Schritt 3 – Planen von Konformitätsrichtlinien

Zuvor haben Sie Ihr Intune-Abonnement eingerichtet und App-Schutzrichtlinien erstellt. Planen und konfigurieren Sie als Nächstes Gerätekompatibilitätseinstellungen und -richtlinien, um Organisationsdaten zu schützen, indem Sie festlegen, dass Geräte die von Ihnen festgelegten Anforderungen erfüllen müssen.

Diagramm der ersten Schritte mit Microsoft Intune mit Schritt 3, bei dem Richtlinien für Compliance und bedingten Zugriff erstellt werden.

Wenn Sie mit Konformitätsrichtlinien noch nicht vertraut sind, lesen Sie die Übersicht über die Kompatibilität.

Dieser Artikel gilt für:

  • Android Enterprise (vollständig verwaltete und persönliche Arbeitsprofile)
  • Android Open-Source Project (AOSP)
  • iOS/iPadOS
  • Linux
  • macOS
  • Windows

Sie stellen Konformitätsrichtlinien für Gruppen von Geräten oder Benutzern bereit. Bei der Bereitstellung für Benutzer muss jedes Gerät, bei dem sich der Benutzer anmeldet, die Richtlinienanforderungen erfüllen. Einige gängige Beispiele für Complianceanforderungen sind:

  • Eine Mindestversion des Betriebssystems ist erforderlich.
  • Verwendung eines Kennworts oder einer PIN, die bestimmte Komplexitäts- und Längenanforderungen erfüllt.
  • Ein Gerät, das sich auf oder unter einer Bedrohungsstufe befindet, die von Ihrer mobilen Bedrohungsschutzsoftware bestimmt wird. Software zum Schutz vor mobilen Bedrohungen umfasst Microsoft Defender for Endpoint oder einen der anderen unterstützten Partner von Intune.

Wenn Geräte die Anforderungen einer Konformitätsrichtlinie nicht erfüllen, kann diese Richtlinie eine oder mehrere Aktionen bei Nichtkonformität anwenden. Einige Aktionen umfassen:

  • Remotesperrung des nicht konformen Geräts.
  • Senden von E-Mails oder Benachrichtigungen an das Gerät oder den Benutzer über das Konformitätsproblem, damit ein Gerätebenutzer die Konformität wiederherstellen kann.
  • Identifizieren Sie ein Gerät, das möglicherweise für den Ruhestand bereit ist, falls es über einen längeren Zeitraum nicht kompatibel ist. Bei der Planung und Bereitstellung Ihrer Konformitätsrichtlinien kann es hilfreich sein, Konformitätsrichtlinien anhand unserer Empfehlungen auf verschiedenen Ebenen anzugehen. Es wird empfohlen, mit den minimalen Complianceeinstellungen zu beginnen, die für die meisten oder alle Plattformen gelten, und dann zu erweitern, indem Sie erweiterte Konfigurationen und Integrationen hinzufügen, die mehr Funktionen bieten.

Da verschiedene Geräteplattformen unterschiedliche Compliancefunktionen unterstützen oder unterschiedliche Namen für ähnliche Einstellungen verwenden, geht die Auflistung der einzelnen Optionen über diesen Bereitstellungsplan hinaus. Stattdessen stellen wir Kategorien und Beispiele für Einstellungen in diesen Kategorien für jede der folgenden Ebenen bereit:

Im Allgemeinen platzieren unsere Empfehlungen Einstellungen, die als Schlüsselkonfigurationen gelten, die plattformübergreifend auf einer Mindestkonformitätsstufe üblich sind, und bieten so eine starke Rendite für Ihre Investition. Einstellungen, die auf höheren Ebenen aufgeführt sind, können komplexer sein, z. B. Einstellungen, die die Integration von Drittanbieterprodukten erfordern. Überprüfen Sie unbedingt alle Bereichsempfehlungen, und seien Sie bereit, Ihren eigenen Bereitstellungsplan an die Bedürfnisse und Erwartungen Ihrer Organization anzupassen.

