Kernkonzepte von Microsoft Intune

Microsoft Intune basiert auf drei Säulen: den Identitäten, die sich anmelden, den Geräten, mit denen sie sich anmelden, und den Apps, die sie zum Erledigen ihrer Arbeit verwenden. Intune orchestriert diese Säulen auf Microsoft Entra ID und übermittelt den Geräte- und App-Status zurück an Microsoft Entra bedingten Zugriff, der den Zugriff auf Unternehmensressourcen steuert.

Eine Einführung in die Funktionen und Gründe von Intune finden Sie unter Was ist Microsoft Intune?. Informationen zu den Komponenten, Integrationen und der Bereitstellungsansicht finden Sie unter Microsoft Intune-Architektur.

Diagramm, das zeigt, wie Microsoft Intune Identitäten, Geräte und Apps verwaltet, mit Signalen von der Endpunktsicherheit in Microsoft Defender. Intune wurde um erweiterte Funktionen erweitert, von Copilot automatisiert, und verwendet die Microsoft Entra ID für den bedingten Zugriff auf Unternehmensressourcen.

Die drei Säulen

Pfeiler Funktionsweise von Intune Worauf sich Intune stützt
Identitäten Richtet Richtlinien auf Benutzer und Gruppen aus, bestimmt den Administratorzugriff über die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) und erstellt Benutzeraffinität bei der Registrierung. Microsoft Entra ID für Konten, Gruppen, Authentifizierung und bedingten Zugriff.
Geräte Registriert, konfiguriert, schützt und zieht die Hardware außer Betrieb, die die Arbeit Ihrer organization ausführt. Meldet den Konformitätsstatus für bedingten Zugriff. Plattformregistrierungsprogramme (Windows Autopilot, Apple Automated Device Enrollment, Android Enterprise).
Apps Bereitstellt, konfiguriert, schützt und aktualisiert die Apps, die Benutzer benötigen, auf registrierten und persönlichen Geräten. App-Stores und Anbieterkataloge (Microsoft Store, App Store, Managed Google Play, Apple Business).

Der Rest dieses Artikels führt Sie durch die einzelnen Säulen und endet mit einem funktionierenden Beispiel, das eine einmalige Anmeldung über alle drei Säulen hinweg nachzeichnet.

Identitäten

Intune speichert keine Benutzeridentitäten. Es verwendet Microsoft Entra ID für Konten, Gruppen, Authentifizierung und bedingten Zugriff. In Intune tauchen Identitäten an drei Stellen auf.

Benutzeraffinität bei der Registrierung

Wenn sich ein Benutzer zum ersten Mal bei einem Gerät anmeldet, wird das Gerät diesem Benutzer zugeordnet. Diese Zuordnung wird als Benutzeraffinität bezeichnet. Richtlinien, die dem Benutzer zugewiesen sind, folgen ihnen auf allen zugehörigen Geräten, und der Benutzer kann von jedem dieser Geräte aus auf seine E-Mails, Dateien und Apps zugreifen.

Wenn kein Benutzer einem Gerät zugeordnet ist, ist das Gerät benutzerlos. Dieses Muster ist üblich für Kioske, die für eine einzige Aufgabe vorgesehen sind, und für gemeinsam genutzte Geräte, die von mehreren Personen verwendet werden.

Entscheiden Sie sich vor der Registrierung über den vorgesehenen Zweck des Geräts, damit Sie die richtige Registrierungsmethode auswählen können. Plattformspezifische Anleitungen finden Sie unter Geräteregistrierung in Microsoft Intune.

Rollenbasierter Zugriff für Administratoren

Intune verwendet die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC), um festzulegen, was jeder Administrator im Admin Center sehen und tun kann. Eingebaute Rollen wie der Anwendungs-Manager sowie der Richtlinien- und Profil-Manager beschränken Berechtigungen auf bestimmte Endpunktverwaltungsaufgaben. Da Intune die Microsoft Entra ID verwendet, sind auch die integrierten Microsoft Entra-Rollen (einschließlich Intune-Administrator) verfügbar.

Koppeln Sie RBAC mit Bereichstags , um die Möglichkeiten eines Administrators einzugrenzen. Weisen Sie beispielsweise einem regionalen Helpdesk eine Rolle zu, die Gerätelöschungen zulässt, markieren Sie sie jedoch, damit er nur Geräte in Ihrer Region anzeigen und zurücksetzen kann.

Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung mit Microsoft Intune und Verwenden von Bereichstags zum Filtern von Richtlinien.

