Schritt 4: Konfigurieren Sie Gerätefunktionen und -einstellungen, um Geräte zu schützen und auf Ressourcen zuzugreifen

Bisher haben Sie Ihr Intune-Abonnement eingerichtet, Richtlinien zum Schutz von Apps und Geräten erstellt.

In diesem Schritt können Sie einen Mindest- oder Basissatz von Sicherheits- und Gerätefunktionen konfigurieren, die alle Geräte aufweisen müssen.

Dieser Artikel gilt für:

• Android
• iOS/iPadOS
• macOS
• Windows

Wenn Sie Gerätekonfigurationsprofile erstellen, können Sie zwischen verschiedenen Ebenen und Arten von Richtlinien wählen. Diese Stufen sind die von Microsoft empfohlenen Mindestrichtlinien. Beachten Sie, dass Ihre Umgebung und Ihre Geschäftsanforderungen unterschiedlich sein können.

• Stufe 1 – Minimale Gerätekonfiguration: Auf dieser Stufe empfiehlt Microsoft die Erstellung von Richtlinien, die:

  • Konzentrieren Sie sich auf die Gerätesicherheit, einschließlich der Installation von Antivirenprogrammen, der Erstellung einer strengen Kennwortrichtlinie und der regelmäßigen Installation von Softwareupdates.
  • Gewähren Sie Benutzern Zugriff auf die E-Mail-Adresse ihrer Organization und kontrollierten sicheren Zugriff auf Ihr Netzwerk, wo immer sie sich befinden.

• Stufe 2 – Erweiterte Gerätekonfiguration: Auf dieser Stufe empfiehlt Microsoft, Richtlinien zu erstellen, die:

  • Erweitern Sie die Gerätesicherheit, indem Sie die Datenträgerverschlüsselung konfigurieren, den sicheren Start aktivieren und weitere Kennwortregeln hinzufügen.
  • Verwenden Sie die integrierten Features und Vorlagen, um weitere Einstellungen zu konfigurieren, die für Ihre organization wichtig sind, einschließlich der Analyse lokaler Gruppenrichtlinienobjekte (GPOs).

• Stufe 3 - Hohe Gerätekonfiguration: Auf dieser Ebene empfiehlt Microsoft die Erstellung von Richtlinien, die:

  • Wechseln Sie zu einer kennwortlosen Authentifizierung, einschließlich der Verwendung von Zertifikaten, der Konfiguration von einmaligem Anmelden (Single Sign-On, SSO) bei Apps, der Aktivierung der mehrstufigen Authentifizierung (MFA) und der Konfiguration von Microsoft Tunnel.
  • Fügen Sie zusätzliche Sicherheitsebenen hinzu, indem Sie den Android-Modus "Common Criteria" verwenden oder DFCI-Richtlinien für Windows-Geräte erstellen.
  • Verwenden Sie die integrierten Features, um Kioskgeräte, dedizierte Geräte, freigegebene Geräte und andere spezialisierte Geräte zu konfigurieren.
  • Stellen Sie vorhandene Shellskripts bereit.

In diesem Artikel werden die verschiedenen Ebenen von Gerätekonfigurationsrichtlinien aufgeführt, die Organisationen verwenden sollten. Die meisten dieser Richtlinien konzentrieren sich auf den Zugriff auf Ressourcen und Sicherheit der organization.

Konfigurieren Sie diese Features in Gerätekonfigurationsprofilen im Microsoft Intune Admin Center. Wenn die Intune-Profile bereit sind, weisen Sie sie Ihren Benutzern und Geräten zu.

Ebene 1 – Erstellen Sie Ihre Sicherheits-Baseline

Um die Daten und Geräte Ihrer Organization zu schützen, erstellen Sie unterschiedliche Richtlinien, die sich auf die Sicherheit konzentrieren. Erstellen Sie eine Liste der Sicherheitsfeatures, die alle Benutzer und Geräte aufweisen müssen. Diese Liste ist Ihre Sicherheitsbaseline.

