Tenant-übergreifendes Intune-Management aktivieren und konfigurieren

Avatar
Nerdio Product Support

Dieser Artikel führt Sie durch die Prozesse zum Hinzufügen und Verwalten mehrerer zusätzlicher Tenants über die Nerdio Manager Konsole als Teil der Funktion Tenant-übergreifendes Intune-Management.

Anmerkung

Tenant-übergreifendes Intune-Management befindet sich derzeit in der Public Preview.

Voraussetzungen

Nerdio Manager Abonnement

Die Aufgaben in diesem Verfahren gelten für die folgenden Nerdio ManagerAbonnementebene(n):

AVD Core

Wahr *

AVD Premium
Wahr

Windows 365

Wahr *

Unified Endpoint Management

Wahr *

*Die Funktion ist in allen Abonnements voll funktionsfähig; die Ersteinrichtung nutzt jedoch AVD – Premium Nerdio Manager-Funktionen für die Entra ID-basierte Tenant-Verknüpfung. Abonnenten anderer Pläne müssen eine erweiterte Konfiguration in der Azure CLI durchführen; siehe unten für Details.

Rollenbasierte Zugriffssteuerung (RBAC) und Berechtigungen

Das Tenant-übergreifende Intune-Management erfordert eine Konfiguration sowohl in Microsoft Azure/Entra als auch in Nerdio Manager. Die folgenden Abschnitte umreißen die erforderlichen Mindestzugriffswerte.

Anmerkung

Die Konfiguration kann von einem einzelnen Administrator über die verschiedenen Plattformen und Tenants hinweg oder von einer Reihe verschiedener Administratoren durchgeführt werden. Die Schritte, auf die sich die jeweilige Rolle bezieht, sind unten aufgeführt.

Nerdio Manager-Rollen

Die Rolle Admin ist erforderlich, um das Tenant-übergreifende Intune-Management in Nerdio Manager zu aktivieren und zu konfigurieren.

Nerdio Manager-Zugriffsebenen

Unter Befolgung des Prinzips der geringsten Rechte (PoLP) können Sie eine benutzerdefinierte Rolle definieren, um das Tenant-übergreifende Intune-Management in Nerdio Manager zu aktivieren und zu konfigurieren. Vollzugriff im Intune-Modul ist erforderlich.

Unter Befolgung des Prinzips der geringsten Rechte (PoLP) können Sie eine benutzerdefinierte Rolle definieren, um das Tenant-übergreifende Intune-Management in Nerdio Manager zu aktivieren und zu konfigurieren. Vollzugriff im Intune-Modul ist erforderlich.

Azure-integrierte Rollen

Unter Befolgung des Least Privilege-Prinzips (PoLP) erfordert die Konfiguration der notwendigen Berechtigungen zur Aktivierung des Tenant-übergreifenden Intune-Managements im sekundären Tenant (bzw. in den sekundären Tenants) die folgenden Azure-integrierten Rollen.

Wichtig

Ein Administratorkonto mit diesen Rollen ist erforderlich, um eine App-Registrierung zu erstellen und die notwendigen Berechtigungen in jedem sekundären Tenant zu konfigurieren, der zu Nerdio Manager hinzugefügt werden soll.

Rolle

Beschreibung

Zweck

Anwendungsadministrator

App-Registrierungen erstellen und verwalten

Ein Administrator, dem diese Rolle zugewiesen ist, ist erforderlich, um einen Dienstprinzipal für den Nerdio Manager App Service in jedem sekundären Tenant zu erstellen.

Dieser Zugriff ist nur zum Hinzufügen oder Entfernen sekundärer Tenants erforderlich; er ist für die laufende Verwaltung nicht erforderlich.

Administrator für rollenbasierte Zugriffssteuerung oder Benutzerzugriffsadministrator

Zugriff auf Azure-Ressourcen verwalten

Ein Administrator, dem diese Rolle zugewiesen ist, ist erforderlich, um den notwendigen Zugriff für den Nerdio Manager App Service in jedem sekundären Tenant zu gewähren.

Dieser Zugriff ist erforderlich, wann immer eine Intune-verwaltete Funktion für den Tenant hinzugefügt oder entfernt wird.

Zusätzliche Berechtigungen

Der Dienstprinzipal für den Nerdio Manager App Service in jedem sekundären Tenant benötigt die Berechtigung LicenseAssignment.Read.All zusätzlich zu den erforderlichen Intune-Berechtigungen für die zu verwaltenden Funktionen.

