Werkplekken die werken.

Intune · Azure Virtual Desktop · Microsoft 365 · Azure — doorlichten, oplossen en bouwen. Als code waar het loont, zonder gedoe.

Start hier.md

Beschikbaar voor opdrachten

Kris Mandemaker Freelance Senior Workspace Consultant & DevOps Engineer · Alkmaar

Microsoft-werkplekken die blijven draaien. Ik los op wat vastloopt, bouw wat ontbreekt en draag het over aan jouw team.

Intune, Azure Virtual Desktop, Azure en Microsoft 365. Soms als consultant die je bestaande omgeving doorlicht en samen met je team oplost, soms als engineer die het als code neerzet. Geen PowerPoint-architectuur. Wel dingen die draaien, en een team dat ze zonder mij kan beheren.

WerkplekIntune · Azure Virtual Desktop · Microsoft 365 DevOpsPipelines · Infrastructure as Code · Config as Code ConsultancyDoorlichten · Troubleshooting · Samen met je team

12+jaar IT-ervaring
15k+AVD-gebruikers beheerd
60%Azure-kosten eraf
2×Microsoft Expert-certificeringen

Microsoft Certified: Azure Solutions Architect Expert en Cybersecurity Architect Expert (SC-100). Plus SC-300: Identity & Access. Zo zit security in alles wat ik bouw →

Plan een gesprek →Open de terminal Bekijk bewijs

README.md · v2026.10 · ✓ compliant

Diensten

Werkplek, DevOps en consultancy: zes dingen waar je me voor belt.

Werkplek

Intune · Azure Virtual Desktop · Microsoft 365

Modern Workplace

Van wildgroei naar Intune as Code.

Herken je dit?: Je Intune-tenant is organisch gegroeid: honderden policies, drie beheerders, nul overzicht. Ik maak er een standaard van die je team zelf kan dragen — Autopilot, compliance, device lifecycle, alles als code en gedocumenteerd.
Wat je krijgt: Een tenant die je durft aan te raken.

IntuneAutopilotDSC365MDEConditional Access

Azure & AVD

Van kostenlek naar voorspelbaar.

Herken je dit?: AVD voor duizenden gebruikers draait prima. Totdat de factuur komt. Ik ontwerp en optimaliseer Azure-omgevingen met Infrastructure as Code, autoscaling en monitoring. Bij een retailer met 15.000 gebruikers ging 60% van de Azure-rekening eraf — zonder dat één gebruiker iets merkte.
Wat je krijgt: Een factuur die je aan Finance kunt uitleggen.

AVDAzureBicepFSLogixAutoscale

DevOps

Pipelines · Infrastructure as Code · Config as Code

CI/CD & Infrastructure as Code

Van handwerk naar pipeline.

Herken je dit?: Je Azure-omgeving is ooit met de hand neergezet en niemand durft te herhalen wat er toen gebeurde. Ik zet infra en uitrol om naar Bicep en YAML-pipelines in Azure DevOps of GitHub Actions — met reviews, approvals en omgevingen die je in één run opnieuw kunt bouwen.
Wat je krijgt: Een deploy die je op vrijdagmiddag durft te starten.

Azure DevOpsGitHub ActionsBicepARMYAML

Config as Code & Automatisering

Van click-ops naar code.

Herken je dit?: Alles wat je drie keer met de hand doet, hoort in code. Intune- en Microsoft 365-configuratie als code (DSC365, Graph, PowerShell), herhaalbaar uitgerold naar elke tenant, met drift-controle en een auditspoor. Ook als ik allang weg ben.
Wat je krijgt: Geen kennis die in één hoofd zit.

DSC365Microsoft GraphPowerShellKQLGit

Consultancy

Doorlichten · Troubleshooting · Samen met je team

Omgeving doorlichten

Van "het werkt soms niet" naar weten waarom.