Schließen Sie in Ihre Baseline mindestens die folgenden Sicherheitsrichtlinien ein:

• Installieren Sie Antivirensoftware (AV) und suchen Sie regelmäßig nach Schadsoftware.
• Verwenden Sie Erkennung und Reaktion.
• Aktivieren Sie die Firewall.
• Installieren Sie regelmäßig Softwareupdates.
• Erstellen Sie eine sichere PIN oder eine Kennwortrichtlinie.

In diesem Abschnitt werden die Intune- und Microsoft-Dienste aufgeführt, die Sie zum Erstellen dieser Sicherheitsrichtlinien verwenden können.

Eine detailliertere Liste der Windows-Einstellungen und der empfohlenen Werte finden Sie unter Windows-Sicherheitsbaselines.

Antivirus und Überprüfung

Installieren Sie Antivirensoftware und suchen Sie regelmäßig nach Schadsoftware

Installieren Sie Antivirensoftware auf allen Geräten, und suchen Sie regelmäßig nach Schadsoftware. Intune ist in Mobile Threat Defense-Dienste (Mobile Threat Defense, MTD) von Drittanbietern integriert, die AV- und Bedrohungsüberprüfungen bereitstellen. Antivirus und Scannen sind in Intune mithilfe von Microsoft Defender for Endpoint integriert.

Ihre Richtlinienoptionen:

Erkennung und Reaktion

Erkennen von Angriffen und Reagieren auf diese Bedrohungen

Wenn Sie Bedrohungen schnell erkennen, können Sie die Auswirkungen der Bedrohung minimieren. Wenn Sie diese Richtlinien mit bedingtem Zugriff kombinieren, können Sie Benutzer und Geräte am Zugriff auf Ressourcen der organization hindern, wenn eine Bedrohung erkannt wird.

Ihre Richtlinienoptionen:

Firewall

Aktivieren der Firewall auf allen Geräten

Einige Plattformen verfügen über eine integrierte Firewall. Auf anderen Plattformen müssen Sie möglicherweise eine separate Firewall installieren. Intune lässt sich in MTD-Dienste (Mobile Threat Defense) von Drittanbietern integrieren, die eine Firewall für Android- und iOS/iPadOS-Geräte verwalten können. Für macOS und Windows umfasst Intune integrierte Firewallsicherheit durch Microsoft Defender for Endpoint.

Ihre Richtlinienoptionen:

Kennwortrichtlinie

Erstellen einer sicheren Kennwort- oder PIN-Richtlinie und Blockieren einfacher Passcodes

PINs entsperren Geräte. Auf Geräten, die auf Daten der Organization zugreifen, einschließlich persönlicher Geräte, sind starke PINs oder Passcodes erforderlich und unterstützen biometrische Daten zum Entsperren von Geräten. Die Verwendung von Biometrie ist Teil eines kennwortlosen Ansatzes, der empfohlen wird.

Verwenden Sie den Einstellungskatalog und die Vorlagenprofile für Geräteeinschränkungen in Intune, um Kennwortanforderungen zu erstellen und zu konfigurieren.

Ihre Richtlinienoptionen:

Softwareupdates

Regelmäßiges Installieren von Softwareupdates

Aktualisieren Sie alle Geräte regelmäßig, und erstellen Sie Richtlinien, um sicherzustellen, dass diese Updates erfolgreich installiert werden. Für die meisten Plattformen verfügt Intune über Richtlinieneinstellungen, die sich auf die Verwaltung und Installation von Updates konzentrieren.

Ihre Richtlinienoptionen:

Ebene 1 – Zugriff auf organization E-Mails, Verbindung zu VPN oder Wi-Fi

Dieser Abschnitt konzentriert sich auf den Zugriff auf Ressourcen in Ihrer organization. Diese Ressourcen enthalten:

• E-Mail für Geschäfts-, Schul- oder Unikonten
• VPN-Verbindung für Remote-Konnektivität
• Wi-Fi Verbindung für lokale Konnektivität

E-Mail

Viele Organisationen stellen E-Mail-Profile mit vorkonfigurierten Einstellungen auf Benutzergeräten bereit.

