Planungshandbuch für Softwareupdates und Szenarien für überwachte iOS/iPadOS-Geräte in Microsoft Intune

Es ist wichtig, Ihre mobilen Geräte mit Softwareupdates auf dem neuesten Stand zu halten. Sie müssen das Risiko von Sicherheitsereignissen reduzieren und minimale Unterbrechungen für Ihre Organization und Ihre Benutzer haben. Auf überwachten iOS/iPadOS-Geräten verfügt Intune über integrierte Richtlinien, mit denen Softwareupdates verwaltet werden können.

Dieser Artikel enthält eine Checkliste für Administratoren, die Ihnen bei den ersten Schritten mit Softwareupdates auf überwachten iOS/iPadOS-Geräten hilft. Außerdem werden gängige Branchenszenarien und Beispielrichtlinien aufgeführt, die Sie in Ihrer Umgebung konfigurieren können.

Die spezifischen Schritte zum Erstellen einer Softwareupdaterichtlinie finden Sie unter Verwalten von iOS/iPadOS-Softwareupdaterichtlinien in Intune.

Dieser Artikel gilt für:

• Überwachte iOS-/iPadOS-Geräte, die in Intune registriert sind

Admin-Checkliste für Geräte im Besitz der organization

In diesem Abschnitt werden die von Microsoft empfohlenen Anleitungen und Strategien zum Installieren von Softwareupdates auf Ihren Geräten aufgeführt.

✅ Verwalten von Updates mit Richtlinien

Microsoft empfiehlt, Richtlinien zum Aktualisieren Ihrer Geräte zu erstellen.

Standardmäßig erhalten Benutzer Benachrichtigungen und/oder sehen die neuesten auf ihren Geräten verfügbaren Updates (Einstellungen > Allgemeine > Software-Updates). Benutzer können Updates herunterladen und installieren, wann immer sie möchten.

Wenn Benutzer ihre eigenen Updates installieren (anstatt dass Administratoren die Updates verwalten), kann dies die Produktivität der Benutzer und Geschäftsaufgaben beeinträchtigen. Zum Beispiel:

• Benutzer können ein Update starten, wann immer sie möchten, und können möglicherweise nicht arbeiten, während ein Update installiert wird.

• Benutzer können Updates anwenden, die Ihre Organization nicht genehmigt hat. Diese Entscheidung kann zu Problemen mit der Anwendungskompatibilität, Änderungen am Betriebssystem oder Änderungen der Benutzererfahrung führen, die die Gerätenutzung beeinträchtigen.

• Benutzer können die Anwendung erforderlicher Updates vermeiden, die sich auf die Sicherheit oder Anwendungskompatibilität auswirken. Diese Situation kann dazu führen, dass die Geräte gefährdet sind und/oder nicht funktionieren.

✅ Automatische Updates aktiviert lassen

Ab iOS/iPadOS 12 installieren Apple-Geräte die Updates automatisch, wenn Updates verfügbar sind. Dieses Feature ist auf neuen Geräten standardmäßig aktiviert. Lassen Sie dieses Feature aktiviert.

Um dieses automatische Patchen zu verwenden und Updates schneller zu installieren, stellen Sie sicher, dass die Geräte:

• eingeschaltet
• Netzbetrieb
• Mit dem Internet verbunden

Wenn die Geräte eingeschaltet, angeschlossen und mit dem Internet verbunden sind, werden die Updates automatisch heruntergeladen, & installiert, und das Gerät wird neu gestartet. Wenn das Gerät diese Bedingungen nicht erfüllt, werden die Updates nicht automatisch heruntergeladen und installiert.

Damit Ihre Geräte immer auf dem neuesten Stand sind und Sie nur minimalen Aufwand betreiben, lassen Sie das Feature "Automatische Updates" aktiviert:

Automatische Updates funktionieren mit anderen Updaterichtlinien zusammen, was Administratoren und Endbenutzern eine positive Erfahrung bieten kann.

Mithilfe von Intune-Richtlinien können Sie auch erzwingen, dass Benutzer ihre Geräte aktualisieren:

• Verwenden Sie Registrierungseinschränkungen , um zu verhindern, dass Benutzer Geräte registrieren, die nicht aktuell sind.
• Erstellen Sie Konformitätsrichtlinien , um zu bestimmen, welche Geräte nicht aktualisiert werden.
• Erstellen Sie Richtlinien für bedingten Zugriff , um Geräte zu blockieren, die nicht aktualisiert werden. Die CA-Richtlinien können Benutzer auch auffordern, aktuelle Updates zu installieren, damit sie wieder Zugriff erhalten.

Was Sie wissen müssen

• Wenn das Feature für automatische Updates deaktiviert ist, kann es aufgrund einer Betriebssystemeinschränkung nicht mithilfe von Richtlinien geändert werden. Die Einstellung muss auf dem Gerät manuell geändert oder das Gerät zurückgesetzt & neu bereitgestellt werden.

