Intune Management Extension herstellen op Windows

Blijven Win32-apps, scripts of herstelacties op een Windows-apparaat hangen, kijk dan eerst naar de Intune Management Extension (IME): zij voert ze uit. Hier lees je wat de IME doet, hoe je ziet dat ze vastzit en hoe je haar weer laat werken.

Wat doet de Intune Management Extension?

De IME is een agent die naast het gewone MDM-beheer van Windows draait. Op een apparaat dat aan de voorwaarden voldoet, installeert Intune haar vanzelf zodra je iets toewijst dat haar nodig heeft, zoals een PowerShell-script, een Win32-app of een herstelactie (remediation). Ze verzorgt onder meer Win32-apps, PowerShell-scripts en herstelacties. Remote Help heeft haar nodig voor meldingen en voor onbeheerde sessies.

De service heet IntuneManagementExtension; in Services staat ze als Microsoft Intune Management Extension. Haar logs staan meestal in C:\ProgramData\Microsoft\IntuneManagementExtension\Logs. IntuneManagementExtension.log is het hoofdlogboek; voor Win32-apps verwijst Microsoft naar AppWorkload.log.

Hoe vaak checkt de IME in?

Microsoft geeft daar twee antwoorden. De pagina over de IME zegt dat ze elke 8 uur kijkt of er nieuwe of gewijzigde installaties zijn, los van de gewone MDM-check-in. De pagina over Win32-apps zegt dat ze elk uur kijkt naar nieuwe toewijzingen van Win32-apps, en bij een herstart van de service of het apparaat. Daarnaast kijkt de IME meteen naar nieuwe app-toewijzingen zodra de Enrollment Status Page of Windows Autopilot device preparation klaar is, en sinds eind september 2026 stuurt Intune bij wijzigingen aan Win32-apps een pushmelding. Reken dus niet op een vast moment: wil je dat de IME nu kijkt, laat haar dan zelf inchecken.

Wat Intune zelf biedt

• De service opnieuw starten. Microsoft beschrijft dit in Taakbeheer: zoek IntuneManagementExtension onder Services, klik met de rechtermuisknop en kies Restart. Daarna checkt de IME meteen in bij Intune.
• Sync vanuit het beheercentrum. Via Devices > All devices > het apparaat > Sync start je een MDM-check-in en, als de IME op het apparaat staat, ook een IME-check-in.
• Sync door de gebruiker. In de bedrijfsportal via Settings > Sync, met hetzelfde effect.

Lost een nieuwe check-in het niet op, dan is verder onderzoek op het apparaat zelf nodig.

Wat Endpoint Toolbelt toevoegt

Endpoint Toolbelt laat een gewone gebruiker, of de servicedesk naast hem, de IME herstellen zonder beheerrechten:

• De controle App installer (IME) laat zien of de service draait en wanneer ze voor het laatst apps ophaalde, met de fout van een mislukte poging, zoals een 401, 403 of een proxyfout.
• Retry apps & policies laat de IME meteen opnieuw kijken en toont per app hoe ver de laatste poging kwam.
• Full IME reset wist de app-status, de downloads en de policy-cache van de IME en laat het apparaat alles opnieuw ophalen. Scripts en herstelacties blijven onaangeroerd.
• Create support package verzamelt alle IME-logs en de diagnose van het apparaat in één zip-bestand voor de servicedesk.