Zielrichtlinien und -zuweisungen

Intune ist cloudbasiert und richtet Richtlinien direkt an Benutzer oder Gruppen. Es gibt keine Containerhierarchie wie Organisationseinheiten. Sie erstellen eine Richtlinie und weisen sie dann einer oder mehreren Microsoft Enttra-Gruppen zu.

Sie können eine Richtlinie auf Folgendes ausrichten:

  • Benutzergruppen, wenn die Einstellung dem Benutzer auf allen Geräten folgen soll. Zum Beispiel ein E-Mail-Profil oder eine App-Bereitstellung.
  • Gerätegruppen, wenn die Einstellung unabhängig davon gelten soll, wer angemeldet ist Zum Beispiel eine Kioskkonfiguration oder eine Richtlinie für Mitarbeiter in Service und Produktion.
  • Integrierte virtuelle Gruppen (Alle Benutzer, Alle Geräte), wenn eine Einstellung mandantenweit gilt.

Weitere Informationen finden Sie unter Hinzufügen von Gruppen zum Organisieren von Benutzern und Geräten und Zuweisen von Geräteprofilen in Microsoft Intune.

Geräte

Intune verwaltet und sichert die Desktops, Laptops, Tablets und Smartphones, auf die Ihre Organization angewiesen ist, unter Android, iOS, iPadOS, Linux, macOS, tvOS, visionOS und Windows. Die vollständige Matrix der unterstützten Betriebssysteme finden Sie unter Unterstützte Betriebssysteme und Browser.

Gerätelebenszyklus

Jedes verwaltete Gerät durchläuft vier Phasen, die alle im selben Admin Center behandelt werden.

  • Registrieren: Bringen Sie Geräte unter Verwaltung. Unternehmenseigene Hardware verwendet in der Regel die automatische Registrierung über Windows Autopilot, Apple Automated Device Enrollment oder Android Enterprise. Persönliche Geräte werden über die Unternehmensportal-App registriert.
  • Konfigurieren: Wenden Sie Einstellungen für WLAN, VPN, Zertifikate, E-Mail, Gerätefeatures und plattformspezifische Optionen an. Der Einstellungskatalog macht Tausende von Plattformeinstellungen verfügbar.
  • Schützen: Setzen Sie Compliance-Regeln durch, verschlüsseln Sie Datenträger, stellen Sie Sicherheits-Baselines bereit und integrieren Sie sich in die Abwehr mobiler Bedrohungen. Konformitätsstatusfeeds für bedingten Zugriff auf Microsoft Entra.
  • Außerbetriebnahme: Wenn ein Gerät verloren geht, ersetzt oder nicht mehr benötigt wird, können Sie mit Remoteaktionen die Daten der organization löschen, das Gerät auf die Werkseinstellungen zurücksetzen oder die Registrierung aufheben.

MDM und MAM

Intune unterstützt zwei Verwaltungsmodi. Sie können sie unabhängig voneinander oder zusammen verwenden.

  • Die Mobile Geräteverwaltung (Mobile Device Management, MDM) bringt das gesamte Gerät unter Intune-Steuerung: Einstellungen, Apps und Daten. MDM ist typisch für Hardware im Besitz der Organisation.
  • Bei der mobilen Anwendungsverwaltung (Mobile Application Management, MAM) werden nur die Arbeits-Apps und die darin enthaltenen Daten verwaltet. Der Benutzer behält die Kontrolle über den Rest des Geräts. MAM ist typisch für BYOD-Szenarien (Bring-Your-Own-Device).

Sie können beides auf demselben Gerät kombinieren. Beispielsweise kann ein registriertes Unternehmenstelefon (MDM) auch über App-Schutzrichtlinien (MAM) für Apps verfügen, die besonders vertrauliche Daten verarbeiten.

Weitere Informationen finden Sie unter Geräteregistrierung in Microsoft Intune und Übersicht über App-Schutz-Richtlinien.

Organisationseigene und persönliche Geräte

Die meisten Organisationen verwalten zwei Gerätepopulationen: Hardware, die sie besitzen, und persönliche Geräte, die Mitarbeiter für die Arbeit verwenden. Intune unterstützt beide mit unterschiedlichen Steuerelementen.

  • Organisationseigene Geräte müssen in MDM registriert werden. Verlassen Sie sich nicht darauf, dass Benutzer diese Geräte selbst verwalten.
  • Persönliche Geräte können MDM-registriert werden, wenn Benutzer Vollzugriff auf Organisationsressourcen wünschen, oder sie können nur MAM-Richtlinien verwenden, die Daten in Outlook, Teams und anderen verwalteten Apps schützen.

