Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel werden IP-Adressen und Porteinstellungen aufgeführt, die Sie für Proxyeinstellungen in Ihren Microsoft Intune Bereitstellungen benötigen. Eine konsolidierte Liste finden Sie am Ende dieser Seite. Konsolidierte Endpunktliste
Achtung
Die zuvor verfügbaren PowerShell-Skripts zum Abrufen von Microsoft Intune-Endpunkt-IP-Adressen und FQDNs geben keine genauen Daten mehr vom Office 365-Endpunktdienst zurück. Verwenden Sie stattdessen die konsolidierte Liste in diesem Artikel. Die Verwendung der ursprünglichen Skripts oder Endpunktlisten aus dem Office 365-Endpunktdienst ist nicht ausreichend und kann zu falschen Konfigurationen führen.
Als reiner Clouddienst erfordert Intune keine lokale Infrastruktur wie Server oder Gateways.
Zugriff für verwaltete Geräte
Sie müssen die Kommunikation für Intune aktivieren, um Geräte hinter Firewalls und Proxyservern zu verwalten.
Hinweis
Die Informationen in diesem Abschnitt gelten auch für den Microsoft Intune Certificate Connector. Der Connector hat die gleichen Netzwerkanforderungen wie verwaltete Geräte.
Die Endpunkte in diesem Artikel ermöglichen den Zugriff auf die in den folgenden Tabellen angegebenen Ports.
Für einige Aufgaben erfordert Intune nicht authentifizierten Proxyserverzugriff auf manage.microsoft.com, *azureedge.net und graph.microsoft.com.
Hinweis
Die Überprüfung des SSL-Datenverkehrs wird für "*.manage.microsoft.com", "*.dm.microsoft.com" oder die im Abschnitt "Compliance" aufgeführten Endpunkte für den Geräteintegritätsnachweis (Device Health Attestation, DHA) nicht unterstützt.
Sie können die Proxyservereinstellungen auf einzelnen Clientcomputern festlegen. Sie können zudem Gruppenrichtlinieneinstellungen verwenden, um die Einstellungen für alle Clientcomputer hinter einem bestimmten Proxyserver anzupassen.
Für verwaltete Geräte sind Konfigurationen erforderlich, über die Alle Benutzer über Firewalls auf Dienste zugreifen können.
Endpunkte
Außerdem benötigen Sie FQDNs, die im Rahmen der Microsoft 365-Anforderungen abgedeckt sind. Als Referenz zeigen die folgenden Tabellen den Dienst, an den sie gebunden sind, und die Liste der zurückgegebenen URLs.
Die in den Tabellen angezeigten Datenspalten sind:
ID: Die ID-Nummer der Zeile, auch als Endpunktsatz bezeichnet. Diese ID ist mit der ID identisch, die vom Webdienst für die Endpunktgruppe zurückgegeben wird.
Kategorie: Zeigt an, ob die Endpunktgruppe als "Optimieren", "Zulassen" oder "Standard" kategorisiert ist. In dieser Spalte wird auch aufgeführt, welche Endpunktsätze für die Netzwerkkonnektivität erforderlich sind. Für Endpunktsätze, die nicht über Netzwerkkonnektivität verfügen müssen, stellen wir in diesem Feld Hinweise bereit, die angeben, welche Funktionen fehlen würden, wenn der Endpunktsatz blockiert wäre. Wenn Sie ein gesamtes Einzugsgebiet ausschließen, benötigen die als erforderlich aufgeführten Endpunktsätze keine Konnektivität.
Informationen zu diesen Kategorien und Anleitungen für ihre Verwaltung finden Sie unter Neue Microsoft 365-Endpunktkategorien.
ER: Dies ist Ja/Wahr, wenn die Endpunktgruppe über Azure ExpressRoute mit Microsoft 365-Routenpräfixen unterstützt wird. Die BGP-Community, die die angezeigten Routenpräfixe enthält, richtet sich nach dem aufgeführten Einzugsgebiet. Wenn ER "Nein/Falsch" ist, wird ExpressRoute für diese Endpunktgruppe nicht unterstützt.
Adressen: Listet die FQDNs oder Platzhalterdomänennamen und IP-Adressbereiche für den Endpunktsatz auf. Beachten Sie, dass ein IP-Adressbereich das CIDR-Format aufweist und viele einzelne IP-Adressen im angegebenen Netzwerk enthalten kann.
Ports: Listet die TCP- oder UDP-Ports auf, die mit den aufgelisteten IP-Adressen kombiniert werden, um den Netzwerkendpunkt zu bilden. Möglicherweise stellen Sie eine Duplizierung in IP-Adressbereichen fest, in denen verschiedene Ports aufgeführt sind.
Intune-Kerndienst
Hinweis
Wenn die von Ihnen verwendete Firewall das Erstellen von Firewallregeln mit einem Domänennamen zulässt, verwenden Sie die *.manage.microsoft.commanage.microsoft.com und-Domäne. Wenn der von Ihnen verwendete Firewallanbieter jedoch nicht zulässt, dass Sie eine Firewallregel mit einem Domänennamen erstellen, empfehlen wir, die genehmigte Liste aller Subnetze in diesem Abschnitt zu verwenden.
Hinweis
Intune-Endpunkte verwenden Azure Front Door auch für die Kommunikation mit dem Intune-Dienst. Die IP-Bereiche für Intune (Teil von Microsoft Security) werden der folgenden Tabelle hinzugefügt. Auf Intune-spezifische Endpunkte wird in der JSON-Datei durch den Namen AzureFrontDoor.MicrosoftSecurityverwiesen. In der Dokumentation zu Azure Front Door und Diensttags finden Sie eine vollständige Liste aller Dienste, die Azure Front Door verwenden, sowie Anweisungen zur Verwendung der JSON-Datei.