• Wenn Geräte mit einer PIN konfiguriert sind, müssen Sie die PIN eingeben, um das Software-Update zu starten. Die Eingabe der PIN ist für Information Worker 1:1-Geräte in der Regel kein Problem.

  Bei der Planung von Updates für Kioske, Fabrikumgebungen oder benutzerlose Szenarien müssen Sie möglicherweise Ihre Prozesse anpassen, um das PIN-Verhalten zu berücksichtigen.

✅ Verwenden der integrierten Einstellungen

Zum Verwalten von Updates bietet Apple die folgenden Optionen:

• Deklarative Geräteverwaltung (DDM)

  Verwenden Sie unter iOS/iPadOS 17.0 und höher die deklarative Geräteverwaltung (DDM) von Apple, um Softwareupdates zu verwalten. DDM ist die moderne Möglichkeit zur Verwaltung von Geräten mit einer verbesserten Benutzererfahrung, da das Gerät den gesamten Softwareupdate-Lebenszyklus verarbeitet. Er informiert die Benutzer, dass ein Update verfügbar ist, lädt das Update herunter, bereitet das Gerät für die Installation vor & installiert das Update.

  Die DDM-Einstellungen können im Microsoft Intune Admin Center konfiguriert werden. Weitere Informationen finden Sie unter Verwaltete Softwareupdates mit dem Einstellungskatalog.

• Richtlinien für Softwareupdates

  Diese MDM-Richtlinien bieten einen kontrollierten Rollout einer bestimmten Version. Sie können auch das Upgrade von Geräten mit älteren Versionen erzwingen. Administratoren können die iOS/iPadOS-Version eingeben, um die Installation zu installieren und zu planen.

  Diese Einstellungen können im Microsoft Intune Admin Center konfiguriert werden. Weitere Informationen finden Sie unter Verwalten von iOS/iPadOS-Softwareupdaterichtlinien in Intune.

• Richtlinien zum Zurückstellen von Softwareupdates

  Diese MDM-Richtlinien verbergen Updates für bis zu 90 Tage. Sie verhindern, dass Benutzer ihr Gerät manuell auf eine Version aktualisieren, die nicht genehmigt wurde. Dieses Feature steuert nicht, wann die Updates angewendet werden.

  Diese Einstellungen können im Microsoft Intune Admin Center konfiguriert werden. Weitere Informationen finden Sie unter Verwalten von iOS/iPadOS-Softwareupdaterichtlinien in Intune.

Mit diesen Features können Administratoren sicherstellen, dass auf ihren Apple-Geräten eine bestimmte Softwareversion ausgeführt wird, und die Veröffentlichung von Updates auf ihren Geräten steuern.

✅ Erstellen von Richtlinien, die viele Zeitzonen unterstützen

Alle Richtlinienzeiten verwenden UTC (Coordinated Universal Time). Die lokale Zeitzone des Geräts wird nicht verwendet.

Um die Anzahl der Richtlinien, die Sie erstellen und verwalten müssen, zu minimieren, erstellen Sie eine Konfiguration, die viele Zeitzonen unterstützt. Erstellen Sie nicht für jede Zeitzone eine eigene Richtlinie.

In den USA gibt es beispielsweise vier primäre Zeitzonen: Pazifik (UTC-8), Berg (UTC-7), Mitte (UTC-6) und Eastern (UTC-5). Sie können separate Richtlinien für jede Zeitzone erstellen. Oder erstellen Sie eine oder zwei Richtlinien, die zum gleichen Ergebnis führen.

✅ Seien Sie vorsichtig mit Versionseinstellungen

Berücksichtigen Sie beim Erstellen von Richtlinien für Softwareupdates die weitreichenden Auswirkungen der Versionsdetails in allen Richtlinien.

Zum Beispiel:

• Sie konfigurieren eine Richtlinie, die Updates für 90 Tage verzögert. Wenn eine Registrierungseinschränkungsrichtlinie erfordert, dass Geräte über eine aktuelle iOS/iPadOS-Version verfügen, kann die Registrierung von Geräten nach einem Zurücksetzen des Geräts blockiert werden.

• Sie erstellen eine Konformitätsrichtlinie, die eine aktuelle iOS/iPadOS-Mindestversion erfordert. Mit dieser Richtlinie sind Geräte mit älteren Versionen nicht mehr konform. Wenn Sie den bedingten Zugriff verwenden, um die Compliance zu erzwingen, werden die Benutzer blockiert und können nicht arbeiten.

