beschermt een access policy het type payload, dan vragen Create, Resume, Cancel en Delete om goedkeuring. Een nieuwe deployment die op goedkeuring wacht, verschijnt pas na de goedkeuring in de lijst Deployments.

Gebruikerservaring

Microsoft beschrijft geen aparte melding voor gebruikers. Zodra een ring actief wordt, zet Intune de groepen van die ring in de toewijzingen van de app of policy. Vanaf dat moment is de toewijzing actief en verwerken de apparaten haar zoals elke andere toewijzing, met de assignment filters van de ring en de uitsluitingen. Apparaten en gebruikers die alleen in een ring zitten die nog niet actief is, krijgen nog niets via de deployment.

Tot slot

Deployments leggen een gefaseerde uitrol vast in Intune zelf, voorlopig als public preview en op dit moment alleen voor Windows.