Automatische Verbindung mit Benutzer-E-Mail-Konten herstellen

Das Profil enthält die E-Mail-Konfigurationseinstellungen, die eine Verbindung mit Ihrem E-Mail-Server herstellen.

Je nach den Einstellungen, die Sie konfigurieren, kann das E-Mail-Profil die Benutzer auch automatisch mit ihren individuellen E-Mail-Kontoeinstellungen verbinden.

Verwenden von E-Mail-Apps auf Unternehmensebene

E-Mail-Profile in Intune verwenden gängige und beliebte E-Mail-Apps wie Outlook. Die E-Mail-App wird auf Benutzergeräten bereitgestellt. Nachdem die App bereitgestellt wurde, stellen Sie das E-Mail-Gerätekonfigurationsprofil mit den Einstellungen bereit, die die E-Mail-App konfigurieren.

Das E-Mail-Gerätekonfigurationsprofil enthält Einstellungen, die eine Verbindung mit Ihrem Exchange herstellen.

Zugriff auf Geschäfts-, Schul- oder Uni-E-Mails

Das Erstellen eines E-Mail-Profils ist eine gängige Mindestgrundrichtlinie für Organisationen mit Benutzern, die E-Mail auf ihren Geräten verwenden.

Intune verfügt über integrierte E-Mail-Einstellungen für Android-, iOS/iPadOS- und Windows-Clientgeräte. Wenn Benutzer ihre E-Mail-App öffnen, können sie ihre organisatorischen E-Mail-Konten auf ihren Geräten automatisch verbinden, authentifizieren und synchronisieren.

Jederzeit bereitstellen

Stellen Sie die E-Mail-App auf neuen Geräten während des Registrierungsprozesses bereit. Stellen Sie nach Abschluss der Registrierung die E-Mail-Gerätekonfigurationsrichtlinie bereit.

Wenn Sie über vorhandene Geräte verfügen, können Sie die E-Mail-App jederzeit bereitstellen. Stellen Sie dann die E-Mail-Gerätekonfigurationsrichtlinie bereit.

Erste Schritte mit E-Mail-Profilen

Erste Schritte:

1. Bereitstellen einer E-Mail-App auf Ihren Geräten. Einige Anleitungen finden Sie unter Hinzufügen von E-Mail-Einstellungen zu Geräten mit Intune.

2. Erstellen Sie in Intune ein E-Mail-Gerätekonfigurationsprofil. Je nach der E-Mail-App, die Ihre Organization verwendet, benötigen Sie das E-Mail-Gerätekonfigurationsprofil möglicherweise nicht.

   Einige Anleitungen finden Sie unter Hinzufügen von E-Mail-Einstellungen zu Geräten mit Intune.

3. Konfigurieren Sie im E-Mail-Gerätekonfigurationsprofil die Einstellungen für Ihre Plattform:

   • Android Enterprise-Geräte im Besitz von Privatpersonen mit einem Arbeitsprofil-E-Mail-Einstellungen

     Geräte im Besitz der Android Enterprise-organization verwenden keine E-Mail-Gerätekonfigurationsprofile.

   • iOS/iPadOS-E-Mail-Einstellungen

   • Windows-E-Mail-Einstellungen

4. Weisen Sie das E-Mail-Gerätekonfigurationsprofil Ihren Benutzern oder Benutzergruppen zu.

VPN

Viele Organisationen stellen VPN-Profile mit vorkonfigurierten Einstellungen auf Benutzergeräten bereit. Das VPN verbindet Ihre Geräte mit Ihrem internen Netzwerk der Organization.

Wenn Ihre Organization Clouddienste mit moderner Authentifizierung und sicheren Identitäten nutzt, benötigen Sie wahrscheinlich kein VPN-Profil. Cloudnative Dienste benötigen keine VPN-Verbindung.

