Lernprogramm: Co-Verwaltung für neue internetbasierte Geräte aktivieren

Wenn Sie in die Cloud investieren, indem Sie Intune für Sicherheit und moderne Bereitstellung verwenden, möchten Sie möglicherweise nicht Ihre bewährten Prozesse für die Verwendung von Konfigurations-Manager zum Verwalten von PCs in Ihrer Organization verlieren. Mit Co-Management können Sie diesen Prozess beibehalten.

In diesem Lernprogramm richten Sie die gemeinsame Verwaltung von Windows-Geräten in einer Umgebung ein, in der Sie sowohl Microsoft Entra ID als auch lokales Active Directory verwenden, aber nicht über eine hybride Microsoft Entra ID-Instance verfügen. Die Konfigurations-Manager-Umgebung umfasst einen einzelnen primären Standort mit allen Standortsystemrollen auf demselben Server, dem Standortserver. Dieses Tutorial beginnt mit der Prämisse, dass Ihre Windows-Geräte bereits bei Intune registriert sind.

Wenn Sie über ein hybrides Microsoft Entra instance verfügen, das lokales Active Directory mit Microsoft Entra ID verbindet, empfehlen wir, das Begleittutorial Aktivieren der gemeinsamen Verwaltung für Konfigurations-Manager zu befolgen Kunden zu erkunden.

Nutzen Sie dieses Tutorial in folgenden Fällen:

• Sie müssen Windows-Geräte in die gemeinsame Verwaltung einbeziehen. Diese Geräte wurden möglicherweise über Windows Autopilot bereitgestellt oder stammen direkt von Ihrem Hardware-OEM.
• Sie verfügen über Windows-Geräte im Internet, die Sie derzeit mit Intune verwalten, und Sie möchten diesen den Konfigurations-Manager-Client hinzufügen.

In diesem Lernprogramm wird Folgendes vermittelt:

Voraussetzungen

Azure-Dienste und -Umgebung

• Azure-Abonnement (kostenlose Testversion).

• Microsoft Entra ID P1 oder P2.

• Microsoft Intune-Abonnement, wobei Intune für die automatische Registrierung von Geräten konfiguriert ist.

  Tipp

  Eine kostenlose Testversion des Enterprise Mobility + Security+ Security-Abonnements umfasst sowohl Microsoft Entra ID P1 oder P2 als auch Microsoft Intune.

  Sie müssen keine einzelnen Intune- oder Enterprise Mobility + Security-Lizenzen mehr erwerben und Ihren Benutzern zuweisen. Weitere Informationen finden Sie unter Häufig gestellte Fragen zu Produkt und Lizenzierung.

Lokale Infrastruktur

• Eine unterstützte Version von Konfigurations-Manager Current Branch.

  In diesem Tutorial wird erweitertes HTTP verwendet, um komplexere Anforderungen an eine Public Key-Infrastruktur zu umgehen. Wenn Sie erweitertes HTTP verwenden, muss der primäre Standort, den Sie zum Verwalten von Clients verwenden, für die Verwendung von Konfigurations-Manager-generierten Zertifikaten für HTTP-Standortsysteme konfiguriert werden.

• Die Berechtigung für die Verwaltung mobiler Geräte (MDM) ist auf Intune festgelegt.

Externe Zertifikate

• CMG-Serverauthentifizierungszertifikat. Dieses SSL-Zertifikat stammt von einem öffentlichen und weltweit vertrauenswürdigen Zertifikatanbieter. Sie exportieren dieses Zertifikat als PFX-Datei mit dem privaten Schlüssel.

  Später in diesem Lernprogramm erhalten Sie Anleitungen zum Konfigurieren der Anforderung für dieses Zertifikat.

Berechtigungen

Verwenden Sie in diesem Lernprogramm die folgenden Berechtigungen, um Aufgaben auszuführen:

• Ein Konto, das ein globaler Administrator für Microsoft Entra ID ist

  Wichtig

  Die Rolle Microsoft Entra Globaler Administrator ist eine Rolle mit hohen Berechtigungen und sollte nur verwendet werden, wenn keine andere Rolle verwendet werden kann. Für dieses Feature ist die Rolle "Globaler Administrator" erforderlich. Für andere Features empfiehlt Microsoft die Verwendung von Rollen mit den geringsten Berechtigungen. Weitere Informationen finden Sie unter Grundlagen der rollenbasierten Verwaltung für Konfigurations-Manager.

• Ein Konto, das in Ihrer lokalen Infrastruktur als Domänenadministrator fungiert

• Ein Konto, das ein Volladministrator für alle Bereiche im Konfigurations-Manager ist

Öffentliches Zertifikat für das Cloudverwaltungsgateway anfordern

Wenn Ihre Geräte mit dem Internet verbunden sind, erfordert die gemeinsame Verwaltung das Konfigurations-Manager CMG. Das CMG ermöglicht Ihren internetbasierten Windows-Geräten die Kommunikation mit Ihrer lokalen Konfigurations-Manager-Bereitstellung. Zum Einrichten einer Vertrauensstellung zwischen Geräten und Ihrer Konfigurations-Manager-Umgebung benötigt die CMG ein SSL-Zertifikat.

In diesem Tutorial wird ein öffentliches Zertifikat verwendet, das als CMG-Serverauthentifizierungszertifikat bezeichnet wird und die Autorität von einem global vertrauenswürdigen Zertifikatanbieter ableitet. Es ist zwar möglich, die gemeinsame Verwaltung mithilfe von Zertifikaten zu konfigurieren, die die Autorität von Ihrer lokalen Microsoft-Zertifizierungsstelle ableiten, die Verwendung von selbstsignierten Zertifikaten geht jedoch über den Rahmen dieses Lernprogramms hinaus.

