Primären Benutzer von Intune-Geräten entfernen

Wenn ein Intune-Gerät nicht als gemeinsam genutztes Gerät oder Kiosk-Gerät registriert ist, hat es immer einen primären Benutzer. Dadurch entsteht eine Beziehung zwischen dem Gerät und dem Benutzer. Dieser Benutzer wird auch zur Lizenzierung des Geräts verwendet. Nur dieser Benutzer hat die Möglichkeit, das Gerät im Unternehmensportal bzw. auf der Unternehmensportal-Website zu sehen und bestimmte Self-Service-Aktionen auszulösen. Außerdem kann ein Intune-Administrator bei der Fehlerbehebung diesen Benutzer im Menü „Problembehandlung + Support” in Intune auswählen und direkt dessen Geräte einsehen.

Der primäre Benutzer wird nach der Registrierung eines von Intune verwalteten Geräts automatisch hinzugefügt. Es ist möglich, den Benutzer auf einen anderen zu ändern oder diesen Benutzer zu entfernen, um das Gerät in ein gemeinsam genutztes Gerät umzuwandeln.

Wo finde ich den primären Benutzer

• Öffne das Intune Portal
• Klicke auf Devices -> All Devices
• Wähle ein Device aus
• Klicke auf Properties

In dieser Übersicht findest du den primären Benutzer. Du hast außerdem die Möglichkeit, den Benutzer zu ändern oder zu entfernen. Genau hier kannst du es manuell für ein einzelnes Gerät erledigen, bevor du dich entscheidest, den Vorgang im großen Stil zu automatisieren.

Wie kann ich den primären Benutzer entfernen, um das Gerät in ein gemeinsam genutztes Gerät umzuwandeln?

Wenn ein Gerät keine Zuweisung eines primären Benutzers hat, wird es als gemeinsam genutztes Gerät kategorisiert. Diese gemeinsam genutzten Geräte sind anhand einer eindeutigen Kennzeichnung erkennbar, die im Unternehmensportal angezeigt wird. In diesem gemeinsam genutzten Modus können alle Benutzer Apps auf dem Gerät installieren. Self-Service-Aktionen sind jedoch nicht verfügbar, wenn Geräte im gemeinsam genutzten Modus betrieben werden. Stelle daher vor dieser Änderung sicher, dass deine Endbenutzer diese Self-Service-Aktionen auf dem Gerät nicht mehr benötigen.

In diesem Abschnitt sehen wir uns an, wie du den primären Benutzer aller Geräte bzw. einer Liste von Geräten automatisch über ein PowerShell-Skript löschen kannst.

Microsoft stellt inzwischen ein Graph-SDK-Beispiel zum Entfernen des primären Benutzers bereit. Das ursprünglich referenzierte Sample-Repository ist nicht mehr verfügbar. Unsere angepasste Variante verarbeitet mehrere Geräte mit dem Graph SDK.

Ich habe das angepasste Skript in mein Git-Repository hochgeladen. Bevor du es ausführst, solltest du den Filter anpassen, damit nur die Geräte berührt werden, die du ändern möchtest.

Hier ist ein konkretes Beispiel, wie du einen Filter hinzufügst, um nur Windows-Geräte mit einer bestimmten Version zu aktualisieren:

$filter = "*10.0.19045*"
if(-not ($filter -eq '*')){
    $allDevices = $allDevices | Where-Object {$_.osVersion -like $filter}
}

Best Practices, um den primären Benutzer im großen Stil zu entfernen

Wenn du das Skript über viele Geräte hinweg ausführst, teste den Filter immer zuerst an einer kleinen Pilotgruppe. Dokumentiere, welche Geräte du in gemeinsam genutzte Geräte umgewandelt hast, und überprüfe die Auswirkungen auf die Lizenzierung, denn der primäre Benutzer wird auch zur Zuweisung der Gerätelizenz verwendet. Weitere Tipps zur Intune-Automatisierung findest du in meinen anderen Beiträgen auf jannikreinhard.com.

Ein häufiger Fehler ist die Annahme, dass das Entfernen des primären Benutzers ein Gerät automatisch in einen echten Multi-User-Kiosk verwandelt. Das Gerät wird lediglich als gemeinsam genutzt markiert, aber alle zuvor benutzerbezogen zugewiesenen Apps und Richtlinien bleiben bestehen. Wenn du eine echte gemeinsam genutzte Umgebung möchtest, überprüfe deine App- und Konfigurationszuweisungen und verschiebe die relevanten von Benutzergruppen zu Gerätegruppen. Andernfalls kann eine App, die du auf dem Gerät erwartet hast, nach dem Entfernen des primären Benutzers stillschweigend verschwinden.

Ich hoffe, ich konnte dir mit diesem Blog weiterhelfen.

Bleib gesund, Cheers
Jannik