Bereitstellen von Microsoft Entra Hybrid-verbundenen Geräten mithilfe von Intune und Windows Autopilot

• Die Microsoft Entra Hybrid-verbundenen Geräte wurden erfolgreich konfiguriert. Stellen Sie sicher, dass Sie die Geräteregistrierung mithilfe des Cmdlets Get-MgDevice überprüfen.
• Wenn die domänen- und organisationseinheitsbasierte Filterung als Teil von Microsoft Entra Connect konfiguriert ist, stellen Sie sicher, dass die Standardorganisationseinheit (OU) oder der Container, die für die Windows Autopilot-Geräte vorgesehen ist, im Synchronisierungsbereich enthalten ist.

Das zu registrierende Gerät muss die folgenden Anforderungen erfüllen:

• Verwenden Sie eine derzeit unterstützte Version von Windows.
• Über Internetzugriff gemäß der Windows Autopilot-Netzwerkanforderungen verfügen.
• Über Zugriff auf einen Active Directory-Domänencontroller verfügen.
• Successfully ping the domain controller of the domain join (Erfolgreiche Pingmeldung) des Domänencontrollers der Domäne, zu der man beitritt.
• Bei Verwendung von Proxy muss die Option für die Proxyeinstellungen des Web Proxy Auto-Discovery Protocol (WPAD) aktiviert und konfiguriert sein.
• Machen Sie Erfahrungen mit der Windows-Willkommensseite.
• Verwenden Sie einen Autorisierungstyp, den Microsoft Entra ID in OOBE unterstützt.

Obwohl nicht erforderlich, ermöglicht die Konfiguration von Microsoft Entra Hybrid Join für Active Directory-Verbunddienste (Active Directory Federated Services, ADFS) einen schnelleren Windows Autopilot Microsoft Entra-Registrierungsprozess während der Bereitstellungen. Verbundkunden, die die Verwendung von Kennwörtern und die Verwendung von ADFS nicht unterstützen, müssen die Schritte im Artikel Active Directory-Verbunddienste (AD FS) prompt=login parameter support ausführen, um die Authentifizierungserfahrung ordnungsgemäß zu konfigurieren.

• Der Intune-Connector für Active Directory, auch bekannt als Offline-Domänenbeitrittsconnector (ODJ), muss auf einem Computer installiert werden, auf dem Windows Server 2016 oder höher mit .NET Framework Version 4.7.2 oder höher ausgeführt wird.

• Der Server, auf dem der Intune-Connector für Active Directory gehostet wird, muss Zugriff auf das Internet und Active Directory haben.

  Hinweis

  Der Intune Connector für Active Directory-Server erfordert standardmäßigen Domänenclientzugriff auf Domänencontroller, einschließlich der RPC-Portanforderungen, die für die Kommunikation mit Active Directory erforderlich sind. Weitere Informationen finden Sie in den folgenden Artikeln:

  • Dienstübersicht und Netzwerkportanforderungen für Windows
  • Konfigurieren einer Firewall für Domänen und Vertrauensstellungen von Active Directory
  • Erforderliche Ports und Protokolle für die Hybrid-Identität

• Um Skalierung und Verfügbarkeit zu erhöhen, können mehrere Connectors in einer Domäne installiert werden. Jeder Connector muss in der Lage sein, Computerobjekte in der von ihm unterstützten Domäne zu erstellen.

• Der Administrator, der den Intune-Connector für Active Directory installiert, muss ein lokaler Administrator auf dem Server sein, auf dem der Intune-Connector für Active Directory installiert wird.

• Für den aktualisierten Intune Connector für Active Directory muss die Installation mit einem Konto durchgeführt werden, das über die folgenden Domänenrechte verfügt:

  • Erforderlich – Erstellen Sie msDs-ManagedServiceAccount-Objekte im Container für verwaltete Dienstkonten

  • Optional – Berechtigungen in Organisationseinheiten in Active Directory ändern – Wenn der Administrator, der den aktualisierten Intune Connector für Active Directory installiert, nicht über dieses Recht verfügt, sind zusätzliche Konfigurationsschritte von einem Administrator erforderlich, der über diese Rechte verfügt. Weitere Informationen finden Sie im Abschnitt Erhöhen des Kontolimits für den Computer in der Organisationseinheit (OU) in diesem Artikel.

    Diese Rechte ermöglichen der Installation von Intune Connector für Active Directory das ordnungsgemäße Erstellen von verwalteten Dienstkonten (Managed Service Accounts, MSAs) und das ordnungsgemäße Festlegen von Berechtigungen für die Organisationseinheiten, denen der MSA Computer hinzufügt.

• Der Intune-Connector für Active Directory erfordert dieselben Endpunkte wie Intune.

Bevor Sie beginnen

• Stellen Sie vor der Installation sicher, dass alle Anforderungen des Intune Connectors für Active Directory-Server erfüllt sind.

• Microsoft empfiehlt (nicht erforderlich), dass der Administrator, der den Intune Connector für Active Directory installiert und konfiguriert, über die Domänenrechte verfügt, die in den Anforderungen für Intune Connector für Active Directory aufgeführt sind. Diese Rechte ermöglichen es dem Installations- und Konfigurationsprozess von Intune Connector für Active Directory, Berechtigungen für das verwaltete Dienstkonto (Managed Service Account, MSA) auf dem Computercontainer oder in Organisationseinheiten festzulegen, in denen Computerobjekte erstellt werden.

  Wenn dem Administrator diese Berechtigungen fehlen, muss ein anderer Administrator mit den entsprechenden Rechten Das Computerkontolimit in der Organisationseinheit (OU) erhöhen.