Vorbereitende Schritte

Bevor Sie Ihre sekundären Tenants in Nerdio Manager verwalten können, müssen Sie die Berechtigungen ermitteln, die für die Verwaltung der von Ihnen gewählten Features erforderlich sind, und in jedem sekundären Tenant einen Dienstprinzipal mit den erforderlichen Berechtigungen konfigurieren.

Anmerkung

Sie müssen in jedem Ziel-Tenant einen Dienstprinzipal erstellen und konfigurieren. Wenn Sie mehrere sekundäre Tenants zu Nerdio Manager hinzufügen, müssen Sie diese vorbereitenden Schritte für jeden Tenant wiederholen.

So ermitteln Sie die erforderlichen Berechtigungen:

Konsultieren Sie Intune: granulare Berechtigungen, um die Berechtigungen zu ermitteln, die der Nerdio Manager App Service benötigt, um jedes der Features zu implementieren, die Sie in Ihrem sekundären Tenant verwalten möchten, und notieren Sie diese.

Tipp

Alternativ können Sie die erforderlichen Berechtigungen innerhalb von Nerdio Manager wie folgt bestimmen:

  1. Navigieren Sie zu System > Einstellungen und wählen Sie den Tab „Integration“.

  2. Wählen Sie den Bereich Intune .

  3. Wählen Sie unter der Überschrift Primärer (Identitäts-)Tenant das Symbol Weitere Optionenthree-vertical-dots-context-menu.png und wählen Sie Konfiguration aus dem Dropdown-Menü.

  4. Wählen Sie die QuickInfo für jede Funktion aus, um die Berechtigungen zu bestimmen, die Nerdio Manager benötigt, um die Funktion im sekundären Tenant bzw. in den sekundären Tenants zu verwalten.

So erstellen und konfigurieren Sie einen Dienstprinzipal im sekundären Tenant (bzw. in den sekundären Tenants) (für AVD Core, Windows 365 und UEM-Abonnements):

Achtung

Wenn die Unterstützung für den Benutzerkontextmodus hinzugefügt wird, steht die Migration sekundärer Tenants vom Anwendungskontext zum Benutzerkontext für Core-Abonnenten, die den Nerdio Manager-Dienstprinzipal im sekundären Tenant manuell über die Azure CLI bereitgestellt haben, nicht zur Verfügung.

  1. Rufen Sie im primären Tenant die eindeutige Anwendungs-ID für die Nerdio Manager Anwendung ab und notieren Sie diese. Sie werden diese im nächsten Schritt verwenden, um einen Dienstprinzipal im Ziel-Tenant (bzw. in den Ziel-Tenants) zu erstellen.

  2. Verwenden Sie die Azure CLI, um einen Dienstprinzipal im Ziel-Tenant zu erstellen, und geben Sie dabei die ID der Nerdio Manager Anwendung des primären Tenants an.

  3. Fügen Sie dem Dienstprinzipal die erforderlichen Berechtigungen hinzu, die Sie oben identifiziert haben, sowie die Berechtigung LicenseAssignment.Read.All.

  4. Rufen Sie die Ziel-Tenant-ID ab und notieren Sie diese. Dies ist erforderlich, um den Tenant zu Nerdio Manager hinzuzufügen.

So erstellen Sie einen Dienstprinzipal in einem sekundären Tenant (für AVD – Premium Nerdio Manager Abonnements):

  1. Navigieren Sie zu https://entra.microsoft.com und melden Sie sich mit einer Admin-ID an, der die erforderlichen Berechtigungen im Ziel-Tenant erteilt wurden.

  2. Wählen Sie im Navigationsbereich App-Registrierungen.

    1. Wählen Sie + Neue Registrierung.

    2. Geben Sie die folgenden Informationen ein:

      • Name: Geben Sie den für Benutzer sichtbaren Anzeigenamen für die Anwendung ein.

      • Unterstützte Kontotypen: Wählen Sie nur Konten in diesem Directory aus.

      • Umleitungs-URI: Lassen Sie dieses Feld leer; es wird kein Umleitungs-URI benötigt.

    3. Sobald Sie die gewünschten Informationen eingegeben haben, wählen Sie Registrieren.

    4. Kopieren Sie die Client-ID, die für die Verlinkung in Nerdio Manager verwendet werden soll.

    5. Wählen Sie im Menü Zertifikate & Geheimnisse.

    6. Wählen Sie + Neuer geheimer Clientschlüssel.

    7. Geben Sie eine Beschreibung und eine Ablaufzeit für die App-Registrierung ein.

      Tipp

      Wir empfehlen, die Ablaufzeit auf einen Wert von mehr als einem Jahr festzulegen.

