Antworten auf häufig gestellte Fragen zu Richtlinien und Profilen in Microsoft Intune

Wichtig

Am 22. Oktober 2022 hat Microsoft Intune den Support für Geräte unter Windows 8.1 eingestellt. Technische Unterstützung und automatische Updates auf diesen Geräten sind nicht verfügbar.

Erhalten Sie Antworten auf häufig gestellte Fragen beim Arbeiten mit Richtlinien in Intune. In diesem Artikel werden u. a. Check-In-Zeitintervalle und weitere Informationen aufgelistet.

Dieser Artikel gilt für die folgenden Richtlinien:

  • App-Schutzrichtlinien
  • App-Konfigurationsrichtlinien
  • Compliancerichtlinien
  • Richtlinien für bedingten Zugriff
  • Gerätekonfigurierungsprofile
  • Registrierungsrichtlinien

Richtlinienaktualisierungsintervalle

Wenn ein Gerät mit Intune synchronisiert wird, überprüft es die Konfiguration für den aktuellen Benutzer- oder Gerätekontext und empfängt alle ausstehenden Aktionen, Richtlinien und Apps, die ihm zugewiesen sind.

Informationen zu Aktualisierungsintervallen für App-Schutzrichtlinien finden Sie unter Zeitplan für die Bereitstellung der Appschutz-Richtlinie.

Es gibt drei Haupttypen von Gerätesynchronisierungen: änderungsbasierte, clientinitiierte und einzelne Gerätesynchronisierung.

Änderungsbasiert

Diese Synchronisierungen erfolgen, wenn verschiedene Aktionen eine Benachrichtigung für das Synchronisieren des Geräts auslösen. Eine Synchronisierung wird beispielsweise ausgelöst, wenn eine Richtlinie, ein Profil oder eine App zugewiesen (oder nicht zugewiesen), aktualisiert oder gelöscht wird. Oder wenn Änderungen wie Aktualisierungen der Microsoft Entra-Gruppenmitgliedschaft vorgenommen werden. Änderungen wie das Hinzufügen einer App als verfügbar bewirken keine sofortige Benachrichtigung an Geräte.

Intune benachrichtigt Onlinegeräte zur Synchronisierung mit dem Intune-Dienst. Die Benachrichtigungszeiten können von sofort bis zu einigen Stunden variieren. Sie können auch zwischen den Plattformen variieren. Weitere Informationen finden Sie unter:

Ein Offlinegerät, z. B. wenn es ausgeschaltet oder ein nicht angeschlossenes Gerät ist, empfängt die Benachrichtigungen möglicherweise nicht. In diesem Fall erhält das Gerät die Richtlinie oder das Profil bei der nächsten Synchronisierung mit Intune.

Hinweis

Vom Client initiiert

Die folgenden Clientsynchronisierungen erfolgen als Reaktion auf ein Geräteereignis oder eine Statusänderung, beispielsweise wenn sich ein Benutzer beim Gerät anmeldet oder wenn sich der Status der Schadsoftware ändert:

  • Wartungssynchronisierungen : Diese Synchronisierungen umfassen eine große Anzahl von Client-initiierten Synchronisierungen, die in vordefinierten Intervallen erfolgen. Je nach Plattform kann der Client oder Dienst die Synchronisierung initiieren. Der geschätzte Check-in-Zeitplan für alle Plattformen beträgt etwa alle 8 Stunden.

    Unabhängig vom Clientzeitplan dürfen Geräte nur einmal alle 6,5 Stunden eine Wartungssynchronisierung durchführen.

  • Neu registrierte Geräte : Bei der ersten Registrierung von Geräten werden Synchronisierungen häufiger ausgeführt, um Konfigurations-, Compliance- und Nichtkompatibilitätsprüfungen durchzuführen. Die Check-Ins werden wie folgt geschätzt:

    Plattform Geschätzter Aktualisierungszyklus
    Android, AOSP Für 15 Minuten alle 3 Minuten, dann für 2 Stunden alle 15 Minuten und dann etwa alle 8 Stunden
    iOS/iPadOS Für 1 Stunde alle 15 Minuten und dann etwa alle 8 Stunden
    macOS Für 1 Stunde alle 15 Minuten und dann etwa alle 8 Stunden
    Windows Für 15 Minuten alle 3 Minuten, dann für 2 Stunden alle 15 Minuten und dann etwa alle 8 Stunden