Das CMG-Serverauthentifizierungszertifikat wird verwendet, um den Kommunikationsverkehr zwischen dem Konfigurations-Manager-Client und dem CMG zu verschlüsseln. Das Zertifikat wird auf einen vertrauenswürdigen Stamm zurückgeführt, um die Identität des Servers gegenüber dem Client zu überprüfen. Das öffentliche Zertifikat enthält einen vertrauenswürdigen Stamm, dem Windows-Clients bereits vertrauen.

Informationen zu diesem Zertifikat:

• Sie identifizieren einen eindeutigen Namen für Ihren CMG-Dienst in Azure und geben diesen Namen dann in Ihrer Zertifikatanforderung an.
• Sie generieren Ihre Zertifikatanforderung auf einem bestimmten Server und senden die Anforderung dann an einen öffentlichen Zertifikatanbieter, um das erforderliche SSL-Zertifikat zu erhalten.
• Sie importieren das Zertifikat, das Sie vom Anbieter erhalten, in das System, das die Anforderung generiert hat. Sie verwenden denselben Computer, um das Zertifikat zu exportieren, wenn Sie später die CMG in Azure bereitstellen.
• Wenn das CMG installiert ist, erstellt es einen CMG-Dienst in Azure mit dem Namen, den Sie im Zertifikat angegeben haben.

Identifizieren eines eindeutigen Namens für Ihr Cloudverwaltungsgateway in Azure

Wenn Sie das CMG-Serverauthentifizierungszertifikat anfordern, geben Sie einen eindeutigen Namen an, der zur Identifizierung Ihres Clouddiensts (klassisch) in Azure erforderlich ist. Standardmäßig verwendet die Azure Public Cloud cloudapp.net, und die CMG wird in der cloudapp.net Domäne als <IhrEindeutigDnsName.cloudapp.net> gehostet.

In diesem Lernprogramm verwendet das CMG-Serverauthentifizierungszertifikat einen vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN), der auf contoso.com endet. Nachdem Sie die CMG erstellt haben, konfigurieren Sie einen kanonischen Namenseintrag (CNAME) im öffentlichen DNS Ihrer organization. Dieser Datensatz erstellt einen Alias für die CMG, der dem Namen zugeordnet ist, den Sie im öffentlichen Zertifikat verwenden.

Bevor Sie Ihr öffentliches Zertifikat anfordern, vergewissern Sie sich, dass der Name, den Sie verwenden möchten, in Azure verfügbar ist. Sie erstellen den Dienst nicht direkt in Azure. Stattdessen verwendet Konfigurations-Manager den Namen, der im öffentlichen Zertifikat angegeben ist, um den Clouddienst zu erstellen, wenn Sie das CMG installieren.

1. Melden Sie sich im Microsoft Azure-Portal an.

2. Wählen Sie Ressource erstellen, wählen Sie die Computekategorie und dann Clouddienst aus. Die Seite Clouddienst (klassisch) wird geöffnet.

3. Geben Sie unter DNS-Name den Präfixnamen für den Clouddienst an, den Sie verwenden möchten.

   Dieses Präfix muss mit dem übereinstimmen, das Sie später verwenden, wenn Sie ein öffentliches Zertifikat für das CMG-Serverauthentifizierungszertifikat anfordern. In diesem Tutorial verwenden wir MyCSG, das den Namespace von MyCSG.cloudapp.net erstellt. Die Schnittstelle bestätigt, ob der Name verfügbar ist oder bereits von einem anderen Dienst verwendet wird.

Nachdem Sie bestätigt haben, dass der Name, den Sie verwenden möchten, verfügbar ist, können Sie die Zertifikatsignaturanforderung (Certificate Signing Request, CSR) übermitteln.

Anfordern des Zertifikats

Verwenden Sie die folgenden Informationen, um eine Zertifikatsignaturanforderung für Ihr CMG an einen öffentlichen Zertifikatanbieter zu übermitteln. Ändern Sie die folgenden Werte, damit sie für Ihre Umgebung relevant sind:

• MyCMG zum Identifizieren des Dienstnamens des Cloudverwaltungsgateways
• Contoso als Firmenname
• Contoso.com als gemeinfrei

Es wird empfohlen, Ihren primären Standortserver zum Generieren der CSR zu verwenden. Wenn Sie das Zertifikat erhalten, müssen Sie es auf demselben Server registrieren, der die CSR generiert hat. Durch diese Registrierung wird sichergestellt, dass Sie den privaten Schlüssel des Zertifikats exportieren können, der erforderlich ist.

Fordern Sie beim Generieren eines CSR einen Schlüsselanbietertyp der Version 2 an. Es werden nur Zertifikate der Version 2 unterstützt.

Hier finden Sie Details zur CSR des Cloudverwaltungsgateways:

• Allgemeiner Name: CloudServiceNameCMG.YourCompanyPubilcDomainName.com (Beispiel: MyCSG.contoso.com)
• Alternativer Antragstellername: Identisch mit dem allgemeinen Namen (CN)
• Organization: Der Name Ihrer organization
• Department: Per your organization
• City: Per your organization
• Status: Je nach Ihrer organization
• Land/Region: Je nach Ihrer organization
• Schlüsselgröße: 2048
• Anbieter: Microsoft RSA SChannel Cryptographic Provider

Importieren des Zertifikats

Nachdem Sie das öffentliche Zertifikat erhalten haben, importieren Sie es in den lokalen Zertifikatspeicher des Computers, der die CSR erstellt hat. Exportieren Sie dann das Zertifikat als PFX-Datei, damit Sie es für Ihre CMG in Azure verwenden können.

