Intune-Zuweisungsprüfung: ursprüngliches Skript von 2022

Diese Intune-Zuweisungsprüfung dokumentiert das ursprüngliche Skript von 2022 und dessen Bildschirmansichten. Für die erweiterte Objektabdeckung und geprüfte Berechtigungen beginne mit der Anleitung zur Skriptversion 2.3. Das verlinkte Repository enthält inzwischen die neuere Implementierung. Vergleiche vor der Ausführung deren Quellcode und unterstützte Objekttypen.

Das Skript dient dazu, Intune-Zuweisungen einer Entra-Gruppe aufzulisten und ihre Verwendung zu prüfen. Für das Abgleichen von Gruppenmitgliedern mit einem Kioskprofil gibt es eine eigene Anleitung zur Synchronisierung von Kioskprofilen.

Alle Zuweisungen in Intune basieren auf Microsoft Entra ID-Gruppen (ehemals Azure AD). Ich denke, du hattest auch schon das Problem, dass du herausfinden wolltest, welchem Intune-Objekt eine bestimmte Microsoft Entra ID-Gruppe bereits zugewiesen ist – aber im Portal gibt es keine Möglichkeit, das herauszufinden. Um dieses Problem zu lösen, habe ich ein Skript geschrieben, das dir genau diese Ausgabe liefert.

Warum du die Intune-Zuweisungen einer Azure AD-Gruppe kennen solltest

In einer wachsenden Umgebung erreicht die Anzahl der Konfigurationsprofile, Compliance-Richtlinien, Apps und Skripte schnell mehrere Hundert. Jedes dieser Objekte kann eine andere Gruppe adressieren. Wenn du eine Gruppe stilllegen, Zugriffe auditieren oder nachvollziehen möchtest, warum ein Gerät eine bestimmte Richtlinie erhalten hat, musst du genau wissen, wo diese Gruppe überall verwendet wird.

Sich durch jedes einzelne Objekt im Portal zu klicken, ist dabei weder realistisch noch fehlerfrei. Genau hier setzt das Skript an: Es liefert dir bei jedem Durchlauf ein vollständiges und wiederholbares Bild, sodass du dich auf die Auswertung statt auf das Suchen konzentrieren kannst.

Wie funktioniert es

• Zuerst authentifizieren wir uns bei Microsoft Entra ID, um ein Authentifizierungstoken zu erhalten.

• Danach lesen wir die Gruppe ein, nach der wir suchen möchten, und prüfen, ob sie existiert. Wenn die Gruppe existiert, erhalten wir die Gruppen-ID. Wenn die Eingabe nicht existiert, listen wir alle Gruppen auf und fragen so lange nach, bis die Eingabe korrekt ist.

• Danach prüfen wir alle Gerätekonfigurationen, ADMX, Apps, Compliance-Richtlinien und Skripte, ob es eine Zuweisung oder einen Ausschluss für diese Gruppe gibt.

Was du tun musst

• Zuerst musst du mein Skript aus meinem GitHub-Repository herunterladen.
• Führe das Skript aus und gib deinen UPN mit ausreichenden Berechtigungen ein.

• Gib den Namen einer Microsoft Entra ID-Gruppe ein (wenn du alle Gruppen auflisten möchtest, drücke Enter ohne Inhalt).

• Das war’s. Jetzt werden dir alle Zuweisungen und Ausschlüsse der Gruppe aufgelistet.

Berechtigungen und Voraussetzungen

Um das Skript auszuführen, brauchst du ein Konto mit Leserechten auf Intune und auf Microsoft Entra ID. Zu den benötigten Microsoft-Graph-Berechtigungen gehören DeviceManagementConfiguration.Read.All, DeviceManagementApps.Read.All und Group.Read.All. Wenn du dir bei den Scopes unsicher bist, ist die offizielle Microsoft-Intune-Dokumentation auf Microsoft Learn eine gute Referenz.

Ein kurzer Tipp aus der Praxis: Teste das Skript am besten zuerst mit einem Konto, das nur Leserechte besitzt. So stellst du sicher, dass keine ungewollten Änderungen passieren können, und du erhältst trotzdem die vollständige Übersicht. Häufige Stolperfalle ist außerdem ein fehlendes Admin-Consent für die Graph-Scopes – ohne dieses Consent schlägt die Abfrage bestimmter Objekttypen still fehl, sodass die Ausgabe unvollständig wirkt.

Wenn du das Ergebnis dokumentieren oder mit Kollegen teilen möchtest, lohnt es sich, die Ausgabe in eine CSV-Datei zu exportieren. Dadurch hast du eine nachvollziehbare Momentaufnahme der Zuweisungen, die du bei späteren Audits oder Migrationen erneut heranziehen kannst – gerade bei größeren Tenants mit vielen Konfigurationsprofilen und Apps ist eine solche Momentaufnahme Gold wert und spart dir bei der nächsten Überprüfung viel Zeit.

Fazit

Ich hoffe, ich konnte dir mit diesem Skript helfen, falls du in Zukunft nach der Intune-Zuweisung einer Microsoft Entra ID-Gruppe suchst. Wenn du das Skript in einer größeren Umgebung verwendest, kann die Ausführung etwas dauern, da es alle Objekte durchgehen und die Zuweisungen prüfen muss. Wenn dir eine Kategorie im Skript fehlt, dann lass es mich wissen, damit ich sie hinzufügen kann.

Bleib gesund, Cheers
Jannik

Update 02.08.2022

Du kannst mein Skript auch aus der PowerShell Gallery herunterladen:

Install-Script -Name Get-AllAadGroupAssignments