Erstellen von Einschränkungen für die Geräteplattform

Erstellen Sie eine Registrierungseinschränkungsrichtlinie für die Geräteplattform, um die Registrierung von Geräten in Intune einzuschränken. Zu den verfügbaren Einschränkungen gehören:

• Geräteplattform
• BS-Version
• Hersteller
• Eigentum (in persönlichem Besitz)

Sie können im Microsoft Intune Admin Center eine neue Einschränkungsrichtlinie für die Geräteplattform erstellen oder die bereits verfügbare Standardrichtlinie verwenden. Sie können bis zu 25 Einschränkungsrichtlinien für die Geräteplattform festlegen.

In diesem Artikel werden die in Microsoft Intune unterstützten Geräteplattformeinschränkungen und deren Konfiguration im Admin Center beschrieben.

Anforderungen

Standardrichtlinie

Microsoft Intune bietet eine Standardrichtlinie für Geräteplattformeinschränkungen, die Sie nach Bedarf bearbeiten und anpassen können. Intune wendet die Standardrichtlinie auf alle benutzerbasierten und benutzerlosen Registrierungen an, bis Sie eine Richtlinie mit höherer Priorität zuweisen.

Bewährte Methode – Einschränkungen der Android-Plattform

Da Intune zwei Android-Plattformen unterstützt, ist es wichtig zu verstehen, wie Betriebssystemversionseinschränkungen funktionieren, wenn Sie sie mit Geräteplattformeinschränkungen verwenden:

• Wenn Sie beide Plattformen für dieselbe Gruppe zulassen und sie dann für bestimmte und nicht überlappende Versionen verfeinern, untersucht Intune die Version, um den Android-Registrierungsfluss zu bestimmen, den Geräte durchlaufen.
• Wenn Sie beide Plattformen zulassen, aber dieselben Versionen blockieren, können Geräte mit blockierten Versionen nicht registriert werden. Benutzer auf diesen Geräten werden durch den Registrierungsablauf des Android-Geräteadministrators geleitet, bevor sie blockiert und aufgefordert werden, sich abzumelden.

Erstellen Sie eine Geräteplattformbeschränkung

1. Melden Sie sich beim Microsoft Intune Admin Center an, und wechseln Sie zu Geräte.

2. Wählen Sie unter "Geräteonboarding" die Option "Registrierung" aus.

3. Wählen Sie unter "Registrierungsoptionen" die Option "Einschränkung der Geräteplattform" aus.

4. Wählen Sie oben auf der Seite die Registerkarte aus, die der Plattform entspricht, die Sie konfigurieren. Ihre Optionen:

   • Windows Einschränkungen
   • Android-Einschränkungen
   • macOS-Einschränkungen
   • iOS/iPadOS-Einschränkungen
   • tvOS-Einschränkungen
   • visionOS Einschränkungen

5. Klicken Sie auf Erstellen, um die Einschränkung zu erstellen.

6. Geben Sie auf der Seite Grundlagen einen Name und optional eine Beschreibung für die Beschränkung ein.

7. Wählen Sie Weiter aus.

8. Konfigurieren Sie auf der Seite Plattformeinstellungen die Beschränkungen für Ihre ausgewählte Plattform. Folgende Optionen sind verfügbar:

   • Plattform (Android): Wählen Sie "Zulassen " aus, um einer Plattform die Registrierung zu erlauben, und "Blockieren ", um sie einzuschränken.

   • MDM (Windows, macOS, iOS/iPadOS, tvOS und visionOS): Wählen Sie "Zulassen " aus, um einer Plattform die Registrierung zu erlauben, und "Blockieren ", um sie einzuschränken.

   • Persönliches Eigentum: Wählen Sie Zulassen, um zuzulassen, dass Geräte als persönliche Geräte registriert und betreiben werden.

   • Gerätehersteller (Android): Geben Sie eine durch Kommas getrennte Liste der Hersteller ein, die Sie blockieren möchten.