Wenn Ihre Apps oder Dienste nicht cloudbasiert oder nicht cloudnativ sind, stellen Sie ein VPN-Profil bereit, um eine Verbindung mit Ihrem internen Netzwerk der organization herzustellen.

Von praktisch überall aus arbeiten

Das Erstellen eines VPN-Profils ist eine gängige Mindestgrundrichtlinie für Organisationen mit Remotemitarbeitern und Hybridmitarbeitern.

Da Benutzer von überall aus arbeiten, können sie das VPN-Profil verwenden, um eine sichere Verbindung mit dem Netzwerk Ihrer Organization herzustellen und auf Ressourcen zuzugreifen.

Intune verfügt über integrierte VPN-Einstellungen für Android-, iOS/iPadOS-, macOS- und Windows-Clientgeräte. Auf Benutzergeräten wird Ihre VPN-Verbindung als verfügbare Verbindung angezeigt. Benutzer wählen sie aus. Abhängig von den Einstellungen in Ihrem VPN-Profil können sich Benutzer automatisch beim VPN auf ihren Geräten authentifizieren und eine Verbindung herstellen.

Verwenden Sie VPN-Apps auf Unternehmensebene

VPN-Profile in Intune verwenden gängige Unternehmens-VPN-Apps wie Check Point, Cisco, Microsoft Tunnel und mehr. Die VPN-App wird auf Benutzergeräten bereitgestellt. Nachdem die App bereitgestellt wurde, stellen Sie das VPN-Verbindungsprofil mit Einstellungen bereit, die die VPN-App konfigurieren.

Das VPN-Gerätekonfigurationsprofil enthält Einstellungen, die eine Verbindung mit Ihrem VPN-Server herstellen.

Jederzeit bereitstellen

Stellen Sie auf neuen Geräten die VPN-App während des Registrierungsprozesses bereit. Stellen Sie nach Abschluss der Registrierung die VPN-Gerätekonfigurationsrichtlinie bereit.

Wenn Sie über vorhandene Geräte verfügen, können Sie die VPN-App jederzeit bereitstellen, und stellen Sie dann die VPN-Gerätekonfigurationsrichtlinie bereit.

Erste Schritte mit VPN-Profilen

Erste Schritte:

1. Bereitstellen einer VPN-App auf Ihren Geräten.

   • Eine Liste der unterstützten VPN-Apps finden Sie unter Unterstützte VPN-Verbindungs-Apps in Intune.
   • Die Schritte zum Hinzufügen von Apps zu Intune finden Sie unter Hinzufügen von Apps zu Microsoft Intune.

2. Erstellen Sie ein VPN-Konfigurationsprofil in Intune.

3. Konfigurieren Sie im VPN-Gerätekonfigurationsprofil die Einstellungen für Ihre Plattform:

   • Android Enterprise VPN-Einstellungen
   • iOS/iPadOS-VPN-Einstellungen
   • VPN-Einstellungen für macOS
   • Windows-VPN-Einstellungen

4. Weisen Sie das VPN-Gerätekonfigurationsprofil Ihren Benutzern oder Benutzergruppen zu.

WLAN

Viele Organisationen stellen Wi-Fi Profile mit vorkonfigurierten Einstellungen auf Benutzergeräten bereit. Wenn Ihr organization über reine Remotemitarbeiter verfügt, müssen Sie keine Wi-Fi Verbindungsprofile bereitstellen. Wi-Fi Profile sind optional und werden für die lokale Konnektivität verwendet.

Drahtlose Verbindung herstellen

Wenn Benutzer von verschiedenen Mobilgeräten aus arbeiten, können sie das Wi-Fi Profil verwenden, um eine drahtlose und sichere Verbindung mit dem Netzwerk Ihrer organization herzustellen.

Das Profil enthält die Wi-Fi Konfigurationseinstellungen, die automatisch eine Verbindung mit Ihrem Netzwerk und/oder Ihrer SSID (Service Set Identifier) herstellen. Benutzer müssen ihre Wi-Fi Einstellungen nicht manuell konfigurieren.