Deaktivieren der verstärkten Sicherheitskonfiguration für Internet Explorer

Ab Version 6.2504.2001.8 wurde der aktualisierte Intune Connector für Active Directory auf die Verwendung von WebView2, basierend auf Microsoft Edge, anstelle von WebBrowser, basierend auf Microsoft Internet Explorer, umgestellt. Diese Änderung bedeutet, dass die Einstellung für die verstärkte Sicherheitskonfiguration für Internet Explorer in Windows Server nicht mehr deaktiviert werden muss. Installieren Sie unbedingt Version 6.2504.2001.8 oder höher des Intune Connectors für Active Directory, um Probleme mit der Einstellung der verstärkten Sicherheitskonfiguration für Internet Explorer zu vermeiden.

Herunterladen des Intune-Connectors für Active Directory

1. Melden Sie sich auf dem Server, auf dem der Intune-Connector für Active Directory installiert wird, beim Microsoft Intune Admin Center an.

2. Wählen Sie auf dem Startbildschirm im linken Bereich "Geräte " aus.

3. Navigieren Sie im Menü "Geräte | Übersichtsbildschirm wählen Sie unter Nach Plattformdie Option Windows aus.

4. In der Windows | Wählen Sie auf dem Bildschirm Windows-Geräte unter Geräte-Onboardingdie Option Registrierung aus.

5. In der Windows | Wählen Sie auf dem Windows-Registrierungsbildschirm unter Windows Autopilotdie Option Intune Connector für Active Directory aus.

6. Wählen Sie im Bildschirm Intune Connector für Active Directorydie Option Hinzufügen aus.

7. Wählen Sie im daraufhin geöffneten Fenster Connector hinzufügen unter Konfigurieren des Intune-Connectors für Active Directory die Option Lokalen Intune-Connector für Active Directory herunterladen aus. Der Link lädt eine Datei mit dem Namen ODJConnectorBootstrapper.exe.

Installieren des Intune-Connectors für Active Directory auf dem Server

1. Melden Sie sich auf dem Server, auf dem der Intune-Connector für Active Directory installiert wird, mit einem Konto an, das über lokale Administratorrechte verfügt.

2. Wenn der vorherige ältere Intune Connector für Active Directory installiert ist, deinstallieren Sie ihn zuerst, bevor Sie den aktualisierten Intune Connector für Active Directory installieren. Weitere Informationen finden Sie unter Deinstallieren des Intune-Connectors für Active Directory.

   Wichtig

   Wenn Sie den vorherigen Legacy-Intune-Connector für Active Directory deinstallieren, stellen Sie sicher, dass Sie den Legacy-Installer von Intune Connector für Active Directory als Teil des Deinstallationsvorgangs ausführen. Wenn der ältere Intune Connector für Active Directory-Installer auffordert, ihn bei seiner Ausführung zu deinstallieren, wählen Sie die Option zum Deinstallieren aus. Dieser Schritt stellt sicher, dass der vorherige ältere Intune Connector für Active Directory vollständig deinstalliert wird. Das Legacy-Installationsprogramm von Intune Connector für Active Directory kann von Intune Connector für Active Directory heruntergeladen werden.

   Tipp

   In Domänen mit nur einem einzigen Intune Connector für Active Directory empfiehlt Microsoft, zuerst den aktualisierten Intune Connector für Active Directory auf einem anderen Server zu installieren. Die Installation des aktualisierten Intune Connectors für Active Directory auf einem anderen Server sollte vor der Deinstallation des älteren Intune Connectors für Active Directory auf dem aktuellen Server erfolgen. Durch die Installation des Intune-Connectors für Active Directory auf einem anderen Server werden Ausfallzeiten vermieden, während der Intune-Connector für Active Directory auf dem aktuellen Server aktualisiert wird.

3. Öffnen Sie die ODJConnectorBootstrapper.exe heruntergeladene Datei, um die Installation des Intune Connectors für Active Directory-Setup zu starten.

4. Durchlaufen Sie Schritt für Schritt die Installation des Intune Connectors für Active Directory.

5. Aktivieren Sie am Ende der Installation das Kontrollkästchen Intune Connector für Active Directory starten.

   Hinweis

   Wenn die Installation von Intune Connector für Active Directory-Setup versehentlich geschlossen wird, ohne das Kontrollkästchen "Intune Connector für Active Directory starten" zu aktivieren, kann die Konfiguration von Intune Connector für Active Directory erneut geöffnet werden, indem Sie Intune Connector für Active Directory>auswählen.Intune Connector für Active Directory aus dem Startmenü.

Anmelden beim Intune-Connector für Active Directory

1. Wählen Sie im Fenster Intune Connector für Active Directory auf der Registerkarte Registrierungdie Option Anmelden aus.

2. Melden Sie sich auf der Registerkarte "Anmelden" mit den Microsoft Entra ID-Anmeldeinformationen einer Intune-Administratorrolle an. Dem Benutzerkonto muss eine Intune-Lizenz zugewiesen werden. Der Anmeldevorgang kann einige Minuten in Anspruch nehmen.

   Hinweis

   Das Konto, das zum Registrieren des Intune Connectors für Active Directory verwendet wird, ist zum Zeitpunkt der Installation nur eine temporäre Anforderung. Das Konto wird in Zukunft nicht mehr verwendet, nachdem der Server registriert wurde.