Allgemeine Branchenszenarien

Apple-Geräte werden in verschiedenen Branchen eingesetzt, darunter Unternehmen, Einzelhandel, Fertigung und Bildung. Die meisten Gerätenutzungsfälle können in die folgenden Typen eingeteilt werden:

• 1:1: Geräte werden nur von einer Person verwendet.
• Freigegeben: Geräte werden von mehreren Personen verwendet.
• Dediziert: Geräte werden für einen bestimmten Geschäftszweck verwendet, z. B. ein Kiosk oder Digital Signage.

Die folgende Tabelle enthält gängige Branchenbegriffe, die in diesem Artikel verwendet werden:

Dieser Abschnitt beschreibt einige gängige Branchenszenarien und enthält Beispiele für Intune-Richtlinien.

Wissensarbeiter

Diese Gruppe sind Personen mit erworbenem Wissen, die in Unternehmen und Organisationen arbeiten. Ihr Wissen und ihre Denkfähigkeit sind ihr Job. Einige Beispiele sind Ingenieure, Inhaltsentwickler, Programmierer, Buchhalter, Kommunikation, Berater und so weiter.

Wissensarbeiter verfügen in der Regel über ein eigenes Gerät. Das Gerät wird nicht mit anderen Benutzern oder anderen Wissensarbeitern geteilt.

In Szenarien wie Wissensarbeiter-Geräten besteht das Hauptziel darin, den Updateprozess so einfach und schnell wie möglich zu gestalten. Ihre Apps sind größtenteils Store-basiert, und die Apps sollten mit der neuesten Betriebssystemversion kompatibel bleiben. Auf diesen Geräten sind Benutzer in der Regel tolerant gegenüber Aufforderungen zur Eingabe von Updates und/oder der Wahl eines geeigneten Zeitpunkts für Neustarts.

Eine Updatestrategie und -prioritäten für diese Geräte umfassen in der Regel:

Szenariobeispiel:

Sie konfigurieren ein Updateprofil für die Wissensarbeiter bei Contoso. Diese Benutzer verwenden hauptsächlich Microsoft 365-Apps und mehrere VPP-Apps (Volumenkaufprogramm).

Als Administrator sind Sie mit Folgendem vertraut:

• Diese Geräte mit der neuesten veröffentlichten iOS/iPadOS-Version
• Herunterladen und Installieren von Updates, sobald die Geräte mit Intune einchecken
• Endbenutzer können entscheiden, wann Updates installiert und ihre Geräte neu gestartet werden, um die Updates anzuwenden.

Um diese Ziele zu erreichen, können Sie eine Richtlinie mit den folgenden Standardeinstellungen verwenden:

Kioske

Bei diesen Geräten handelt es sich in der Regel um Einzelhandelsgeräte in Geschäften. Dabei kann es sich um Desktopcomputer oder ein mobiles Gerät handeln. Sie werden von Mitarbeitern verwendet, um Kunden zu bedienen, und direkt von Kunden für Self-Service-Aufgaben. Sie können auch eine visuelle Anzeige sein, die alle Kunden sehen, wenn sie vor Ort sind.

In Kiosk-ähnlichen Szenarien sind die primären Ziele für die Aktualisierung der Geräte folgende:

• Stellen Sie sicher, dass die Geräte mit genehmigten Betriebssystemupdates auf dem aktuellen Stand sind.
• Administratoren verwalten die Updates und alle Versionsverwaltungen.
• Die Installation und die Neustarts erfolgen außerhalb der Geschäftszeiten.

Eine Updatestrategie und -prioritäten für diese Geräte umfassen in der Regel:

Szenariobeispiel:

Sie konfigurieren ein iOS/iPadOS-Updateprofil für die Kioskgeräte bei Contoso. Diese Geräte werden in einem Einzelhandelsgeschäft betrieben. Ihre Mitarbeiter verwenden die Geräte, um Kunden 7 Tage die Woche zu bedienen, einschließlich verlängerter Einzelhandelszeiten. Auf den Geräten wird eine einzelne branchenspezifische Kiosk-App ausgeführt, die intern von Contoso entwickelt wurde. Diese interne Anwendung wird nur vierteljährlich getestet und validiert.

Sie möchten die spezifische iOS/iPadOS-Version bereitstellen, mit der diese LOB-App kürzlich getestet wurde, nämlich iOS 16.3. Wenn diese Kioskanwendung nicht ordnungsgemäß funktioniert, kann das Einzelhandelsgeschäft keine Kunden bedienen. Die Geräte sind mit Wi-Fi verbunden und werden über Nacht aufgeladen, wenn die Verkaufsstelle für Kunden geschlossen ist.

Sie haben ein Wartungsfenster über Nacht von 10 Stunden ausgewählt, in dem Updates heruntergeladen und angewendet werden können, bevor der Store öffnet.

