Kontoschutzrichtlinie für Endpunktsicherheit in Intune

Verwenden Sie Intune-Endpunktsicherheitsrichtlinien für den Kontoschutz, um die Identität und Konten Ihrer Benutzer zu schützen und die integrierten Gruppenmitgliedschaften auf Geräten zu verwalten.

Im Microsoft Intune Admin Center finden Sie im Knoten Endpunktsicherheit unter Verwalten die Endpunktsicherheitsrichtlinien für den Kontoschutz.

Voraussetzungen für Kontoschutzprofile

• Zur Unterstützung des Kontoschutzprofils muss auf den Geräten Windows ausgeführt werden.
• Zur Unterstützung des Mitgliedschaftsprofils für lokale Benutzergruppen müssen Geräte Windows 10 20H2 oder höher oder Windows 11 ausführen.
• Zur Unterstützung der *Local Admin Password Solution (Windows LAPS) siehe Voraussetzungen in der Microsoft Intune-Unterstützung für Windows LAPS.

Rollenbasierte Zugriffssteuerung (RBAC)

Anleitungen zum Zuweisen der richtigen Berechtigungs- und Rechtestufe zum Verwalten von Intune-Kontoschutzprofilen finden Sie unter Rollenbasierte Zugriffssteuerung für Endpunktsicherheit.

Profilen für Kontoschutz

Um Kontoschutzprofile zu konfigurieren, wechseln Sie im Microsoft Intune Admin Center zuEndpunktsicherheitskontoschutz>>Richtlinie erstellen*. Wählen Sie unter Plattform die Option "Windows" und dann eines der folgenden Profile aus:

Steckbriefe:

• Kontoschutz – Einstellungen für Kontoschutzrichtlinien helfen Ihnen, Benutzeranmeldeinformationen zu schützen. Die Kontoschutzrichtlinie konzentriert sich auf geräte- und benutzerbezogene Einstellungen für Windows Hello for Business und auf Credential Guard. Credential Guard ist Teil der Windows-Identitäts- und Zugriffsverwaltung.

  • Windows Hello for Business ersetzt Kennwörter durch sichere Zwei-Faktor-Authentifizierung auf PCs und mobilen Geräten.
  • Credential Guard schützt Anmeldeinformationen und Geheimnisse, die Sie mit Ihren Geräten verwenden.

  Weitere Informationen finden Sie unter Identitäts- und Zugriffsverwaltung in der Windows-Dokumentation zur Identitäts- und Zugriffsverwaltung.

  Die Einstellungen in diesem Profil sind auch im Katalog "Einstellungen" verfügbar.

• Lokale Admin-Kennwortlösung (Windows LAPS): Verwenden Sie dieses Profil, um Windows LAPS auf Geräten zu konfigurieren. Windows LAPS ermöglicht die Verwaltung eines einzelnen lokalen Administratorkontos pro Gerät. In der Intune-Richtlinie kann mithilfe der Richtlinieneinstellung Administratorkontoname angegeben werden, für welches lokale Administratorkonto sie gilt.

  Weitere Informationen zur Verwendung von Intune zum Verwalten von Windows LAPS finden Sie unter:

  • Erfahren Sie mehr über die Intune-Unterstützung für Windows LAPS.
  • Verwalten der LAPS-Richtlinie

• Lokale Benutzergruppenmitgliedschaft : Verwenden Sie dieses Profil, um Mitglieder der integrierten lokalen Gruppen auf Windows-Geräten hinzuzufügen, zu entfernen oder zu ersetzen. Beispielsweise verfügt die lokale Gruppe "Administratoren" über umfassende Rechte. Sie können diese Richtlinie verwenden, um die Mitgliedschaft der Admin-Gruppe zu bearbeiten, um sie auf eine Gruppe exklusiv definierter Mitglieder zu beschränken.

  Die Verwendung dieses Profils wird im folgenden Abschnitt "Verwalten lokaler Gruppen auf Windows-Geräten" beschrieben.

Verwalten lokaler Gruppen auf Windows-Geräten

Verwenden Sie das Mitgliedschaftsprofil für lokale Benutzergruppen, um die Benutzer zu verwalten, die Mitglieder der integrierten lokalen Gruppen auf Geräten mit Windows 10 20H2 und höher sowie auf Windows 11-Geräten sind.

Konfigurieren des Profils

Verwenden Sie das Mitgliedschaftsprofil für lokale Benutzergruppen, um die lokale Gruppenmitgliedschaft auf Geräten über die Windows-Richtlinie CSP – LocalUsersAndGroups – zu verwalten. Die CSP-Dokumentation enthält weitere Details zur Anwendung von Konfigurationen sowie häufig gestellte Fragen zur Verwendung des CSP.

Wenn Sie dieses Profil konfigurieren, können Sie auf der Seite Konfigurationseinstellungen mehrere Regeln erstellen, um zu verwalten, welche integrierten lokalen Gruppen Sie ändern möchten, welche Gruppenaktion ausgeführt werden soll und welche Methode zum Auswählen der Benutzer anzuwenden ist.