Herken je dit?: Je omgeving draait, maar niet lekker: trage logins, Intune-policies die niet landen, Conditional Access dat gebruikers buitensluit, een Azure-factuur die niemand snapt. Ik kijk naar wat er écht staat — tenant, apparaten, identiteit, infra — en kom terug met een eerlijke lijst: wat knelt, waarom, en wat je als eerste moet aanpakken. Geen rapport van tachtig pagina's, wel een lijst waar je morgen mee aan de slag kunt.
Wat je krijgt: Weten waar je staat, en wat als eerste moet.

IntuneEntra IDAVDAzureMicrosoft 365

Troubleshooting & meewerken

Van brandje naar opgelost. Zelf of samen met je team.

Herken je dit?: Een probleem dat al weken open staat, een migratie die halverwege stokt, of gewoon te weinig handen. Ik duik erin: logs, Graph, de policy die het doet. Zelf oplossen als het snel moet, samen met jouw beheerders als je wilt dat ze het de volgende keer zelf kunnen. Geen alles-als-code-project als een goede fix genoeg is.
Wat je krijgt: Een probleem minder, en een team dat weet hoe.

LogsMicrosoft GraphPowerShellKQLSherlog

Ook: hybride omgevingen, migraties, security-architectuur (SC-100, SC-300), tech lead voor je team of een paar dagen per week meedraaien in je beheer.

Pipelines — Mand-IT DevOps

Zo werk ik: als een pipeline. Elke opdracht doorloopt dezelfde stages — en faalt liever vroeg dan laat.

#2026.10 · Nieuwe opdracht bij jouw organisatieTrigger: een werkplekprobleem · Agent: Kris · Duur: zo lang als nodig, zo kort als kan

IntakeEerst luisteren. Wat doet pijn, wat moet blijven werken?
Analyse & ontwerpEerst kijken wat er al staat en waarom het knelt. Dan simpel en realistisch, geen roadmap van drie jaar.
Fix & buildOplossen wat kapot is, bouwen wat ontbreekt. Zelf of samen met je team, als code waar het loont. Met review.
Security gateSecret scan, policy check, least privilege. Faalt dit, dan deployt er niets.
DeployVia pipelines, met approvals. Geen click-ops, geen vrijdagmiddagpaniek.
OverdrachtDocumentatie, kennisoverdracht en een team dat het zonder mij kan.

Pipelines die ik voor je bouw

intune-config-as-codeIntune- en Microsoft 365-configuratie exporteren (DSC365), reviewen in Git en geautomatiseerd uitrollen naar elke tenant. Met drift-check.
Azure DevOps · DSC365
azure-infra-bicepLanding zone, netwerk en AVD-hostpools als Bicep. Plan, review, deploy — herhaalbaar in test, acceptatie en productie.
Bicep · ARM
avd-image-buildGolden image bouwen, testen en publiceren naar de hostpool. Elke maand, zonder handwerk.
YAML · PowerShell
workplace-drift-checkNachtelijke controle op afwijkingen in Intune en Azure, met rapport in de ochtend. Wat niet klopt, zie jij voordat de gebruiker het ziet.
KQL · Graph
tenant-security-baselineSecurity baseline (CIS, Microsoft) als code: Conditional Access, Defender- en Entra-instellingen reviewen in Git en uitrollen naar elke tenant. Elke nacht vergeleken met de werkelijkheid, afwijking wordt pull request.
Entra · Defender · Graph

# werkwijze.yml
trigger: nieuwe-opdracht
pool: { name: Mand-IT, demands: [KRIS] }
stages:
  - stage: Intake       # eerst luisteren
  - stage: Analyse      # kijken wat er staat
  - stage: FixAndBuild  # oplossen, bouwen, als code waar het loont
  - stage: SecurityGate # faalt liever vroeg dan laat
  - stage: Deploy       # pipelines, geen click-ops
  - stage: Overdracht   # jouw team kan verder

Pipeline starten → Contact

Beveiliging — Zero Trust als instelling

Je werkplek is beveiligd.

