Ultimate MEM Tour Teil 1: Microsoft Intune Geräte

Laut dem am 16. August veröffentlichten Gartner-Quadranten ist Microsoft mit Abstand führend im Bereich der Unified-Endpoint-Management-Tools. Microsoft Intune hat einen großen Anteil daran, diese klare Platzierung zu erreichen. Intune ist in den letzten Jahren immer weiter gewachsen und hat immer mehr neue Funktionen erhalten. Gerüchten zufolge können wir bald mit Unterstützung für Chrome OS rechnen (Quelle: twitter).

Dieser Blog ist der erste Blog einer ganzen Blogserie. In dieser Blogserie möchte ich dir eine Tour durch alle Funktionen geben, die Microsoft Intune zu bieten hat.

Weitere Blogs aus dieser Serie:

• Teil 1 - Geräte - dieser Blog
• Teil 2 - Anwendungen
• Teil 3 - Endpoint Security
• Teil 4 - Reports
• Teil 5 - Benutzer und Gruppen

Bevor wir starten, stellen sich folgende Fragen:

Was ist Microsoft Intune?

Microsoft Intune ist ein Unified-Endpoint-Management-Tool (UEM), das die Verwaltung mehrerer Endpunkte und Gerätetypen in einer einzigen Konsole ermöglicht. Intune umfasst die folgenden Dienste: Microsoft Intune, Configuration Manager, Co-Management, Desktop Analytics, Windows Autopilot, Microsoft Entra ID und Intune admin center.

Intune ist der Cloud-Teil von Microsoft Intune. Mit Intune kannst du mobile Geräte sicher und einfach über das Internet verwalten.

Wie kann ich auf Microsoft Intune zugreifen?

Um auf Microsoft Intune zuzugreifen, musst du das Intune admin center im Browser öffnen:

https://intune.microsoft.com/

Wie kann ich eine Testumgebung einrichten?

Wie du eine Testumgebung einrichten kannst und was die ersten Schritte sind, um ein Gerät über Intune zu enrollen, habe ich ausführlich in setup a windows autopilot test lab erklärt.

Also los geht’s: Geräteverwaltung

Intune unterstützt derzeit die Verwaltung von Windows, Mac OS X, iOS, iPadOS und Android. Alle Einstellungen und Funktionen rund um die Geräteverwaltung findest du in diesem Blog.

Übersicht

Wenn du in den Bereich Geräte wechselst, siehst du als Erstes das Übersichts-Dashboard. Hier erhältst du einen Überblick über den Zustand der gesamten Umgebung über alle Betriebssysteme hinweg.

Dies ist in die folgenden Bereiche unterteilt:

---

Enrollment-Status

• Überblick darüber, wie viele Geräte pro Plattform enrollt wurden und wie oft der Enrollment-Prozess erfolgreich war bzw. wie oft Fehler aufgetreten sind.

Enrollment-Warnungen

• Überblick über die Autopilot-Geräte. Hier siehst du zum Beispiel, ob du Geräte-Hashes ohne Profilzuweisung hast.

Compliance-Status

• Überblick darüber, wie viele Geräte den in den Compliance-Regeln definierten Richtlinien entsprechen und wie viele nicht compliant sind.

Konfigurationsstatus

• Überblick über den Status der Konfigurationsrichtlinien, wie oft welche Richtlinie erfolgreich oder nicht erfolgreich angewendet wird.

Status der Softwareupdates

• Überblick über die Installation der Softwareupdates. Anzahl der erfolgreichen oder fehlgeschlagenen Update-Installationen.

All Devices

Im Menü All Devices erhältst du eine Liste aller über Intune verwalteten Geräte unabhängig von der Plattform. Hier siehst du den Compliance-Status der Geräte, die OS-Build-Version und das letzte Check-in in Intune. Außerdem einige weitere Informationen.

Monitor

Im Bereich Monitor findest du viele Reports. Diese Reports sind in die Kategorien Configuration, Compliance, Enrollment, Software updates und Other unterteilt.

Configuration

---

Assignment status

• Überblick über den Status der Konfigurationsrichtlinien, wie oft welche Richtlinie erfolgreich oder nicht erfolgreich angewendet wird. Du kannst auch sehen, um welchen Richtlinientyp es sich handelt.

Assignment failures (preview)

• Hier siehst du die Richtlinien, die einen Zuweisungsfehler haben. Wenn du eine Richtlinie auswählst, kannst du auch sehen, welche Geräte betroffen sind.