Gerätegruppen

Gerätegruppen sind Microsoft Entra-Gruppen, die nur Geräte enthalten. Sie sind nützlich, wenn eine Einstellung unabhängig davon gelten soll, wer gerade angemeldet ist: Kioske, gemeinsam genutzte PCs, Geräte für Außendienstmitarbeiter oder spezielle Hardware.

Die Mitgliedschaft kann statisch oder dynamisch sein:

  • Statische Gruppen erfordern das manuelle Hinzufügen und Entfernen von Geräten. Sie sind nützlich für kleine, stabile Geräte.
  • Dynamische Gruppen fügen Geräte basierend auf den von Ihnen definierten Kriterien automatisch hinzu und entfernen sie. Sie sind nützlich für große, wechselnde Geräteflotten

Apps

Intune deckt den gesamten App-Lebenszyklus (Bereitstellen, Konfigurieren, Schützen, Aktualisieren) auf allen unterstützten Plattformen ab.

App-Lebenszyklus

  • Bereitstellen von Apps aus öffentlichen Stores, Anbieterkatalogen, Ihren eigenen Branchenpaketen oder integrierten Einträgen im Admin Center.
  • Konfigurieren Sie Apps, bevor Benutzer sie öffnen, mithilfe von App-Konfigurationsrichtlinien. Legen Sie die App-Sprache fest, fügen Sie das Logo Ihrer organization hinzu, blockieren Sie persönliche Konten und vieles mehr.
  • Schützen Sie die Daten in Apps mithilfe von App-Schutzrichtlinien. PIN verlangen, Kopieren und Einfügen in persönliche Apps blockieren, Sicherungen in persönlichen Clouddiensten verhindern, ruhende Daten verschlüsseln und organization Daten selektiv löschen.
  • Aktualisieren Sie Apps automatisch, wenn neue Versionen verfügbar sind. Für Microsoft 365-Apps, Microsoft Edge und Microsoft Teams unter Windows können Sie Updates an Windows Autopatch übergeben.

App-Schutz ohne Registrierung (MAM-WE)

Richtlinien zum App-Schutz erfordern keine MDM-Registrierung. Sie funktionieren auf drei Gerätepopulationen:

  • Persönliche Geräte , die nicht in einem MDM (BYOD) registriert sind.
  • Bei einem anderen MDM-Anbieter registrierte Geräte: Intune kann die Daten in den verwalteten Apps weiterhin schützen.
  • In Intune registrierte Geräte für Apps, die eine zusätzliche Ebene über MDM hinaus benötigen.

Ausführliche Informationen finden Sie unter Übersicht über App-Schutz-Richtlinien.

Apps nach Plattform

Intune unterstützt Public Store-Apps, Branchen-Apps, Web-Apps und plattformspezifische App-Typen in Android, iOS, iPadOS, macOS und Windows. Eine Aufschlüsselung der App-Typen nach Plattform und deren Herkunft finden Sie unter Hinzufügen und Aktualisieren von Apps in Microsoft Intune.

Wie die Säulen zusammenpassen

Eine typische Zugriffsentscheidung berührt alle drei Säulen:

  1. Ein Benutzer meldet sich bei einem verwalteten Gerät an, und Microsoft Entra ID authentifiziert den Benutzer.
  2. Das Gerät checkt sich bei Intune ein und meldet seinen Konformitätsstatus und Bestand.
  3. Intune leitet den Konformitätsstatus an Microsoft Entra ID weiter.
  4. Der Benutzer öffnet eine Unternehmens-App. Der bedingte Zugriff von Microsoft Entra wertet die Anforderung mithilfe des Benutzers, des Konformitätsstatus des Geräts, der App, des Standorts und Signalen von Endpunktsicherheit in Microsoft Defender aus.
  5. Der bedingte Zugriff ermöglicht oder blockiert den Zugriff. Wenn der Zugriff zulässig ist und es sich bei der App um eine verwaltete App handelt, erzwingen App-Schutzrichtlinien In-App-Steuerelemente (PIN, Einschränkungen beim Kopieren und Einfügen, selektives Löschen).

Bei jeder Zugriffsentscheidung werden alle drei Säulen gleichzeitig trainiert: die Identität des Benutzers, die Compliance des Geräts und die App, die der Benutzer öffnet.

Verwandte Inhalte

  • Last updated on