IP-Bereiche und Diensttags von Azure Front Door
| ID | Beschr. | Kategorie | ER | Addresses | Ports |
|---|---|---|---|---|---|
| 163 | Intune Client- und Hostdienst | Zulassen Erforderlich |
False | *.manage.microsoft.commanage.microsoft.com*.dm.microsoft.comEnterpriseEnrollment.manage.microsoft.com104.46.162.96/27, 13.67.13.176/28, 13.67.15.128/27, 13.69.231.128/28, 13.69.67.224/28, 13.70.78.128/28, 13.70.79.128/27, 13.74.111.192/27, 13.77.53.176/28, 13.86.221.176/28,13.89.174.240/28, 13.89.175.192/28, 20.189.229.0/25, 20.191.167.0/25, 20.37.153.0/24, 20.37.192.128/25, 20.38.81.0/24, 20.41.1.0/24, 20.42.1.0/24, 20.42.130.0/24, 20.42.224.128/25, 20.43.129.0/24, 20.44.19.224/27, 40.119.8.128/25, 40.67.121.224/27, 40.70.151.32/28, 40.71.14.96/28, 40.74.25.0/24, 40.78.245.240/28, 40.78.247.128/27, 40.79.197.64/27, 40.79.197.96/28, 40.80.180.208/28, 40.80.180.224/27, 40.80.184.128/25, 40.82.248.224/28, 40.82.249.128/25, 52.150.137.0/25, 52.162.111.96/28, 52.168.116.128/27, 52.182.141.192/27, 52.236.189.96/27, 52.240.244.160/27, 20.204.193.12/30, 20.204.193.10/31, 20.192.174.216/29, 20.192.159.40/29, 104.208.197.64/27, 172.160.217.160/27, 172.201.237.160/27, 172.202.86.192/27, 172.205.63.0/25, 172.212.214.0/25, 172.215.131.0/27, 20.168.189.128/27, 20.199.207.192/28, 20.204.194.128/31, 20.208.149.192/27, 20.208.157.128/27, 20.214.131.176/29, 20.43.129.0/24, 20.91.147.72/29, 4.145.74.224/27, 4.150.254.64/27, 4.154.145.224/27, 4.200.254.32/27, 4.207.244.0/27, 4.213.25.64/27, 4.213.86.128/25, 4.216.205.32/27, 4.237.143.128/25, 40.84.70.128/25, 48.218.252.128/25, 57.151.0.192/27, 57.153.235.0/25, 57.154.140.128/25, 57.154.195.0/25, 57.155.45.128/25, 68.218.134.96/27, 74.224.214.64/27, 74.242.35.0/25, 172.208.170.0/25, 74.241.231.0/25, 74.242.184.128/25Azure Front Door Endpoints: 13.107.219.0/24, 13.107.227.0/24, 13.107.228.0/23, 150.171.97.0/24, 2620:1ec:40::/48, 2620:1ec:49::/48, 2620:1ec:4a::/47 |
TCP: 80, 443 |
| 172 | MDM-Übermittlungsoptimierung | Standard Erforderlich |
False | *.do.dsp.mp.microsoft.com*.dl.delivery.mp.microsoft.com |
TCP: 80, 443 |
| 170 | MEM - Win32Apps | Standard Erforderlich |
False | swda01-mscdn.manage.microsoft.comswda02-mscdn.manage.microsoft.comswdb01-mscdn.manage.microsoft.comswdb02-mscdn.manage.microsoft.comswdc01-mscdn.manage.microsoft.comswdc02-mscdn.manage.microsoft<.comswdd01-mscdn.manage.microsoft.comswdd02-mscdn.manage.microsoft.comswdin01-mscdn.manage.microsoft.comswdin02-mscdn.manage.microsoft.comaam-content-cdn.manage.microsoft.com(dieser Endpunkt ist nur für Apps aus dem Katalog der Unternehmens-Apps vorgesehen) |
TCP: 80, 443 |
| 97 | Verbraucher Outlook.com, OneDrive, Geräteauthentifizierung und Microsoft-Konto | Standard Erforderlich |
False | account.live.comlogin.live.com |
TCP: 443 |
| 190 | Endpunktermittlung | Standard Erforderlich |
False | go.microsoft.com |
TCP: 80, 443 |
| 189 | Abhängigkeit – Featurebereitstellung | Standard Erforderlich |
False | config.edge.skype.comecs.office.com |
TCP: 443 |
| 192 | Organisationsnachrichten | Standard Erforderlich |
False | fd.api.orgmsg.microsoft.comris.prod.api.personalization.ideas.microsoft.com` |
TCP: 443 |
Authentifizierungsabhängigkeiten
| ID | Beschr. | Kategorie | ER | Addresses | Ports |
|---|---|---|---|---|---|
| 56 | Authentifizierung und Identität, umfasst Dienste mit Bezug zu Microsoft Entra ID und Entra ID. | Zulassen Erforderlich |
Wahr | login.microsoftonline.comgraph.windows.net |
TCP: 80, 443 |
| 150 | Der Office-Anpassungsdienst bietet Office 365 ProPlus-Bereitstellungskonfiguration, Anwendungseinstellungen und Cloud-basierte Richtlinienverwaltung. | Default | False | *.officeconfig.msocdn.comconfig.office.com |
TCP: 443 |
| 59 | Identitätsunterstützende Dienste & CDNs. | Standard Erforderlich |
False | enterpriseregistration.windows.netcertauth.enterpriseregistration.windows.net |
TCP: 80, 443 |
Weitere Informationen finden Sie unter Office 365-URLs und -IP-Adressbereiche.
