Kennst du bereits Intune Scope Tags?

Thema dieser Seite: Kennst du bereits Intune Scope Tags?

Intune Scope Tags ermöglichen es dir, die IT-Infrastruktur einer großen Organisation zu verwalten und gleichzeitig jeder Abteilung/Region/Tochtergesellschaft/… die Flexibilität zu geben, ihre eigenen Einstellungen zu konfigurieren. Scope Tags in Microsoft Intune erlauben es Administratoren, Geräte in ihrer Organisation in logische Gruppen einzuteilen. Diese Gruppen, auch Tags genannt, können verwendet werden, um bestimmte Einstellungen, Anwendungen und Richtlinien nur für bestimmte Benutzer oder Geräte verfügbar zu machen. Mit Intune Scope Tags kannst du deine IT-Infrastruktur verschlanken, die Sicherheit verbessern und dir das Leben leichter machen.

In dieser praxisnahen Schritt-für-Schritt-Anleitung schauen wir uns an, wie Intune Scope Tags im echten Betrieb funktionieren und warum sie für die delegierte Administration so wichtig sind. Wenn du eine verteilte Umgebung betreibst, geben dir Scope Tags eine saubere und sichere Möglichkeit, Verantwortlichkeiten zu trennen, ohne mehrere Tenants aufsetzen zu müssen. Die offizielle Dokumentation findest du auf Microsoft Learn.

Was sind Intune Scope Tags?

Intune Scope Tags sind Bezeichnungen, die du Objekten wie Konfigurationsprofilen, Anwendungen und Compliance-Richtlinien zuweist. Kombinierst du Scope Tags mit der rollenbasierten Zugriffssteuerung, sieht und verwaltet jeder Administrator nur die Objekte, die seinen zugewiesenen Tag tragen. Das bedeutet, dass ein regionaler Admin in Deutschland niemals die Richtlinien anfasst, die zu einem Team in einem anderen Land gehören. Dadurch sinkt das Risiko versehentlicher Änderungen deutlich und jedes Team behält den Überblick über seinen eigenen Bereich.

Eine Gerätegruppe für einen bestimmten Bereich erstellen

Das Hochladen eines Gerätehashs zu Intune und das Erstellen einer dynamischen Gruppe basierend auf diesem Tag lässt sich in wenigen einfachen Schritten erledigen:

• Erfasse den Gerätehash: Verwende das PowerShell-Skript “get-windowsautopilotinfo.ps1 -grouptag Germany -online“, um den Gerätehash des Geräts zu erfassen, das du zu Intune hochladen möchtest.

• Sobald dies erledigt ist, müssen wir eine dynamische Gruppe basierend auf diesem Attribut erstellen
• Wähle Gruppen in der linken Menüleiste
• Klicke auf Neue Gruppe
• Wähle Sicherheit als Gruppentyp, gib einen Gruppennamen ein und wähle Dynamisches Gerät als Mitgliedschaftstyp
• Klicke auf Dynamische Abfrage hinzufügen

• Klicke auf Bearbeiten und gib den folgenden Filter ein
  • Die OrderID kann frei definiert werden (in meinem Beispiel: „AutoPilotTest1″).

1	(device.devicePhysicalIds -any _ -eq "[OrderID]:Germany")

• Klicke auf Erstellen

Das Potenzial von Scope Tags ausschöpfen

Jetzt, da die Gerätegruppe bereit ist, können wir die Scope Tags einsetzen. Die nächsten Schritte zeigen, wie du einen Scope Tag erstellst, ihn an eine Gruppe hängst und ihn mit einer benutzerdefinierten Rolle verknüpfst, sodass delegierte Administratoren nur das verwalten, was ihnen gehört.

• Im ersten Schritt müssen wir einen neuen Scope Tag erstellen.
• Öffne die Intune-Konsole und navigiere zu Tenant admin > Roles > Scope tags
• Klicke auf + Create

• Gib einen Namen ein und klicke auf Next

• Wähle die zuvor erstellte Gruppe aus und wähle Next > Create

• Im nächsten Schritt müssen wir eine benutzerdefinierte Rolle für diesen Scope Tag erstellen. Wähle dazu das Menü All roles aus
• Wähle eine Rolle aus und klicke auf Duplicate oder erstelle eine neue mit + Create

• Gib einen Namen ein und klicke auf Next > Next
• Wähle den zuvor erstellten Scope Tag aus und klicke auf Next > Create

• Wenn du nun eine neue Konfiguration in Intune erstellst, kannst du den neuen Scope Tag anhängen.

Fazit und häufige Stolperfallen

Intune Scope Tags gehören zu den einfachsten und zugleich wirkungsvollsten Mitteln, um die delegierte Administration in Microsoft Intune zu skalieren. Indem du Geräte gruppierst, Scope Tags erstellst und sie mit benutzerdefinierten Rollen verknüpfst, bleibt jedes Team auf seine eigenen Objekte konzentriert, während der Rest des Tenants geschützt ist. Starte klein mit einer einzigen Region, validiere den Ablauf und rolle Scope Tags anschließend in deiner gesamten Organisation aus.

Eine häufige Stolperfalle ist, dass der Standard-Scope-Tag automatisch auf jedes Objekt angewendet wird, das keinen expliziten Tag trägt. Wenn ein delegierter Administrator ein erwartetes Objekt nicht sieht, prüfe zuerst, ob dieses Objekt noch ausschließlich den Standard-Tag statt des regionalen Tags besitzt. Ein weiterer typischer Fehler ist, den Scope Tag zwar der Rolle zuzuweisen, nicht aber der zugrunde liegenden Geräte- oder Benutzergruppe. Dadurch können Administratoren zwar Richtlinien sehen, aber keine echten Geräte ansprechen. Teste eine neue Rolle deshalb immer mit einem Pilot-Konto, bevor du sie an das regionale Team übergibst.