Die folgenden Artikel können Ihnen helfen, die Einstellungen zu verstehen, die von Intune-Richtlinien nativ unterstützt werden:

Stufe 1 – Minimale Gerätekonformität

Konfigurieren von mandantenweiten Einstellungen für Konformitätsrichtlinien
Einrichten von Reaktionen für Geräte zur Nichtkonformität (Aktionen bei Nichtkonformität)
Verstehen, wie Gerätekompatibilitäts- und Gerätekonfigurationsrichtlinien interagieren
Verwenden Sie einen Kernsatz minimaler Complianceeinstellungen für alle von Ihnen unterstützten Plattformen

Die minimalen Gerätekonformitätseinstellungen umfassen die folgenden Themen, die alle Mandanten, die die Verwendung von Konformitätsrichtlinien planen, verstehen und auf ihre Verwendung vorbereitet sein sollten:

  • Einstellungen für Konformitätsrichtlinien – Mandantenweite Einstellungen, die sich darauf auswirken, wie der Intune-Compliancedienst mit Ihren Geräten funktioniert.
  • Aktionen für Nichtkompatibilität : Diese Konfigurationen gelten für alle Konformitätsrichtlinien für Geräte.
  • Empfehlungen für minimale Gerätekonformitätsrichtlinien – Diese Kategorie umfasst die plattformspezifischen Gerätekonformitätseinstellungen, die unserer Meinung nach jeder Mandant implementieren sollte, um die Ressourcen seiner Organisation zu schützen.

Darüber hinaus empfehlen wir, dass Sie damit vertraut sind, wie Gerätekonformitätsrichtlinien und Gerätekonfigurationsrichtlinien zusammenhängen und interagieren.

Einstellungen der Compliancerichtlinie

Alle Organisationen sollten die mandantenweiten Compliancerichtlinieneinstellungen überprüfen und festlegen. Diese Einstellungen sind die Grundlage für die Unterstützung plattformspezifischer Richtlinien. Sie können auch Geräte, die keine Konformitätsrichtlinie ausgewertet haben, als nicht konform kennzeichnen, was Ihnen helfen kann, Ihre Organization vor neuen oder unbekannten Geräten zu schützen, die Ihre Sicherheitserwartungen möglicherweise nicht erfüllen.

  • Konformitätsrichtlinieneinstellungen sind einige Konfigurationen, die Sie auf Mandantenebene vornehmen und die dann für alle Geräte gelten. Sie legen fest, wie der Intune-Compliancedienst für Ihren Mandanten funktioniert.
  • Diese Einstellungen werden direkt im Microsoft Intune Admin Center konfiguriert und unterscheiden sich von Gerätekonformitätsrichtlinien, die Sie für bestimmte Plattformen erstellen und für diskrete Gruppen von Geräten oder Benutzern bereitstellen.

Weitere Informationen zu Konformitätsrichtlinieneinstellungen auf Mandantenebene und deren Konfiguration finden Sie unter Einstellungen für Konformitätsrichtlinien.

Aktionen bei Nichteinhaltung

Jede Gerätekonformitätsrichtlinie enthält Aktionen für Nichtkompatibilität, bei denen es sich um eine oder mehrere zeitlich sortierte Aktionen handelt, die auf Geräte angewendet werden, die die Konformitätsanforderungen der Richtlinie nicht erfüllen. Standardmäßig ist das Markieren eines Geräts als nicht kompatibel eine sofortige Aktion, die in jeder Richtlinie enthalten ist.

Für jede Aktion, die Sie hinzufügen, definieren Sie, wie lange gewartet werden soll, nachdem ein Gerät als nicht kompatibel markiert wurde, bevor diese Aktion ausgeführt wird.