Intune-Abhängigkeiten
In diesem Abschnitt sind in den folgenden Tabellen die Intune-Abhängigkeiten sowie die Ports und Dienste aufgeführt, auf die der Intune-Client zugreift.
- Abhängigkeiten von Windows-Pushbenachrichtigungsdiensten
- Abhängigkeiten der Übermittlungsoptimierung
- Apple-Abhängigkeiten
- AOSP-Abhängigkeiten für Android
Android Enterprise-Abhängigkeiten
Google Android Enterprise - Google stellt in der Android Enterprise-Hilfe eine Dokumentation der erforderlichen Netzwerkports und Zielhostnamen bereit.
Android-Pushbenachrichtigung – Intune verwendet Google Firebase Cloud Messaging (FCM) für Pushbenachrichtigungen, um Geräteaktionen und Check-ins auszulösen. Sowohl Android Device Administrator als auch Android Enterprise benötigen dies. Informationen zu den FCM-Netzwerkanforderungen finden Sie in Google unter FCM-Ports und Ihre Firewall.
AOSP-Abhängigkeiten für Android
| ID | Beschr. | Kategorie | ER | Addresses | Ports |
|---|---|---|---|---|---|
| 179 | MEM - Android AOSP-Abhängigkeit | Standard Erforderlich |
False | intunecdnpeasd.manage.microsoft.com |
TCP: 443 |
Hinweis
Da Google Mobile Services in China nicht verfügbar ist, können von Intune verwaltete Geräte in China keine Features nutzen, die Google Mobile Services erfordern. Zu diesen Features gehören: Google Play Protect-Funktionen wie Play Integrity Judgement, Verwalten von Apps aus dem Google Play Store, Android Enterprise-Funktionen (siehe diese Google-Dokumentation). Darüber hinaus erfolgt die Kommunikation mit dem Microsoft Intune-Dienst in der Intune-Unternehmensportal-App für Android über Google Mobile Services. Da Google Play Services in China nicht verfügbar ist, kann es bis zu 8 Stunden dauern, bis einige Aufgaben abgeschlossen sind. Weitere Informationen finden Sie unter Einschränkungen der Intune-Verwaltung, wenn GMS nicht verfügbar ist.
Android-Portinformationen - Je nachdem, wie Sie Android-Geräte verwalten, müssen Sie möglicherweise die Google Android Enterprise-Ports und/oder die Android-Pushbenachrichtigung öffnen. Weitere Informationen zu den unterstützten Verwaltungsmethoden für Android finden Sie in der Dokumentation zur Android-Registrierung.
Apple-Abhängigkeiten
Informationen zu Apple-spezifischen Endpunkten finden Sie in den folgenden Ressourcen:
- Apple-Produkte in Unternehmensnetzwerken verwenden
- Von Apple-Softwareprodukten verwendete TCP- und UDP-Ports
- Informationen zu macOS-, iOS- und iTunes-Server-Hostverbindungen und iTunes-Hintergrundprozessen
- Wenn Ihre macOS- und iOS-Clients keine Apple Push-Benachrichtigungen empfangen
Abhängigkeiten der Übermittlungsoptimierung
| ID | Beschr. | Kategorie | ER | Addresses | Ports |
|---|---|---|---|---|---|
| 172 | MDM – Abhängigkeiten der Übermittlungsoptimierung | Standard Erforderlich |
False | *.do.dsp.mp.microsoft.com*.dl.delivery.mp.microsoft.com |
TCP: 80, 443 |
Portanforderungen : Für die Client-Dienst-Kommunikation wird HTTP oder HTTPS über Port 80/443 verwendet. Optional verwendet die Übermittlungsoptimierung für Peer-zu-Peer-Datenverkehr 7680 für TCP/IP und Teredo an Port 3544 für NAT-Traversal. Weitere Informationen finden Sie in der Dokumentation zur Übermittlungsoptimierung
Proxyanforderungen – Um die Übermittlungsoptimierung verwenden zu können, müssen Sie Bytebereichsanforderungen zulassen. Weitere Informationen finden Sie unter Proxyanforderungen für die Übermittlungsoptimierung.
Firewallanforderungen – Lassen Sie die folgenden Hostnamen durch Ihre Firewall, um die Übermittlungsoptimierung zu unterstützen. Für die Kommunikation zwischen Clients und dem Clouddienst zur Übermittlungsoptimierung:
*.do.dsp.mp.microsoft.com
Für Metadaten der Übermittlungsoptimierung:
*.dl.delivery.mp.microsoft.com
Tipp
Überprüfen Sie die Abhängigkeiten für die von Ihnen verwendeten Peer-zu-Peer-Lösungen für Clientdienste, um die Unterstützung für die cloudbasierte Verwaltung sicherzustellen. Windows BranchCache stützt sich beispielsweise auf lokal verfügbare Gruppen, die möglicherweise nicht über Microsoft Entra ID, die Identitätslösung von Intune, verfügbar sind.
Abhängigkeiten von Windows-Pushbenachrichtigungsdiensten (WNS)
| ID | Beschr. | Kategorie | ER | Addresses | Ports |
|---|---|---|---|---|---|
| 171 | MEM - WNS-Abhängigkeiten | Standard Erforderlich |
False | *.notify.windows.com*.wns.windows.comsinwns1011421.wns.windows.comsin.notify.windows.com |
TCP: 443 |
Bei von Intune verwalteten Windows-Geräten, die mithilfe von mobiler Geräteverwaltung verwaltet werden, müssen für Geräteaktionen und andere sofortige Aktivitäten die Windows-Pushbenachrichtigungsdienste verwendet werden. Weitere Informationen finden Sie unter Zulassen von Windows Notification-Datenverkehr durch Unternehmensfirewalls.