Devices with restricted apps

• Dieser Report zeigt Geräte, auf denen Apps installiert sind, die durch Geräteeinschränkungen verhindert werden.

Encryption report

• Dieser Report gibt dir einen Überblick über den Festplatten-Verschlüsselungsstatus der Geräte. Der Report gilt für Windows- und Mac-OS-Geräte.

Certificates

• Überblick über die Zertifikatsverteilung. Du kannst sehen, welches Zertifikat sich auf welchem Gerät befindet.

Compliance

---

Noncompliant devices

• Hier siehst du Geräte, die die Compliance-Richtlinien nicht erfüllen. Das könnte zum Beispiel eine definierte Mindest-OS-Version oder eine verschlüsselte Festplatte sein.

Devices without compliance policy

• Geräte, für die keine Compliance-Richtlinien angewendet oder definiert sind.

Setting compliance

• Hier siehst du die einzelnen Attribute der Richtlinie, die definiert sind, und wie oft sie compliant und wie oft sie nicht compliant sind.

Policy compliance

• Eine Liste aller Compliance-Richtlinien mit einer Auswertung, wie viele Geräte compliant sind und wie viele nicht. Du kannst auch sehen, wie oft es beim Anwenden der Richtlinie einen Fehler gab.

Noncompliant policies(preview)

• Hier siehst du die Compliance-Richtlinien, die einen Fehler haben oder nicht compliant sind.

Windows health attestation report

• Dieser Report gibt dir einen Überblick über die sicherheitsrelevanten Elemente wie z. B. Code Integrity, Secure Boot und BitLocker Encryption.

Enrollment

---

Autopilot deployments (preview)

• Dieser Report bietet einen Überblick über vergangene Geräte-Enrollments. Du kannst sehen, mit welcher Methode die Geräte enrollt wurden und welchen Status das Enrollment hat.

Enrollment failures

• Du kannst die fehlgeschlagenen Enrollments sehen. Du hast die Wahl, nach einem bestimmten Benutzer zu suchen oder All User auszuwählen.

Incomplete user enrollments

• Der Report zeigt, wie viele Enrollments nicht abgeschlossen wurden und bei welchem Schritt sie abgebrochen wurden.

Software updates

---

Per update ring deployment state

• Ein Überblick über den Deployment-Status der Update Rings. Wie oft war dies erfolgreich oder wie oft gab es einen Fehler.

Installation failures for iOS devices

• Hier siehst du fehlgeschlagene Softwareupdates unter iOS. Hier siehst du, unter welcher OS-Version der Fehler aufgetreten ist.

Feature update failures (Preview)

• In dieser Tabelle siehst du, welche Feature Updates wie oft fehlgeschlagen sind.

Windows Expedited update failures (Preview)

• Dieser Report zeigt fehlgeschlagene Expedited Updates (Update-Installation so schnell wie möglich).

Other

---

Device actions

• Überblick über den Status ausgelöster Geräteaktionen wie z. B. ein Wipe.

By platform

In der Kategorie Platform kannst du zwischen Windows, iOS/iPadOS, macOS und Android wählen. Diese Auswahl filtert die verschiedenen Punkte wie All Devices oder Configuration Policies auf nur diejenigen, die für die Gerätegruppe gelten.

Die einzelnen Untermenüs der Plattformen beschreibe ich in den folgenden Punkten.

Device Enrollment

Im Menü Device enrollment findest du alle Optionen, um ein Enrollment für die verschiedenen Betriebssystemtypen zu konfigurieren. Es gibt auch allgemeine Einstellungen wie Enrollment-Einschränkungen. In diesem Abschnitt erkläre ich alle Funktionen rund um das Enrollment.

Windows enrollment

• Hier befinden sich die Einstellungen, die zum Konfigurieren von Windows Autopilot benötigt werden. Du hast einen Überblick über die in deinem Tenant registrierten Geräte, kannst Einstellungen für Windows Hello for Business konfigurieren, einen CName hinzufügen und einen Active Directory zu Intune Connector einrichten und verwalten. Du kannst außerdem das ESP und die verschiedenen Deployment-Profile erstellen. Wie das funktioniert, habe ich bereits in setup a windows autopilot test lab erklärt.

Apple enrollment

• In diesem Abschnitt findest du alle Einstellungen, die für ein Apple-Enrollment erforderlich sind. Die Voraussetzung, die du hier hinzufügen kannst, ist das Apple MDM Push-Zertifikat. Sobald dieses hochgeladen ist, kannst du ein Bulk-Enrollment über den Apple Configurator oder über den Apple Business Manager konfigurieren. Du kannst auch das Enrollment-Targeting konfigurieren. Mit dieser Option kannst du ein User- oder Device-Enrollment konfigurieren.