Zu den verfügbaren Aktionen, die Sie konfigurieren können, gehören die folgenden, aber nicht alle sind für jede Geräteplattform verfügbar:

  • Gerät als nicht kompatibel markieren (Standardaktion für alle Richtlinien)
  • Senden von Pushbenachrichtigungen an Endbenutzer
  • E-Mail an Endbenutzer senden
  • Remotesperre des nicht konformen Geräts
  • Außerbetriebnahme des nicht konformen Geräts

Richtlinienadministratoren sollten die verfügbaren Optionen für jede Aktion verstehen und unterstützende Konfigurationen abschließen, bevor sie eine Richtlinie bereitstellen, die sie erfordert. Bevor Sie beispielsweise die Aktion "E-Mail senden " hinzufügen können, müssen Sie zuerst eine oder mehrere E-Mail-Vorlagen mit den Nachrichten erstellen, die Sie senden möchten. Eine solche E-Mail kann Ressourcen enthalten, die dem Benutzer helfen, sein Gerät in Compliance zu bringen. Später können Sie beim Definieren einer E-Mail-Aktion für eine Richtlinie eine Ihrer Vorlagen auswählen, die für eine bestimmte Aktion verwendet werden soll.

Da jede nicht standardmäßige Aktion einer Richtlinie mehrmals mit jeweils separater Konfiguration hinzugefügt werden kann, können Sie die Anwendung der Aktionen anpassen.

Beispielsweise können Sie mehrere verwandte Aktionen so konfigurieren, dass sie nacheinander ausgeführt werden. Erstens kann Intune unmittelbar nach der Nichtkonformität eine E-Mail an den Benutzer des Geräts und möglicherweise auch an einen Administrator senden. Einige Tage später kann eine zweite Aktion eine andere E-Mail-Erinnerung mit Details zu einem Stichtag für die Behebung des Geräts senden. Sie können auch eine letzte Aktion konfigurieren, um ein Gerät zu einer Liste von Geräten hinzuzufügen, die Sie möglicherweise außer Betrieb nehmen möchten, wobei die Aktion erst ausgeführt werden soll, wenn ein Gerät über einen längeren Zeitraum nicht kompatibel bleibt.

Während die Konformitätsrichtlinie ein Gerät als nicht kompatibel kennzeichnen kann, benötigen Sie auch einen Plan für die Korrektur nicht konformer Geräte. Dieser Plan könnte Administratoren umfassen, die nicht kompatible Geräte-status verwenden, um Updates oder Konfigurationen für ein Gerät anzufordern. Um Gerätebenutzern allgemeine Anleitungen bereitzustellen, können Sie die Aktion "E-Mail an Endbenutzer senden " bei Nichtkompatibilität so konfigurieren, dass sie nützliche Tipps oder Kontakte für die Lösung eines Gerätekompatibilitätsproblems enthält.

Weitere Informationen finden Sie unter Aktionen für Nichtkonformität.

Verstehen, wie Gerätekompatibilitäts- und Gerätekonfigurationsrichtlinien interagieren

Bevor Sie sich mit den Empfehlungen für Konformitätsrichtlinien nach Ebenen befassen, ist es wichtig, die manchmal enge Beziehung zwischen Konformitätsrichtlinien und Gerätekonfigurationsrichtlinien zu verstehen. Wenn Sie sich dieser Wechselwirkungen bewusst sind, können Sie erfolgreiche Richtlinien für beide Featurebereiche besser planen und umsetzen.

  • Gerätekonfigurationsrichtlinien konfigurieren Geräte für die Verwendung bestimmter Konfigurationen. Diese Einstellungen können sich auf alle Aspekte des Geräts erstrecken.
  • Gerätekonformitätsrichtlinien konzentrieren sich auf eine Teilmenge von Gerätekonfigurationen, die sich auf die Sicherheit beziehen.

Geräte, die Konformitätsrichtlinien erhalten, werden anhand der Konformitätsrichtlinienkonfigurationen ausgewertet, wobei die Ergebnisse für mögliche Aktionen an Intune zurückgegeben werden. Einige Konformitätskonfigurationen wie Kennwortanforderungen führen zu einer Durchsetzung auf dem Gerät, selbst wenn Gerätekonfigurationen nachsichtiger sind.