Remotehilfe
Zusätzlich zur Konfiguration der in der folgenden Tabelle aufgeführten Netzwerkanforderungen müssen Sie die Netzwerkanforderungen auch für Azure Communication Services konfigurieren. Weitere Informationen finden Sie unter Netzwerkanforderungen für Azure Communication Services.
| ID | Beschr. | Kategorie | ER | Addresses | Ports | Hinweise |
|---|---|---|---|---|---|---|
| 181 | MEM - Funktion der Remotehilfe | Standard Erforderlich |
False | *.support.services.microsoft.comremoteassistance.support.services.microsoft.comteams.microsoft.comremoteassistanceprodacs.communication.azure.comedge.skype.comaadcdn.msftauth.netaadcdn.msauth.netalcdn.msauth.netwcpstatic.microsoft.com*.aria.microsoft.combrowser.pipe.aria.microsoft.com*.events.data.microsoft.comv10c.events.data.microsoft.com*.monitor.azure.comjs.monitor.azure.comedge.microsoft.com*.trouter.communication.microsoft.com*.trouter.teams.microsoft.com*.trouter.communications.svc.cloud.microsoft(Einführung von März bis Juni 2026)go-amer.trouter.communications.svc.cloud.microsoft(Einführung von März bis Juni 2026, nur für NA- und ROW-Kunden)go-apac.trouter.communications.svc.cloud.microsoft(Einführung von März bis Juni 2026, nur für APAC-Kunden)go-eu.trouter.communications.svc.cloud.microsoft(Einführung von März bis Juni 2026, nur für EU-Kunden)api.flightproxy.skype.comecs.communication.microsoft.comremotehelp.microsoft.comremoteassistanceprodacseu.communication.azure.com(Dieser Endpunkt ist nur für EU-Kunden) |
TCP: 443 | |
| 187 | Abhängigkeit - Remotehilfe web pubsub | Standard Erforderlich |
False | *.webpubsub.azure.comAMSUA0101-RemoteAssistService-pubsub.webpubsub.azure.com |
TCP: 443 | |
| 188 | Remotehilfe Abhängigkeit für GCC-Kunden | Standard Erforderlich |
False | remoteassistanceweb-gcc.usgov.communication.azure.usgcc.remotehelp.microsoft.comgcc.relay.remotehelp.microsoft.com*.gov.teams.microsoft.us |
TCP: 443 | |
| Nicht zutreffend | Remotehilfe für unbeaufsichtigten Windows-Zugriff – Abhängigkeiten bei der Remoteanmeldung | Standard Erforderlich |
Nicht zutreffend | Siehe Anmerkungen | Siehe Anmerkungen | Für die Remoteanmeldung sind die Endpunkte des Azure Virtual Desktop-Sitzungshosts erforderlich. Kommerzielle Kunden sollten die Azure-Cloudendpunkte verwenden. Government Community Cloud (GCC)-Kunden sollten die Azure für US Government-Endpunkte verwenden. |
Windows Autopilot-Abhängigkeiten
| ID | Beschr. | Kategorie | ER | Addresses | Ports |
|---|---|---|---|---|---|
| 164 | Windows Autopilot – Windows Update | Standard Erforderlich |
False | *.windowsupdate.com*.dl.delivery.mp.microsoft.com*.prod.do.dsp.mp.microsoft.com*.delivery.mp.microsoft.com*.update.microsoft.comtsfe.trafficshaping.dsp.mp.microsoft.comadl.windows.com |
TCP: 80, 443 |
| 165 | Windows Autopilot – NTP-Synchronisierung | Standard Erforderlich |
False | time.windows.com |
UDP: 123 |
| 169 | Windows Autopilot – WNS-Abhängigkeiten | Standard Erforderlich |
False | clientconfig.passport.netwindowsphone.com*.s-microsoft.comc.s-microsoft.com |
TCP: 443 |
| 173 | Windows Autopilot – Bereitstellungsabhängigkeiten von Drittanbietern | Standard Erforderlich |
False | ekop.intel.comekcert.spserv.microsoft.comftpm.amd.com |
TCP: 443 |
| 182 | Windows Autopilot – Hochladen von Diagnosen | Standard Erforderlich |
False | amsua0101lmsas.blob.core.windows.netamsua0102lmsas.blob.core.windows.netamsua0201lmsas.blob.core.windows.netamsua0202lmsas.blob.core.windows.netamsua0401lmsas.blob.core.windows.netamsua0402lmsas.blob.core.windows.netamsua0501lmsas.blob.core.windows.netamsua0502lmsas.blob.core.windows.netamsua0601lmsas.blob.core.windows.netamsua0602lmsas.blob.core.windows.netamsua0701lmsas.blob.core.windows.netamsua0702lmsas.blob.core.windows.netamsua0801lmsas.blob.core.windows.netamsua0901lmsas.blob.core.windows.netamsua0902lmsas.blob.core.windows.netamsub0101lmsas.blob.core.windows.netamsub0102lmsas.blob.core.windows.netamsub0201lmsas.blob.core.windows.netamsub0202lmsas.blob.core.windows.netamsub0301lmsas.blob.core.windows.netamsub0302lmsas.blob.core.windows.netamsub0501lmsas.blob.core.windows.netamsub0502lmsas.blob.core.windows.netamsub0601lmsas.blob.core.windows.netamsub0701lmsas.blob.core.windows.netamsub0801lmsas.blob.core.windows.netamsub0901lmsas.blob.core.windows.netamsuc0101lmsas.blob.core.windows.netamsuc0201lmsas.blob.core.windows.netamsuc0301lmsas.blob.core.windows.netamsuc0501lmsas.blob.core.windows.netamsuc0601lmsas.blob.core.windows.netamsud0101lmsas.blob.core.windows.netamsuin01lmsas.blob.core.windows.net |
TCP: 443 |
Endpunktanalysen
Weitere Informationen zu den erforderlichen Endpunkten für Endpunktanalysen finden Sie unter Geräteaktion: Sammeln von Diagnosen.