3. Nach Abschluss des Anmeldevorgangs:

   1. Das Bestätigungsfenster für die erfolgreiche Registrierung von Intune Connector für Active Directory wird angezeigt. Klicken Sie auf "OK ", um das Fenster zu schließen.
   2. Ein verwaltetes Dienstkonto mit dem Namen "<MSA_name>" wurde erfolgreich eingerichtet Bestätigungsfenster wird angezeigt. Der Name des MSA wird in dem Format msaODJ##### angegeben, das ##### aus fünf zufälligen Zeichen besteht. Notieren Sie sich den Namen des erstellten MSA, und klicken Sie dann auf OK , um das Fenster zu schließen. Der Name des MSA kann später benötigt werden, um den MSA so zu konfigurieren, dass das Erstellen von Computerobjekten in Organisationseinheiten möglich ist.

4. Die Registerkarte "Registrierung" zeigt an, dass Intune Connector für Active Directory registriert ist. Die Schaltfläche "Anmelden " ist abgeblendet und "Verwaltetes Dienstkonto konfigurieren " ist aktiviert.

5. Schließen Sie das Fenster Intune Connector für Active Directory.

Überprüfen Sie, ob der Intune Connector für Active Directory aktiv ist.

Nach der Authentifizierung wird die Installation des Intune-Connectors für Active Directory abgeschlossen. Überprüfen Sie nach Abschluss der Installation, ob es in Intune aktiv ist, indem Sie die folgenden Schritte ausführen:

1. Wechseln Sie zum Microsoft Intune Admin Center, wenn es noch geöffnet ist. Wenn das Fenster "Connector hinzufügen " weiterhin angezeigt wird, schließen Sie es.

   Wenn das Microsoft Intune Admin Center nicht mehr geöffnet ist:

   1. Melden Sie sich beim Microsoft Intune Admin Center an.

   2. Wählen Sie auf dem Startbildschirm im linken Bereich "Geräte " aus.

   3. Navigieren Sie im Menü "Geräte | Übersichtsbildschirm wählen Sie unter Nach Plattformdie Option Windows aus.

   4. In der Windows | Wählen Sie auf dem Bildschirm Windows-Geräte unter Geräte-Onboardingdie Option Registrierung aus.

   5. In der Windows | Wählen Sie auf dem Windows-Registrierungsbildschirm unter Windows Autopilotdie Option Intune Connector für Active Directory aus.

2. Auf der Seite Intune Connector für Active Directory:

   • Vergewissern Sie sich, dass der Server unter Connectorname und unter Statusals aktiv angezeigt wird
   • Stellen Sie für den aktualisierten Intune Connector für Active Directory sicher, dass die Version größer oder gleich 6.2501.2000.5 ist.

   Wenn der Server nicht angezeigt wird, wählen Sie Aktualisieren aus, oder navigieren Sie von der Seite weg, und navigieren Sie dann zurück zur Seite Intune Connector für Active Directory.

Nachdem der Intune Connector für Active Directory installiert wurde, beginnt er mit der Protokollierung im Ereignisanzeige unter dem Pfad "Anwendungs- und Dienstprotokolle>Microsoft>Intune>ODJConnectorService". Unter diesem Pfad befinden sich Admin- und Betriebsprotokolle.

Konfigurieren Sie die MSA, um das Erstellen von Objekten in Organisationseinheiten zuzulassen (optional)

Standardmäßig haben MSAs nur Zugriff auf das Erstellen von Computerobjekten im Container Computer . MSAs haben keinen Zugriff zum Erstellen von Computerobjekten in Organisationseinheiten (OUs). Damit der MSA Objekte in Organisationseinheiten erstellen kann, müssen die Organisationseinheiten normalerweise der XML-Datei hinzugefügt werden, die sich in ODJConnectorEnrollmentWizard dem ODJConnectorEnrollmentWizard.exe.config Verzeichnis befindet, C:\Program Files\Microsoft Intune\ODJConnector\in dem der Intune-Connector für Active Directory installiert wurde.

Gehen Sie folgendermaßen vor, um den MSA so zu konfigurieren, dass das Erstellen von Objekten in Organisationseinheiten zulässig ist:

1. Navigieren Sie auf dem Server, auf dem der Intune Connector für Active Directory installiert ist, normalerweise C:\Program Files\Microsoft Intune\ODJConnector\zum ODJConnectorEnrollmentWizard Verzeichnis, wo der Intune Connector für Active Directory installiert wurde.

2. Öffnen Sie im ODJConnectorEnrollmentWizard Verzeichnis die vorhandene ODJConnectorEnrollmentWizard.exe.config XML-Datei in einem Texteditor, z. B. Notepad.

3. Im Element der add keyODJConnectorEnrollmentWizard.exe.config XML-Datei:

   • value=Fügen Sie neben alle gewünschten Organisationseinheiten hinzu, auf die der MSA zugreifen soll, um Computerobjekte zu erstellen.
   • Der Organisationseinheitsname muss im Format "Distinguished Name" (LDAP ) vorliegen und ggf. mit Escape-Zeichen versehen werden.
   • Mehrere Organisationseinheiten werden unterstützt, indem jede Organisationseinheit durch ein Semikolon (;)) getrennt wird.
   • Stellen Sie sicher, dass Sie die Anführungszeichen (") neben beibehalten value=. Alle OE-Werte müssen innerhalb eines Anführungszeichenpaars liegen.
   • Ändern Sie nicht den Namen des Schlüsselelements OrganizationalUnitsUsedForOfflineDomainJoin.

   Das folgende Beispiel zeigt einen XML-Beispieleintrag mit mehreren Organisationseinheiten im LDAP-Format für definierte Namen:

     <appSettings>
   
       <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
           The ODJ Connector will only have permission to create computer objects in these OUs.
           The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure
   
           Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
           Domain contains the following OUs:
             - OU=HybridDevices,DC=contoso,DC=com
             - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com
   
           Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->
   
       <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
     </appSettings>
   

   Tipp

   Ersetzen Sie in diesem Beispiel den roten Beispieltext neben der value= Datei durch die Organisationseinheiten der Organisation im Distinguished Name-Format "LDAP". Wie im Beispiel gezeigt, stellen Sie sicher, dass sich alle OE-Einträge innerhalb der Anführungszeichen (") befinden und dass jede Organisationseinheit durch ein Semikolon (;) getrennt ist.