Zero Trust is bij mij geen project, maar een instelling die aan staat. Zes gebieden, allemaal als code, allemaal controleerbaar.

Laatste controle: vannacht 03:00 · 6 gebieden · 1 aandachtspunt

Identiteit & toegangConditional Access als code · phishing-bestendige MFA · geen staande admin-rechtenBeschermd
Herken je dit?
Global Admins zonder MFA, 47 Conditional Access-policies zonder naam en een break-glass-account waarvan niemand het wachtwoord weet. Ik breng identiteit terug naar een overzichtelijke set: phishing-bestendige MFA, Conditional Access als code met een reden per policy, PIM voor beheerdersrollen en nul staande rechten.
Wat je krijgt
Toegang die je kunt uitleggen aan de auditor én aan de gebruiker.
Entra IDConditional AccessPIMPasskeys / FIDO2SC-300
ApparatenSecurity baselines via Intune · Defender for Endpoint · compliance als voorwaardeBeschermd
Herken je dit?
Een compliance-policy die niemand durft aan te zetten en Defender dat "wel ergens aan staat". Ik rol security baselines, Defender for Endpoint, BitLocker, LAPS en Attack Surface Reduction uit via Intune. Als code, met compliance als voorwaarde voor toegang tot je data.
Wat je krijgt
Alleen gezonde, beheerde apparaten komen bij je data.
IntuneDefender for EndpointSecurity BaselinesBitLockerLAPSASR
Data & e-mailPurview-labels · DLP · Defender for Office 365Beschermd
Herken je dit?
Gevoelige documenten in een gedeelde map "Iedereen" en phishing die gewoon in de inbox landt. Ik zet Purview-labels en DLP pragmatisch in (eerst de drie dingen die er echt toe doen), met Defender for Office 365 en Safe Links ervoor.
Wat je krijgt
Data die weet wat ze waard is, en een inbox die dat ook weet.
PurviewSensitivity labelsDLPDefender for Office 365
Cloud & infrastructuurDefender for Cloud · Azure Policy · private endpoints · managed identitiesBeschermd
Herken je dit?
Een Azure-omgeving met publieke endpoints, service principals met secrets uit 2021 en een Key Vault die niemand gebruikt. Ik bouw landing zones met private endpoints, managed identities, Defender for Cloud en Azure Policy. Als Bicep, zodat de veilige keuze de standaard is.
Wat je krijgt
Een landing zone waarin onveilig deployen gewoon niet lukt.
Defender for CloudAzure PolicyPrivate EndpointsManaged IdentityKey VaultBicep
Pipelines & codeWorkload identity (geen secrets) · approvals · secret scanningBeschermd
Herken je dit?
Een service connection met Owner op de subscription, wachtwoorden in de YAML en een pipeline die iedereen mag starten. Ik zet pipelines om naar workload identity federation, least privilege per omgeving, branch policies, approvals en secret scanning.
Wat je krijgt
Een pipeline die zelf de poortwachter is.
Workload IdentityApprovalsBranch policiesSecret scanningAzure DevOpsGitHub Actions
Baseline & drift3 afwijkingen gevonden sinds gisteren · fix staat klaar als pull requestAandacht
Herken je dit?
Alles stond goed. Op de dag van oplevering. Daarna klikte iemand "tijdelijk" een uitzondering aan. Ik leg de security-baseline (CIS, Microsoft) vast in Git en vergelijk die elke nacht met je tenant: Conditional Access, Defender, Intune en Entra-instellingen. Afwijkingen zie jij 's ochtends, met de fix als pull request.
Wat je krijgt
Een baseline die blijft staan, ook als ik weg ben.
DSC365Microsoft GraphKQLSecure ScoreCIS Benchmark

Security-architectuur op basis van SC-100 (Cybersecurity Architect Expert) en SC-300 (Identity & Access), gebouwd door een Azure Solutions Architect Expert. Geen pentester, wel degene die ervoor zorgt dat de pentester zich verveelt.

