MD-102

Bevor ein Gerät verwaltet werden kann, muss es dazugehören. Genau darum geht es hier: Wie kommt ein Windows-Client in den Mandanten, wer darf ihn dort anfassen, und was passiert eigentlich in der Minute, in der ein neuer Rechner zum ersten Mal startet.

Der Einstieg ist die Verknüpfung mit Entra ID. Ein Gerät kann Entra-registriert sein, dann bleibt es privat und bringt nur eine Arbeitsidentität mit. Es kann Entra-eingebunden sein, dann gehört es der Firma und meldet sich mit dem Firmenkonto an. Und es kann hybrid eingebundenGerät, das sowohl Mitglied der lokalen Active-Directory-Domäne als auch in Microsoft Entra bekannt ist. sein, dann steht es weiterhin in der lokalen Domäne und wird zusätzlich in Entra sichtbar. Diese drei Zustände bestimmen alles Weitere, von der Anmeldung bis zur Frage, welche RichtlinieVerbindliche Vorgabe der Leitung, was in der Organisation gilt. überhaupt greift.

Die Registrierung in Intune ist ein zweiter Schritt und nicht dasselbe. Sie kann automatisch mit der Entra-Einbindung passieren, per Gruppenrichtlinie in der Hybridwelt, über die Massenregistrierung mit einem Bereitstellungspaket oder über Windows AutopilotVerfahren, das ein ab Werk installiertes Windows anhand eines Profils bei der Ersteinrichtung konfiguriert.. AutopilotMicrosoft-Dienst, mit dem neue Windows-Geräte beim ersten Start automatisch eingerichtet und in Intune registriert werden, ohne klassisches Image. ist dabei kein Abbildvorgang: Das Gerät kommt mit dem Werksabbild vom Händler, meldet sich beim Dienst, holt sich sein Profil und richtet sich für den Nutzer ein. Die Zuordnung geschieht über die Hardware-ID, die als Autopilot-HashNicht umkehrbare Prüfsumme. Wird für Kennwörter verwendet, weil sich das Original nicht zurückrechnen lässt. vorher hochgeladen sein muss.

Dazu gehört, wer in Intune etwas darf. Rollen legen die erlaubten Aktionen fest, BereichstagsKennzeichnung an Intune-Objekten, die steuert, welche Administratoren sie sehen. Ergänzt die Rolle, ersetzt sie nicht. legen fest, auf welche Objekte sich das bezieht. Beides zusammen ergibt die Rechtevergabe, die in größeren Häusern nach Standort oder Abteilung getrennt wird.

Ist das Gerät im Mandanten, beginnt der Alltag: Einstellungen setzen, ZustandZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. prüfen, im Zweifel eingreifen. Der zentrale Baustein sind KonfigurationsprofileZentrale Einstellungen für Teams-Geräte, etwa Zeitzone, Sprache und Sperrbildschirm.. Sie kommen heute in der Regel aus dem EinstellungskatalogProfiltyp in Intune, der alle verfügbaren Einstellungen einzeln auflistet. Der bevorzugte Weg für neue Konfigurationsprofile., der jede verfügbare Einstellung einzeln auflistet. Vorlagen gibt es weiterhin, sie sind gebündelte Sammlungen für bestimmte Zwecke und dort nötig, wo der KatalogBehälter für die Ressourcen, aus denen Zugriffspakete gebaut werden. Hat eigene Besitzer. keine Entsprechung hat.

Daneben stehen die Compliance-RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt.. Sie setzen nichts durch, sie bewerten nur: Verschlüsselung an, Mindestversion erreicht, kein Jailbreak. Das ErgebnisWas Empfangende durch eine Leistung erreichen. ist ein ZustandZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. am Geräteobjekt, mehr nicht. Erst der bedingte Zugriff macht daraus eine Wirkung, indem er den Zugriff auf Dienste an die Bedingung knüpft, dass das Gerät als konform markiert ist. Wer nur die Compliance-Richtlinie setzt, hat einen Bericht und keine Absicherung.

Zuweisungen laufen über Gruppen, nicht über einzelne Geräte. Dabei gilt: Ausschlüsse gewinnen gegen Einschlüsse, und bei widersprüchlichen Einstellungen entsteht ein Konflikt, den Intune sichtbar macht, statt still eine Seite zu wählen.

Zum Warten gehört auch das Ende: Außer Betrieb nehmenEntfernt Firmendaten, Richtlinien und verwaltete Apps vom Gerät. Private Daten bleiben erhalten. entfernt Firmendaten und lässt persönliche stehen, Zurücksetzen macht das Gerät leer, und Autopilot-ResetSetzt ein Windows-Gerät zurück, behält aber Entra-Bindung und Autopilot-Zuordnung, für die Weitergabe an den nächsten Nutzer. behält die Bindung an den Mandanten und richtet das Gerät für den nächsten Nutzer ein. Wer die drei verwechselt, löscht entweder zu viel oder zu wenig.

Schutz heißt in MD-102 zweierlei: das Gerät härten und die Daten darauf sichern. Auf der Geräteseite stehen die Grundfunktionen von Windows, die über Intune gesetzt werden: BitLockerLaufwerkverschlüsselung von Windows. Wird über ein Konfigurationsprofil gesetzt und über eine Compliancerichtlinie geprüft; der Wiederherstellungsschlüssel landet in Entra ID. mit Schlüsselhinterlegung in Entra, Windows Hello for Business statt Kennwort, Microsoft Defender Antivirus mit seinen Regeln zur AngriffsflächenreduzierungRegelwerk in Defender für Endpunkt, das typische Angriffswege wie Makros mit Prozessstart blockiert., und die Firewall.