4. Nachdem alle gewünschten Organisationseinheiten hinzugefügt wurden, speichern Sie die ODJConnectorEnrollmentWizard.exe.config XML-Datei.

5. Öffnen Sie als Administrator, der über die entsprechenden Berechtigungen zum Ändern von OE-Berechtigungen verfügt, den Intune Connector für Active Directory, indem Sie im Startmenü zu Intune Connector für Active Directory>Intune Connector für Active Directory navigieren.

   Wichtig

   Wenn der Administrator, der den Intune-Connector für Active Directory installiert und konfiguriert, nicht über die Berechtigungen zum Ändern von OE-Berechtigungen verfügt, müssen die Abschnitte/Schritte Erhöhen des Computerkontolimits in der Organisationseinheit stattdessen von einem Administrator ausgeführt werden, der über Berechtigungen zum Ändern von OE-Berechtigungen verfügt.

6. Wählen Sie auf der Registerkarte Registrierung im Fenster Intune Connector für Active Directorydie Option Verwaltetes Dienstkonto konfigurieren aus.

7. Ein Bestätigungsfenster Ein verwaltetes Dienstkonto mit dem Namen "<MSA_name>" wurde erfolgreich eingerichtet wird angezeigt. Klicken Sie auf "OK ", um das Fenster zu schließen.

Verwenden eines benutzerdefinierten verwalteten Dienstkontos (optional)

Optional können Sie den Connector so konfigurieren, dass er Ihr eigenes verwaltetes Dienstkonto verwendet, im Gegensatz zu dem vom Connector automatisch eingerichteten MSA.

MSA-Anforderungen

In diesem Abschnitt werden die MSA-Anforderungen beschrieben.

• Das angegebene Konto muss ein Dienstkonto mit einer der folgenden Objektkategorien in Active Directory sein:

  • CN=ms-DS-Group-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

  • CN=ms-DS-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

• Der Konfigurationswert für das Dienstkonto muss das folgende Format aufweisen: <msaAccountName@domain>

• Das Dienstkonto muss in derselben Domäne wie der Server des ODJ-Connectors vorhanden sein.

• Das Dienstkonto muss auf dem Server installiert werden, auf dem der ODJ-Connector gehostet wird. Weitere Informationen finden Sie unter Install-ADServiceAccount.

  • Wenn Sie sMSA verwenden, kann das Konto nur mit einem einzelnen Computer verknüpft werden.
  • Wenn Sie ein gMSA verwenden, muss der Server, auf dem Sie das gMSA installieren, Zugriff auf das Passwort haben.

• Das Dienstkonto muss über die lokale Berechtigung "Anmelden als Dienst " verfügen, die direkt oder über eine Gruppenmitgliedschaft festgelegt werden kann. Weitere Informationen finden Sie unter Aktivieren der Dienstanmeldung.

• Die Berechtigung zum Erstellen von Computerobjekten für hybride Autopilot-Flows muss für Dienstkonten manuell erteilt werden. Weitere Informationen finden Sie unter Erhöhen des Kontolimits für den Computer in der Organisationseinheit (OU).

Einrichten

Aktualisieren ODJConnectorEnrollmentWizard.exe.config. Der Standardspeicherort ist C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard.

1. Fügen Sie im Abschnitt "appSettings " der Datei die folgende Zeile hinzu:

   <add key="TenantConfiguredManagedServiceAccount" value="{accountname}" />

2. Melden Sie sich beim Connector an.

Deaktivieren von OE-Updates

Wenn Sie Ihren eigenen MSA verwenden, wird der Connector daran gehindert, OE-Aktualisierungen vorzunehmen, unabhängig davon, welche in "OrganizationalUnitsUsedForOfflineDomainJoin" konfiguriert sind. Um Fehler zu vermeiden, deaktivieren Sie OE-Updates, indem Sie am ODJConnectorEnrollmentWizard.exe.config Der Standardspeicherort ist C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard.

1. Fügen Sie im Abschnitt "appSettings " der Datei die folgende Zeile hinzu:

   <add key="DisableOUUpdates" value="true" />

2. Melden Sie sich beim Connector an.

Bevor Sie mit der Installation beginnen, stellen Sie sicher, dass alle Anforderungen des Intune Connectors für Active Directory-Server erfüllt sind.

Deaktivieren Sie die erhöhte Sicherheitskonfiguration von Internet Explorer

Bei Windows Server ist die verstärkte Sicherheitskonfiguration für Internet Explorer standardmäßig aktiviert. Die verstärkte Sicherheitskonfiguration für Internet Explorer verursacht möglicherweise Probleme beim Anmelden beim Intune-Connector für Active Directory. Da Internet Explorer veraltet und in den meisten Fällen nicht einmal unter Windows Server installiert ist, empfiehlt Microsoft, die verstärkte Sicherheitskonfiguration für Internet Explorer zu deaktivieren. So deaktivieren Sie die verstärkte Sicherheitskonfiguration für Internet Explorer:

1. Melden Sie sich bei dem Server, auf dem der Intune-Connector für Active Directory installiert wird, mit einem Konto an, das über lokale Administratorrechte und Domänenadministratorrechte verfügt. Domänenadministratorrechte sind erforderlich, damit der Intune Connector für Active Directory-Installer ordnungsgemäß einen MSA erstellen kann.