Baseline laten controleren → Contact Zelf verdedigen? Speel Zero Trust Invaders

Bewijs

Beloftes zijn gratis. Dit is wat er echt gebeurde.

Retail · 15.000 AVD-gebruikers

−60% Azure-kosten

Jumbo via Conclusion Enablement · 2022–2023

Situatie: Een AVD-omgeving voor 15.000+ unieke gebruikers per maand, gegroeid onder druk, met een maandfactuur die niemand meer durfde te openen.
Inzet: Beheer en doorontwikkeling, automatisering van schaalbaarheid en gerichte optimalisatie van infrastructuur en resourcegebruik.
Resultaat: 60% minder Azure-kosten. Stabieler en schaalbaar, zonder dat één gebruiker iets merkte.

Rijksoverheid · Intune as Code op schaal

Config as Code

Justitiële ICT Organisatie · 2023–heden

Situatie: Intune-oplossingen die breed inzetbaar moeten zijn bij overheidsklanten, met strenge compliance-eisen. Honderden instellingen per tenant, en elke klantmigratie dreigde weer van nul te beginnen.
Inzet: Tech Lead van het Intune-team: configuratie als code met DSC365, uitrol via Azure DevOps-pipelines (export → review → deploy → drift-check), kwaliteitsborging en engineers meenemen in de nieuwe werkwijze. Migraties van intake tot oplevering.
Resultaat: Eén herbruikbare standaard, herhaalbaar uit te rollen naar elke tenant. Kwaliteitsborging zit in de pipeline in plaats van in iemands hoofd. Compliant met de overheidsrichtlijnen.

Veiligheidsregio · van on-prem naar modern

24/7 kritisch

Veiligheidsregio Noord-Holland Noord · 2018–2022

Situatie: De volledige IT-omgeving van een veiligheidsregio: 24/7 kritisch, legacy on-prem, en een organisatie die nooit uit mag staan.
Inzet: Migraties naar Azure, Exchange Online en Azure Virtual Desktop. Nieuwe werkplek op ECM + Intune, inclusief co-management en MDM-only scenario's.
Resultaat: Een moderne werkplek voor een organisatie die geen downtime kent — zonder dat de meldkamer er iets van merkte.

Gebouwd omdat ik ze zelf miste

Gratis tools voor de Microsoft- en Apple-werkplek. Geen login, geen gedoe.

SherlogBrowsergebaseerde analyzer voor Intune Management Extension-logs. Timeline-analyse, device health-dashboards en een CMTrace-stijl logviewer — volledig in de browser.sherlog.nl ↗PayloadKitDoorzoek 250+ payloads en bouw of bewerk Apple Configuration Profiles (.mobileconfig) voor macOS, iOS en tvOS — met kant-en-klare export naar Intune.payloadkit.app ↗

Over Kris

Kris Mandemaker

Freelance Senior Workspace Consultant & DevOps Engineer

Alkmaar, Noord-Holland · remote en on-site in Nederland

Sinds 2021 werk ik als Mand-IT voor organisaties die hun werkplek serieus nemen: van MKB tot enterprise en rijksoverheid. Half consultant, half engineer: ik licht bestaande omgevingen door en los op wat knelt — zelf of samen met jouw team — en bouw wat ontbreekt als code, met de pipelines die het uitrollen. Daarvoor zeven jaar MSP en veiligheidsregio — dus ik weet hoe het is om zelf 's nachts gebeld te worden.

Mijn aanpak in vier letters:

Kritisch

Realistisch

Simpel

KIk zeg ook nee. Vooral tegen tooling die niemand nodig heeft.
RGeen roadmap van drie jaar; wel iets dat volgende maand draait.
IIk blijf techneut. Hands-on, tot in de logs en de pipeline.
SAls je team het niet kan uitleggen, is het te complex.

