Anmeldung mit Intune beschränken – Teil 1

Im Active Directory war es möglich, einem Benutzer die Anmeldung nur an bestimmten Computern zu erlauben. Mit Microsoft Entra ID und Intune ist das nicht mehr ganz so einfach. In diesem Blog schauen wir uns an, wie du das mithilfe eines Custom-Profils umsetzen kannst.

Erstellen des Custom-Profils für die Anmeldebeschränkung

• Öffne das Intune Admin Center
• Navigiere zu Devices -> Configuration Profile
• Klicke auf + Create profile
• Wähle Windows 10 and later als Plattform
• Wähle Template -> Custom als Profiltyp
• Klicke auf Create

• Gib einen Name ein und klicke auf Next

• Klicke auf Add

• Gib die folgenden Informationen ein:

• Name: LocalLoginRestriction

• OMA-URI: ./Device/Vendor/MSFT/Policy/Config/UserRights/AllowLocalLogOn

• Data Type: String

• Value:

Als Value musst du das Konto angeben, das du verwenden möchtest. Es ist auch möglich, mehrere Konten anzugeben, allerdings musst du den folgenden Tag verwenden, um sie zu trennen:

& #xF000;    (Without Space between & and #)

Den Tag kannst du aber nicht einfach so verwenden. Er muss über einen XML-Decoder umgewandelt werden. Dafür gibt es Tools im Internet, oder du kopierst das ASCII-Zeichen von hier:



Hier ein paar Beispiele, die du als Value angeben kannst:

Anmeldung nur für lokale Konten erlauben:

<![CDATA[*S-1-5-113]]>

Alle Benutzer, die sich bereits lokal angemeldet haben:

<![CDATA[*S-1-2-0]]>

Die Gruppe Administrators und einen Microsoft Entra ID Benutzer hinzufügen

AdministratorsAzureAD\user@tenant.com

• Klicke auf Save
• Klicke auf Next

• Weise die Policy einer Gruppe zu
• Klicke auf Next
• Klicke auf Next
• Klicke auf Create

Jetzt testen wir das Ganze. Ich versuche, mich mit einem Benutzer anzumelden, der nicht erlaubt ist.

So sieht der Bildschirm aus, wenn sich ein Benutzer anzumelden versucht, der nicht in der Liste steht.

Bevor du das breit ausrollst, lohnt es sich zu verstehen, was AllowLocalLogOn genau bewirkt. Die Policy definiert die vollständige Liste der Konten, die sich interaktiv am Gerät anmelden dürfen. Sie wird nicht zusätzlich zu den Windows-Standardrechten angewendet, sondern ersetzt diese. Sobald du also einen Wert zuweist, verliert jedes Konto, das nicht ausdrücklich aufgeführt ist, die Möglichkeit zur lokalen Anmeldung, selbst Mitglieder der lokalen Gruppe Administrators, sofern du sie nicht selbst in den Wert aufnimmst.

Ein praktisches Beispiel hilft hier. Stell dir vor, du weist das Profil einem Kiosk-Gerät zu und setzt als Wert einen einzelnen Microsoft Entra ID Benutzer. Nachdem die Policy angewendet wurde, kann sich dieser Benutzer anmelden, aber dein lokaler Break-Glass-Admin kommt nicht mehr auf den Desktop. Aus diesem Grund empfehle ich, während des Testens die lokale Gruppe Administrators in der Liste zu behalten, damit du einen Weg zurück auf das Gerät hast, falls etwas schiefgeht.

Häufige Fehler bei der Anmeldebeschränkung

• Sich selbst aussperren: nimm immer ein Wiederherstellungskonto auf, etwa die lokale Gruppe Administrators, bis du bestätigt hast, dass die Policy wie erwartet funktioniert.
• Falsches Trennzeichen: der Wert ist ein einzelner String und mehrere Konten müssen mit dem decodierten Zeichen  verbunden werden, nicht mit Komma, Semikolon oder Zeilenumbruch.
• Format des Kontonamens: Microsoft Entra ID Konten werden als AzureAD\user@tenant.com geschrieben, während lokale Konten und bekannte SIDs ihre eigene Schreibweise nutzen.
• Zuweisungsbereich: weise das Profil einer Gerätegruppe statt einer Benutzergruppe zu, da das Recht pro Gerät konfiguriert wird.

Wenn du die Beschränkung wieder aufheben möchtest, entfernst du einfach die Zuweisung des Profils oder löschst das Profil. Das Gerät fällt beim nächsten Sync auf die Windows-Standardrechte zurück und die zuvor blockierten Konten können sich wieder anmelden. Es ist sinnvoll, diesen Rollback-Pfad in deinem Test-Ring zu prüfen, damit du genau weißt, wie lange die Änderung bis zur Wirksamkeit braucht.

Fazit

Das Einschränken der Anmeldung kann für spezielle Anwendungsfälle erforderlich sein. Leider ist dies derzeit nur mit lokalen und Microsoft Entra ID Benutzern oder lokalen Gruppen möglich. Eine zentrale Verwaltung über eine Microsoft Entra ID Gruppe ist aktuell nicht möglich. Ein separater Blogbeitrag behandelt einen möglichen Workaround.

Bleib gesund, Cheers
Jannik