2. Öffnen Sie den Server-Manager.

3. Wählen Sie im linken Bereich des Server-Managers die Option Lokaler Server aus.

4. Wählen Sie im rechten Bereich EIGENSCHAFTEN des Server-Managers den Link Ein oder Aus neben der verstärkten Sicherheitskonfiguration für IE aus.

5. Wählen Sie im Fenster verstärkte Sicherheitskonfiguration für Internet Explorer unter Administratoren:die Option Aus und klicken Sie dann auf OK.

Installieren des Legacy-Intune-Connectors für Active Directory auf dem Server

1. Öffnen Sie die zuvor heruntergeladene ODJConnectorBootstrapper.exe Datei, um die Installation von Intune Connector für Active Directory-Setup zu starten.

   Hinweis

   Wenn der Legacy-Intune Connector für Active Directory bereits installiert ist, wechseln Sie zum Startmenü>Intune Connector für Active Directory>Intune Connector für Active Directory, und fahren Sie dann mit der Anmeldung beim Legacy-Intune Connector für Active Directory fort.

2. Wählen Sie im Fenster des Installationsfensters für das Setup von Intune Connector für Active Directory die Option Ich stimme den Lizenzbedingungen zu und wählen Sie dann Installieren aus.

   Hinweis

   Wenn ein anderer Installationsort als der Standard-Installationsort C:\Program Files\Microsoft Intune\ODJConnector gewünscht wird, wählen Sie Optionen und geben Sie den gewünschten Installationsort an.

3. Nach Abschluss der Installation wählen Sie im Installationsfenster des Intune Connectors für Active Directory-Setupdie Option "Jetzt konfigurieren" aus.

   Hinweis

   Wenn "Schließen" versehentlich ausgewählt wird oder das Fenster des Installationsprogramms für den Intune Connector für Active Directory-Setup versehentlich geschlossen wird, kann auf den Intune Connector für Active Directory-Konfiguration zugegriffen werden, indem Sie im StartmenüIntune Connector für Active>Directory Intune Connector für Active Directory auswählen.

Anmelden beim Legacy-Intune-Connector

1. Wählen Sie im Fenster Intune Connector für Active Directory auf der Registerkarte Registrierungdie Option Anmelden aus.

2. Melden Sie sich auf der Registerkarte "Anmelden" mit den Anmeldeinformationen einer Intune-Administratorrolle an. Dem Benutzerkonto muss eine Intune-Lizenz zugewiesen werden. Der Anmeldevorgang kann einige Minuten in Anspruch nehmen.

   Hinweis

   Das Konto, das zum Registrieren des Intune Connectors für Active Directory verwendet wird, ist zum Zeitpunkt der Installation nur eine temporäre Anforderung. Das Konto wird in Zukunft nicht mehr verwendet, nachdem der Server registriert wurde.

3. Sobald der Anmeldevorgang abgeschlossen ist, wird ein Bestätigungsfenster Der Intune Connector für Active Directory wurde erfolgreich registriert. Klicken Sie auf "OK ", um das Fenster zu schließen.

4. Die Registerkarte "Registrierung" zeigt an, dass der Intune-Connector für Active Directory registriert ist, und die Schaltfläche "Anmelden" ist abgeblendet.

5. Schließen Sie das Fenster Intune Connector für Active Directory.

Überprüfen, ob der ältere Intune Connector für Active Directory aktiv ist

Nach der Authentifizierung wird die Installation des Intune-Connectors für Active Directory abgeschlossen. Überprüfen Sie nach Abschluss der Installation, ob es in Intune aktiv ist, indem Sie die folgenden Schritte ausführen:

1. Wechseln Sie zum Microsoft Intune Admin Center, wenn es noch geöffnet ist. Wenn das Fenster "Connector hinzufügen " weiterhin angezeigt wird, schließen Sie es.

   Wenn das Microsoft Intune Admin Center nicht mehr geöffnet ist:

   1. Melden Sie sich beim Microsoft Intune Admin Center an.

   2. Wählen Sie auf dem Startbildschirm im linken Bereich "Geräte " aus.

   3. Navigieren Sie im Menü "Geräte | Übersichtsbildschirm wählen Sie unter Nach Plattformdie Option Windows aus.

   4. In der Windows | Wählen Sie auf dem Bildschirm Windows-Geräte unter Geräte-Onboardingdie Option Registrierung aus.

   5. In der Windows | Wählen Sie auf dem Windows-Registrierungsbildschirm unter Windows Autopilotdie Option Intune Connector für Active Directory aus.

2. Vergewissern Sie sich auf der Seite Intune Connector für Active Directory, dass der Server unter Connectorname angezeigt wird und unter Statusals aktiv angezeigt wird. Wenn der Server nicht angezeigt wird, wählen Sie Aktualisieren aus, oder navigieren Sie von der Seite weg, und navigieren Sie dann zurück zur Seite Intune Connector für Active Directory.

Nachdem der Intune Connector für Active Directory installiert wurde, beginnt er mit der Protokollierung im Ereignisanzeige unter dem Pfad "Anwendungs- und Dienstprotokolle>Microsoft>Intune>ODJConnectorService". Unter diesem Pfad befinden sich Admin- und Betriebsprotokolle.

Der Zweck von Intune Connector für Active Directory besteht darin, Computer mit einer Domäne zu verknüpfen und sie einer Organisationseinheit hinzuzufügen. Aus diesem Grund muss das verwaltete Dienstkonto, das für den Intune-Connector für Active Directory verwendet wird, über Berechtigungen zum Erstellen von Computerkonten in der Organisationseinheit verfügen, in der die Computer mit der lokalen Domäne verknüpft sind.