Zo werk ik

Eerst luisteren en kijken wat er staat. Geen oplossing zonder probleem.
Oplossen wat knelt, zelf of samen met je team. Niet elk probleem is een project.
Als code waar het loont: Intune, Azure, pipelines. Klikken is geen strategie.
Documenteren en overdragen, zodat je team het zonder mij kan.
Hands-on tot in de logs. Ik stuur geen slides, ik lever.

Brandweervrijwilliger · 10+ jaar

Manschap, chauffeur op de tankautospuit en bedienaar van de hoogwerker bij Veiligheidsregio Noord-Holland Noord. Rustig blijven als het piept en knalt, snel beslissen, helder communiceren.

Ik blus dus ook échte brandjes. In jouw werkplek voorkom ik ze liever.

cv — Kris Mandemaker

Ervaring6

jun. 2023 – heden · 3+ jaar

Tech Lead Intune

Justitiële ICT Organisatie · freelance via Mand-IT

Technisch leiderschap binnen het IPW Intune-team. Ik ontwerp en standaardiseer schaalbare Intune-oplossingen voor brede inzet bij overheidsklanten, in combinatie met Microsoft DSC365 en uitrol via Azure DevOps-pipelines. Verantwoordelijk voor kwaliteitsborging, compliance met overheidsrichtlijnen en het begeleiden van engineers en klantmigraties van intake tot oplevering.

dec. 2021 – heden · 4+ jaar

Freelance Senior Workspace Consultant & DevOps Engineer

Mand-IT · eigenaar / ZZP — Alkmaar

Ontwerpen, standaardiseren en automatiseren van moderne werkplekoplossingen op Microsoft-technologie. Daarnaast consultancy op bestaande omgevingen: knelpunten analyseren en oplossen, zelf of samen met het team van de klant. Herbruikbare bouwblokken voor endpoint management, technisch leiderschap op projecten en aantoonbare optimalisaties in stabiliteit, beheersbaarheid en operationele kosten.

mei 2022 – mei 2023 · 1 jaar

Workspace Consultant

Conclusion Enablement · freelance — Jumbo (Utrecht)

Beheer en doorontwikkeling van Azure Virtual Desktop voor meer dan 15.000 unieke gebruikers per maand. Sterke focus op automatisering en schaalbaarheid. Door gerichte optimalisaties in infrastructuur en resourcegebruik een Azure-kostenbesparing van 60% gerealiseerd.

🎯 60% kostenbesparing op Azure gerealiseerd

mei 2018 – mrt. 2022 · 4 jaar

Systeembeheerder

Veiligheidsregio Noord-Holland Noord

Dagelijks beheer en modernisering van de volledige IT-omgeving. Migraties naar Azure, Exchange Online en Azure Virtual Desktop uitgevoerd. Nieuwe werkplek ontworpen en uitgerold op basis van ECM en Intune, inclusief co-management en MDM-only scenario's.

jan. 2017 – mei 2018 · 1,5 jaar

Cloud Engineer

ISSYS ICT B.V. · Alkmaar

Beheer en uitbreiding van de managed RDS-omgeving op eigen hardware. Onboarding van nieuwe klanten, technisch beheer en derdelijns ondersteuning bij complexe incidenten en wijzigingen.

aug. 2014 – dec. 2016 · 2,5 jaar

Derdelijns helpdesk

ISSYS ICT B.V. · Alkmaar

Derdelijns ondersteuning voor de MSP-afdeling. Breed technisch profiel: Windows Server, Azure, Exchange, Linux (Debian/CentOS), VMware, Fortinet en Veeam.

