Microsoft Intune ist ein cloudbasierter Dienst, der sich auf die Verwaltung mobiler Geräte (MDM) und die Verwaltung mobiler Anwendungen (MAM) konzentriert. Mit Microsoft Intune können Sie die Geräte Ihres Unternehmens verwalten – mobile Endgeräte, Laptops, Tablets, Cloud-PCs und Azure Virtual Desktops.
Diese Funktion ermöglicht die Verwaltung von Intune-registrierten Endpunkten, einschließlich AVD-Hosts, Windows 365 Cloud-PCs und physischen Geräten.
Wenn Sie die Intune-Integration von Nerdio Manager einrichten, erteilen Sie ihr eine Reihe von Berechtigungen zur Ausführung der von Ihnen ausgewählten Funktionen. Der Umfang dieser Berechtigungen hängt vom gewählten Modus ab. Sie können die Intune-Integration von Nerdio Manager für die Arbeit in einem von drei Modi konfigurieren, die unten aufgeführt sind. Ihre organisatorischen Sicherheitsrichtlinien können festlegen, welcher der folgenden Modi für Ihren Tenant vorzuziehen ist – zum Beispiel, wenn Ihre Organisation Einschränkungen bei den Berechtigungen auf Anwendungsebene oder bei der Anzahl der User vorschreibt, denen Admin-Rechte gewährt werden:
-
Anwendungskontext (Standard): Nerdio Manager erhält Berechtigungen auf Anwendungsebene, um die von Ihnen ausgewählten Funktionen auszuführen. Einzelnen Usern müssen keine Berechtigungen erteilt werden, und die Mehrheit der Features wird in diesem Modus unterstützt. Einige wenige Vorgänge, wie das Anzeigen von BitLocker-Schlüsseln, können jedoch in diesem Modus nicht ausgeführt werden.
-
Benutzerkontext: Nerdio Manager erhält die erforderlichen delegierten Zugriffsberechtigungen, um die von Ihnen ausgewählten Features im Namen des angemeldeten Admin-User auszuführen. Sie können während der Erstkonfiguration oder jederzeit über die Intune-Integrationseinstellungen in diesen Modus wechseln.
-
Anwendungs- & Benutzerkontext: Nerdio Manager arbeitet primär im Anwendungskontext, verwendet jedoch die delegierten Zugriffsberechtigungen, die mit einem verknüpften Intune-Dienstkonto verbunden sind, um Vorgänge auszuführen, die nur im Benutzerkontext unterstützt werden. Um diesen Modus festzulegen, konfigurieren Sie zuerst die Integration für die Ausführung im Anwendungskontext und verlinken Sie dann ein Intune-Dienstkonto, um Support für Features hinzuzufügen, die delegierte Zugriffsberechtigungen erfordern.
Anmerkung
Wenn Intune bereits ausgeführt wird, können Sie den aktuellen Modus wie folgt ermitteln:
-
Navigieren Sie in Nerdio Manager zu System > Einstellungen.
-
Wählen Sie im Bereich Integrationen die Option Intune aus und erweitern Sie diese.
-
Scrollen Sie nach unten zum Feld Modus. Der in diesem Feld angezeigte Wert ist der aktuelle Betriebsmodus.
-
Sie müssen Intune aktivieren und konfigurieren, bevor Sie es in Nerdio Manager verwenden können.
Anmerkung
-
Die Intune-Integration kann nach Gerätetyp oder Entra ID-Gruppe eingeschränkt werden.
-
Eine Intune-Lizenz muss im Entra ID Tenant vorhanden sein, in dem Nerdio Manager installiert ist.
-
Wenn Cloud PC ausgewählt ist, muss eine Windows 365-Lizenz im Entra ID Tenant vorhanden sein, in dem Nerdio Manager installiert ist.
-
Der User muss ein Administrator sein, damit der Prozess erfolgreich abgeschlossen werden kann.
So aktivieren und konfigurieren Sie Intune:
-
Navigieren Sie in Nerdio Manager zu System > Einstellungen.
-
Wählen Sie im Bereich Integrationen die Option Intune aus und erweitern Sie diese.
-
Das Feld Aktueller Status zeigt an, ob Intune für den Tenant Deaktiviert oder Aktiviert ist. Um diesen Status zu ändern oder Intune-Einstellungen zu konfigurieren, wählen Sie Konfigurieren.
-
Um Intune zu aktivieren, schalten Sie die Option Aktueller Status auf Ein. Um Intune zu deaktivieren, schalten Sie diese Option auf Aus.