Erfassung der Diagnosedaten
Weitere Informationen zu den erforderlichen Endpunkten für die Diagnosesammlung finden Sie unter Netzwerk- und Konnektivitätsanforderungen.
Microsoft Defender für Endpunkt
Weitere Informationen zum Konfigurieren der Defender für Endpunkt-Konnektivität finden Sie unter Konnektivitätsanforderungen.
Um die Verwaltung der Sicherheitseinstellungen von Defender für Endpunkt zu unterstützen, lassen Sie die folgenden Hostnamen durch Ihre Firewall zu. Für die Kommunikation zwischen Clients und dem Clouddienst:
*.dm.microsoft.com- Die Verwendung eines Wildcards unterstützt die Clouddienst-Endpunkte, die für die Registrierung, das Einchecken und die Berichterstellung verwendet werden und sich bei der Skalierung des Diensts ändern können.Wichtig
Die SSL-Überprüfung wird auf Endpunkten, die für Microsoft Defender for Endpoint erforderlich sind, nicht unterstützt.
Microsoft Intune Endpoint Privilege Management
Um Endpoint Privilege Management zu unterstützen, lassen Sie die folgenden Hostnamen auf TCP-Port 443 durch Ihre Firewall zu
Für die Kommunikation zwischen Clients und dem Clouddienst:
*.dm.microsoft.com- Die Verwendung eines Wildcards unterstützt die Clouddienst-Endpunkte, die für die Registrierung, das Einchecken und die Berichterstellung verwendet werden und sich bei der Skalierung des Diensts ändern können.*.events.data.microsoft.com– Wird von Intune-verwalteten Geräten verwendet, um optionale Berichtsdaten an den Intune-Datensammlungsendpunkt zu senden.Wichtig
Die SSL-Überprüfung wird auf Endpunkten, die für Endpoint Privilege Management erforderlich sind, nicht unterstützt.
Weitere Informationen finden Sie in der Übersicht über Endpoint Privilege Management.
Microsoft Security Copilot
Um die Kommunikation zwischen Security Copilot und bestimmten Sicherheitslösungen sicherzustellen, müssen Sie den ausgehenden IPs von Security Copilot erlauben, die Lösung zu kontaktieren. Informationen zu den erforderlichen Endpunkten finden Sie unter Microsoft Security Copilot Ausgangs-IPs in der Dokumentation zu Security Copilot.
Microsoft Store
Verwaltete Windows-Geräte, die den Microsoft Store zum Erwerben, Installieren oder Aktualisieren von Apps verwenden, benötigen Zugriff auf diese Endpunkte über die TCP-Ports 80 und 443 über Ihre Firewall.
Microsoft Store-API (AppInstallManager):
displaycatalog.mp.microsoft.compurchase.md.mp.microsoft.comlicensing.mp.microsoft.comstoreedgefd.dsx.mp.microsoft.com
Wichtig
Die SSL-Überprüfung wird auf Endpunkten, die für die Microsoft Store-API erforderlich sind, nicht unterstützt.
Windows Update-Agent:
Ausführliche Informationen finden Sie in den folgenden Ressourcen:
Verwalten von Verbindungsendpunkten für Windows 11 Enterprise
Verwalten von Verbindungsendpunkten für Windows 10 Enterprise, Version 21H2
Hinweis
Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.
Download von Win32-Inhalten:
Downloadspeicherorte und Endpunkte für Win32-Inhalte sind je nach Anwendung einzigartig und werden vom externen Herausgeber bereitgestellt. Sie können den Speicherort für jede Win32-Store-App mithilfe des folgenden Befehls auf einem Testsystem ermitteln (Sie können die [PackageId] für eine Store-App abrufen, indem Sie nach dem Hinzufügen auf die Package Identifier-Eigenschaft der App verweisen, nachdem Sie sie zu Microsoft Intune hinzugefügt haben):
winget show [PackageId]
Die Installer-URL-Eigenschaft zeigt entweder den externen Downloadspeicherort oder den regionsbasierten (von Microsoft gehosteten) Fallbackcache an, je nachdem, ob der Cache gerade verwendet wird. Der Speicherort für den Download von Inhalten kann sich zwischen dem Cache und dem externen Speicherort ändern.
Von Microsoft gehosteter Fallbackcache für Win32-Apps:
cdn.storeedgefd.dsx.mp.microsoft.com
Übermittlungsoptimierung (optional, für Peering erforderlich):
Ausführliche Informationen finden Sie in der folgenden Ressource:
Migration von Konformitätsrichtlinien für den Integritätsnachweis für Geräte zu Microsoft Azure Nachweis
Wenn ein Kunde eine der Einstellungen der Windows-Compliance-Richtlinie – Geräteintegrität aktiviert, verwenden Windows 11-Geräte einen Microsoft Azure Attestation (MAA)-Dienst basierend auf ihrem Intune-Mandantenstandort. Windows 10- und GCCH/DOD-Umgebungen verwenden jedoch weiterhin den bestehenden DHA-Endpunkt für den Nachweis der Geräteintegrität "has.spserv.microsoft.com" für die Berichterstellung über den Nachweis der Geräteintegrität und sind von dieser Änderung nicht betroffen.