Einzelnes Gerät

Administratoren oder Endbenutzer initiieren diese Check-Ins, wenn sie bestimmte Aktionen auf einem einzelnen Gerät ausführen:

Unternehmensportal

Benutzer können jederzeit die Unternehmensportal-App öffnen und zu>Gerätestatus überprüfen navigieren, um die Einstellungen Ihres Geräts zu bewerten und den Zugriff auf Geschäfts-, Schul- oder Uniressourcen zu überprüfen, oder zu "Einstellungen>synchronisieren" navigieren, um die neuesten Updates, Anforderungen und Mitteilungen von Ihrer organization zu erhalten.

Verwandte Informationen zum Intune-Verwaltungserweiterungs-Agent oder zu Win32-Apps finden Sie unter Win32-App-Verwaltung in Microsoft Intune.

Weitere Informationen finden Sie unter "Synchronisieren eines registrierten Geräts für Windows" und "Überprüfen des Gerätezugriffs" im Unternehmensportal für Windows.

Conflicts

Konflikte können auftreten, wenn unterschiedliche Richtlinien dieselbe Einstellung auf unterschiedliche Werte aktualisieren. Beispielsweise verfügen Sie über zwei Richtlinien, die die Einstellung zum Kopieren/Einfügen auf unterschiedliche Werte aktualisieren. Der Konflikt wird je nach Richtlinientyp unterschiedlich behandelt.

Wenn Sie Microsoft Copilot in Intune verwenden, kann Copilot Ihnen helfen, Konflikte zu lösen. Weitere Informationen finden Sie unter Richtlinien- und Einstellungsverwaltung in Copilot in Intune.

Sie können auch Microsoft Copilot in Intune verwenden, um weitere Informationen zu Ihren Richtlinien und den in Ihren Richtlinien konfigurierten Einstellungen zu erhalten.

Appschutz-Richtlinien, die in Konflikt stehen

Konfliktwerte sind die restriktivsten Einstellungen, die in einer Appschutz-Richtlinie verfügbar sind. Die Ausnahme sind numerische Eingabefelder, z. B. PIN-Versuche vor dem Zurücksetzen. Numerische Eingabefelder werden genauso wie die Werte festgelegt, als ob Sie eine MAM-Richtlinie mithilfe der empfohlenen Einstellungsoption erstellt haben.

Konflikte treten auf, wenn zwei Profileinstellungen identisch sind. Beispielsweise haben Sie zwei MAM-Richtlinien konfiguriert, die mit Ausnahme der Einstellung für Kopieren/Einfügen identisch sind. In diesem Szenario wird die Einstellung zum Kopieren/Einfügen auf den restriktivsten Wert festgelegt. Die restlichen Einstellungen werden wie konfiguriert angewendet.

Eine Richtlinie wird in der App bereitgestellt und tritt in Kraft. Eine zweite Richtlinie wird bereitgestellt. In diesem Szenario hat die erste Richtlinie Vorrang und gilt weiterhin. Die zweite Richtlinie wird als in Konflikt stehend angezeigt. Wenn beide Richtlinien gleichzeitig angewendet werden, also keine vorherige Richtlinie vorhanden ist, stehen beide in Konflikt. Alle in Konflikt stehenden Einstellungen werden auf die restriktivsten Werte festgelegt.

Compliance- und Gerätekonfigurationsrichtlinien, die in Konflikt stehen

Wenn zwei oder mehr Richtlinien demselben Benutzer oder Gerät zugewiesen sind, erfolgt das Anwenden der Einstellung auf der Ebene der individuellen Einstellung:

  • Wenn Sie Konformitätsrichtlinien verwenden, um Geräteeinstellungen auszuwerten, haben die Einstellungen in der Konformitätsrichtlinie Vorrang vor der gleichen Einstellung in den Gerätekonfigurationsrichtlinien. Konformitätsrichtlinieneinstellungen haben immer Vorrang vor Konfigurationsprofileinstellungen.

  • Die restriktivste Konformitätsrichtlinie wird angewendet, wenn sie anhand derselben Einstellung in einer anderen Konformitätsrichtlinie ausgewertet wird.

  • Falls eine Konfigurationsrichtlinieneinstellung im Konflikt mit einer Einstellung in einer anderen Konfigurationsrichtlinie steht, wird dieser Konflikt in Intune angezeigt. Konflikte dieser Art müssen Sie manuell auflösen.