Android enrollment

• Diese Option ähnelt dem Apple-Abschnitt, jedoch für Android. Die Voraussetzung, um ein Android-Enrollment zu konfigurieren, ist ein managed Google Play account. Sobald diese Verknüpfung hergestellt ist, kannst du das Device-Enrollment konfigurieren. Du hast 4 Optionen (Personally-owned devices with work profile, Corporate-owned dedicated devices, Corporate-owned, fully managed user devices, Corporate-owned devices with work profile). Was dahintersteckt, erkläre ich in einem zukünftigen Blog. Sei gespannt.

Enrollment restrictions

• In diesem Abschnitt kannst du Enrollment-Einschränkungen und Enrollment-Limitierungen konfigurieren.
• Enrollment restrictions ist eine Option, um bestimmte Geräte auszuschließen. Du kannst z. B. nur Geräte ab einer bestimmten OS-Version zulassen oder ein bestimmtes OS komplett ausschließen, Hersteller verbieten oder personal owned blockieren.
• Enrollment limitation ist ein Bereich, in dem du die maximale Anzahl an Geräten konfigurieren kannst, die jeder Benutzer enrollen darf.

Corporate device identifiers

• Du kannst eine IMEI oder Seriennummer konfigurieren, um Geräte als corporate owned zu markieren. Die folgenden Plattformen werden unterstützt: iOS/iPadOS, macOS, Android Device Administrator, pre Android v10, Android Enterprise Personal Work Profile, pre Android v12.

Device enrollment managers

• Als Device Enrollment Manager kannst du ein Microsoft Entra ID Konto angeben, das verwendet wird, um die mobilen Geräte einzurichten und für den Benutzer vorzubereiten. Mit diesem Konto können bis zu 1000 Geräte registriert werden.

Provisioning / Windows 365

Windows 365 ist Windows SaaS. Microsoft bietet eine Möglichkeit, virtuelle Instanzen in der Cloud zu hosten. Weitere Informationen findest du auf der Microsoft-Seite.

Compliance Policy

Compliance Policy kann die Sicherheit der Geräte und den Schutz von Unternehmensdaten gewährleisten.  Mithilfe dieser Richtlinie können Geräte als compliant oder nicht compliant markiert werden. Das sind Regeln, die festlegen, was ein Gerät erfüllen muss, wie z. B. BitLocker-Verschlüsselung, eine Mindest-OS-Version usw.

 Dieser Gerätestatus kann für Conditional Access verwendet werden.

Für den Bereich Compliance Policies gibt es die folgenden Untermenüs:

Policies

• Definiere neue Compliance-Richtlinien und erhalte einen Überblick über bestehende. Hier siehst du auch, welche Richtlinien zugewiesen sind und welche nicht.

Notifications

• Hier kannst du Mail-Benachrichtigungen definieren, falls ein Gerät nicht compliant ist. Mail-Templates können in verschiedenen Sprachen erstellt werden.

Retire Noncompliant Devices

• Außerbetriebnahme von Geräten, nachdem sie einige Zeit non-compliant waren. Diese Aktion entfernt das Gerät aus der Intune-Verwaltung und entfernt alle Unternehmensdaten vom Gerät.

Locations

• In diesem Menü können Standorte auf Basis von Netzwerkinformationen definiert werden.

Compliance policy settings

• Weitere Optionen für Compliance-Richtlinien findest du hier, wie z. B. den Default-Status, wenn keine Richtlinie definiert ist; eine erweiterte Jailbreak-Erkennung kann aktiviert werden und die Tage der Gültigkeitsdauer des Compliance-Status können definiert werden.

Conditional Access

Access-Richtlinien sind Definitionen/Anweisungen, die ein Benutzer oder Gerät erfüllen muss, um auf bestimmte Ressourcen zugreifen zu können. Wenn du zum Beispiel auf bestimmte Daten zugreifen musst, kann eine Voraussetzung sein, dass dein Gerät compliant sein muss.

Ein weiteres Beispiel: Befindet sich ein Benutzer außerhalb des Unternehmensnetzwerks, ist eine Multi-Faktor-Authentifizierung erforderlich.