-
Der Umschalter Benutzerbetriebsmodus bestimmt den Umfang der Berechtigungen, die der Nerdio Manager Intune-Integration gewährt werden. (Siehe Betriebsmodi und Berechtigungen oben.)
-
Lassen Sie diese Option Aus, um Intune im Anwendungskontext zu implementieren und Nerdio Manager Berechtigungen auf Anwendungsebene zu gewähren, um die von Ihnen ausgewählten Funktionen auszuführen.
-
Schalten Sie diese Option Ein, um Intune im Benutzerkontext zu implementieren und die erforderlichen delegierten Zugriffsberechtigungen im Namen des angemeldeten Admin-User zu gewähren.
Anmerkung
Die Einstellung Benutzerbetriebsmodus bestimmt die Auswahl an Features, die Sie im nächsten Schritt konfigurieren können.
-
-
Wählen Sie die Intune-Funktionen aus, die Sie aktivieren möchten. Wenn Sie die Konfiguration abschließen, wird Nerdio Manager die entsprechenden Berechtigungen auf Anwendungsebene und/oder delegierte Berechtigungen anfordern.
-
Wenn Intune im Anwendungskontext (Benutzerbetriebsmodus auf Aus gestellt) betrieben wird, wählen Sie die Features aus, die Sie unter der Überschrift Konfigurierbare Features aktivieren möchten.
-
Wenn Intune im Benutzerkontext (Benutzerbetriebsmodus auf Ein gestellt) betrieben wird,
-
Wählen Sie die auf Anwendungsebene verfügbaren Features aus, die Sie unter der Überschrift Nerdio-verwaltete Features aktivieren möchten.
-
Wählen Sie die auf Benutzerebene verfügbaren Features aus, die Sie unter der Überschrift Delegierte Benutzerfeatures aktivieren möchten.
Anmerkung
Siehe Unified Endpoint Management: Intune-Integration - Granulare Berechtigungen für einen detaillierten Einblick in die Funktionen und Berechtigungen.
-
-
-
Wählen Sie unter der Überschrift Einschränkungen des Gerätesichtbarkeitsbereichs den/die Gerätetyp(en) und die Plattform(en) aus, die Sie verwalten möchten:
-
Geräteplattform: Wählen Sie aus der Dropdown-Liste die Geräteplattform(en) aus, die Sie verwalten möchten.
Anmerkung
Standardmäßig sind nur Windows-Geräte enthalten. Sie können auch Android-, iOS/iPadOS- und macOS-Geräte verwalten.
-
Gerätetyp-Bereich: Wählen Sie optional aus der Dropdown-Liste den/die Gerätetyp(en) aus, die Sie verwalten möchten.
Anmerkung
Standardmäßig sind alle Intune-Geräte enthalten. Optional kann die Geräteverwaltung auf AVD-Hosts, Windows 365 Cloud-PC und/oder physische Geräte begrenzt werden.
-
Nach Entra ID-Gruppe einschränken: Wählen Sie optional aus der Dropdown-Liste eine oder mehrere Entra ID-Gruppen aus, um die Verwaltung so einzuschränken, dass nur Geräte für die in den ausgewählten Gruppen definierten Benutzer einbezogen werden.
Anmerkung
Diese Option funktioniert in Kombination mit dem ausgewählten Gerätetyp-Bereich.
-
Geräte ohne primären User einbeziehen: Wählen Sie diese Option, um alle Geräte einzubeziehen, die keinem User zugewiesen wurden.
Anmerkung
Diese Option ist durch den ausgewählten Gerätetyp-Bereich begrenzt, ignoriert jedoch alle ausgewählten Nach Entra ID-Gruppe einschränken-Regeln.
-
-
Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Speichern.
Wenn Ihre Intune-Integration für den Betrieb im Anwendungskontext konfiguriert ist und Sie Vorgänge aktivieren möchten, die delegierte Zugriffsberechtigungen erfordern – wie das Anzeigen von BitLocker-Schlüsseln –, können Sie ein Intune-Dienstkonto verlinken, dem in Entra ID Intune-Administratorberechtigungen erteilt wurden, um in den Modus Anwendungs- & Benutzerkontext zu wechseln.
Anmerkung
Einstellungen für verknüpfte Intune-Dienstkonten werden nur wirksam, wenn Intune so konfiguriert ist, dass es im Anwendungskontext ausgeführt wird. Wenn Sie ein Dienstkonto verknüpfen, während Intune im Benutzerkontext ausgeführt wird (oder nach dem Verknüpfen eines Dienstkontos in den Benutzerkontext wechseln), bestimmt der konfigurierte Betriebsmodus die Zugriffsberechtigungen der Intune-Integration, und das verknüpfte Konto hat keine Auswirkungen.