Mit Standardberechtigungen in Active Directory funktionieren Domänenbeitritte über den Intune-Connector für Active Directory anfänglich ohne Berechtigungsänderungen an der Organisationseinheit in Active Directory. Nachdem MSA jedoch versucht hat, mehr als 10 Computer mit der lokalen Domäne zu verbinden, funktioniert es nicht mehr, da Active Directory standardmäßig nur zulässt, dass ein einzelnes Konto bis zu 10 Computer mit der lokalen Domäne verbindet.

Die folgenden Benutzer sind nicht durch die Beschränkung auf den Domänenbeitritt von 10 Computern eingeschränkt:

• Benutzer in den Gruppen "Administratoren" oder "Domänenadministratoren": Um das Modell der Prinzipien der geringsten Rechte einzuhalten, empfiehlt Microsoft nicht, den MSA zu einem Administrator oder Domänenadministrator zu machen.
• Benutzer mit delegierten Berechtigungen für Organisationseinheiten (OUs) und Container in Active Directory zum Erstellen von Computerkonten: Diese Methode wird empfohlen, da sie dem Modell der geringsten Rechte folgt.

Um diese Einschränkung zu beheben, benötigt der MSA die Berechtigung Computerkonten erstellen in der Organisationseinheit (OU), mit der die Computer in der lokalen Domäne verbunden sind. Der Intune Connector für Active Directory legt die Berechtigungen für die MSAs auf die Organisationseinheiten fest, solange eine der folgenden Bedingungen erfüllt ist:

• Der Administrator, der den Intune-Connector für Active Directory installiert, verfügt über die erforderlichen Berechtigungen zum Festlegen von Berechtigungen für die Organisationseinheiten.
• Der Administrator, der den Intune-Connector für Active Directory konfiguriert, verfügt über die erforderlichen Berechtigungen zum Festlegen von Berechtigungen für die Organisationseinheiten.

Wenn der Administrator, der den Intune-Connector für Active Directory installiert oder konfiguriert, nicht über die erforderlichen Berechtigungen zum Festlegen von Berechtigungen für die Organisationseinheiten verfügt, müssen die folgenden Schritte ausgeführt werden:

1. Melden Sie sich bei einem Computer mit Zugriff auf die Konsole "Active Directory-Benutzer und -Computer" mit einem Konto an, das über die erforderlichen Berechtigungen zum Festlegen von Berechtigungen für Organisationseinheiten verfügt.

2. Öffnen Sie die Konsole "Active Directory-Benutzer und -Computer", indem Sie DSA.msc ausführen.

3. Erweitern Sie die gewünschte Domäne und navigieren Sie zu der Organisationseinheit (OU), der Computer während Windows Autopilot beitreten.

   Hinweis

   Die Organisationseinheit, der Computer während der Windows Autopilot-Bereitstellung beitreten, wird später im Schritt "Konfigurieren und Zuweisen eines Domänenbeitrittsprofils" angegeben.

4. Klicken Sie mit der rechten Maustaste auf die Organisationseinheit, und wählen Sie Eigenschaften aus.

   Hinweis

   Wenn Computer anstelle einer Organisationseinheit dem Standardcontainer "Computer" beitreten, klicken Sie mit der rechten Maustaste auf den Container "Computer", und wählen Sie "Steuerung delegieren" aus.

5. Wählen Sie im daraufhin geöffneten Fenster "Organisationseinheitseigenschaften " die Registerkarte "Sicherheit " aus.

6. Wählen Sie auf der Registerkarte "Sicherheit " die Option "Erweitert" aus.

7. Klicken Sie im Fenster "Erweiterte Sicherheitseinstellungen " auf "Hinzufügen".

8. Wählen Sie in den Berechtigungseingabefenstern neben "Prinzipal" den Link "Prinzipal auswählen" aus .

9. Klicken Sie im Fenster "Benutzer, Computer, Dienstkonto oder Gruppe auswählen" auf die Schaltfläche "Objekttypen".

10. Aktivieren Sie im Fenster "Objekttypen" das Kontrollkästchen "Dienstkonten", und klicken Sie dann auf "OK".

11. Geben Sie im Fenster Benutzer, Computer, Dienstkonto oder Gruppe auswählen unter Geben Sie den Namen des auszuwählenden Objekts ein den Namen des MSA ein, der für den Intune Connector für Active Directory verwendet wird.

    Tipp

    Der MSA wurde während des Schritts/Abschnitts "Installieren des Intune Connectors für Active Directory" erstellt und hat das Namensformat mit msaODJ########## fünf zufälligen Zeichen. Wenn der MSA-Name nicht bekannt ist, führen Sie die folgenden Schritte aus, um den MSA-Namen zu finden:

    1. Klicken Sie auf dem Server, auf dem der Intune-Connector für Active Directory ausgeführt wird, mit der rechten Maustaste auf das Startmenü, und wählen Sie dann Computerverwaltung aus.
    2. Erweitern Sie im Fenster Computerverwaltung die Option Dienste und Anwendungen , und wählen Sie dann Dienste aus.
    3. Suchen Sie im Ergebnisbereich den Dienst mit dem Namen Intune ODJConnector for Active Service. Der Name des MSA wird in der Spalte Anmelden als aufgeführt.

12. Wählen Sie "Namen überprüfen " aus, um den MSA-Namenseintrag zu überprüfen. Nachdem der Eintrag bestätigt wurde, wählen Sie OK aus.

13. Klicken Sie in den Fenstern "Berechtigungseintrag " auf das Dropdownmenü "Gilt für:", und wählen Sie dann "Nur dieses Objekt" aus.