Defender for EndpointSchutz für Endgeräte mit Erkennung, Untersuchung und Reaktion bis hin zur Geräteisolierung. kommt als eigene Ebene dazu. Die Verbindung zwischen Intune und Defender ist eine Einstellung, die einmal hergestellt wird; danach fließt der Risikowert eines Geräts in die Compliance ein. Damit lässt sich sagen: Ein Gerät mit hohem RisikoErgebnis aus Bedrohung, Schwachstelle und Auswirkung. gilt als nicht konform, und der bedingte Zugriff sperrt es aus. Das ist der Punkt, an dem Erkennung und Zugriffssteuerung zusammenkommen.

Auf der Datenseite stehen die App-SchutzrichtlinienRegelwerk, das Firmendaten innerhalb einer App schützt, auch auf nicht verwalteten Geräten.. Sie wirken in der App, nicht auf dem Gerät, und funktionieren deshalb auch auf privaten Geräten ohne jede Registrierung. Kopieren in eine private App unterbinden, Speichern nur in genehmigte Orte, PIN vor dem Öffnen: All das braucht keine Geräteverwaltung. Wer BYOD absichern will, ohne das private Gerät zu übernehmen, nimmt genau diesen Weg.

Die lokalen Administratorrechte sind ein eigenes ThemaVerteilstelle, die dieselbe Nachricht an alle Abonnenten weitergibt.. Endpoint Privilege ManagementFunktion, die einzelne Vorgänge auf Administratorrechte anhebt, während der Nutzer Standardbenutzer bleibt. hebt einzelne Vorgänge an, statt Menschen dauerhaft zu Administratoren zu machen, und die Windows LAPSVerwaltung lokaler Administratorkennwörter mit automatischer Drehung.-Funktion verwaltet das lokale Administratorkennwort und legt es in Entra ab.

Anwendungen zu verteilen klingt einfach und ist es selten. Der Unterschied beginnt beim Pakettyp. Store-Apps kommen aus dem Microsoft Store und aktualisieren sich selbst. Microsoft-365-Apps werden über eine eigene Konfiguration ausgerollt, in der Kanal, Sprachen und Architektur festgelegt werden. Klassische Windows-Installationsdateien werden als Win32-App verpackt, mit ErkennungsregelRegel, über die Intune prüft, ob eine App bereits installiert ist, Produktcode, Datei, Registrierungswert oder Skript., Anforderungen und Rückgabecodes. Und LOB-Apps sind einzelne Installationspakete ohne diese Verpackung.

Die ErkennungsregelRegel, über die Intune prüft, ob eine App bereits installiert ist, Produktcode, Datei, Registrierungswert oder Skript. ist der Punkt, an dem die meisten Rollouts scheitern. Sie sagt Intune, woran zu erkennen ist, dass die App schon da ist. Stimmt sie nicht, installiert der Dienst endlos neu oder meldet einen Erfolg, den es nicht gibt. Datei, Registrierungsschlüssel oder Skript sind die drei Wege, und der Rückgabecode 3010 bedeutet Erfolg mit Neustart, nicht Fehler.

Zuweisungen kennen drei Absichten: Erforderlich installiert ohne Rückfrage, Verfügbar stellt die App im Unternehmensportal bereit, Deinstallieren entfernt sie wieder. Für Geräte ohne angemeldeten Nutzer ist die Zuweisung an GerätegruppenGruppierung von Endgeräten in Defender for Endpoint; steuert Automatisierungsstufe und Sichtbarkeit für Analysten. nötig, denn eine Nutzerzuweisung greift ins Leere.

Zum Absichern gehört, dass Apps nicht alles dürfen. App-KonfigurationsrichtlinienRichtlinie, die einer App fertige Einstellungen mitgibt, etwa eine Serveradresse. setzen Einstellungen innerhalb der App, und für den Browser lässt sich der Zugriff auf Unternehmensdaten getrennt vom privaten Surfen steuern.

Der letzte Bereich ist der neueste und der, den viele unterschätzen. Es geht darum, den Betrieb messbar zu machen und Handgriffe zu automatisieren, statt sie einzeln zu klicken.

Endpoint AnalyticsAuswertung der Nutzererfahrung anhand von Startzeiten, Abstürzen und Anwendungszuverlässigkeit. liefert die Zahlen: Startzeit, Anmeldedauer, Zuverlässigkeit von Anwendungen, Ergebnisse der Arbeitsplatzanalyse. Das ist keine Sicherheitsfunktion, sondern eine Betriebsfunktion. Sie beantwortet die Frage, warum sich Menschen über langsame Rechner beschweren, mit Daten statt mit Vermutungen.

Daneben stehen die Wartungsskripte und die Wiederherstellungsskripte. Ein PowerShell-Skript lässt sich einmalig ausführen; ein Wiederherstellungsskript besteht aus einem Erkennungs- und einem Behebungsteil und läuft regelmäßig. Damit werden wiederkehrende Kleinigkeiten von selbst geradegezogen, ohne dass jemand ein Ticket schreibt.

Die Berichte in Intune trennen zwischen dem, was der Dienst weiß, und dem, was gerade passiert. Für eigene Auswertungen führt der Weg über Microsoft GraphProgrammierschnittstelle, über die sich Intune-Daten abfragen und Verwaltungsaufgaben automatisieren lassen., entweder über den Datenexport oder über gezielte Abfragen. Auch die benutzerdefinierte ComplianceCompliance-Prüfung aus einem PowerShell-Erkennungsskript und einer JSON-Regeldatei. läuft über ein Skript mit einer JSONDatenformat mit geschweiften Klammern und Schlüssel-Wert-Paaren.-Regel, wenn die eingebauten Einstellungen nicht reichen.