   • Mindest-/Höchstbereich zulassen (Android, Windows, iOS/iPadOS): Geben Sie die minimalen und maximal zulässigen Betriebssystemversionen ein. Folgende Versionsformate werden unterstützt:

     • Windows unterstützt major.minor.build.rev für Windows. Intune erhält die Revisionsnummer während der Registrierung nicht, geben Sie also 0 für die Revisionsnummer ein.

     • Android-Geräteadministrator und Android Enterprise-Arbeitsprofil unterstützen „Hauptversion.Nebenversion.Revision.Build“.

     • iOS/iPadOS unterstützt major.minor.rev.

       Tipp

       Der Min/Max-Bereich gilt nicht für Apple-Geräte, die sich für das Geräteregistrierungsprogramm, den Apple School Manager oder die Apple Configurator-App registrieren. Obwohl Intune keine ADE-Registrierungen blockiert, die das Unternehmensportal zur Authentifizierung verwenden, wirkt sich die Nichterfüllung der Betriebssystemanforderungen auf die Registrierung aus, da Geräte den Microsoft Entra-Gerätedatensatz nicht erstellen können, der zum Auswerten von Richtlinien für bedingten Zugriff verwendet wird. Sie erkennen, dass dies der Fall ist, wenn ein Gerätebenutzer nach der Anmeldung beim Unternehmensportal eine Fehlermeldung erhält, die besagt, dass der Gerätedatensatz keinem Benutzer zugeordnet werden konnte.

9. Wählen Sie Weiter aus.

10. Fügen Sie der Einschränkung optional Bereichstags hinzu. Weitere Informationen zu Bereichsmarkierungen finden Sie unter Use role-based access control and scope tags for distributed IT (Verwenden der rollenbasierten Zugriffssteuerung und von Bereichsmarkierungen für verteilte IT).

    Hinweis

    Wenn Sie Bereichsmarkierungen auf eine Einschränkung anwenden, können nur Intune-Benutzer innerhalb des Bereichs die Richtlinie anzeigen und verwalten. Nur Personen im Bereich können eine Einschränkung anzeigen und neu anordnen oder die Prioritätsstufe ändern. Sie können auch die relative Priorität der Einschränkung sehen, auch wenn sie nicht alle Einschränkungen sehen können.

11. Wählen Sie Weiter aus.

12. Wählen Sie auf der Seite Aufgaben die Option Gruppen hinzufügen aus, und verwenden Sie dann das Suchfeld, um nach Gruppen zu suchen, die Sie in diese Einschränkung einschließen möchten. Um die Einschränkung stattdessen allen Gerätebenutzern zuzuweisen, wählen Sie Alle Benutzer hinzufügen. Wenn Sie mindestens einer Gruppe keine Einschränkung zuweisen, wird die Einschränkung nicht wirksam.

13. Wählen Sie nach dem Zuweisen von Gruppen optional Filter bearbeiten aus, um die Richtlinienzuweisung weiter einzuschränken. Filter sind für macOS-, iOS- und Windows-Richtlinien verfügbar. Weitere Informationen finden Sie unter Anwenden von Aufgabenfiltern in diesem Artikel.

14. Wählen Sie Weiter aus.

15. Überprüfen Sie Ihre Richtlinie, und wählen Sie dann "Erstellen " aus, um sie zu erstellen.

Sie können die neue Einschränkungsrichtlinie anzeigen und auf ihre Eigenschaften in der Tabelle "Einschränkungen der Geräteplattform" der Gerätetypen> zugreifen. Wählen Sie die Einschränkung aus, und bewegen Sie sie, um sie in der Tabelle neu zu positionieren und ihre Priorität zu ändern.