Policies

• In diesem Abschnitt können die Conditional-Access-Richtlinien definiert werden. Es gibt die Möglichkeit, Richtlinien als report only zu erstellen, um nur einen Überblick zu erhalten, oder die Richtlinien aktiv zu aktivieren. Wie man einen Conditional Access konfiguriert, wird sehr gut im Blog von Peter van der Woude erklärt.

Insights and reporting

• Hier können CA-Daten an einen Azure Log Analytics Workspace gesendet werden, um ein erweitertes Reporting-Dashboard zu erhalten.

Diagnose and solve problems

• Hilfe- und Troubleshooting-Anleitungen.

Named locations

• Hier können vertrauenswürdige Standorte / Unternehmensnetzwerke auf Basis von IP-Informationen definiert werden. Diese Daten können dann für CA-Richtlinien verwendet werden.

Custom controls (Preview)

• Custom-CA-Controls können hier auf Basis eines JSON definiert werden. Um dieses Control zu erfüllen, wird der Browser eines Benutzers zum externen Dienst umgeleitet, führt die erforderliche Authentifizierung durch und wird dann zurück zu Microsoft Entra ID umgeleitet. Microsoft Entra ID prüft die Antwort, und wenn der Benutzer erfolgreich authentifiziert oder validiert wurde, setzt der Benutzer den Conditional-Access-Flow fort.

Terms of use

• Hier können die Nutzungsbedingungen in verschiedenen Sprachen definiert werden. Wenn die Nutzungsbedingungen definiert und über CA erzwungen werden, öffnet sich eine Seite, auf der du sie akzeptieren musst.

VPN connectivity

• In dieser Option kann ein Zertifikat für eine Always-On-VPN-Verbindung erstellt werden. Weitere Informationen über das Always-On-VPN mit CA findest du in der Microsoft-Dokumentation.

Authentication context (Preview)

• Mit dem Authentication context können Anwendungen die Durchsetzung von Richtlinien auslösen, wenn ein Benutzer auf sensible Daten oder Aktionen zugreift. Wie du dies konfigurierst, findest du in dieser Anleitung.

Classic policies

• Tool zur Migration alter CA-Richtlinien, die nicht im Azure-Portal erstellt wurden, in das neue Framework.

Virtual assistant (Preview)

• Chatbot für Microsoft Entra ID Themen.

New support request

• Wizard, um Microsoft Entra ID Tickets zu öffnen oder bestehende Lösungen zu erhalten.

Configuration Policies

Das ist das Herzstück der vollständigen mobilen Geräteverwaltung. Die Erstellung von Richtlinien. Hier hast du alle Möglichkeiten, Konfigurationen wie Zertifikate, WLAN und VPN, Geräteeinschränkungen, Personalisierungen und viele weitere Konfigurationen zu erstellen. In den folgenden Blogs erkläre ich, wie du Konfigurationsrichtlinien erstellen kannst. Microsoft hat außerdem angekündigt, dass 1400 neue MDM-Richtlinien hinzugefügt werden in Zukunft zu Intune.

Administrative templates

• Zum Erstellen von ADMX-Richtlinien. Die Administrative Templates enthalten Tausende von Einstellungen, die zum Beispiel Microsoft Edge, Microsoft Office, OneDrive und mehr steuern.
• Nutze den MDM-Kanal, um Old-School-Gruppenrichtlinieneinstellungen auszuliefern
• Plattform:
  • Windows 10 and later

Security Baselines

• Erstellung vorkonfigurierter Sicherheitseinstellungen.
• Zu finden im Menü Endpoint Security. Mehr dazu im dritten Teil der Serie.
• Plattform:
  • Windows 10 and later

Settings catalog 

• Liste aller verfügbaren Einstellungen, kategorisiert in die verschiedenen Bereiche wie BitLocker, Defender, OneDrive und viele mehr an einem Ort.
• Plattform:
  • Windows 10 and later
  • macOS (Only for configure MS Edge)

Templates

• Gruppierung von Einstellungen wie VPN, E-Mail, Kiosk-Geräte und mehr. Auch hier sind Unmengen an Einstellungen verfügbar.
• Plattform:
  • Android
  • iOS/iPadOS
  • macOS
  • Windows 10 and later

Scripts

Zu diesem Abschnitt gibt es nicht viel zu sagen. Hier hast du die Möglichkeit, Skripte macOS- oder Windows-Geräten zuzuweisen.

Du kannst auswählen, ob das Skript mit den Anmeldedaten (user context) oder im machine context ausgeführt werden soll.