Öffentliche Zertifikatanbieter stellen in der Regel Anweisungen für das Importieren des Zertifikats bereit. Der Vorgang zum Importieren des Zertifikats sollte der folgenden Anleitung ähneln:

1. Suchen Sie auf dem Computer, auf den das Zertifikat importiert werden soll, die PFX-Zertifikatdatei.

2. Klicken Sie mit der rechten Maustaste auf die Datei, und wählen Sie dann PFX installieren.

3. Wenn der Zertifikatimport-Assistent gestartet wird, wählen Sie Weiter aus.

4. Klicken Sie auf der Seite "Zu importierende Datei " auf "Weiter".

5. Geben Sie auf der Seite Kennwort das Kennwort für den privaten Schlüssel in das Feld Kennwort ein, und wählen Sie dann Weiter aus.

   Wählen Sie die Option aus, um den Schlüssel exportierbar zu machen.

6. Wählen Sie auf der Seite Zertifikatspeicherdie Option Zertifikatspeicher basierend auf dem Zertifikattyp automatisch auswählen, und wählen Sie dann Weiter aus.

7. Klicken Sie auf Fertigstellen.

Exportieren des Zertifikats

Exportieren Sie das CMG-Serverauthentifizierungszertifikat von Ihrem Server. Durch den erneuten Export des Zertifikats kann es für Ihr Cloudverwaltungsgateway in Azure verwendet werden.

1. Führen Sie auf dem Server, auf dem Sie das öffentliche SSL-Zertifikat importiert haben, certlm.msc aus, um die Zertifikat-Manager-Konsole zu öffnen.

2. Wählen Sie in der Zertifikat-Manager-Konsole "Persönliche>Zertifikate" aus. Klicken Sie dann mit der rechten Maustaste auf das CMG-Serverauthentifizierungszertifikat, das Sie im vorherigen Verfahren registriert haben, und wählen Sie Alle Aufgabenexport> aus.

3. Klicken Sie im Zertifikatexport-Assistenten auf "Weiter", dann auf "Ja", "Exportieren des privaten Schlüssels" und dann auf "Weiter".

4. Wählen Sie auf der Seite Dateiformat exportieren die Option Persönlicher Informationsaustausch – PKCS #12 (. PFX), wählen Sie "Weiter" aus, und geben Sie ein Kennwort ein.

   Geben Sie für den Dateinamen einen Namen wie C:\ConfigMgrCloudMGServer. Sie verweisen auf diese Datei, wenn Sie die CMG in Azure erstellen.

5. Wählen Sie "Weiter" aus, und bestätigen Sie dann die folgenden Einstellungen, bevor Sie "Fertig stellen " auswählen, um den Export abzuschließen:

   • Schlüssel exportieren: Ja
   • Schließen Sie alle Zertifikate in den Zertifizierungspfad ein: Ja
   • Dateiformat: Personal Information Exchange (*.pfx)

6. Suchen Sie nach Abschluss des Exports nach der PFX-Datei, und platzieren Sie eine Kopie davon unter "C:\Zertifikate" auf dem primären Standortserver Konfigurations-Manager, der internetbasierte Clients verwalten wird.

   Der Ordner "Zertifikate" ist ein temporärer Ordner, der beim Verschieben von Zertifikaten zwischen Servern verwendet wird. Wenn Sie die CMG in Azure bereitstellen, greifen Sie vom primären Standortserver aus auf die Zertifikatdatei zu.

Nachdem Sie das Zertifikat auf den primären Standortserver kopiert haben, können Sie das Zertifikat aus dem persönlichen Zertifikatspeicher auf dem Mitgliedsserver löschen.

Aktivieren Sie Azure-Clouddienste im Konfigurations-Manager

Um Azure-Dienste in der Konfigurations-Manager-Konsole zu konfigurieren, verwenden Sie den Assistenten zum Konfigurieren von Azure-Diensten und erstellen zwei Microsoft Entra-Apps:

• Server-App: Eine Web-App in Microsoft Entra ID.
• Client-App: Eine native Client-App in Microsoft Entra ID.

Führen Sie das folgende Verfahren auf dem primären Standortserver aus:

1. Öffnen Sie die Konfigurations-Manager Konsole, wechseln Sie zu Verwaltung>Cloud Services Azure>Dienste, und wählen Sie dann Azure Dienste konfigurieren aus.

   Geben Sie auf der Seite "Azure-Dienst konfigurieren" einen Anzeigenamen für den Cloudverwaltungsdienst an, den Sie konfigurieren. Zum Beispiel: Mein Cloudverwaltungsdienst.

   Wählen Sie dann "Weiter Cloudverwaltung>" aus.

   Tipp

   Weitere Informationen zu den Konfigurationen, die Sie im Assistenten vornehmen, finden Sie unter Starten des Azure Services-Assistenten.

2. Wählen Sie auf der Seite App-Eigenschaften für Web-Appdie Option Durchsuchen aus, um das Dialogfeld Server-App zu öffnen. Wählen Sie Erstellen aus, und konfigurieren Sie dann die folgenden Felder:

   • Anwendungsname: Geben Sie einen Anzeigenamen für die App an, z. B. Cloud Management-Web-App.

   • HomePage-URL: Konfigurations-Manager verwendet diesen Wert nicht, aber Microsoft Entra ID erfordert ihn. Standardmäßig lautet https://ConfigMgrServicedieser Wert .