Wenn ein Kunde über Firewallrichtlinien verfügt, die den Zugriff auf den neuen Intune MAA-Dienst für Windows 11 verhindern, fallen Windows 11-Geräte mit zugewiesenen Konformitätsrichtlinien, die eine der Geräteintegritätseinstellungen (BitLocker, sicherer Start, Codeintegrität) verwenden, nicht mehr die Compliance, da sie die MAA-Nachweisendpunkte für ihren Standort nicht erreichen können.
Stellen Sie sicher, dass ausgehenden HTTPS/443-Datenverkehr nicht durch Firewallregeln blockiert wird und dass für die in diesem Abschnitt aufgeführten Endpunkte basierend auf dem Standort Ihres Intune-Mandanten keine SSL-Datenverkehrsüberprüfung durchgeführt wird.
Um Ihren Mandantenstandort zu finden, navigieren Sie zum Intune Admin Center>. Mandantenverwaltung>MandantenstatusstatusMandantendetails> finden Sie unter Mandantenstandort.
'https://intunemaape1.eus.attest.azure.net'
'https://intunemaape2.eus2.attest.azure.net'
'https://intunemaape3.cus.attest.azure.net'
'https://intunemaape4.wus.attest.azure.net'
'https://intunemaape5.scus.attest.azure.net'
'https://intunemaape6.ncus.attest.azure.net'
Netzwerkanforderungen für die Bereitstellung von macOS-Apps und -Skripts
Wenn Sie Intune zum Bereitstellen von Apps oder Skripts unter macOS verwenden, müssen Sie auch Zugriff auf Endpunkte gewähren, in denen sich Ihr Mandant derzeit befindet.
Je nach Standort Ihres Mandanten werden unterschiedliche Endpunkte verwendet. Um Ihren Mandantenstandort zu finden, melden Sie sich beim Microsoft Intune Admin Center an, und wählen Sie Mandantenverwaltung>Mandantendetails>Mandantenstandort mit dem Wert Nordamerika 0501 oder ähnlich. Überprüfen Sie anhand der Region am Standort (Nordamerika in Nordamerika 0501) die folgende Tabelle für die CDN-Endpunkte und -Ports, die erforderlich sind:
| Region | CDN | Port |
|---|---|---|
| Nordamerika | macsidecar.manage.microsoft.com |
TCP: 443 |
| Europa | macsidecareu.manage.microsoft.com |
TCP: 443 |
| Asiatisch-pazifischer Raum | macsidecarap.manage.microsoft.com |
TCP: 443 |
Netzwerkanforderungen für PowerShell-Skripts und Win32-Apps
Wenn Sie Intune für Szenarien verwenden, die die Intune-Verwaltungserweiterung verwenden, z. B. die Bereitstellung von Win32-Apps, PowerShell-Skripts, Korrekturen, Endpunktanalysen, benutzerdefinierten Konformitätsrichtlinien oder BIOS-Konfigurationsprofilen, müssen Sie auch Zugriff auf Endpunkte gewähren, in denen sich Ihr Mandant derzeit befindet.
Je nach Standort Ihres Mandanten werden unterschiedliche Endpunkte verwendet. Um Ihren Mandantenstandort zu finden, melden Sie sich beim Microsoft Intune Admin Center an, und wählen Sie Mandantenverwaltung>Mandantendetails>Mandantenstandort mit dem Wert Nordamerika 0501 oder ähnlich. Überprüfen Sie anhand der Region am Standort (Nordamerika in Nordamerika 0501) die folgende Tabelle für die CDN-Endpunkte und -Ports, die erforderlich sind:
Hinweis
Für Skripts & Win32-Apps-Endpunkten ist eine HTTP-Teilantwort zulassen.
| Region | CDN | Port |
|---|---|---|
| Nordamerika | imeswda-afd-primary.manage.microsoft.comimeswda-afd-secondary.manage.microsoft.comimeswda-afd-hotfix.manage.microsoft.com |
TCP: 443 |
| Europa | imeswdb-afd-primary.manage.microsoft.comimeswdb-afd-secondary.manage.microsoft.comimeswdb-afd-hotfix.manage.microsoft.com |
TCP: 443 |
| Asiatisch-pazifischer Raum | imeswdc-afd-primary.manage.microsoft.comimeswdc-afd-secondary.manage.microsoft.comimeswdc-afd-hotfix.manage.microsoft.com |
TCP: 443 |
Für Diagnosedaten, die zur Überwachung der Integrität der clientseitigen Komponenten verwendet werden:
*.events.data.microsoft.com
Automatisches Windows-Patchen
Weitere Informationen zu den erforderlichen Endpunkten für Windows Autopatch finden Sie unter Windows Autopatch-Voraussetzungen.
Diagnosetool für die Azure Front Door-Konnektivität
Um die Verbindung mit den von Intune verwendeten Azure Front Door(AFD)-IP-Adressen zu überprüfen, kann das Test-IntuneAFDConnectivity.ps1-Skript verwendet werden, um die Konnektivität mit den erforderlichen AFD-IP-Adressbereichen und Dienstendpunkten zu testen.
Dieses Diagnosetool enthält Überprüfungen für:
- DNS-Auflösung von Intune-Dienstendpunkten
- Ausgehende TCP-Konnektivität über die Ports 80 und 443 zu AFD-IP-Adressen
- HTTPS-Überprüfung für den Intune-Clouddienst
Voraussetzungen
Stellen Sie vor dem Ausführen des Skripts sicher, dass Sie über Folgendes verfügen:
- PowerShell 5.1 oder höher
- Konnektivität zu Netzwerkendpunkten für Microsoft Intune, wie in diesem Artikel definiert.