Lokale Unterstützung für mobile Geräte

Das Erstellen eines Wi-Fi-Profils ist eine gängige Mindestgrundrichtlinie für Organisationen mit mobilen Geräten, die lokal funktionieren.

Intune verfügt über integrierte Wi-Fi Einstellungen für Android-, iOS/iPadOS-, macOS- und Windows-Clientgeräte. Auf Benutzergeräten wird Ihre Wi-Fi Verbindung als verfügbare Verbindung angezeigt. Benutzer wählen sie aus. Abhängig von den Einstellungen in Ihrem Wi-Fi Profil können sich Benutzer automatisch authentifizieren und eine Verbindung mit dem Wi-Fi auf ihren Geräten herstellen.

Jederzeit bereitstellen

Stellen Sie auf neuen Geräten die Wi-Fi Gerätekonfigurationsrichtlinie bereit, wenn Geräte in Intune registriert werden.

Wenn Sie über vorhandene Geräte verfügen, können Sie die Wi-Fi Gerätekonfigurationsrichtlinie jederzeit bereitstellen.

Erste Schritte mit Wi-Fi Profilen

Erste Schritte:

1. Erstellen Sie ein Wi-Fi Gerätekonfigurationsprofil in Intune.

2. Konfigurieren Sie die Einstellungen für Ihre Plattform:

   • Einstellungen für Android Enterprise Wi-Fi
   • iOS/iPadOS Wi-Fi Einstellungen
   • macOS Wi-Fi Einstellungen
   • Windows Wi-Fi Einstellungen

3. Weisen Sie das Wi-Fi Gerätekonfigurationsprofil Ihren Benutzern oder Benutzergruppen zu.

Stufe 2 – Erweiterter Schutz und Verbesserte Konfiguration

Diese Ebene erweitert Ihre Konfiguration in Stufe 1 und erhöht die Sicherheit für Ihre Geräte. In diesem Abschnitt erstellen Sie einen Satz von Richtlinien der Ebene 2, mit denen weitere Sicherheitseinstellungen für Ihre Geräte konfiguriert werden.

Microsoft empfiehlt die folgenden Sicherheitsrichtlinien der Stufe 2:

• Aktivieren Sie Datenträgerverschlüsselung, sicheren Start und TPM auf Ihren Geräten. Verwenden Sie diese Features mit einer strengen PIN-Richtlinie oder einer biometrischen Entsperrung.

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  Auf Android-Geräten kann das Betriebssystem Festplattenverschlüsselung und Samsung Knox enthalten. Sie können die Datenträgerverschlüsselung automatisch aktivieren, wenn Sie die Einstellungen für den Sperrbildschirm konfigurieren, die standardmäßig aktiviert und zulässig sind.

  In Intune können Sie:

  • Erstellen Sie eine Richtlinie für den Einstellungskatalog, die den Sperrbildschirm deaktiviert (nicht empfohlen). Wenn Sie den Sperrbildschirm deaktivieren, wird das Gerät nicht verschlüsselt.
  • Erstellen Sie ein Vorlagenprofil für Geräteeinschränkungen, das einzelne Features deaktiviert, wenn der Sperrbildschirm eingeschaltet ist.

  Eine Liste der Kennwort- und Sperrbildschirmeinstellungen, die Sie konfigurieren können, finden Sie unter:

  • Einstellungen für den Katalog der Android-Einstellungen für vollständig verwaltete und dedizierte Geräte >Einstellungen für Gerätekennwörter und Arbeitsprofilkennwörter
  • Einstellungen der Vorlage für Einschränkungen von Android-Geräten für unternehmenseigene und persönliche Geräte >Einstellungen für Gerätekennwörter und Kennwörter des Arbeitsprofils

• Kennwörter ablaufen lassen und die Wiederverwendung alter Kennwörter regeln. In Stufe 1 haben Sie eine sichere PIN- oder Kennwortrichtlinie erstellt. Falls noch nicht geschehen, konfigurieren Sie Ihre PINs und Kennwörter so, dass sie ablaufen, und legen Sie einige Regeln für die Wiederverwendung von Kennwörtern fest.