   • App-ID-URI: Dieser Wert muss in Ihrem Microsoft Entra-Mandanten eindeutig sein. Sie befindet sich im Zugriffstoken, mit dem der Konfigurations-Manager-Client Zugriff auf den Dienst anfordert. Standardmäßig lautet https://ConfigMgrServicedieser Wert . Ändern Sie den Standardwert in eines der folgenden empfohlenen Formate:

   • api://{tenantId}/{string}, zum Beispiel api://aaaabbbb-0000-cccc-1111-dddd2222eeee/ConfigMgrService

   • https://{verifiedCustomerDomain}/{string}, zum Beispiel https://contoso.onmicrosoft.com/ConfigMgrService

   Wählen Sie als Nächstes "Anmelden" aus, und geben Sie ein globales Microsoft Entra-Administratorkonto an. Konfigurations-Manager speichert diese Anmeldeinformationen nicht. Diese Persona erfordert keine Berechtigungen im Konfigurations-Manager, und es muss sich nicht um dasselbe Konto handeln, mit dem der Azure Services-Assistent ausgeführt wird.

   Nachdem Sie sich angemeldet haben, werden die Ergebnisse angezeigt. Wählen Sie OK aus, um das Dialogfeld Serveranwendung erstellen zu schließen und zur Seite "App-Eigenschaften " zurückzukehren.

3. Wählen Sie für die native Client-Appdie Option Durchsuchen aus, um das Dialogfeld für die Client-App zu öffnen.

4. Klicken Sie auf "Erstellen ", um das Dialogfeld "Clientanwendung erstellen " zu öffnen, und konfigurieren Sie dann die folgenden Felder:

   • Anwendungsname: Geben Sie einen Anzeigenamen für die App an, z. B. Cloud Management Native Client-App.

   • Antwort-URL: Konfigurations-Manager verwendet diesen Wert nicht, aber Microsoft Entra ID erfordert ihn. Standardmäßig lautet https://ConfigMgrClientdieser Wert .

   Wählen Sie als Nächstes "Anmelden" aus, und geben Sie ein globales Microsoft Entra-Administratorkonto an. Wie bei der Web-App werden diese Anmeldeinformationen nicht gespeichert und erfordern keine Berechtigungen im Konfigurations-Manager.

   Nachdem Sie sich angemeldet haben, werden die Ergebnisse angezeigt. Wählen Sie OK aus, um das Dialogfeld Clientanwendung erstellen zu schließen und zur Seite App-Eigenschaften zurückzukehren. Wählen Sie dann "Weiter " aus, um fortzufahren.

5. Aktivieren Sie auf der Seite Ermittlungseinstellungen konfigurieren das Kontrollkästchen Microsoft Entra-Benutzerermittlung aktivieren. Klicken Sie auf "Weiter", und schließen Sie dann die Konfiguration der Ermittlungsdialogfelder für Ihre Umgebung ab.

6. Fahren Sie mit den Seiten Zusammenfassung, Fortschritt und Abschluss fort und schließen Sie dann den Assistenten.

   Azure-Dienste für die Microsoft Entra-Benutzerermittlung sind jetzt im Konfigurations-Manager aktiviert. Lassen Sie die Konsole vorerst geöffnet.

7. Öffnen Sie einen Browser, und melden Sie sich beim Azure-Portal an.

8. Wählen Sie Alle Dienste,Microsoft>EntraID,App-Registrierungen>, und gehen Sie dann folgendermaßen vor:

   1. Wählen Sie die von Ihnen erstellte Web-App aus.

   2. Wechseln Sie zu API-Berechtigungen, wählen Sie Administratoreinwilligung für Ihren Mandanten erteilen und dann Ja aus.

   3. Wählen Sie die von Ihnen erstellte native Client-App aus.

   4. Wechseln Sie zu API-Berechtigungen, wählen Sie Administratoreinwilligung für Ihren Mandanten erteilen und dann Ja aus.

9. Wechseln Sie in der Konfigurations-Manager Konsole zu "Verwaltungsübersicht>>Cloud Services>Azure Dienste" und wählen Sie Ihren Azure Dienst aus. Klicken Sie dann mit der rechten Maustaste auf Microsoft Entra-Benutzer Entdecken, und wählen Sie Jetzt vollständige Ermittlung ausführen aus. Wählen Sie zum Bestätigen der Aktion Ja aus.

10. Öffnen Sie auf dem primären Standortserver die Datei "Konfigurations-Manager SMS_AZUREAD_DISCOVERY_AGENT.log", und suchen Sie nach dem folgenden Eintrag, um zu bestätigen, dass die Ermittlung funktioniert: Successfully published UDX for Microsoft Entra users.

    Standardmäßig befindet sich die Protokolldatei in %Program_Files%\Microsoft Configuration Manager\Logs.

Erstellen des Clouddiensts in Azure

In diesem Abschnitt des Tutorials erstellen Sie den CMG-Clouddienst und erstellen dann DNS-CNAME-Einträge für beide Dienste.

Erstellen der CMG

Verwenden Sie dieses Verfahren, um ein Cloudverwaltungsgateway als Dienst in Azure zu installieren. Das CMG wird an der obersten Ebene der Hierarchie installiert. In diesem Tutorial verwenden wir weiterhin den primären Standort, an dem Zertifikate registriert und exportiert wurden.

1. Öffnen Sie auf dem primären Standortserver die Konfigurations-Manager-Konsole. Wechseln Sie zur>VerwaltungsübersichtCloud>ServicesCloud>Management Gateway, und wählen Sie dann Cloud Management Gateway erstellen aus.