Im Intune-Admin Center gibt es einige Stellen, an denen Sie Konfigurationsrichtlinien erstellen können, einschließlich Gruppenrichtlinienanalyse, Endpunktsicherheit, Sicherheitsgrundlinien und mehr. Wenn es einen Konflikt gibt und Sie mehrere Richtlinien haben, überprüfen Sie alle Orte, an denen Sie Richtlinien konfiguriert haben. Außerdem können die integrierten Berichtsfunktionen bei Konflikten helfen. Weitere Informationen zu den verfügbaren Berichten finden Sie unter Intune Berichte.

In Konflikt stehende benutzerdefinierte iOS-/iPadOS- oder macOS-Richtlinien

Intune bewertet nicht die Nutzlast von Apple-Konfigurationsdateien oder einer benutzerdefinierten OMA-URI-Richtlinie (Open Mobile Alliance Uniform Resource Identifier). Es dient lediglich als Übermittlungsmechanismus.

Wenn Sie eine benutzerdefinierte Richtlinie zuweisen, bestätigen Sie, dass die konfigurierten Einstellungen nicht mit Konformitäts-, Konfigurations- oder anderen benutzerdefinierten Richtlinien in Konflikt stehen. Wenn eine benutzerdefinierte Richtlinie und ihre Einstellungen in Konflikt geraten, wendet Apple die Einstellungen nach dem Zufallsprinzip an.

Die integrierten Berichtsfunktionen können bei Konflikten helfen. Weitere Informationen zu den verfügbaren Berichten finden Sie unter Intune-Berichte.

Ein Profil wird gelöscht oder ist nicht mehr anwendbar.

Wenn Sie ein Profil löschen oder ein Gerät aus einer Gruppe entfernen, der das Profil zugewiesen ist, werden das Profil und die Einstellungen vom Gerät entfernt. Insbesondere werden sie wie in der folgenden Liste beschrieben entfernt:

  • WLAN-, VPN-, Zertifikat- und E-Mail-Profile: Diese Profile werden von allen unterstützten registrierten Geräten entfernt.

  • Alle anderen Profiltypen:

    • Android-Geräte: Einstellungen werden nicht vom Gerät entfernt.

    • iOS/iPadOS: Alle Einstellungen werden entfernt, außer:

      • Sprachroaming zulassen
      • Datenroaming zulassen
      • Automatische Synchronisierung beim Roaming zulassen

    • Windows-Geräte: Nachdem Sie das Profil entfernt oder die Zuweisung aufgehoben haben, muss sich der Microsoft Entra-Benutzer beim Gerät anmelden und mit dem Intune-Dienst synchronisieren.

      Intune-Einstellungen basieren auf dem Windows-Konfigurationsdienstanbieter (Windows Configuration Service Provider, CSP). Das Verhalten hängt vom CSP ab. Einige CSP entfernen die Einstellung, und einige CSP behalten die auch als „Tätowierung“ bezeichnete Einstellung bei.

  • Ein Profil gilt für eine Benutzergruppe. Später wird ein Benutzer aus der Gruppe entfernt. Bis die Einstellungen für diesen Benutzer entfernt sind, kann es für die folgenden Elemente bis zu 7 Stunden oder mehr dauern:

Ich habe ein Profil für Geräteeinschränkungen geändert, aber die Änderungen wurden nicht übernommen.

Um ein weniger restriktives Profil anzuwenden, müssen einige Geräte möglicherweise zurückgezogen und bei Intune erneut registriert werden. Beispielsweise müssen Sie Android-, iOS-/iPadOS- und Windows-Clientgeräte möglicherweise zurückziehen und erneut registrieren.

Einige Einstellungen in einem Windows-Profil geben "Nicht zutreffend" zurück

Einige Einstellungen auf Windows-Clientgeräten können als Nicht zutreffend angezeigt werden. In diesen Fällen werden die Einstellungen von der auf Ihrem Gerät ausgeführten Windows-Version oder -Edition nicht unterstützt. Diese Meldung kann aus folgenden Gründen angezeigt werden:

  • Die Einstellung ist nur auf neueren Windows-Versionen und nicht auf der aktuellen Betriebssystemversion verfügbar.
  • Die Einstellung ist nur für bestimmte Windows-Editionen oder bestimmte SKUs, z. B. Home, Professional, Education und Enterprise, verfügbar.