    8. Sobald Sie die gewünschten Informationen eingegeben haben, wählen Sie Hinzufügen.

    9. Kopieren Sie den Wert des geheimen Clientschlüssels, um ihn für das Verlinken in Nerdio Manager zu verwenden.

      Achtung

      Sie können nur bei der ersten Erstellung auf den Wert des geheimen Clientschlüssels zugreifen. Überprüfen Sie noch einmal, ob Sie den Wert kopiert und an einem sicheren Ort gespeichert haben, da Sie dies später nicht mehr tun können.

    10. Stellen Sie vor dem Verlassen der Seite sicher, dass Sie die folgenden Informationen für die erstellte App-Registrierung erfasst haben. Dies ist erforderlich, um den Tenant zu Nerdio Manager hinzuzufügen.

      • Tenant-ID

      • Client-ID

      • geheimer Clientschlüssel.

    Um Berechtigungen für den Dienstprinzipal in einem sekundären Tenant hinzuzufügen (für AVD – Premium Nerdio Manager Abonnements):

Sekundäre(n) Tenant(s) in Nerdio Manager hinzufügen und aktivieren

Sobald Sie einen Dienstprinzipal im sekundären Tenant bzw. in den sekundären Tenants konfiguriert haben, können Sie diese von der Nerdio Manager-Instanz im primären Tenant aus verlinken.

Anmerkung

Während sich die Tenant-übergreifende Intune-Verwaltung in der Vorschau befindet, empfehlen wir Ihnen, sekundäre Tenants nacheinander hinzuzufügen und die Leistung von Nerdio Manager genau zu überwachen, bevor Sie weitere Tenants hinzufügen.

Bitte erstellen Sie ein Supportticket, um negative Auswirkungen auf die Leistung zu melden.

So fügen Sie den/die sekundären Tenant(s) zu Nerdio Manager hinzu:

  1. Navigieren Sie in Nerdio Manager zu System > Einstellungen > Azure.

  2. Klappen Sie die Überschrift Primärer Entra ID Tenant (AVD und Identität) auf.

  3. Wählen Sie im Abschnitt „Verknüpfte Entra ID Tenants“ die Option „Verlinkung über App-Anmeldedaten“ aus.

  4. Wenn Sie ein PremiumNerdio Manager Abonnement haben,

    1. Geben Sie die Ziel-Tenant-ID ein, die Sie oben erfasst haben.

    2. Wählen Sie im Feld App-Identität auswählen die Option Neue App-Identität verlinken.

    3. Wählen Sie im Feld ID-Typ die Option App-Registrierung aus.

    4. Geben Sie im Feld ID-Name einen Anzeigenamen ein, mit dem Sie den Tenant später leicht identifizieren können.

      Anmerkung

      Sobald dieser Anzeigename konfiguriert ist, verwendet Nerdio Manager ihn, um den Tenant in Dropdown-Menüs und UI-Bildschirmen zu identifizieren. Sie können diesen Namen bei Bedarf später bearbeiten.

    5. Geben Sie im Feld App-ID die Client-ID ein, die Sie oben notiert haben.

    6. Wählen Sie im Feld Azure-Cloud je nach Zielmandant Azure Global (kommerziell) oder Azure US Government aus.

    7. Geben Sie im Feld geheimer Clientschlüssel den geheimen Clientschlüssel ein, den Sie oben notiert haben.

      Alternativ, wenn Sie ein CoreNerdio Manager-Abonnement haben,

    1. Geben Sie die Ziel-Tenant-ID ein, die Sie oben notiert haben.

    2. Wählen Sie im Feld App-Identität auswählen die Nerdio Manager-Anwendung aus, für die Sie einen Dienstprinzipal im sekundären Tenant erstellt haben. Die restlichen Felder werden automatisch ausgefüllt.

  5. Wählen Sie OK , um den sekundären Tenant mit Nerdio Manager zu verknüpfen und den Editor zu schließen.

    Achtung

    Es kann einige Zeit dauern, bis die API-Berechtigungen registriert sind. Wir empfehlen Ihnen, mindestens eine Stunde zu warten, bevor Sie mit dem nächsten Schritt fortfahren.

Um Intune für einen sekundären Tenant in Nerdio Manager zu aktivieren:

  1. Navigieren Sie in Nerdio Manager zu System > Einstellungen > Integrationen.

  2. Klappen Sie die Überschrift Intune auf.

    Wenn die vorherigen Schritte korrekt abgeschlossen wurden, sehen Sie den sekundären Tenant in der Liste, wobei in der Spalte Aktiviert der Status Deaktiviert angezeigt wird.