So verlinken Sie ein Intune-Dienstkonto:
-
Navigieren Sie zu System > Einstellungen.
-
Wählen Sie System > Einstellungen > Integrationen. Navigieren Sie zum Abschnitt Intune, wählen Sie den Pfeil nach unten, um den Abschnitt zu erweitern, und wählen Sie dann Intune-Dienstkonto verlinken.
-
Wählen Sie im Dialogfeld User-Konto verlinken die Option Login, um zu einer Login-Seite automatisch weitergeleitet zu werden.
-
Melden Sie sich als User mit einer aktiven Intune-Administratorrolle an, die für Intune verwendet werden soll.
Anmerkung
Dieser User muss über eine beliebige Rollenzuweisung in Nerdio Manager RBAC-Rollen verfügen. Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung (RBAC) in Nerdio Manager.
Je nach den von Ihnen ausgewählten Funktionen fügt die Konfiguration der Intune-Integration einige oder alle der folgenden Berechtigungen für die Nerdio Manager-Anwendung und/oder den angemeldeten Administrator hinzu, sofern diese noch nicht vorhanden sind:
-
BitlockerKey.Read.All(delegated) -
BitlockerKey.ReadBasic.All(delegated) -
CloudPC.ReadWrite.All(delegiert oder Anwendung, abhängig vom Betriebsmodus) -
Device.Read.All(delegiert oder Anwendung) -
DeviceLocalCredential.Read.All(delegiert oder Anwendung) -
DeviceManagementApps.ReadWrite.All(delegated or application) -
DeviceManagementConfiguration.ReadWrite.All(delegiert oder Anwendung) -
DeviceManagementManagedDevices.PrivilegedOperations.All(delegiert oder Anwendung) -
DeviceManagementManagedDevices.ReadWrite.All(delegiert oder Anwendung) -
DeviceManagementRBAC.ReadWrite.All(delegiert oder Anwendung) -
DeviceManagementServiceConfig.ReadWrite.All(delegated or application) -
Group.ReadWrite.All(delegiert oder Anwendung) -
GroupMember.ReadWrite.All(delegiert oder Anwendung) -
Policy.Read.All(delegiert oder Anwendung)
Anmerkung
Siehe Unified Endpoint Management: Intune-Integration – Granulare Berechtigungen für weitere Informationen zu diesen Berechtigungen und den entsprechenden Features.
Nerdio Manager ermöglicht Ihnen die Integration von Windows Update for Business (WUfB)-Berichten.
So aktivieren Sie WUfB-Berichte:
-
Erstellen Sie im Azure-Portal manuell einen Log Analytics-Workspace (LAW) und aktivieren Sie die Arbeitsmappe für WUfB-Berichte.
Anmerkung
-
Detaillierte Anweisungen finden Sie in diesem Microsoft-Artikel.
-
Es kann bis zu 24 Stunden dauern, bis dies aktiviert ist.
-
-
Optional können Sie die Update-Ringe über das Intune-Portal erstellen. (Nerdio Manager, um diese Funktion in einer zukünftigen Version innerhalb der Anwendung bereitzustellen.)
-
Navigieren Sie in Nerdio Manager zu System > Einstellungen > Azure.
-
Finden Sie im Bereich Intune (Unified Endpoint Management) den Parameter Windows Update for Business-Berichte und wählen Sie deaktiviert aus.
-
Geben Sie die folgenden Informationen ein:
-
Windows Update for Business-Berichte: Schalten Sie diese Option ein.
-
Log Analytics-Workspace: Wählen Sie aus der Dropdown-Liste einen vorhandenen LAW zur Verwendung aus. Geben Sie alternativ den Namen eines neuen LAW ein, um diesen zu erstellen und zu verwenden.
-
Wählen Sie eine der folgenden Optionen:
-
Weisen Sie automatisch der Intune-Richtlinie, die die Aktivierung von WUfB-Berichten ermöglicht, allen verwalteten Endpunkten zu: Wählen Sie diese Option, um diese Richtlinie allen Endpunkten zuzuweisen.
-
Ein vorhandenes Konfigurationsprofil verwenden: Wählen Sie diese Option, um ein vorhandenes Konfigurationsprofil zu verwenden.