Wenn ein Gerät widersprüchliche Konfigurationen für eine Einstellung mit unterschiedlichen oder ähnlichen Richtlinientypen erhält, können Konflikte auftreten. Informationen zur Vorbereitung auf dieses Szenario finden Sie unter Konformitäts- und Gerätekonfigurationsrichtlinien, die in Konflikt stehen

Erwägen Sie die Synchronisierung geplanter Konfigurationen zwischen den Teams für Gerätekonfiguration und Gerätekompatibilität, um Konfigurationsüberschneidungen zu identifizieren. Stellen Sie sicher, dass die beiden Richtlinientypen dieselbe Konfiguration für Zielgeräte verwenden, da dies dazu beitragen kann, Richtlinienkonflikte zu vermeiden oder ein Gerät ohne die Konfiguration oder den Ressourcenzugriff zu verlassen, die Sie erwarten.

Minimale Konformitätseinstellungen

Nachdem Sie mandantenweite Konformitätsrichtlinieneinstellungen und Kommunikation oder Regeln für Aktionen für nicht kompatible Geräte festgelegt haben, sind Sie wahrscheinlich bereit, Gerätekonformitätsrichtlinien für separate Gruppen von Geräten oder Benutzern zu erstellen und bereitzustellen.

Überprüfen Sie die plattformspezifischen Richtlinien im Microsoft Intune Admin Center, um zu ermitteln, welche Konformitätseinstellungen für jede Plattform verfügbar sind, und um weitere Details zu ihrer Verwendung zu erhalten. Informationen zum Konfigurieren von Richtlinien finden Sie unter Erstellen einer Konformitätsrichtlinie.

Es wird empfohlen, die folgenden Einstellungen in Ihren Konformitätsrichtlinien für mindestens Geräte zu verwenden:

Mindestkompatibilitätskategorien und Beispiele für Geräte Information
Antivirus, Antispyware und Antischadsoftware

Windows:
Bewerten Sie Geräte für Lösungen, die beim Windows-Sicherheits Center registriert sind, und überwachen Sie sie auf:
- Antivirensoftware
- Antispyware
- Microsoft Defender Antimalware

Andere Plattformen:
Konformitätsrichtlinien für andere Plattformen als Windows beinhalten keine Bewertung für diese Lösungen.		 Aktive Lösungen für Antivirus-, Antispyware- und Antischadsoftwarelösungen sind wichtig.

Die Windows-Konformitätsrichtlinie kann den Status dieser Lösungen bewerten, wenn sie aktiv und registriert sind, und sich auf einem Gerät beim Windows-Sicherheit-Center registrieren.

Nicht-Windows-Plattformen sollten weiterhin Lösungen für Antivirus, Antispyware und Antischadsoftware ausführen, auch wenn in Intune-Konformitätsrichtlinien keine Optionen zum Auswerten ihrer aktiven Anwesenheit vorhanden sind.
Betriebssystemversionen

Alle Geräte:
Einstellungen und Werte für Betriebssystemversionen auswerten, einschließlich:
- Maximales Betriebssystem
- Minimum Betriebssystem
- Neben- und Hauptbuildversionen
- Patchebenen des Betriebssystems		 Verwenden Sie verfügbare Einstellungen, die eine minimal zulässige Betriebssystemversion oder einen minimalen Build sowie wichtige Patchebenen definieren, um sicherzustellen, dass die Gerätebetriebssysteme aktuell und sicher sind.

Maximale Betriebssystemeinstellungen können dazu beitragen, neue, aber ungetestete Ergebnisse sowie Beta- oder Entwickler-Betriebssystembuilds zu identifizieren, die unbekannte Risiken mit sich bringen könnten.

Linux unterstützt eine Option zum Definieren des Linux-Distributionstyps, z. B. Ubuntu.