2. Auf der Seite Allgemein :

   1. Wählen Sie Ihre Cloudumgebung für die Azure-Umgebung aus. In diesem Tutorial wird AzurePublicCloud verwendet.

   2. Wählen Sie Azure Resource Manager Bereitstellung aus.

   3. Melden Sie sich bei Ihrem Azure-Abonnement an. Konfigurations-Manager füllt zusätzliche Informationen basierend auf den Informationen aus, die Sie beim Aktivieren von Azure Cloud Services für Konfigurations-Manager konfiguriert haben.

   Wählen Sie Weiter aus, um fortzufahren.

3. Navigieren Sie auf der Seite "Einstellungen " zur Datei "ConfigMgrCloudMGServer.pfx", und wählen Sie sie aus. Diese Datei ist die Datei, die Sie nach dem Importieren des CMG-Serverauthentifizierungszertifikats exportiert haben. Nachdem Sie das Kennwort angegeben haben, werden die Informationen zum Dienstnamen und Bereitstellungsnamen automatisch auf Grundlage der Details in der PFX-Zertifikatdatei ausgefüllt.

4. Legen Sie die Regionsinformationen fest.

5. Verwenden Sie für Ressourcengruppe eine vorhandene Ressourcengruppe, oder erstellen Sie eine Gruppe mit einem Anzeigenamen, der keine Leerzeichen verwendet, z. B. ConfigMgrCloudServices. Wenn Sie eine Gruppe erstellen, wird die Gruppe als Ressourcengruppe in Azure hinzugefügt.

6. Wenn Sie nicht bereit sind, im großen Stil zu konfigurieren, geben Sie 1 für VM-Instanzen ein. Die Anzahl der VM-Instanzen ermöglicht es einem einzelnen CMG-Clouddienst, horizontal hochzuskalieren, um mehr Clientverbindungen zu unterstützen. Später können Sie die Konfigurations-Manager-Konsole verwenden, um die Anzahl der von Ihnen verwendeten VM-Instanzen zurückzugeben und zu bearbeiten.

7. Aktivieren Sie das Kontrollkästchen "Clientzertifikatsperrung überprüfen ".

8. Aktivieren Sie das Kontrollkästchen CMG erlauben, als Cloudverteilungspunkt zu fungieren und Inhalte aus Azure Storage bereitzustellen.

9. Wählen Sie Weiter aus, um fortzufahren.

10. Überprüfen Sie die Werte auf der Seite "Warnung ", und wählen Sie dann "Weiter" aus.

11. Überprüfen Sie die Seite Zusammenfassung, und wählen Sie Weiter aus, um den CMG-Clouddienst zu erstellen. Klicken Sie auf Schließen , um den Assistenten abzuschließen.

12. Im CMG-Knoten der Konfigurations-Manager-Konsole können Sie jetzt den neuen Dienst anzeigen.

Erstellen von DNS-CNAME-Einträgen

Wenn Sie einen DNS-Eintrag für die CMG erstellen, aktivieren Sie auf Ihren Windows-Geräten innerhalb und außerhalb Ihres Unternehmensnetzwerks die Verwendung der Namensauflösung, um den CMG-Clouddienst in Azure zu finden.

Unser CNAME-Eintragsbeispiel ist MyCMG.contoso.com, das zu MyCMG.cloudapp.net wird. Im Beispiel:

• Der Firmenname lautet Contoso mit einem öffentlichen DNS-Namespace von contoso.com.

• Der CMG-Dienstname lautet MyCMG, der in Azure MyCMG.cloudapp.net wird.

Konfigurieren des Verwaltungspunkts und der Clients für die Verwendung des CMG

Konfigurieren Sie Einstellungen, die lokalen Verwaltungspunkten und Clients die Verwendung des Cloudverwaltungsgateways ermöglichen.

Da wir erweitertes HTTP für die Clientkommunikation verwenden, ist es nicht erforderlich, einen HTTPS-Verwaltungspunkt zu verwenden.

Erstellen des CMG-Verbindungspunkts

Konfigurieren Sie die Website für die Unterstützung von erweitertem HTTP:

1. Wechseln Sie in der Konfigurations-Manager-Konsole zu "Administrationsübersicht>>" unter "Standortkonfigurationsstandorte>". Öffnen Sie die Eigenschaften des primären Standorts.

2. Wählen Sie auf der Registerkarte Kommunikationssicherheit die Option HTTPS oder HTTP für Vom Konfigurations-Manager generierte Zertifikate für HTTP-Standortsysteme verwenden. Wählen Sie dann OK aus, um die Konfiguration zu speichern.

3. Wechseln Sie zurÜbersicht>über die Verwaltung> derStandortkonfigurationsserver>und Standortsystemrollen. Wählen Sie den Server mit einem Verwaltungspunkt aus, auf dem Sie den CMG-Verbindungspunkt installieren möchten.

4. Wählen Sieals nächstes>"Standortsystemrollen> hinzufügen" aus.

5. Wählen Sie Cloudverwaltungsgatewayverbindungspunkt und dann Weiter aus, um fortzufahren.

6. Überprüfen Sie die Standardauswahl auf der Seite "Verbindungspunkt für Cloudverwaltungsgateway", und stellen Sie sicher, dass die richtige CMG ausgewählt ist.

   Wenn Sie über mehrere CMGs verfügen, können Sie die Dropdownliste verwenden, um eine andere CMG anzugeben. Sie können das verwendete CMG auch nach der Installation ändern.

   Wählen Sie Weiter aus, um fortzufahren.

7. Wählen Sie "Weiter " aus, um die Installation zu starten, und sehen Sie sich dann die Ergebnisse auf der Seite "Fertigstellung" an. Klicken Sie auf "Schließen ", um die Installation des Verbindungspunkts abzuschließen.