Sie können folgende Konfigurationen vornehmen:

• Lokale Gruppe: Wählen Sie eine oder mehrere Gruppen aus der Dropdownliste aus. Diese Gruppen wenden alle dieselbe Gruppen- und Benutzeraktion auf die von Ihnen zugewiesenen Benutzer an. Sie können mehr als eine Gruppierung lokaler Gruppen in einem einzigen Profil erstellen und jeder Gruppierung lokaler Gruppen unterschiedliche Aktionen und Benutzergruppen zuweisen.

• Gruppen- und Benutzeraktion: Konfigurieren Sie die Aktion so, dass sie auf die ausgewählten Gruppen angewendet wird. Diese Aktion gilt für die Benutzer, die Sie für dieselbe Aktion und die Gruppierung lokaler Konten auswählen. Zu den Aktionen, die Sie auswählen können, gehören:

  • Hinzufügen (Update): Fügt den ausgewählten Gruppen Mitglieder hinzu. Die Gruppenmitgliedschaft für Benutzer, die nicht durch die Richtlinie festgelegt sind, wird nicht geändert.
  • Entfernen (Aktualisieren): Entfernen Sie Mitglieder aus den ausgewählten Gruppen. Die Gruppenmitgliedschaft für Benutzer, die nicht durch die Richtlinie festgelegt sind, wird nicht geändert.
  • Hinzufügen (Ersetzen): Ersetzen Sie die Mitglieder der ausgewählten Gruppen durch die neuen Mitglieder, die Sie für diese Aktion angeben. Diese Option funktioniert genauso wie eine eingeschränkte Gruppe, und alle Gruppenmitglieder, die nicht in der Richtlinie angegeben sind, werden entfernt.

  Achtung

  Wenn dieselbe Gruppe sowohl mit einer Ersetzungs- als auch mit einer Aktualisierungsaktion konfiguriert ist, gewinnt die Ersetzungsaktion. Dies wird nicht als Konflikt betrachtet. Eine solche Konfiguration kann auftreten, wenn Sie mehrere Richtlinien auf demselben Gerät bereitstellen oder wenn dieser CSP auch mithilfe von Microsoft Graph konfiguriert wird.

• Benutzerauswahltyp: Wählen Sie aus, wie Benutzer ausgewählt werden sollen. Die folgenden Optionen stehen zur Verfügung:

  • Benutzer: Wählen Sie die Benutzer und Benutzergruppen aus Microsoft Entra ID aus. (Nur für mit Microsoft Entra verbundene Geräte unterstützt).
  • Manuell: Geben Sie Microsoft Entra-Benutzer und -Gruppen manuell nach Benutzername, Domäne\Benutzername oder der Gruppensicherheits-ID (SID) an. (Unterstützt für Microsoft Entra verbundene Geräte und Microsoft Entra Hybridgeräte).

• Ausgewählte Benutzer: Verwenden Sie je nach Ihrer Auswahl für den Benutzerauswahltyp eine der folgenden Optionen:

  • Benutzer(se) auswählen: Wählen Sie die Benutzer und Benutzergruppen aus Microsoft Entra aus.

  • Benutzer(e) hinzufügen: Mit dieser Option wird der Bereich "Benutzer hinzufügen " geöffnet, in dem Sie eine oder mehrere Benutzer-IDs angeben können, wie sie auf einem Gerät angezeigt werden. Sie können den Benutzer anhand der Sicherheits-ID (SID),der Domäne\des Benutzernamens oder des Benutzernamens angeben.

    

Die Auswahl der Option "Manuell" kann in Szenarien hilfreich sein, in denen Sie Ihre lokalen Active Directory-Benutzer von Active Directory in eine lokale Gruppe für ein Microsoft Entra Hybrid eingebundenes Gerät verwalten möchten. Die unterstützten Formate zur Identifizierung der Benutzerauswahl in der Reihenfolge der am häufigsten bis am wenigsten bevorzugten sind die SID, die Domäne\der Benutzername oder der Benutzername des Mitglieds. Werte aus Active Directory müssen für Hybrid verbundene Geräte verwendet werden, während Werte aus Microsoft Entra ID für Microsoft Entra Join verwendet werden müssen. Microsoft Entra-Gruppen-SIDs können mithilfe der Graph-API für Gruppen abgerufen werden.

Conflicts

Wenn Richtlinien einen Konflikt für eine Gruppenmitgliedschaft verursachen, werden die widersprüchlichen Einstellungen aus jeder Richtlinie nicht an das Gerät gesendet. Stattdessen wird der Konflikt für diese Richtlinien im Microsoft Intune Admin Center gemeldet. Um den Konflikt zu beheben, konfigurieren Sie eine oder mehrere Richtlinien neu.

Reporting

Wenn Geräte einchecken und die Richtlinie anwenden, zeigt das Admin Center den Status der Geräte und Benutzer als erfolgreich oder fehlerhaft an.

Da die Richtlinie mehrere Regeln enthalten kann, sollten Sie die folgenden Punkte berücksichtigen:

• Wenn Intune die Richtlinie für Geräte verarbeitet, wird in der Ansicht für die einzelnen Einstellungen status eine status für die Gruppe von Regeln angezeigt, als ob es sich um eine einzelne Einstellung handeln würde.
• Jede Regel in der Richtlinie, die zu einem Fehler führt, wird übersprungen und nicht an Geräte gesendet.
• Jede erfolgreiche Regel wird zur Anwendung an die Geräte gesendet.

Nächste Schritte

Konfigurieren von Endpunktsicherheitsrichtlinien