Windows unterstützt eine andere Einstellung zum Festlegen unterstützter Buildbereiche.
Kennwortkonfigurationen

Alle Geräte:
– Erzwingen Sie Einstellungen, die den Bildschirm nach einer bestimmten Zeit der Inaktivität sperren, für die ein Passwort oder eine PIN zum Entsperren erforderlich ist.
- Komplexe Passwörter mit Kombinationen aus Buchstaben, Zahlen und Symbolen erfordern.
- Verlangen Sie ein Passwort oder eine PIN, um Geräte zu entsperren.
- Legen Sie Anforderungen für eine Mindestlänge des Passworts fest.		 Verwenden Sie die Kompatibilität, um Geräte hinsichtlich der Kennwortstruktur und -länge zu bewerten und um Geräte zu identifizieren, die keine Kennwörter haben oder einfache Kennwörter verwenden. Diese Einstellungen können dazu beitragen, den Zugriff auf das Gerät zu schützen.

Andere Optionen wie die Wiederverwendung von Kennwörtern oder die Zeitspanne, bevor ein Kennwort geändert werden muss, sind explizit in der erweiterten Konformitätsstufe enthalten.

Stufe 2 – Erweiterte Gerätekompatibilitätseinstellungen

Verwenden von erweiterten Gerätekonfigurationsrichtlinien für unterstützte Plattformtypen

Erweiterte Konformitätseinstellungen

Die Unterstützung für erweiterte Konformitätseinstellungen variiert je nach Plattform stark im Vergleich zu den Einstellungen in den Minimalempfehlungen. Einige Plattformen unterstützen möglicherweise keine Einstellungen, die von verwandten Plattformen unterstützt werden. Beispielsweise fehlen Android AOSP Optionen, die für Android Enterprise-Plattformen existieren, um die Compliance für Datei- und Startschutz auf Systemebene zu konfigurieren.

Überprüfen Sie die plattformspezifischen Richtlinien im Microsoft Intune Admin Center, um zu ermitteln, welche Konformitätseinstellungen für jede Plattform verfügbar sind, und um weitere Details zu ihrer Verwendung zu erhalten. Informationen zum Konfigurieren von Richtlinien finden Sie unter Erstellen einer Konformitätsrichtlinie.

Es wird empfohlen, die folgenden Einstellungen in Ihren erweiterten Gerätekonformitätsrichtlinien zu verwenden:

Erweiterte Gerätekonformitätskategorien und Beispiele Information
Anwendungen

Android Enterprise:
- Apps aus unbekannten Quellen
blockieren - Integrität der App-Laufzeit
im Unternehmensportal - Quellspeicherorte für Apps
verwalten - Google Play-Dienste
- SafteyNet-Optionen für Nachweis und Auswertung

iOS/iPadOS
- Eingeschränkte Apps

macOS:
- Apps von bestimmten Standorten
zulassen - Apps aus unbekannten Quellen
blockieren - Firewalleinstellungen

Windows:
- Apps aus unbekannten Quellen
blockieren - Firewall-Einstellungen		 Konfigurieren Sie Anforderungen für verschiedene Anwendungen.

Verwalten Sie für Android die Nutzung und den Betrieb von Anwendungen wie Google Play, SafteyNet und bewerten Sie die Integrität der Laufzeit der Unternehmensportal-App.

Verwalten Sie für alle Plattformen, sofern unterstützt, von wo aus Apps installiert werden können und welche Apps auf Geräten, die auf die Ressourcen Ihrer Organisation zugreifen, nicht zugelassen werden sollten.

Für macOS und Windows unterstützen die Konformitätseinstellungen die Forderung nach einer aktiven und konfigurierten Firewall.
Verschlüsselung

Android Enterprise:
- Verschlüsselung des Datenspeichers

erforderlichAndroid AOSP:
- Verschlüsselung des Datenspeichers

erforderlichmacOS:
- Verschlüsselung des Datenspeichers

erforderlich Linux:
- Verschlüsselung des Datenspeichers

erforderlichWindows:
- Verschlüsselung des Datenspeichers
erforderlich - BitLocker		 Fügen Sie Konformitätseinstellungen hinzu, die die Verschlüsselung des Datenspeichers erfordern. Windows unterstützt auch die Verwendung von BitLocker.
Kennwortkonfigurationen