8. Wechseln Sie zurÜbersicht>über die Verwaltung> derStandortkonfigurationsserver>und Standortsystemrollen. Öffnen Sie Eigenschaften für den Verwaltungspunkt, an dem Sie den Verbindungspunkt installiert haben.

   Aktivieren Sie auf der Registerkarte "Allgemein" das Kontrollkästchen Datenverkehr Konfigurations-Manager Cloudverwaltungsgateways zulassen, und wählen Sie dann OK aus, um die Konfiguration zu speichern.

   Tipp

   Obwohl es nicht erforderlich ist, die gemeinsame Verwaltung zu aktivieren, empfehlen wir, dieselbe Bearbeitung für Softwareupdatepunkte vorzunehmen.

Konfigurieren der Clienteinstellungen so, dass Clients zur Verwendung des CMG weitergeleitet werden

Konfigurieren Sie mithilfe der Clienteinstellungen die Kommunikation von Konfigurations-Manager-Clients mit dem CMG:

1. Öffnen Sie dieKonfigurationsübersicht>über dieKonfigurations-Manager-Konsole>>,Clienteinstellungen, und bearbeiten Sie dann die Informationen zu den Standardclienteinstellungen.

2. Wählen Sie Cloud Services aus.

3. Legen Sie auf der Seite Standardeinstellungen die folgenden Einstellungen auf Ja fest:

   • Automatisches Registrieren neuer in die Domäne von Windows 10 eingebundene Geräte mit Microsoft Entra ID

   • Clients die Verwendung eines Cloudverwaltungsgateways ermöglichen

   • Zugriff auf Cloudverteilungspunkt zulassen

4. Legen Sie auf der Seite "Clientrichtlinie " die Option "Benutzerrichtlinienanforderungen von Internetclients aktivieren " auf "Ja" fest.

5. Wählen Sie OK aus, um diese Konfiguration zu speichern.

Co-Verwaltung in Konfigurations-Manager aktivieren

Wenn Sie die Azure-Konfigurationen, Standortsystemrollen und Clienteinstellungen eingerichtet haben, können Sie Konfigurations-Manager so konfigurieren, dass die gemeinsame Verwaltung aktiviert wird. Sie müssen jedoch noch einige Konfigurationen in Intune vornehmen, nachdem Sie die Co-Verwaltung aktiviert haben, bevor dieses Tutorial abgeschlossen ist.

Eine dieser Aufgaben besteht darin, Intune so zu konfigurieren, dass der Konfigurations-Manager-Client bereitgestellt wird. Diese Aufgabe wird durch Speichern der Befehlszeile für die Clientbereitstellung vereinfacht, die im Konfigurationsassistenten für die gemeinsame Verwaltung verfügbar ist. Aus diesem Grund aktivieren wir die Co-Verwaltung jetzt, bevor wir die Konfigurationen für Intune abschließen.

Der Begriff "Pilotgruppe" wird in allen Dialogfeldern für Co-Verwaltungsfunktionen und -Konfiguration verwendet. Eine Pilotgruppe ist eine Sammlung, die eine Teilmenge Ihrer Konfigurations-Manager-Geräte enthält. Verwenden Sie eine Pilotgruppe für Ihre ersten Tests. Fügen Sie nach Bedarf Geräte hinzu, bis Sie bereit sind, die Arbeitslasten für alle Konfigurations-Manager-Geräte zu verschieben.

Es gibt keine zeitliche Begrenzung, wie lange eine Pilotgruppe für Workloads verwendet werden kann. Sie können eine Pilotgruppe unbegrenzt verwenden, wenn Sie eine Arbeitslast nicht auf alle Konfigurations-Manager-Geräte verschieben möchten.

Es wird empfohlen, eine geeignete Sammlung zu erstellen, bevor Sie mit dem Verfahren zum Erstellen einer Pilotgruppe beginnen. Anschließend können Sie diese Sammlung auswählen, ohne den Vorgang zu beenden. Möglicherweise benötigen Sie mehrere Sammlungen, da Sie für jede Workload eine andere Pilotgruppe zuweisen können.

Aktivieren der gemeinsamen Verwaltung für Versionen 2111 und höher

Ab Konfigurations-Manager Version 2111 hat sich die Onboarding-Erfahrung für die Co-Verwaltung geändert. Der Konfigurationsassistent für Cloudanfügung vereinfacht das Aktivieren der gemeinsamen Verwaltung und anderer Cloud-Features. Sie können einen optimierten Satz empfohlener Standardwerte auswählen, oder Ihre Features für die Cloudanfügung anpassen. Es gibt auch eine neue integrierte Gerätesammlung für berechtigte Geräte mit Co-Management, um Ihnen bei der Identifizierung von Clients zu helfen. Weitere Informationen zum Aktivieren der Co-Verwaltung finden Sie unter Aktivieren von Cloudanfügung.

Aktivieren der gemeinsamen Verwaltung für Versionen 2107 und früher

Wenn Sie die gemeinsame Verwaltung aktivieren, können Sie die öffentliche Azure-Cloud, die Azure Government-Cloud oder die Azure China 21Vianet-Cloud (hinzugefügt in Version 2006) verwenden. Befolgen Sie diese Anweisungen, um die gemeinsame Verwaltung zu aktivieren:

1. Wechseln Sie in der Konfigurations-Manager-Konsole zum Arbeitsbereich Verwaltung, erweitern Sie Cloud Services, und wählen Sie den Knoten Cloud Attach aus. Wählen Sie im Menüband "Cloud Attach konfigurieren " aus, um den Konfigurationsassistenten für Cloud Attach zu öffnen.