  Verwenden Sie Intune, um eine Einstellungskatalogrichtlinie oder eine Vorlage für Geräteeinschränkungen zu erstellen, die diese Einstellungen konfiguriert. Weitere Informationen zu den Kennworteinstellungen, die Sie konfigurieren können, finden Sie in den folgenden Artikeln:

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  Verwenden Sie auf Android-Geräten eine Einstellungskatalogrichtlinie oder ein Vorlagenprofil für Geräteeinschränkungen, um Kennwortregeln festzulegen. Eine Liste der Kennwort- und Sperrbildschirmeinstellungen, die Sie konfigurieren können, finden Sie unter:

  • Katalogeinstellungen der Android-Einstellungen für vollständig verwaltete und dedizierte Geräte > Überprüfen Sie die Einstellungen für das Gerätekennwort und das Arbeitsprofilkennwort .
  • Einstellungen der Vorlage für Android-Geräteeinschränkungen für unternehmenseigene und persönliche Geräte > Überprüfen Sie die Einstellungen für das Gerätekennwort und das Arbeitsprofilkennwort .

• Intune enthält Hunderte von Einstellungen, mit denen Gerätefeatures und -einstellungen verwaltet werden können, z. B. das Deaktivieren der integrierten Kamera, das Steuern von Benachrichtigungen, das Zulassen von Bluetooth, das Blockieren von Spielen und vieles mehr.

  Verwenden Sie den Einstellungskatalog oder die integrierten Vorlagen , um die Einstellungen anzuzeigen und zu konfigurieren.

  • Verwenden Sie den Einstellungskatalog , um alle verfügbaren Einstellungen anzuzeigen und zu konfigurieren. Sie können den Einstellungskatalog auf den folgenden Plattformen verwenden:

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

  • Vorlagen für Geräteeinschränkungen sind logische Gruppen integrierter Einstellungen, mit denen Sie verschiedene Teile der Geräte steuern können, einschließlich Sicherheit, Hardware, Datenfreigabe und mehr.

    Verwenden Sie diese Vorlagen auf den folgenden Plattformen:

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

• Wenn Sie lokale GPOs verwenden und wissen möchten, ob dieselben Einstellungen in Intune verfügbar sind, verwenden Sie die Gruppenrichtlinien-Analyse. Dieses Feature analysiert Ihre Gruppenrichtlinienobjekte und kann sie je nach Analyse in eine Richtlinie für den Intune-Einstellungskatalog importieren.

  Weitere Informationen finden Sie unter Analysieren Ihrer lokalen GPOs und Importieren dieser in Intune.

Stufe 3 - Hoher Schutz und hohe Konfiguration

Diese Ebene erweitert das, was Sie in den Ebenen 1 und 2 konfiguriert haben. Es fügt zusätzliche Sicherheitsfunktionen hinzu, die in Unternehmen verwendet werden.

• Erweitern Sie die kennwortlose Authentifizierung auf andere Dienste, die von Ihren Mitarbeitenden genutzt werden. In Stufe 1 haben Sie die Biometrie aktiviert, damit sich die Benutzer mit einem Fingerabdruck oder per Gesichtserkennung bei ihren Geräten anmelden können. Erweitern Sie auf dieser Ebene die kennwortlose Option auf andere Teile der Organisation.

  • Verwenden Sie Zertifikate, um E-Mail -, VPN- und Wi-Fi-Verbindungen zu authentifizieren. Stellen Sie Zertifikate für Benutzer und Geräte bereit, und verwenden Sie diese dann für den Zugriff auf Ressourcen in Ihrem organization über E-Mail-, VPN- und Wi-Fi-Verbindungen.