Verwendung
Führen Sie das Skript von einem von Intune verwalteten Gerät aus, um die Konnektivität mit den Intune-Netzwerkendpunkten mithilfe von Azure Front Door zu testen. Das Skript kann im Kontext des angemeldeten Benutzers oder als lokales Systemkonto (Gerätekontext) ausgeführt werden.
Skriptausführung
Option 1: Als aktuellen Benutzer ausführen
Öffnen Sie PowerShell als aktueller Benutzer, navigieren Sie zum Verzeichnis mit dem Skript, und führen Sie es mit dem folgenden Befehl aus:
.\Test-IntuneAFDConnectivity.ps1
Option 2: Als System ausführen (Gerätekontext)
Verwenden Sie PsExec von Microsoft Sysinternals, um die Konnektivität als das Gerät selbst zu testen.
PsExec herunterladen
Öffnen Sie PowerShell als Administrator. Navigieren Sie zu dem Verzeichnis, das PsExec enthält.
Führen Sie den folgenden Befehl aus, um das Skript als SYSTEM auszuführen:
.\psexec.exe -accepteula -i -s powershell.exe
- Navigieren Sie im neuen PowerShell-Fenster zum Verzeichnis, das das Skript enthält, und führen Sie es mit dem folgenden Befehl aus:
.\Test-IntuneAFDConnectivity.ps1
Optionen und Befehle
Verwenden Sie die folgenden Optionen je nach Umgebung:
| Cloud | Befehl | Hinweise |
|---|---|---|
| Public Cloud (Standard) | .\Test-IntuneAFDConnectivity.ps1 |
Testet die Konnektivität zu Public Cloud-Umgebungen |
| Government Cloud | .\Test-IntuneAFDConnectivity.ps1 -CloudType gov |
Testet die Konnektivität zu US Government-, GCC High- und DoD-Umgebungen |
| Exportieren von Ergebnissen mit detaillierter Protokollierung | .\Test-IntuneAFDConnectivity.ps1 -LogLevel Detailed -OutputPath "C:\Logs" -Verbose |
Führt Tests mit detaillierter Protokollierung durch und speichert die Ergebnisse im angegebenen Ausgabeverzeichnis |
Problembehandlung
Wenn das Skript einen Fehler meldet (Exitcode 1):
Wenn die IP-Adresstests von Azure Front Door fehlerhafte IPs oder IP-Bereiche zeigen: Möglicherweise blockiert Ihre Firewall, Ihr Proxy oder Ihr VPN ausgehende Verbindungen an den Ports 443 oder 80 zu diesen Azure Front Door-IPs.
Wenn der Dienstendpunkttest "HTTPS-Endpunkt nicht erreichbar" ergibt: Möglicherweise sind die erforderlichen Intune-Dienst-FQDNs oder Azure Front Door-IPs nicht erreichbar, oder ein Problem bei der DNS-, Proxy- oder HTTPS-Inspektion verhindert die Verbindung mit dem Intune-Dienst-FQDN.
Überprüfen Sie die Netzwerkendpunkte für Microsoft Intune (wie in diesem Artikel beschrieben), und stellen Sie sicher, dass Ihre Firewall, Ihr VPN oder Ihr Proxy alle erforderlichen Intune-Dienst-FQDNs, Azure Front Door-IP-Bereiche und Ports zulässt.
Überprüfen Sie die detaillierten Ergebnisse in der gespeicherten Ausgabedatei, oder führen Sie das Skript mit detaillierter Protokollierung (-LogLevel Detailed und -Verbose) aus, um weitere Diagnoseinformationen zu erfassen.
Konsolidierte Endpunktliste
Um die Konfiguration von Diensten über Firewalls zu vereinfachen, finden Sie im Folgenden eine konsolidierte Liste der FQDNs und IP-Subnetze, die von Intune-verwalteten Geräten verwendet werden.
Diese Listen enthalten nur die Endpunkte, die von Intune-verwalteten Geräten verwendet werden. Diese Listen enthalten keine zusätzlichen Endpunkte, die vom Office 365-Endpunktdienst bereitgestellt, aber nicht von Intune verwendet werden.