-
Ich werde WUfB-Berichte auf dem Endpunkt selbst aktivieren: Wählen Sie diese Option, um die Richtlinie den Endpunkten selbst zuzuweisen.
Anmerkung
WUfB-Berichte können manuell, per Skript oder durch die Bereitstellung einer Intune-Richtlinie aktiviert werden. Weitere Informationen finden Sie in diesem Microsoft-Artikel.
-
-
-
Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Speichern.
Die Windows Update for Business-Berichte sind jetzt aktiviert.
Nerdio Manager ermöglicht Ihnen, automatische Backups von Richtlinien und Profilen zu konfigurieren. Dies stellt sicher, dass ein Backup einer Richtlinie oder eines Profils erstellt wird, wann immer diese bearbeitet werden, entweder in der Nerdio-Konsole oder über die native Intune-Konsole. Siehe Intune: Verwaltung der Backups von Richtlinien und Profilen für Details.
Der Workflow für Richtliniengenehmigungen ist ein Nerdio Manager-Feature, mit dem Sie Genehmigende bestimmen können, die alle Richtlinienänderungsanfragen überprüfen, bevor diese in Intune implementiert werden. Dies stellt sicher, dass alle Richtlinienänderungen von mindestens einem anderen User überprüft werden, bevor sie für User oder Endpunkte bereitgestellt werden, wodurch die mit dem Richtlinienverwaltungs-Lifecycle verbundenen Risiken minimiert werden.
So aktivieren Sie Richtliniengenehmigungsanfragen:
-
Navigieren Sie in Nerdio Manager zu System > Einstellungen > Integrationen.
-
Erweitern Sie den Abschnitt Intune und scrollen Sie nach unten zu Richtliniengenehmigungsanfragen.
-
Wählen Sie das Zahnradsymbol
, um das Konfigurationsmenü zu öffnen.
-
Stellen Sie den Schalter auf Aktiviert und wählen Sie dann Speichern.
Während Richtliniengenehmigungsanfragen aktiviert sind, werden Änderungen an Intune-Richtlinien nicht mehr sofort angewendet, sondern stattdessen zur Genehmigung im Genehmigungs-Dashboard unter Endpunkte > Intune > Genehmigungen in die Warteschlange gestellt.
Anmerkung
-
Die Möglichkeit, Richtlinienänderungsanforderungen anzuzeigen und zu genehmigen, wird wie folgt durch RBAC gesteuert:
-
Standardmäßig können User, denen die integrierte Rolle Admin zugewiesen ist, Richtlinienänderungsanforderungen genehmigen, während User mit der integrierten Rolle Reviewer schreibgeschützten Zugriff auf Änderungsanforderungen haben, die auf Genehmigung warten.
-
Sie können Usern auch das Anzeigen oder Verwalten von Richtlinienänderungsanforderungen ermöglichen, indem Sie die Intune-Berechtigungen Read Approvals oder Manage Approvals zu einer neuen oder vorhandenen benutzerdefinierten Rolle hinzufügen.
-
User, die über die Berechtigung Manage Policies verfügen, aber nicht über die Berechtigung Read Approvals oder Manage Approvals verfügen, können das Dashboard „Genehmigungen“ anzeigen, sehen jedoch nur ihre eigenen Genehmigungsanfragen.
-
-
Um die Robustheit des Genehmigungsprozesses zu gewährleisten, können User mit Genehmigungsberechtigungen ihre eigenen Änderungen nicht genehmigen. Daher müssen Sie bei der Aktivierung dieses Features sicherstellen, dass Sie über einen ausreichend großen Pool an Genehmigern verfügen, um eine zeitnahe Überprüfung zu gewährleisten.
-
Nerdio Manager Intune Insights ist ein umfassendes Endpoint-Analytics-Tool, das datenbasierte Erkenntnisse liefert, mit denen Sie proaktiv Probleme bei der Geräte-Leistung angehen, die Benutzererfahrung verbessern und Gerätekonfigurationen optimieren können. Einzelheiten finden Sie unter Insights: Intune.
So verwenden Sie Intune Insights:
-
Aktivieren Sie Intune Insights in Ihrer Umgebung.
-
Konfigurieren Sie Intune Insights-Schwellenwerte, um Folgendes zu ermöglichen:
-
Definieren akzeptabler Leistungswerte: Legen Sie Limits für wichtige Metriken fest (z. B. Compliance-Status, Patch-Status, App-Integrität), um Geräte, die unter Ihren Standards liegen, schnell zu identifizieren.