    Weitere Informationen zur Verwendung von Zertifikaten in Intune finden Sie unter:

    • Verwenden von PKCS- oder SCEP-Zertifikaten für die Authentifizierung
    • Verwenden abgeleiteter Anmeldeinformationen

  • Konfigurieren Sie einmaliges Anmelden (Single Sign-On , SSO) für eine nahtlosere Erfahrung, wenn Benutzer Geschäftsanwendungen wie Microsoft 365-Apps öffnen. Benutzer melden sich einmal an und werden dann automatisch bei allen Apps angemeldet, die Ihre SSO-Konfiguration unterstützen.

    Weitere Informationen zur Verwendung von SSO in Intune und Microsoft Entra ID finden Sie unter:

    • Android
    • iOS/iPadOS
    • macOS
    • Windows

    Verwendet die Microsoft Authentication Library (MSAL) (MSAL), ein Feature von Microsoft Entra ID. Es hilft Ihnen, SSO in Ihren Anwendungen zu aktivieren, und fungiert als Vermittler, sodass Sie SSO auf das gesamte Gerät ausweiten können.

    • Aktivieren Sie appübergreifendes SSO unter Android mithilfe von MSAL in Microsoft Entra ID

  ---

  • Verwenden Sie die mehrstufige Authentifizierung (MFA). Wenn Sie zur Kennwortlosigkeit wechseln, fügt MFA eine zusätzliche Sicherheitsebene hinzu und kann zum Schutz Ihrer Organization vor Phishingangriffen beitragen. Verwenden Sie MFA mit Authentifikator-Apps wie Microsoft Authenticator, oder mit einem Telefonanruf oder einer SMS. Sie können MFA auch verwenden, wenn Benutzer ihre Geräte in Intune registrieren.

    Die mehrstufige Authentifizierung ist ein Feature von Microsoft Entra ID und kann mit Microsoft Entra-Konten verwendet werden. Weitere Informationen finden Sie unter:

    • Übersicht über den Microsoft Entra ID-Schutz
    • Microsoft Microsoft Entra Multi-Factor Authentication
    • Mehrstufige Authentifizierung für Intune-Geräteregistrierungen erforderlich

  • Richten Sie Microsoft Tunnel für Ihre registrierten Android- und iOS/iPadOS-Geräte ein. Microsoft Tunnel verwendet Linux, um diesen Geräten den Zugriff auf lokale Ressourcen mithilfe moderner Authentifizierung und bedingten Zugriff zu ermöglichen.

    Microsoft Tunnel verwendet Intune, Microsoft Entra ID und Active Directory-Verbunddienste (AD FS) (AD FS). Weitere Informationen finden Sie unter Microsoft Tunnel für Microsoft Intune.

  • Verwenden Sie Microsoft Tunnel für die mobile Anwendungsverwaltung (Tunnel für MAM), um die Tunnelfunktionen auf Android- sowie iOS/iPad-Geräte zu erweitern, die nicht bei Intune registriert sind. Tunnel für MAM ist eine erweiterte Funktion, die über Microsoft Intune hinaus zusätzliche Lizenzen erfordert.

    Weitere Informationen finden Sie unter Erweiterte Funktionen von Microsoft Intune.

• Verwenden Sie die LAPS-Richtlinie (Local Administrator Password Solution, lokale Administratorkennwortlösung), um das lokale Administratorkonto auf Ihren Geräten zu verwalten und zu sichern.

  • macOS
  • Windows

  Sie können LAPS für neue und vorhandene macOS-ADE-Profile (Automated Device Enrollment) konfigurieren. Geräte werden mit einem lokalen Administratorkonto bereitgestellt, das über ein starkes, verschlüsseltes und zufälliges Administratorkennwort verfügt, das von Intune gespeichert und verschlüsselt wird.

  Weitere Informationen finden Sie unter macOS LAPS in Intune.

• Verwenden Sie Microsoft Intune Endpoint Privilege Management (EPM), um die Angriffsfläche Ihrer Windows-Geräte zu reduzieren. EPM ermöglicht es Ihnen, Benutzer zu haben, die als Standardbenutzer (ohne Administratorrechte) ausgeführt werden und dennoch produktiv bleiben, indem festgelegt wird, wann diese Benutzer Apps in einem Kontext mit erhöhten Rechten ausführen können.