Weitere Informationen zu den Versions- und Editionsanforderungen für die verschiedenen Einstellungen finden Sie in der Referenz zu Konfigurationsdienstanbietern.

Wenn Geräte registriert werden, kommt es zu einer Verzögerung beim Anwenden von Apps und Richtlinien, die dynamischen Gerätegruppen zugewiesen sind.

Während der Registrierung können Sie dynamische Microsoft Entra-Gerätegruppen verwenden, um Apps und Richtlinien als Ziel zu verwenden. Sie können z. B. eine dynamische Gerätegruppe basierend auf dem Namen oder Registrierungsprofil eines Geräts erstellen.

Dynamische Gruppenmitgliedschaften erfordern eine zusätzliche Verarbeitung, nachdem ein Gerät registriert wurde. Bis das Gerät der Gruppe hinzugefügt wird, werden Apps und Richtlinien, die dieser Gruppe zugewiesen sind, nicht bereitgestellt. Die Richtlinien gelten möglicherweise erst beim nächsten geplanten Check-In.

Wenn die schnelle Bereitstellung von Apps und Richtlinien für Ihr Registrierungsszenario wichtig ist, sollten Sie diese Alternativen in Betracht ziehen:

  • Benutzergruppen – Weisen Sie Apps und Richtlinien Benutzergruppen anstelle von dynamischen Gerätegruppen zu. Benutzergruppen werden vor dem Einrichten des Geräts vorab mit Mitgliedern aufgefüllt und hängen nicht von der Verarbeitung der Gruppenmitgliedschaft nach der Registrierung ab.

  • Zuweisungsfilter : Verwenden Sie Zuweisungsfilter , um Geräte basierend auf Eigenschaften wie Betriebssystemtyp, Hersteller oder Registrierungsprofil anzusprechen. Filter werden direkt beim Einchecken von Geräten ausgewertet, ohne von der Verarbeitung einer Gruppenmitgliedschaft abhängig zu sein. Wenden Sie Filter auf allgemeine Gruppen wie Alle Geräte an, um eine schnelle, vorhersehbare Richtlinienübermittlung während der Registrierung zu ermöglichen.

  • Gruppierung der Registrierungszeit – Wenn Sie weiterhin Gerätegruppen für die Zielgruppenadressierung der Registrierung verwenden müssen, werden Geräte mit der Gruppierung der Registrierungszeit einer Sicherheitsgruppe während der Registrierung hinzugefügt und nicht danach, sodass Apps und Richtlinien, die dieser Gruppe zugewiesen sind, beim ersten Einchecken bereitgestellt werden.

Weitere Informationen zu dynamischen Gruppen finden Sie unter:

Konformitätsrichtlinie für nicht zugewiesene Geräte weiterhin zugewiesen und erzwungen

Wenn Sie die Zuweisung einer Konformitätsrichtlinie zu einem Gerät und dem zugehörigen Benutzer aufheben, wird die Richtlinie möglicherweise weiterhin im Intune Admin Center >> unter Gerätekonformität als zugewiesen angezeigt.

Die Richtlinie bleibt weiterhin zugewiesen und wirksam, bis das Gerät mit dem Intune-Dienst synchronisiert wird. Es handelt sich hierbei um ein beabsichtigtes Verhalten.

Sie können das Gerät auch manuell synchronisieren.

Weitere Informationen finden Sie unter:

Fehler "Die Synchronisierung konnte nicht initiiert werden (0x80072f9a)"

Wenn Sie auf Windows-Geräten versuchen, die Synchronisierung in der Einstellungen-App>Kontenzugriff auf Geschäfts-, Schul-> oder Unikonto durchzuführen, wird möglicherweise ein The sync could not be initiated (0x80072f9a) Fehler angezeigt.

Wenn das Trusted Platform Module (TPM) auf die Werkseinstellungen zurückgesetzt wurde, muss sich das Gerät erneut registrieren, um die Synchronisierung fortzusetzen. Die Microsoft Entra-Identität des Geräts wird im TPM gespeichert. Wenn die ID also entfernt wird, ist die erneute Registrierung die einzige Möglichkeit, die Microsoft Entra-Identität wiederherzustellen.

  • Last updated on