  3. Wählen Sie das Symbol Weitere Optionen three-vertical-dots-context-menu.png des Tenants und wählen Sie Konfiguration aus dem Dropdown-Menü.

  4. Stellen Sie den Schalter Aktueller Status auf Aktiviert.

  5. Aktivieren Sie die gewünschten Intune-Verwaltungsfunktionen für den Tenant.

    Achtung

    Die ausgewählten Funktionen sollten exakt den Berechtigungen entsprechen, die Sie der App-Registrierung im sekundären Tenant hinzugefügt haben. Wenn Sie zusätzliche Funktionen verwalten möchten, müssen Sie die entsprechenden Berechtigungen manuell zur App-Registrierung hinzufügen.

  6. Wählen Sie Speichern, um Ihre Änderungen per Commit auszuführen und den Konfigurationsbildschirm zu verlassen.

    Der Tenant sollte nun in der Intune-Tenant-Liste als Aktiviert angezeigt werden.

Konfiguration des sekundären Tenants in Intune verwalten

Nachdem Sie Intune für einen sekundären Tenant aktiviert haben, können Sie verwaltete Funktionen für den Tenant hinzufügen oder entfernen oder den Tenant vollständig aus der Liste der Intune-verwalteten Tenants entfernen. Alle Änderungen an Intune-verwalteten Funktionen müssen parallel zur App-Registrierung im sekundären Tenant und zur Intune-Integration in Nerdio Manager vorgenommen werden.

Um Intune-verwaltete Funktionen für einen sekundären Tenant zu ändern:

  1. Konsultieren Sie Intune: granulare Berechtigungen, um die Berechtigungen zu ermitteln, die der Nerdio Manager App Service benötigt, um jede der Funktionen zu implementieren, die Sie in Ihrem sekundären Tenant verwalten möchten, und notieren Sie diese.

  2. Finden Sie im Entra ID-Portal im Ziel-Tenant die zuvor konfigurierte Nerdio Manager App-Registrierung und fügen Sie Berechtigungen hinzu oder entfernen Sie diese, um sie an die geänderte Menge der Intune-Funktionen anzupassen, die Sie verwalten möchten. Siehe den für Ihr Nerdio-Abonnement relevanten Abschnitt von Vorbereitende Schritte für Konfigurationsdetails.

  3. Navigieren Sie in Nerdio Manager zu System > Einstellungen > Integrationen.

  4. Erweitern Sie die Überschrift Intune.

  5. Wählen Sie das Symbol Weitere Optionen three-vertical-dots-context-menu.png des Ziel-Tenants und wählen Sie Konfiguration aus dem Dropdown-Menü.

  6. Aktivieren oder entfernen Sie die entsprechenden Intune-Verwaltungsfunktionen für den Tenant.

    Achtung

    Die aktivierten Funktionen sollten exakt den Berechtigungen entsprechen, die Sie der App-Registrierung im sekundären Tenant hinzugefügt haben. Wenn Sie zusätzliche Funktionen verwalten möchten, müssen Sie die entsprechenden Berechtigungen manuell zur App-Registrierung hinzufügen.

  7. Wählen Sie Speichern, um den Commit auszuführen und den Konfigurationsbildschirm zu verlassen.

So entfernen Sie einen Tenant aus der Intune-Verwaltung:

  1. Navigieren Sie in Nerdio Manager zu System > Einstellungen > Integrationen.

  2. Wählen Sie das Symbol Weitere Optionen three-vertical-dots-context-menu.png für den Tenant aus, den Sie entfernen möchten, und wählen Sie Konfiguration aus dem Dropdown-Menü.

  3. Stellen Sie den Umschalter Aktueller Status auf Deaktiviert.

  4. Wählen Sie Speichern, um den Commit auszuführen und den Konfigurationsbildschirm zu verlassen.

    Der Tenant sollte nun in der Intune-Tenantliste als Deaktiviert angezeigt werden.

  5. Der Dienstprinzipal ist für die Intune-Verwaltung in Nerdio Manager nicht mehr erforderlich, daher können Sie ihn sicher aus dem Tenant entfernen, sofern er nicht von anderen Funktionen verwendet wird.

    Achtung

    Stellen Sie sicher, dass das Dienstprinzipalobjekt nicht für AVD oder Intune Insights erforderlich ist, bevor Sie es entfernen.

Benötigen Sie Hilfe?

Erstellen Sie ein Supportticket für dieses Element.

War dieser Beitrag hilfreich?

0 von 0 fanden dies hilfreich
Haben Sie Fragen? Anfrage einreichen

Verwandte Beiträge

Kommentare (0 Kommentare)

Bitte melden Sie sich an, um einen Kommentar zu hinterlassen.