Android Enterprise:
- Ablauf des Kennworts und Wiederverwendung

von iOS/iPadOS:
- Ablauf des Kennworts und Wiederverwendung

von macOS:
- Ablauf des Kennworts undWiederverwendung

von Windows:
- Ablauf des Kennworts und Wiederverwendung		 Fügen Sie Einstellungen für die Kennwortkonformität hinzu, um sicherzustellen, dass Kennwörter regelmäßig rotiert werden und dass Kennwörter nicht häufig wiederverwendet werden.
Datei- und Startschutz

auf SystemebeneAndroid AOSP:
- Gerootete Geräte

Android Enterprise:
– USB-Debugging auf dem Gerät
blockieren – Gerootete Geräte

iOS/iPadOS
– Geräte

mit JailbreakmacOS:
– Systemintegritätsschutz

erforderlich Windows:
– Codeintegrität
erforderlich – Sicherer Start muss auf dem Gerät
aktiviert sein – Trusted Platform Module (TPM)		 Konfigurieren Sie die plattformspezifischen Optionen, mit denen Geräte auf Risiken auf System- oder Kernelebene bewertet werden.

Ebene 3 – Erweiterte Gerätekompatibilitätskonfigurationen

Hinzufügen von Daten von Mobile Threat Defense-Partnern zu Ihren Gerätekonformitätsrichtlinien
Integrieren eines Compliancepartners eines Drittanbieters in Intune
Definieren benutzerdefinierter Complianceeinstellungen für Windows und Linux
Verwenden Sie Konformitätsdaten mit bedingtem Zugriff, um den Zugriff auf die Ressourcen Ihrer organization zu sperren
Verwenden erweiterter Gerätekonfigurationsrichtlinien für unterstützte Plattformtypen

Mit robusten Gerätekonformitätsrichtlinien können Sie dann erweiterte Konformitätsoptionen implementieren, die über das bloße Konfigurieren von Einstellungen in Gerätekonformitätsrichtlinien hinausgehen, einschließlich:

  • Verwenden von Daten von Mobile Threat Defense-Partnern als Teil Ihrer Gerätekonformitätsrichtlinien und in Ihren Richtlinien für bedingten Zugriff.

  • Integrieren des Status der Gerätekompatibilität mit bedingtem Zugriff, um festzulegen, welche Geräte auf E-Mails, andere Clouddienste oder lokale Ressourcen zugreifen dürfen.

  • Einschließlich Compliancedaten von Compliance-Partnern von Drittanbietern. Mit einer solchen Konfiguration können Konformitätsdaten von diesen Geräten mit Ihren Richtlinien für bedingten Zugriff verwendet werden.

  • Erweiterung integrierter Gerätekonformitätsrichtlinien durch Definition benutzerdefinierter Konformitätseinstellungen, die nicht nativ über die Benutzeroberfläche der Intune-Konformitätsrichtlinie verfügbar sind.

Integrieren Sie Daten von einem Mobile Threat Defense-Partner

Eine Mobile Threat Defense (MTD)-Lösung ist Software für mobile Geräte, die hilft, sie vor verschiedenen Cyberbedrohungen zu schützen. Durch den Schutz mobiler Geräte tragen Sie zum Schutz Ihrer Organization und Ihrer Ressourcen bei. Wenn sie integriert sind, bieten MTD-Lösungen eine zusätzliche Informationsquelle zu Intune für Ihre Konformitätsrichtlinien für Geräte. Diese Informationen können auch von Regeln für bedingten Zugriff verwendet werden, die Sie mit Intune verwenden können.

Bei der Integration unterstützt Intune die Verwendung von MTD-Lösungen mit registrierten Geräten und, sofern von der MTD-Lösung unterstützt, die Verwendung von nicht registrierten Geräten mithilfe von Microsoft Intune-geschützten Apps und App-Schutzrichtlinien.