  EPM-Regeln für erhöhte Rechte können auf Dateihashes, Zertifikatregeln und mehr basieren. Mit den von Ihnen konfigurierten Regeln wird sichergestellt, dass nur die erwarteten und vertrauenswürdigen Anwendungen, die Sie zulassen, mit erhöhten Rechten ausgeführt werden können. Regeln können:

  • Verwalten der von einer App erstellten untergeordneten Prozesse
  • Supportanfragen von Benutzern zur Erhöhung der Rechte für einen verwalteten Prozess
  • Automatische Erhöhung von Dateien ermöglichen, die nur ohne Unterbrechung durch den Benutzer ausgeführt werden müssen.

  Endpoint Privilege Management ist eine erweiterte Funktion, die eine zusätzliche Lizenzierung erfordert. Weitere Informationen finden Sie unter Erweiterte Funktionen von Microsoft Intune.

• Verwenden Sie den Common Criteria-Modus von Android auf Android-Geräten, die von hochsensiblen Organisationen wie z. B. Regierungseinrichtungen verwendet werden.

  Weitere Informationen zu diesem Feature finden Sie im Modus "Allgemeine Kriterien" unter:

  • Katalogeinstellungen für Android-Einstellungen
  • Einstellungen der Vorlage für Einschränkungen für Android-Geräte

• Erstellen Sie Richtlinien, die für die Firmwareebene gelten:

  • Android
  • Windows

  Diese Richtlinien unterstützen Sie bei der Verwaltung von Firmwareupdates, zu denen Software- und Sicherheitspatches, Funktionsupdates und andere Änderungen an der Firmware des Geräts gehören können.

  • Firmware Over-the-Air (FOTA)-Updates
  • Zebra LifeGuard Over-the-Air-Updates

• Konfigurieren von Kiosken, freigegebenen Geräten und anderen spezialisierten Geräten:

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

  • Android Enterprise:

    • Android Enterprise-Geräte mit OEMConfig verwenden und verwalten
    • Einstellungen >der Vorlage für Einschränkungen für Android-Geräte Geräteerfahrung

  • Android-Geräteadministrator

    • Verwenden und Verwalten von Zebra-Geräten mit Zebra Mobility Extensions

    • Geräteeinstellungen zur Ausführung als Kiosk

      Wichtig

      Die Verwaltung des Android-Geräteadministrators (DA) ist veraltet und für Geräte mit Zugriff auf Google Mobile Services (GMS) nicht mehr verfügbar. Wenn Sie derzeit die DA-Verwaltung verwenden, empfehlen wir, zu einer anderen Android-Verwaltungsoption zu wechseln. Support- und Hilfedokumentation bleiben für einige Android 15- und frühere Geräte ohne GMS verfügbar. Weitere Informationen finden Sie unter Beenden der Unterstützung für den Android-Geräteadministrator auf GMS-Geräten.

• Bereitstellen von Shellskripts:

  • macOS
  • Windows

  Verwenden Sie Shellskripts, um Einstellungen und Features zu verwalten, die in Intune nativ nicht verfügbar sind. Sie können ein Skript hinzufügen, die Skripthäufigkeit festlegen und vieles mehr.

  • Verwenden von Shellskripts

Befolgen Sie die empfohlenen Mindestrichtlinien

Dieser Artikel ist Teil einer fünfstufigen Reihe, in der beschrieben wird, wie Microsoft Intune bereitgestellt wird. Die Reihe enthält in der Reihenfolge die folgenden Artikel:

1. Einrichten von Microsoft Intune
2. Hinzufügen, Konfigurieren und Schützen von Apps
3. Planen von Konformitätsrichtlinien
4. 🡺 Gerätefunktionen konfigurieren (dieser Artikel)
5. Registrieren von Geräten