14. Deaktivieren Sie unter Berechtigungen alle Elemente, und aktivieren Sie dann nur das Kontrollkästchen Computerobjekte erstellen .

15. Klicken Sie auf OK , um das Fenster Berechtigungseingabe zu schließen.

16. Wählen Sie im Fenster " Erweiterte Sicherheitseinstellungen " entweder "Übernehmen " oder "OK " aus, um die Änderungen zu übernehmen.

Der Zweck von Intune Connector für Active Directory besteht darin, Computer mit einer Domäne zu verknüpfen und sie einer Organisationseinheit hinzuzufügen. Aus diesem Grund muss der Server, auf dem der Intune-Connector für Active Directory ausgeführt wird, über Berechtigungen zum Erstellen von Computerkonten in der Organisationseinheit verfügen, in der die Computer mit der lokalen Domäne verknüpft sind.

Mit Standardberechtigungen in Active Directory funktionieren Domänenbeitritte über den Intune-Connector für Active Directory anfänglich ohne Berechtigungsänderungen an der Organisationseinheit in Active Directory. Sobald der Server, auf dem der Intune-Connector für Active Directory ausgeführt wird, jedoch versucht, mehr als 10 Computer mit der lokalen Domäne zu verknüpfen, funktioniert er nicht mehr, da Active Directory standardmäßig nur zulässt, dass ein einzelnes Konto bis zu 10 Computer mit der lokalen Domäne verbindet.

Die folgenden Benutzer sind nicht durch die Beschränkung auf den Domänenbeitritt von 10 Computern eingeschränkt:

• Benutzer in den Gruppen "Administratoren" oder "Domänenadministratoren": Um das Modell der Prinzipien der geringsten Rechte einzuhalten, empfiehlt Microsoft nicht, das Computerkonto, auf dem der Intune-Connector für Active Directory ausgeführt wird, zu einem Administrator oder Domänenadministrator zu machen.
• Benutzer mit delegierten Berechtigungen für Organisationseinheiten (OUs) und Container in Active Directory zum Erstellen von Computerkonten – diese Methode wird empfohlen, da sie dem Modell der geringsten Rechte folgt.

Um diese Einschränkung zu beheben, benötigt der Server, auf dem der Intune-Connector für Active Directory ausgeführt wird, die Berechtigung Computerkonten erstellen in der Organisationseinheit (OU), in der die Computer in der lokalen Domäne eingebunden sind:

Führen Sie zum Erhöhen des Computerkontolimits in der Organisationseinheit (OU), der Computer während Windows Autopilot beitreten, die folgenden Schritte auf einem Computer aus, der Zugriff auf die Konsole "Active Directory-Benutzer und -Computer" hat:

1. Öffnen Sie die Konsole "Active Directory-Benutzer und -Computer", indem Sie DSA.msc ausführen.

2. Erweitern Sie die gewünschte Domäne und navigieren Sie zu der Organisationseinheit (OU), der Computer während Windows Autopilot beitreten.

   Hinweis

   Die Organisationseinheit, der Computer während der Windows Autopilot-Bereitstellung beitreten, wird später im Schritt "Konfigurieren und Zuweisen eines Domänenbeitrittsprofils" angegeben.

3. Klicken Sie mit der rechten Maustaste auf die Organisationseinheit, und wählen Sie "Steuerung delegieren" aus.

   Hinweis

   Wenn Computer anstelle einer Organisationseinheit dem Standardcontainer "Computer" beitreten, klicken Sie mit der rechten Maustaste auf den Container "Computer", und wählen Sie "Steuerung delegieren" aus.

4. Wählen Sie im Fenster Willkommen zum Assistenten für die Delegation der Kontrolle des Assistenten zum Zuweisen der Kontrolledie Option Weiter aus.

5. Wählen Sie im Fenster Benutzer oder Gruppen unter Ausgewählte Benutzer und Gruppendie Option Hinzufügen aus.

6. Neben " Diesen Objekttyp auswählen" : Wählen Sie im Fenster "Benutzer, Computer oder Gruppen auswählen " die Option "Objekttypen" aus.

7. Aktivieren Sie im Fenster "Objekttypen" das Kontrollkästchen "Computer", und klicken Sie dann auf "OK". Die anderen Elemente in diesem Fenster können auf der Standardeinstellung belassen werden.

8. Geben Sie im Fenster Benutzer, Computer oder Gruppen auswählen unter dem Feld Geben Sie die zu verwendenden Objektnamen ein den Namen des Computers ein, auf dem der Intune Connector für Active Directory während des Schritts Installieren des Intune Connector für Active Directory installiert wurde.

9. Wählen Sie "Namen überprüfen " aus, um den Eintrag zu überprüfen. Nachdem der Eintrag bestätigt wurde, wählen Sie OK aus.

10. Überprüfen Sie im Fenster Benutzer oder Gruppen , ob der richtige Computer unter Ausgewählte Benutzer und Gruppen: angezeigt wird, und wählen Sie dann Weiter aus.

11. Wählen Sie im Fenster Zuzuweisende Aufgabendie Option Benutzerdefinierte zu delegierende Aufgabe erstellen und dann Weiter aus.

12. Im Fenster " Active Directory-Objekttyp ":

    1. Wählen Sie nur die folgenden Objekte im Ordner aus.

    2. Wählen Sie unter Nur die folgenden Objekte im Ordner die Option Computerobjekte aus.

    3. Aktivieren Sie das Kontrollkästchen Ausgewählte Objekte in diesem Ordner erstellen .

    4. Wählen Sie Weiter aus.

13. Aktivieren Sie im Fenster "Berechtigungen" unter "Berechtigungen:" das Kontrollkästchen "Vollzugriff", und klicken Sie dann auf "Weiter".