Verwenden Sie unbedingt einen MTD-Partner, der von Intune unterstützt wird und der die Funktionen unterstützt, die Ihre Organization auf allen von Ihnen verwendeten Plattformen benötigt.

Beispielsweise ist Microsoft Defender für Endpoint eine Mobile Threat Defense-Lösung, die Sie möglicherweise bereits verwenden und die mit den Android-, iOS/iPadOS- und Windows-Plattformen verwendet werden kann. Andere Lösungen unterstützen in der Regel Android und iOS/iPadOS. Eine Liste der unterstützten MTD-Partner finden Sie unter Mobile Threat Defense-Partner .

Wenn Sie mehr über die Verwendung von Mobile Threat Defense-Software mit Intune erfahren möchten, beginnen Sie mit der Mobile Threat Defense-Integration mit Intune.

Daten von Compliance-Drittanbietern verwenden

Intune unterstützt die Verwendung von Compliance-Partnern von Drittanbietern, bei denen der Partner als MDM-Autorität (Mobile Device Management) für eine Gruppe von Geräten fungiert. Wenn Sie einen unterstützten Compliancepartner verwenden, verwenden Sie diesen Partner, um die Gerätekompatibilität für die Geräte zu konfigurieren, die von dieser Lösung verwaltet werden. Außerdem konfigurieren Sie diese Partnerlösung so, dass die Konformitätsergebnisse an Intune übergeben werden, das diese Daten dann in Microsoft Entra ID zusammen mit Konformitätsdaten aus Intune speichert. Die Konformitätsdaten von Drittanbietern stehen dann für die Verwendung durch Intune beim Auswerten von Gerätekonformitätsrichtlinien und für die Verwendung in Richtlinien für bedingten Zugriff zur Verfügung.

In einigen Umgebungen dient Intune möglicherweise als einzige MDM-Autorität, die Sie verwenden müssen, da Intune standardmäßig ein registrierter Compliancepartner für die Plattformen Android, iOS/iPadOS und Windows ist. Bei anderen Plattformen müssen andere Compliancepartner als MDM-Autorität für Geräte fungieren, z. B. die Verwendung von Jamf Pro für macOS-Geräte.

Wenn Sie einen Drittanbieter für Gerätekompatibilitätspartner in Ihrer Umgebung verwenden, stellen Sie sicher, dass er von Intune unterstützt wird. Um Unterstützung hinzuzufügen, konfigurieren Sie im Microsoft Intune Admin Center eine Verbindung für den Partner und befolgen die Dokumentation dieses Partners, um die Integration abzuschließen.

Weitere Informationen zu diesem Thema finden Sie unter Unterstützung von Gerätekompatibilitätspartnern von Drittanbietern in Intune.

Verwenden von benutzerdefinierten Konformitätseinstellungen

Sie können die integrierten Gerätekompatibilitätsoptionen von Intune erweitern, indem Sie benutzerdefinierte Konformitätseinstellungen für verwaltete Linux- und Windows-Geräte konfigurieren.

Benutzerdefinierte Einstellungen bieten Ihnen die Flexibilität, die Compliance auf den Einstellungen zu basieren, die auf einem Gerät verfügbar sind, ohne darauf warten zu müssen, dass Intune diese Einstellungen hinzufügt.

Um die benutzerdefinierte Konformität zu verwenden, müssen Sie eine . JSON-Datei, die Werte auf dem Gerät definiert, die für Compliance-Zwecke verwendet werden sollen, und ein Erkennungsskript, das auf dem Gerät ausgeführt wird, um die Einstellungen aus dem JSON-Code auszuwerten.

Weitere Informationen zu Voraussetzungen, unterstützten Plattformen und den JSON- und Skriptkonfigurationen, die für die benutzerdefinierte Konformität erforderlich sind, finden Sie unter [Verwenden von benutzerdefinierten Konformitätsrichtlinien und -einstellungen für Linux- und Windows-Geräte mit Microsoft Intune](.. / protect/compliance-use-custom-settings.md).