   Erweitern Sie für Version 2103 und früher die Option Cloud Services, und wählen Sie den Knoten Co-Management aus. Wählen Sie im Menüband "Co-Verwaltung konfigurieren " aus, um den Assistenten für die Konfiguration der gemeinsamen Verwaltung zu öffnen.

2. Wählen Sie auf der Onboarding-Seite des Assistenten für die Azure-Umgebung eine der folgenden Umgebungen aus:

   • Azure Public Cloud

   • Azure Government Cloud

   • Azure China Cloud (hinzugefügt in Version 2006)

     Hinweis

     Aktualisieren Sie den Konfigurations-Manager-Client auf die neueste Version auf Ihren Geräten, bevor Sie das Onboarding für die Cloud Azure China durchführen.

   Wenn Sie die Cloud "Azure China" oder "Azure Government" auswählen, ist die Option "In Microsoft Endpoint Manager Admin Center hochladen" für die Mandantenanfügung deaktiviert.

3. Wählen Sie Anmelden aus. Melden Sie sich als globaler Microsoft Entra-Administrator an, und wählen Sie dann Weiter aus. Sie melden sich für diesen Assistenten einmal an. Die Anmeldeinformationen werden nicht gespeichert oder an anderer Stelle wiederverwendet.

   Wichtig

   Die Rolle Microsoft Entra Globaler Administrator ist eine Rolle mit hohen Berechtigungen und sollte nur verwendet werden, wenn keine andere Rolle verwendet werden kann. Für dieses Feature ist die Rolle "Globaler Administrator" erforderlich. Für andere Features empfiehlt Microsoft die Verwendung von Rollen mit den geringsten Berechtigungen. Weitere Informationen finden Sie unter Grundlagen der rollenbasierten Verwaltung für Konfigurations-Manager.

4. Wählen Sie auf der Seite Aktivierung die folgenden Einstellungen aus:

   • Automatische Registrierung in Intune: Aktiviert die automatische Clientregistrierung in Intune für vorhandene Konfigurations-Manager-Clients. Mit dieser Option können Sie die gemeinsame Verwaltung auf einer Teilmenge von Clients aktivieren, um zunächst die gemeinsame Verwaltung zu testen und dann die gemeinsame Verwaltung mithilfe eines schrittweisen Ansatzes einzuführen. Wenn der Benutzer die Registrierung eines Geräts aufhebt, wird das Gerät bei der nächsten Auswertung der Richtlinie erneut registriert.

     • Pilot: Nur die Konfigurations-Manager-Clients, die Mitglieder der Sammlung "Intune Auto Enrollment" sind, werden automatisch in Intune registriert.
     • Alle: Aktivieren Sie die automatische Registrierung für alle Clients, auf denen unterstützte Windows-Versionen ausgeführt werden.
     • Keine: Deaktivieren Sie die automatische Registrierung für alle Clients.

   • Automatische Intune-Registrierung: Diese Sammlung sollte alle Clients enthalten, die Sie in die gemeinsame Verwaltung integrieren möchten. Es ist im Wesentlichen eine Obermenge aller anderen Staging-Sammlungen.

   

   Die automatische Registrierung erfolgt nicht für alle Clients sofort. Dieses Verhalten hilft dabei, die Registrierung für große Umgebungen besser zu skalieren. Konfigurations-Manager wählt die Registrierung nach dem Zufallsprinzip basierend auf der Anzahl der Clients aus. Wenn Ihre Umgebung beispielsweise 100.000 Clients aufweist und Sie diese Einstellung aktivieren, erfolgt die Registrierung über mehrere Tage.

   Ein neues, gemeinsam verwaltetes Gerät wird jetzt automatisch basierend auf seinem Microsoft Entra-Gerätetoken beim Microsoft Intune-Dienst registriert. Sie muss nicht warten, bis sich ein Benutzer beim Gerät anmeldet, damit die automatische Registrierung gestartet werden kann. Diese Änderung trägt dazu bei, die Anzahl der Geräte mit dem Status der Registrierung "Ausstehende Benutzeranmeldung" zu verringern. Um dieses Verhalten zu unterstützen, müssen auf dem Gerät unterstützte Windows-Versionen ausgeführt werden. Weitere Informationen finden Sie unter Status der Registrierung für die Co-Verwaltung.

   Wenn Sie bereits Geräte für die gemeinsame Verwaltung registriert haben, werden neue Geräte jetzt sofort registriert, nachdem sie die Voraussetzungen erfüllt haben.

5. Kopieren und speichern Sie für internetbasierte Geräte, die bereits in Intune registriert sind, den Befehl auf der Aktivierungsseite. Verwenden Sie diesen Befehl, um den Konfigurations-Manager-Client als App in Intune für internetbasierte Geräte zu installieren. Wenn Sie diesen Befehl jetzt nicht speichern, können Sie die Konfiguration der gemeinsamen Verwaltung jederzeit überprüfen, um diesen Befehl zu erhalten.

   Tipp

   Der Befehl wird nur angezeigt, wenn Sie alle Voraussetzungen erfüllt haben, z. B. das Einrichten eines Cloudverwaltungsgateways.

6. Wählen Sie auf der Seite "Workloads" für jede Workload aus, welche Gerätegruppe zur Verwaltung mit Intune verschoben werden soll. Weitere Informationen finden Sie unter Workloads.

   Wenn Sie nur die gemeinsame Verwaltung aktivieren möchten, müssen Sie die Arbeitsauslastung jetzt nicht wechseln. Sie können die Arbeitsauslastung später wechseln. Weitere Informationen finden Sie unter Wechseln von Workloads.