FQDNs
*.delivery.mp.microsoft.com
*.dl.delivery.mp.microsoft.com
*.dm.microsoft.com
*.do.dsp.mp.microsoft.com
*.events.data.microsoft.com
*.gov.teams.microsoft.us
*.manage.microsoft.com
*.monitor.azure.com
*.notify.windows.com
*.powershellgallery.com
*.s-microsoft.com
*.support.services.microsoft.com
*.trouter.communication.microsoft.com
*.trouter.communications.svc.cloud.microsoft
*.trouter.teams.microsoft.com
*.update.microsoft.com
*.webpubsub.azure.com
*.windowsupdate.com
*.wns.windows.com
aadcdn.msauth.net
aadcdn.msftauth.net
aam-content-cdn.manage.microsoft.com
adl.windows.com
aka.ms
api.flightproxy.skype.com
browser.pipe.aria.microsoft.com
cdn.oneget.org
certauth.enterpriseregistration.windows.net
clientconfig.passport.net
config.edge.skype.com
config.office.com
displaycatalog.mp.microsoft.com
dl.delivery.mp.microsoft.com
ecs.communication.microsoft.com
ecs.office.com
edge.microsoft.com
edge.skype.com
ekcert.spserv.microsoft.com
ekop.intel.com
enterpriseregistration.windows.net
fd.api.orgmsg.microsoft.com
ftpm.amd.com
go-amer.trouter.communications.svc.cloud.microsoft
go-apac.trouter.communications.svc.cloud.microsoft
go-eu.trouter.communications.svc.cloud.microsoft
go.microsoft.com
graph.windows.net
intunemaape1.eus.attest.azure.net
intunemaape2.eus2.attest.azure.net
intunemaape3.cus.attest.azure.net
intunemaape4.wus.attest.azure.net
intunemaape5.scus.attest.azure.net
intunemaape7.neu.attest.azure.net
intunemaape8.neu.attest.azure.net
intunemaape9.neu.attest.azure.net
intunemaape10.weu.attest.azure.net
intunemaape11.weu.attest.azure.net
intunemaape12.weu.attest.azure.net
intunemaape13.jpe.attest.azure.net
intunemaape17.jpe.attest.azure.net
intunemaape18.jpe.attest.azure.net
intunemaape19.jpe.attest.azure.net
amsua0101lmsas.blob.core.windows.net
amsua0102lmsas.blob.core.windows.net
amsua0201lmsas.blob.core.windows.net
amsua0202lmsas.blob.core.windows.net
amsua0401lmsas.blob.core.windows.net
amsua0402lmsas.blob.core.windows.net
amsua0501lmsas.blob.core.windows.net
amsua0502lmsas.blob.core.windows.net
amsua0601lmsas.blob.core.windows.net
amsua0602lmsas.blob.core.windows.net
amsua0701lmsas.blob.core.windows.net
amsua0702lmsas.blob.core.windows.net
amsua0801lmsas.blob.core.windows.net
amsua0901lmsas.blob.core.windows.net
amsua0902lmsas.blob.core.windows.net
amsub0101lmsas.blob.core.windows.net
amsub0102lmsas.blob.core.windows.net
amsub0201lmsas.blob.core.windows.net
amsub0202lmsas.blob.core.windows.net
amsub0301lmsas.blob.core.windows.net
amsub0302lmsas.blob.core.windows.net
amsub0501lmsas.blob.core.windows.net
amsub0502lmsas.blob.core.windows.net
amsub0601lmsas.blob.core.windows.net
amsub0701lmsas.blob.core.windows.net
amsub0801lmsas.blob.core.windows.net
amsub0901lmsas.blob.core.windows.net
amsuc0101lmsas.blob.core.windows.net
amsuc0201lmsas.blob.core.windows.net
amsuc0301lmsas.blob.core.windows.net
amsuc0501lmsas.blob.core.windows.net
amsuc0601lmsas.blob.core.windows.net
amsud0101lmsas.blob.core.windows.net
amsuin01lmsas.blob.core.windows.net
licensing.mp.microsoft.com
login.live.com
login.microsoftonline.com
manage.microsoft.com
purchase.md.mp.microsoft.com
remoteassistanceprodacs.communication.azure.com
remoteassistanceprodacseu.communication.azure.com
remoteassistanceweb.usgov.communication.azure.us
remotehelp.microsoft.com
ris.prod.api.personalization.ideas.microsoft.com
storeedgefd.dsx.mp.microsoft.com
teams.microsoft.com
time.windows.com
tsfe.trafficshaping.dsp.mp.microsoft.com
wcpstatic.microsoft.com
windowsphone.com
IP-Subnetze
4.145.74.224/27
4.150.254.64/27
4.154.145.224/27
4.200.254.32/27
4.207.244.0/27
4.213.25.64/27
4.213.86.128/25
4.216.205.32/27
4.237.143.128/25
13.67.13.176/28
13.67.15.128/27
13.69.67.224/28
13.69.231.128/28
13.70.78.128/28
13.70.79.128/27
13.74.111.192/27
13.77.53.176/28
13.86.221.176/28
13.89.174.240/28
13.89.175.192/28
20.37.153.0/24
20.37.192.128/25
20.38.81.0/24
20.41.1.0/24
20.42.1.0/24
20.42.130.0/24
20.42.224.128/25
20.43.129.0/24
20.44.19.224/27
20.91.147.72/29
20.168.189.128/27
20.189.172.160/27
20.189.229.0/25
20.191.167.0/25
20.192.159.40/29
20.192.174.216/29
20.199.207.192/28
20.204.193.10/31
20.204.193.12/30
20.204.194.128/31
20.208.149.192/27
20.208.157.128/27
20.214.131.176/29
40.67.121.224/27
40.70.151.32/28
40.71.14.96/28
40.74.25.0/24
40.78.245.240/28
40.78.247.128/27
40.79.197.64/27
40.79.197.96/28
40.80.180.208/28
40.80.180.224/27
40.80.184.128/25
40.82.248.224/28
40.82.249.128/25
40.84.70.128/25
40.119.8.128/25
48.218.252.128/25
52.150.137.0/25
52.162.111.96/28
52.168.116.128/27
52.182.141.192/27
52.236.189.96/27
52.240.244.160/27
57.151.0.192/27
57.153.235.0/25
57.154.140.128/25
57.154.195.0/25
57.155.45.128/25
68.218.134.96/27
74.224.214.64/27
74.242.35.0/25
104.46.162.96/27
104.208.197.64/27
172.160.217.160/27
172.201.237.160/27
172.202.86.192/27
172.205.63.0/25
172.212.214.0/25
172.215.131.0/27
13.107.219.0/24
13.107.227.0/24
13.107.228.0/23
150.171.97.0/24
2620:1ec:40::/48
2620:1ec:49::/48
2620:1ec:4a::/47
Verwandte Inhalte
URLs und IP-Adressbereiche für Office 365
Microsoft 365 – Überblick über die Netzwerkkonnektivität
Netzwerke für die Inhaltsübermittlung (Content Delivery Networks, CDNs)
Andere Endpunkte, die nicht im Office 365-Webdienst für IP-Adressen und URLs enthalten sind