Integration der Compliance mit bedingtem Zugriff

Der bedingte Zugriff ist eine Funktion von Microsoft Entra, die mit Intune zum Schutz von Geräten verwendet werden kann. Für Geräte, die sich bei Microsoft Entra registrieren, können Richtlinien für bedingten Zugriff Geräte- und Konformitätsdetails aus Intune verwenden, um Zugriffsentscheidungen für Benutzer und Geräte zu erzwingen.

Richtlinie für bedingten Zugriff können mit folgenden Richtlinien kombiniert werden:

  • Gerätekonformitätsrichtlinien können erfordern, dass ein Gerät als kompatibel markiert werden kann, bevor dieses Gerät für den Zugriff auf die Ressourcen Ihrer Organization verwendet werden kann. Eine Richtlinie für bedingten Zugriff gibt Apps oder Dienste an, die Sie schützen möchten, die Bedingungen, unter denen auf die Apps oder Dienste zugegriffen werden kann, und die Benutzer, auf die die Richtlinie zutrifft.
  • App-Schutz-Richtlinien können eine Sicherheitsebene hinzufügen, die sicherstellt, dass nur Client-Apps, die App-Schutzrichtlinien von Intune unterstützen, auf Ihre Online-Ressourcen wie Exchange oder andere Microsoft 365-Dienste zugreifen können.

Der bedingte Zugriff funktioniert auch mit folgenden Komponenten, um die Sicherheit von Geräten zu gewährleisten:

  • Microsoft Defender für Endpunkt- und Drittanbieter-MTD-Apps
  • Gerätekonformitätspartner-Apps
  • Microsoft Tunnel

Weitere Informationen finden Sie unter Informationen zum bedingten Zugriff und Intune.

Erweiterte Konformitätseinstellungen

Überprüfen Sie die plattformspezifischen Richtlinien im Microsoft Intune Admin Center, um zu ermitteln, welche Konformitätseinstellungen für jede Plattform verfügbar sind, und um weitere Details zu ihrer Verwendung zu erhalten. Informationen zum Konfigurieren von Richtlinien finden Sie unter Erstellen einer Konformitätsrichtlinie.

Informationen zum Konfigurieren von Richtlinien finden Sie unter Erstellen einer Konformitätsrichtlinie.

Es wird empfohlen, die folgenden Einstellungen in Ihren erweiterten Gerätekonformitätsrichtlinien zu verwenden:

Erweiterte Gerätekonformitätskategorien und Beispiele Information
Laufzeitschutz

Android Enterprise:
- Erfordern, dass sich das Gerät auf oder unter der Bedrohungsstufe
für Geräte befindet - Erfordern, dass sich das Gerät auf oder unter der Computerrisikobewertung

befindet iOS/iPadOS:
- Erfordern, dass sich das Gerät auf oder unter der Gerätebedrohungsstufe
befindet - Verlangen, dass sich das Gerät auf oder unter der Computerrisikobewertung

befindetWindows:
- Verlangen, dass sich das Gerät auf oder unter der Computerrisikobewertung befindet		 Wenn Sie Intune mit einem Mobile Threat Defense-Partner integrieren, können Sie die Bewertung der Gerätebedrohungsstufe dieses Partners als Kriterien in Ihren Konformitätsrichtlinien verwenden.

Wenn Sie Microsoft Defender für Endpunkt in Intune integriert haben, können Sie die Risikobewertung von Defender als Konformitätsprüfung verwenden.

Dieser Artikel ist Teil einer fünfstufigen Reihe, in der beschrieben wird, wie Microsoft Intune bereitgestellt wird. Die Reihe enthält in der Reihenfolge die folgenden Artikel:

  1. Einrichten von Microsoft Intune
  2. Hinzufügen, Konfigurieren und Schützen von Apps
  3. 🡺 Planen von Konformitätsrichtlinien (dieser Artikel)
  4. Konfigurieren von Gerätefeatures
  5. Registrieren von Geräten
  • Last updated on