Group Policy analytics

Gruppenrichtlinien sind ein wesentlicher Bestandteil der traditionellen Geräteverwaltung. Um Unternehmen den Übergang zum modernen Gerätemanagement zu erleichtern, hat Microsoft Group Policy analytics eingeführt.

Mit Group Policy analytics kannst du einen Export von On-Premises-GPOs hochladen und erhältst Vorschläge, die du in MDM-Provider übersetzen kannst. Für GPOs, die dieselbe Einstellung in Intune haben, wird ein Prozentsatz angezeigt. Du erhältst eine Auswertung, wie viele Richtlinien unterstützt werden und wie viele nicht unterstützt werden.

Update rings for Windows 10 and later

Updates für ausschließlich über Intune verwaltete Geräte kommen von Windows Update for Business. Um sie zu konfigurieren und zu verwalten, bietet Intune die Möglichkeit, Update Rings zu konfigurieren. Du kannst Pilotgruppen erstellen, die die Updates früher erhalten, um sie zu testen, bevor die Updates für alle Geräte freigegeben werden.

Microsoft hat die Möglichkeit hinzugefügt, auch Assignment Filter für die Zuweisung von Update Rings zu verwenden. Das habe ich im folgenden Blog erklärt.

Feature updates for Windows 10 and later

Mit dieser Funktion kannst du Feature Updates für eine bestimmte Gerätegruppe freigeben, zum Beispiel 21H1. Das ist die ganze Magie dahinter.

Quality updates for Windows 10 and later

Diese Funktion hilft, kritische Updates schneller auf den Geräten zu installieren. Voraussetzung dafür ist, dass sich die Geräte im Semi-Annual Channel befinden. Das kann im Menü Update Rings konfiguriert werden.

Enrollment restrictions

Mit Enrollment restrictions kannst du konfigurieren, welche Geräte für die Verwaltung mit Intune enrollt werden können. Du kannst auch Enrollment-Limitierungen konfigurieren. Damit kannst du festlegen, wie viele Geräte pro Benutzer registriert werden können.

eSIM cellular profiles

Mit Enrollment restrictions kannst du konfigurieren, welche Geräte für die Verwaltung mit Intune enrollt werden können. Du kannst auch festlegen, wie viele Geräte pro Benutzer pro OS-Typ registriert werden können.

Policy sets

Policy Sets sind eine Sammlung verschiedener Verwaltungsobjekte und Apps, die zusammen gruppiert und zugewiesen werden können. Das Policy Set ist eine Referenz auf verschiedene Objekte, die du hinzugefügt hast. Diese Funktion wurde Ende 2019 eingeführt.

Im folgenden Blogbeitrag erkläre ich Policy Sets im Detail.

Device clean-up rules

Mit Cleanup rules kannst du Geräte  basierend auf dem letzten Check-in-Datum löschen. Wenn sich ein Gerät zum Beispiel 90 Tage lang nicht in Intune eingecheckt hat, wird es bereinigt.

Device categories

Um Geräte bestimmter Abteilungen oder Bereiche zu gruppieren, bietet Intune eine Funktion namens Device Categories. Wie du sie konfigurieren kannst und wie sie funktionieren, habe ich ausführlich in configure device categories erklärt.

Filters

Mit dem Assignment Filter wurde Intune eine Möglichkeit hinzugefügt, Zuweisungen komfortabler zu gestalten. Diese Funktion war zuerst für Konfigurationsprofile und dann für Apps verfügbar. Mit dem Service Release 2107 hat Intune die Assignment Filter auch für Update Rings aktiviert.

Was Assignment Filter sind und wie du sie verwenden kannst, erkläre ich in use assignment filter for the update ring assignment.

Help and support

Dieses Menü findest du an mehreren Stellen im Intune admin center. Hier hast du die Möglichkeit, Hilfe zu erhalten, Tickets zu öffnen oder auf bereits geöffnete Tickets zuzugreifen.

Conclusion

Das sind die unzähligen Möglichkeiten, die Microsoft Intune allein in der Geräteverwaltung bietet. Wenn du diesen Blog liest, werden wahrscheinlich schon viele weitere Funktionen hinzugekommen sein. Der nächste Blog, der sich mit dem Thema Anwendungen beschäftigt, folgt bald.

Vielen Dank fürs Lesen dieses Blogs. Wenn dir dieser Blog gefällt, würde ich mich sehr über ein Like oder ein Teilen freuen.

Bis zum nächsten Teil dieser Serie.
Bis dahin:

Stay healthy, Cheers
Jannik