   • Pilot-Intune: Wechselt die zugeordnete Arbeitsauslastung nur für die Geräte in den Pilotsammlungen, die Sie auf der Stagingseite angeben. Jede Workload kann über eine andere Pilotsammlung verfügen.
   • Intune: Wechselt die zugeordnete Arbeitslast für alle gemeinsam verwalteten Windows-Geräte.

   Wichtig

   Stellen Sie vor dem Wechseln von Workloads sicher, dass Sie die entsprechende Workload ordnungsgemäß in Intune konfigurieren und bereitstellen. Stellen Sie sicher, dass Workloads immer von einem der Verwaltungstools für Ihre Geräte verwaltet werden.

7. Geben Sie auf der Seite Staging die Pilotsammlung für jede der Workloads an, die auf Pilot Intune festgelegt sind.

   

8. Schließen Sie den Assistenten ab, um die gemeinsame Verwaltung zu aktivieren.

Verwenden von Intune zum Bereitstellen des Konfigurations-Manager-Clients

Sie können Intune verwenden, um den Konfigurations-Manager-Client auf Windows-Geräten zu installieren, die derzeit nur mit Intune verwaltet werden.

Wenn dann ein zuvor nicht verwaltetes Windows-Gerät bei Intune registriert wird, wird automatisch der Konfigurations-Manager-Client installiert.

Erstellen einer Intune-App zum Installieren des Konfigurations-Manager-Clients

1. Melden Sie sich vom primären Standortserver beim Microsoft Intune Admin Center an. Wechseln Sie dann zu Apps>,die alle Apps>hinzufügen.

2. Wählen Sie als App-Typ unter "Sonstiges" die Option Branchen-App aus.

3. Navigieren Sie für die App-Paketdatei zum Speicherort der Konfigurations-Manager Dateiccmsetup.msi (z. B. C:\Program Files\Microsoft Configuration Manager\bin\i386\ccmsetup.msi). Wählen Sie dann "OK öffnen>" aus.

4. Wählen Sie "App-Informationen" aus, und geben Sie die folgenden Details an:

   • Beschreibung: Geben Sie den Konfigurations-Manager-Client ein.

   • Herausgeber: Hier kommt Microsoft ins Spiel.

   • Befehlszeilenargumente: Geben Sie den Befehl CCMSETUPCMD an. Sie können den Befehl verwenden, den Sie auf der Seite "Aktivierung" des Konfigurationsassistenten für die gemeinsame Verwaltung gespeichert haben. Dieser Befehl enthält die Namen Ihres Clouddiensts sowie zusätzliche Werte, mit denen Geräte die Konfigurations-Manager Clientsoftware installieren können.

     Die Befehlszeilenstruktur sollte diesem Beispiel ähneln, in dem nur die CCMSETUPCMD Parameter and SMSSiteCode verwendet werden:

     CCMSETUPCMD="CCMHOSTNAME=<ServiceName.CLOUDAPP.NET/CCM_Proxy_MutualAuth/<GUID>" SMSSiteCode="<YourSiteCode>"
     

     Tipp

     Wenn der Befehl nicht zur Verfügung steht, können Sie die Eigenschaften in CoMgmtSettingsProd der Konfigurations-Manager-Konsole anzeigen, um eine Kopie des Befehls abzurufen. Der Befehl wird nur angezeigt, wenn Sie alle Voraussetzungen erfüllt haben, z. B. die Einrichtung eines CMG.

5. Wählen Sie "OK>"und "Hinzufügen" aus. Die App wird erstellt und in der Intune-Konsole verfügbar. Nachdem die App verfügbar ist, können Sie den folgenden Abschnitt verwenden, um sie Ihren Geräten aus Intune zuzuweisen.

Zuweisen der Intune-App zum Installieren des Konfigurations-Manager-Clients

Das folgende Verfahren stellt die App zum Installieren des Konfigurations-Manager-Clients bereit, den Sie im vorherigen Verfahren erstellt haben:

1. Melden Sie sich beim Microsoft Intune Admin Center an. Wählen Sie Apps>Alle Apps und dann ConfigMgr Client Setup Bootstrap aus. Diese App haben Sie zum Bereitstellen des Konfigurations-Manager-Clients erstellt.

2. Wählen Sie Eigenschaften und dann Bearbeiten für Aufgaben aus. Wählen Sie Gruppe hinzufügen unter "Erforderliche Zuweisungen" aus, um die Microsoft Entra-Gruppen festzulegen, die Benutzer und Geräte enthalten, an deren Co-Verwaltung Sie teilnehmen möchten.

3. Wählen Sie Überprüfen + Speichern>aus, um die Konfiguration zu speichern. Die App wird jetzt von den Benutzern und Geräten, denen Sie sie zugewiesen haben, benötigt. Nachdem die App den Konfigurations-Manager-Client auf einem Gerät installiert hat, wird sie von Co-Management verwaltet.

Zusammenfassung

Nachdem Sie die Konfigurationsschritte dieses Tutorials abgeschlossen haben, können Sie mit der gemeinsamen Verwaltung Ihrer Geräte beginnen.

Nächste Schritte

• Überprüfen Sie den Status von gemeinsam verwalteten Geräten mithilfe des Co-Management-Dashboards.
• Verwenden Sie Windows Autopilot zum Bereitstellen neuer Geräte.
• Verwenden Sie Regeln für bedingten Zugriff und Intune-Complianceregeln, um den Benutzerzugriff auf Unternehmensressourcen zu verwalten.