Certificaten4

Microsoft Certified: Azure Solutions Architect Expert
Microsoft · mrt. 2026
Microsoft Certified: Cybersecurity Architect Expert
Microsoft · mrt. 2023
MCSA Windows Server 2016
Microsoft · jan. 2016
LPIC-1: System Administrator
Linux Professional Institute

Microsoft Certified: Azure Solutions Architect Expert

Microsoft Certified: Cybersecurity Architect Expert

Examens10

AZ-800: Administering Windows Server Hybrid Core Infrastructure
Microsoft · apr. 2023
SC-100: Microsoft Cybersecurity Architect
Microsoft · mrt. 2023
AZ-305: Designing Microsoft Azure Infrastructure Solutions
Microsoft · dec. 2021
SC-300: Microsoft Identity and Access Administrator
Microsoft · dec. 2021
AZ-140: Configuring and Operating Microsoft Azure Virtual Desktop
Microsoft · okt. 2021
70-412: Configuring Advanced Windows Server 2012 Services
Microsoft
70-411: Administering Windows Server 2012
Microsoft
70-410: Installing and Configuring Windows Server 2012
Microsoft
AZ-101: Microsoft Azure Integration and Security
Microsoft
AZ-100: Microsoft Azure Infrastructure and Deployment
Microsoft

Opleidingen2

Bachelor Bedrijfskundige Informatica
NOVI Hogeschool · 2019–2022
Systeem- en Netwerkbeheer (MBO)
ROC Kop van Noord-Holland · 2009–2013

kris@mand-it: ~

Mand-IT OS terminal. Typ help, ls of open bewijs. Of sudo hire kris.

kris@mand-it:~$

Contact

Nieuwe opdracht? Laten we praten.

Stuur een bericht op LinkedIn — ik reageer binnen één werkdag. Remote en on-site in Nederland, voor een doorlichting, een hardnekkig probleem, een bouwproject of een paar dagen per week in je team.

NaamKris Mandemaker
BedrijfMand-IT
LocatieAlkmaar, Noord-Holland
BeschikbaarPer direct bespreekbaar. Ja, echt.

Stuur een bericht op LinkedIn →

Of typ sudo hire kris in de terminal.

Kwetsbaarheid gevonden op deze site? Zie security.txt. Ik reageer, en ik zeg dank je.

Prullenbak — Onnodige complexiteit

Dingen die ik bij klanten in de prullenbak gooi:

Click-opsHandmatig in de portal klikken en hopen dat je het volgende keer nog weet.
Gouden images uit 2014Autopilot bestaat. Gebruik het.
PowerPoint-architectuurMooie plaatjes, geen pipeline.
"Even snel een GPO"Er is nog nooit iets even snel geweest met een GPO.
Excel als CMDBTabblad 3 is de waarheid. Of was het tabblad 4?
"Werkt op mijn machine"Jouw machine gaat niet mee naar productie.
Admin-rechten voor iedereenHandig. Tot de eerste phishingmail.
47 Conditional Access-policies zonder naamgevingCA-policy (3) (kopie) (nieuw) (definitief).
"Dat hebben we altijd zo gedaan"Geen argument, wel een waarschuwing.
Kennis in één hoofdOok als dat hoofd het mijne is: ik documenteer en draag over.
Wachtwoorden in een ExcelTabblad "Wachtwoorden", naast tabblad "CMDB".
Service-account met Global AdminWachtwoord verloopt nooit. Dat is geen feature.
"MFA doen we later"Later is een datum die nooit komt. Phishing wacht niet.

Zero Trust Invaders — Patch Tuesday

Jouw AVD-hostpool. Vijf session hosts, één Defender, vier pipelines. Hoe lang blijf je compliant?

Zero Trust Invaders

Phishing, malware en drift vallen op je AVD-hostpool. Schiet ze neer als Defender, houd je hosts compliant in Intune en zet je pipelines in als het spannend wordt. Elke derde sprint eindigt met een eindbaas, daarna is het Patch Tuesday: dan vang je updates in plaats van ze af te schieten.

avd-image-buildGolden image: alle hosts hersteld

← → of A/D bewegen · spatie schieten · Enter deploy · P pauze. Op de telefoon: sleep over het veld, schieten gaat vanzelf.