-
Aktivieren Sie das proaktive Monitoring: Lassen Sie sich warnen, wenn Probleme auftreten, bevor sie eskalieren.
-
Verbessern Sie die Sichtbarkeit: Heben Sie Problembereiche in Dashboards mithilfe von Statusindikatoren in Rot, Gelb oder Grün (RAG) hervor, um die allgemeine Geräteintegrität auf einen Blick leichter beurteilen zu können.
-
Optimieren Sie die Korrekturmaßnahmen: Priorisieren Sie die Fehlerbehebung basierend auf der Schwere, um sicherzustellen, dass kritische Probleme zuerst behandelt werden.
-
So aktivieren Sie Intune Insights:
-
Navigieren Sie in Nerdio Manager zu System > Einstellungen > Integrationen.
-
Wählen Sie im Abschnitt Intune den Abwärtspfeil, um den Abschnitt zu erweitern, und scrollen Sie nach unten zu Intune Insights.
-
Wählen Sie den Umschalter, um Intune Insights zu aktivieren.
-
Sie können nun Schwellenwerte für Ihre Intune Insights konfigurieren.
So konfigurieren Sie Schwellenwerte für Intune Insights:
-
Navigieren Sie zu System > Einstellungen > Integrationen, wählen Sie im Abschnitt Intune den Pfeil nach unten, um den Abschnitt zu erweitern, und scrollen Sie nach unten zu Intune Insights. Wählen Sie das Zahnradsymbol
.
-
Definieren Sie im Dialogfeld Intune Insights-Schwellenwerte die Schwellenwerte für die folgenden Aspekte:
-
Mandant: Fehlendes Sicherheitsupdate oder nicht unterstütztes Betriebssystem
-
Mandant: Intune-Zertifikatsschwellenwerte (zum Beispiel Apple VPP, Registrierung und Push)
-
Compliance-Richtlinien
-
Konfigurationsprofile
-
Verwaltete Apps
-
-
Wählen Sie Speichern.
Nerdio Manager ermöglicht es Ihnen, den Status von Intune Insights anzuzeigen und eine manuelle Synchronisierung durchzuführen.
So zeigen Sie den Status von Intune Insights an:
-
Navigieren Sie zu System > Einstellungen > Integrationen, wählen Sie im Abschnitt Intune den Pfeil nach unten, um den Abschnitt zu erweitern, und scrollen Sie nach unten zu Intune Insights. Wählen Sie das Statussymbol
.
-
Der Status von Intune Insights wird angezeigt.
-
Wählen Sie das Status-
So synchronisieren Sie Intune Insights:
-
Navigieren Sie zu System > Einstellungen > Integrationen, wählen Sie im Abschnitt Intune den Pfeil nach unten, um den Abschnitt zu erweitern, und scrollen Sie nach unten zu Intune Insights. Wählen Sie das Synchronisierungssymbol
.
-
Wählen Sie im Dialogfeld Intune Insights Sync die Option Sync
Wenn Ihre Nerdio Manager-Umgebung mit einem US-Government-Tenant (GCC High) verknüpft ist, sind die folgenden Intune-Funktionen nicht verfügbar:
-
Integration von Windows Update for Business (WUfB) Siehe Windows Update for Business-Berichte aktivieren.
-
Windows 365 Flex im Modus „Shared“
-
Windows 365 Cloud Apps
-
KI-gestützte Cloud-PCs
Weitere Aspekte, die für US-Government-Tenants gelten, finden Sie unter Nerdio Manager in Azure Government: Was Sie wissen müssen.
Für Szenarien mit Active Directory Domain Services (ADDS) und Entra Domain Services muss das ADDS-Dienstkonto mit lokalen Administratorrechten für die betroffenen Geräte konfiguriert sein. Um die Domänen-Dienstkonto-Funktion im Produkt zu aktivieren, fügen Sie bitte die App Service-Einstellung Features:UamServiceAccounts hinzu. Weitere Details zu dieser Einstellung finden Sie unter Erweiterte App Service-Konfigurationen.
Einschränkungen:
-
Dienstkonten unterstützen keine Entra ID Join-Szenarien. Diese Einstellung wird bei Entra ID-verbundenen Deployments umgangen.
-
Dienstkonten müssen von Richtlinien zur Multi-Faktor-Authentifizierung ausgeschlossen werden. Wir empfehlen jedoch, eine Richtlinie für bedingten Zugriff auf das Konto anzuwenden, um die Nutzung nur in vertrauenswürdigen Netzwerken zu ermöglichen.
Verwandte Themen
Kommentare (0 Kommentare)