    Hinweis

    Nach dem Aktivieren des Kontrollkästchens "Vollzugriff " werden alle anderen Optionen unter "Berechtigungen:" automatisch aktiviert. Das automatische Aktivieren der Kontrollkästchen ist normal und wird erwartet. Deaktivieren Sie keines der Kontrollkästchen, nachdem sie automatisch aktiviert wurden.

14. Wählen Sie im Fenster Abschließen des Assistenten zum Zuweisen der Kontrolledie Option Fertig stellen aus.

1. Melden Sie sich bei dem Computer an, auf dem der Intune-Connector für Active Directory gehostet wird.

2. Klicken Sie mit der rechten Maustaste auf das Startmenü und wählen Sie dann Einstellungen>, Apps>, Installierte Apps.

   Oder

   Wählen Sie die folgende > Verknüpfung für installierte Apps aus:

   Öffnen von Apps > , Installierte Apps

3. Suchen Sie im > Fenster "Installierte Apps" nach Intune Connector für Active Directory.

4. Wählen Sie nebenIntune Connector für Active Directory ...>Deinstallieren Sie die Deinstallation, und wählen Sie dann die Schaltfläche Deinstallieren aus.

5. Der Intune Connector für Active Directory wird deinstalliert.

6. In einigen Fällen wird der Intune Connector für Active Directory möglicherweise erst vollständig deinstalliert, wenn der ursprüngliche Intune Connector für Active Directory-Installer ODJConnectorBootstrapper.exe erneut ausgeführt wird. Führen Sie das ODJConnectorBootstrapper.exe Installationsprogramm erneut aus, um zu überprüfen, ob der Intune Connector für Active Directory vollständig deinstalliert wurde. Wenn Sie zur Deinstallation aufgefordert werden, wählen Sie die Option zum Deinstallieren aus. Schließen Sie andernfalls das ODJConnectorBootstrapper.exe Installationsprogramm.

   Hinweis

   Der Legacy-Installationsprogramm von Intune Connector für Active Directory kann vom Intune Connector für Active Directory heruntergeladen werden und sollte nur für Deinstallationen verwendet werden. Verwenden Sie für Neuinstallationen den aktualisierten Intune Connector für Active Directory.

1. Melden Sie sich bei dem Computer an, auf dem der Intune-Connector für Active Directory gehostet wird.

2. Klicken Sie mit der rechten Maustaste auf das Startmenü , und wählen Sie dann "Einstellungen>", "Apps" aus.

   Oder

   Wählen Sie die folgende Apps-Verknüpfung aus:

   Öffnen von Apps

3. Suchen Sie unter Apps & Featuresnach Intune Connector für Active Directory, und wählen Sie ihn aus.

4. Wählen Sie unter Intune Connector für Active Directory die Schaltfläche Deinstallieren und dann erneut die Schaltfläche Deinstallieren aus.

5. Der Intune Connector für Active Directory wird deinstalliert.

6. In einigen Fällen wird der Intune Connector für Active Directory möglicherweise erst vollständig deinstalliert, wenn der ursprüngliche Intune Connector für Active Directory-Installer ODJConnectorBootstrapper.exe erneut ausgeführt wird. Führen Sie das ODJConnectorBootstrapper.exe Installationsprogramm erneut aus, um zu überprüfen, ob der Intune Connector für Active Directory vollständig deinstalliert wurde. Wenn Sie zur Deinstallation aufgefordert werden, wählen Sie die Option zum Deinstallieren aus. Schließen Sie andernfalls das ODJConnectorBootstrapper.exe Installationsprogramm.

   Hinweis

   Der Legacy-Installationsprogramm von Intune Connector für Active Directory kann vom Intune Connector für Active Directory heruntergeladen werden und sollte nur für Deinstallationen verwendet werden. Verwenden Sie für Neuinstallationen den aktualisierten Intune Connector für Active Directory.

1. Melden Sie sich bei dem Computer an, auf dem der Intune-Connector für Active Directory gehostet wird.

2. Klicken Sie mit der rechten Maustaste auf das Startmenü, und wählen Sie dann Einstellungen> fürSystem-Apps>& Funktionen aus.

   Oder

   Wählen Sie die folgende Apps-Verknüpfung aus:

   Öffnen von Apps

3. Suchen Sie unter Apps & Featuresnach Intune Connector für Active Directory, und wählen Sie ihn aus.

4. Wählen Sie unter Intune Connector für Active Directory die Schaltfläche Deinstallieren und dann erneut die Schaltfläche Deinstallieren aus.

5. Der Intune Connector für Active Directory wird deinstalliert.

6. In einigen Fällen wird der Intune Connector für Active Directory möglicherweise erst vollständig deinstalliert, wenn der ursprüngliche Intune Connector für Active Directory-Installer ODJConnectorBootstrapper.exe erneut ausgeführt wird. Führen Sie das ODJConnectorBootstrapper.exe Installationsprogramm erneut aus, um zu überprüfen, ob der Intune Connector für Active Directory vollständig deinstalliert wurde. Wenn Sie zur Deinstallation aufgefordert werden, wählen Sie die Option zum Deinstallieren aus. Schließen Sie andernfalls das ODJConnectorBootstrapper.exe Installationsprogramm.

   Hinweis

   Der Legacy-Installationsprogramm von Intune Connector für Active Directory kann vom Intune Connector für Active Directory heruntergeladen werden und sollte nur für Deinstallationen verwendet werden. Verwenden Sie für Neuinstallationen den aktualisierten Intune Connector für Active Directory.