Anwenden von Aufgabenfiltern

Sie können Zuweisungsfilter verwenden, um zusätzliche Geräte in bestimmte gruppenbezogene Richtlinien einzuschließen oder auszuschließen. Registrierungseinschränkungen und ESP-Richtlinien unterstützen beide die Verwendung von Zuweisungsfiltern.

Beispielsweise können Sie einen Filter verwenden, um persönlichen Windows-Geräten die Registrierung zu ermöglichen, während Geräte blockiert werden, auf denen eine bestimmte Betriebssystem-SKU ausgeführt wird. Um dieses Ergebnis zu erzielen, wenden Sie einen vorkonfigurierten Filter auf Ihre Zuweisungen von Registrierungseinschränkungen an. Der Filter muss über die operatingSystemSKU-Eigenschaft in den Regeln verfügen. Beispielschritte:

1. Erstellen Sie eine Plattformregistrierungseinschränkungsrichtlinie für Windows.
2. Wählen Sie in den Plattformeinstellungen die Option aus, mit der sich private Geräte registrieren können.
3. Wählen Sie in den Zuweisungseinstellungen die Gruppen aus, die Sie zuweisen möchten.
4. Wählen Sie Filter bearbeiten aus, und wenden Sie dann den vorkonfigurierten Filter an, der die operatingSystemSKU-Eigenschaft enthält. Die angewendete Eigenschaft blockiert Geräte, auf denen Windows 10 Home Edition ausgeführt wird.

Weitere Informationen zum Erstellen von Filtern finden Sie unter Einen Filter erstellen.

Unterstützte Filtereigenschaften

Registrierungseinschränkungen unterstützen weniger Filtereigenschaften als andere gruppenorientierte Richtlinien. Dies liegt daran, dass Geräte noch nicht registriert sind, sodass Intune nicht über die Geräteinformationen verfügt, um alle Eigenschaften zu unterstützen. Die begrenzte Auswahl an Unterkünften wird verfügbar, wenn Sie:

• Konfigurieren Sie eine Geräteplattformeinschränkungsrichtlinie für Apple- und Windows-Geräte.
• Konfigurieren Sie eine Richtlinie für die Registrierungsstatusseite (ESP) für Windows.
• Bearbeiten Sie einen Filter, der in einer Registrierungseinschränkung oder ESP-Richtlinie verwendet wird.

Die folgenden Filtereigenschaften stehen mit Registrierungsrichtlinien immer zur Verwendung zur Verfügung:

Windows

• Hersteller – Für Windows 11, Version 22H2 und höher mit KB5035942 (Betriebssystembuilds 22621.3374 und 22631.3374).
• Modell – Für Windows 11, Version 22H2 und höher mit KB5035942 (Betriebssystembuilds 22621.3374 und 22631.3374).
• BS-Version
• SKU des Betriebssystems
• Besitz
• Name der Registrierungsrichtlinie

iOS/iPadOS und macOS

• Hersteller
• Modell
• BS-Version
• Besitz
• Name der Registrierungsrichtlinie

Weitere Informationen zu diesen Eigenschaften finden Sie unter Geräteeigenschaften. Filter können nicht mit Android-Registrierungsbeschränkungen verwendet werden.

Registrierungseinschränkungen bearbeiten

Bearbeitungen werden auf neue Registrierungen angewendet und wirken sich nicht auf Geräte aus, die bereits registriert sind.

1. Zurück zu>Geräteregistrierung.
2. Wählen Sie Einschränkungen der Geräteplattform und dann die Betriebssystemplattform aus, zu der die Einschränkung gehört.
3. Wählen Sie in der Tabelle "Gerätetypeinschränkungen " den Namen der Richtlinie aus, die Sie ändern möchten.
4. Wählen Sie Eigenschaften aus.
5. Wählen Sie Bearbeiten aus.
6. Nehmen Sie Ihre Änderungen vor, und wählen Sie Überprüfen + Speichern aus.
7. Überprüfen Sie Ihre Änderungen, und wählen Sie Speichern aus.