Erstellen Sie hierzu eine Richtlinie mit den folgenden Einstellungen:

Fabrikmaschinen

Diese Geräte sind häufig Einzweckgeräte. Sie werden in unternehmenskritischen Bereichen wie Fertigungslinien oder speziellen Geräten zur Steuerung & Überwachung eingesetzt. Es könnte sich beispielsweise um ein Android-Tablet handeln, auf dem Steuerungs- oder Überwachungssoftware für ein Gerät ausgeführt wird, das Komponenten schweißt.

In Szenarien für Fabrikmaschinen besteht das Hauptziel darin, sicherzustellen, dass sich Geräte konsistent verhalten. Updates müssen möglicherweise verschoben werden, damit alle Anwendungskompatibilitätstests abgeschlossen werden können. Installation und Neustarts erfolgen zu bestimmten Zeiten und werden in der Regel schrittweise bereitgestellt.

Eine Updatestrategie und -prioritäten für diese Geräte umfassen in der Regel:

Szenariobeispiel:

Sie konfigurieren ein Updateprofil für Geräte in der Produktionshalle der Industrieanlage von Contoso. Die Anlage läuft 24x7, 365 Tage im Jahr, mit Ausnahme einiger Stunden obligatorischer Unterbrechung für Sicherheitsinspektionen. Diese Inspektionen finden jede Woche am frühen Sonntagmorgen statt.

Auf diesen Geräten werden zwei Hersteller-Apps ausgeführt. Um eine unterstützte Konfiguration aufrechtzuerhalten, werden beide Apps selten aktualisiert und müssen eine bestimmte Version der App und des Betriebssystems ausführen.

Sie möchten eine bestimmte, ältere iOS-/iPadOS-Version (15) auf diesen Geräten bereitstellen, da der App-Hersteller neuere Versionen noch nicht unterstützt. Da die Geräte fast immer im Einsatz sind, haben Sie nur einmal pro Woche am Sonntag ein kleines Wartungsfenster.

Sie möchten Updates während eines zweistündigen Ausfallzeitfensters über Nacht an einem Sonntag planen.

Erstellen Sie hierzu eine Richtlinie mit den folgenden Einstellungen:

Freigegebene Geräte

Freigegebene Geräte werden von vielen Benutzern verwendet, die sich in der Regel bei dem Gerät an- und abmelden, einschließlich Bildungsumgebungen. Diese Geräte können Terminal-/Desktopcomputer, Tablets, Laptops und Smartphones sein. Sie werden häufig in Büros, Klassenzimmern und Einzelhandelsgeschäften verwendet.

Weitere Informationen zum Verwalten gemeinsam genutzter iOS-/iPadOS-Geräte finden Sie unter Lösungen für gemeinsam genutzte Geräte für iOS/iPadOS.

Bei gemeinsam genutzten iOS-/iPadOS-Geräten müssen alle Benutzer abgemeldet sein, damit Updates angewendet werden können. Die Benutzer können abgemeldet oder das Gerät neu gestartet werden, wodurch die Benutzer automatisch abgemeldet werden.

Eine Updatestrategie und -prioritäten für diese Geräte umfassen in der Regel:

Szenariobeispiel:

Morgens meldet sich BenutzerA am Gerät an, um seine E-Mails abzurufen, bevor er auf den Boden geht. Eine Stunde später verwendet BenutzerB dasselbe Gerät, um einige Branchen-Apps auszuführen.

Sie müssen ein Update für dieses freigegebene Gerät konfigurieren. Diese gemeinsam genutzten Geräte werden von allgemeinen Wissensarbeitern verwendet, die montags bis freitags von 8 bis 17 Uhr im Büro sind. Sie möchten, dass die Geräte über die neueste iOS/iPadOS-Version verfügen, die alle Apps unterstützt, die auf den gemeinsam genutzten Geräten verwendet werden.

Um die Richtlinie so einfach wie möglich zu halten, sollten die Updates außerhalb der üblichen Arbeitszeiten plus einer Stunde für Neustarts oder andere Aktionen installiert werden.

Um diese Aufgabe zu erfüllen, umfasst dieses Szenario zwei Richtlinien:

• In der ersten Richtlinie möchten Sie, dass alle Benutzer abgemeldet sind oder das Gerät nach einer bestimmten Zeit neu starten sollen. Sie können ein Apple Business-Registrierungsprofil erstellen, um alle Benutzer abzumelden, die länger als 15 Minuten (900 Sekunden) inaktiv sind:

  

• Planen Sie in der zweiten Richtlinie das Update mit den folgenden Einstellungen:

  

Verwandte Artikel

• Verwalten Sie iOS/iPadOS-Softwareupdaterichtlinien in Intune
• Planungshandbuch für Softwareupdates und Szenarien für BYOD und persönliche Geräte
• Planungshandbuch für Softwareupdates für verwaltete Android-Geräte
• Planungshandbuch für Softwareupdates für verwaltete macOS-Geräte