Leistungsempfehlungen für Gruppierung, Zielgruppenadressierung und Filterung in großen Microsoft Intune-Umgebungen

Wenn Sie eine Richtlinie erstellen, können Sie Zuweisungsfilter verwenden, um eine Richtlinie basierend auf von Ihnen erstellten Regeln zuzuweisen. Sie können Zuweisungsfilter auf Intune-registrierte Geräte und von Intune verwaltete Apps anwenden. Eine Übersicht über Zuweisungsfilter finden Sie unter Verwenden von Filtern beim Zuweisen Ihrer Apps, Richtlinien und Profile in Microsoft Intune.

Beim Erstellen von Aufgabenfiltern gibt es einige Leistungsempfehlungen, die Sie berücksichtigen sollten.

In diesem Artikel werden Empfehlungen für die Gruppierung, das Zielgruppen-Targeting und die Filterung von Intune für Ihre Richtlinien und Apps aufgelistet und beschrieben. Ziel ist es, Architektur- und Entwurfsentscheidungen für Intune-Bereitstellungen in großen Umgebungen zu treffen.

Diese Leistungsempfehlungen und ihre Implementierung können unterschiedlich sein und hängen von Ihrer eigenen Umgebung & anderen Faktoren ab, einschließlich Verwaltbarkeit und Einfachheit.

Inhalt dieses Artikels:

• Erhalten Sie einen Überblick über Intune-Gruppierungs- und Targeting-Konzepte
• Abrufen einiger Leistungsempfehlungen

Anleitungen zu dynamischen Gruppen finden Sie unter Erstellen einfacherer und effizienterer Regeln für dynamische Gruppen in Microsoft Entra ID.

Übersicht über Intune-Gruppierungs- und Targeting-Konzepte

Sehen wir uns die in Intune verfügbaren Gruppierungs-, Targetierungs- und Filterfeatures an.

Microsoft Entra-Gruppen

Intune verwendet fast ausschließlich Microsoft Entra-Gruppen für Gruppierung und Zielgruppenadressierung. Wenn Sie im Microsoft Intune Admin Center Gruppen auswählen, handelt es sich um Microsoft Entra-Gruppen.

Microsoft Entra-Gruppen sind ein wichtiger Bestandteil von Intune, da diese Gruppen Folgendes sind:

• Die Objekte, die zum Zuweisen von Apps, Richtlinien und anderen Workloads zu Benutzern und Geräten verwendet werden
• Wird verwendet, um die Geräte zu definieren, die Administratoren im Intune Admin Center anzeigen und verwalten können, z. B. Bereichsgruppen in der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC)

Virtuelle Gruppen

Die Zuweisungen "Alle Benutzer" und "Alle Geräte" sind "virtuelle" Intune-Gruppen. Diese virtuellen Gruppen sind standardmäßig in allen Intune-Mandanten verfügbar und verursachen keinen Verwaltungsaufwand. Sie müssen beispielsweise keine Microsoft Entra ID-Regeln erstellen oder anpassen, um deren Mitglieder aufgefüllt zu halten.

Die Gruppen "Alle Benutzer" und "Alle Geräte" sind ebenfalls hochgradig skalierbar und optimiert, vor allem, weil sie nicht auf die gleiche Weise wie andere Gruppen von Microsoft Entra ID synchronisiert werden müssen.

Aufgabenfilter

Nachdem die App oder Richtlinie einer Microsoft Entra ID oder virtuellen Gruppe zugewiesen wurde, können Sie Zuweisungsfilter verwenden, um den Zuweisungsbereich dieser Apps und Richtlinien auf bestimmte Benutzer- oder Gerätegruppen einzugrenzen.

Ihr Zuweisungsfilter filtert Geräte, die basierend auf Geräteeigenschaften in (oder nicht) dieser Zuweisung enthalten sind.

Die Filterung ist eine Bewertung der Anwendbarkeit mit hoher Leistung und geringer Latenz beim Geräte-Check-in, ohne dass die Gruppenmitgliedschaft im Voraus berechnet werden muss.

Empfehlungen zur Leistung

Dieser Abschnitt enthält einige Empfehlungen, mit denen Sie die Leistung beim Zuweisen Ihrer Richtlinien in Microsoft Intune verbessern können.

Diese Empfehlungen konzentrieren sich auf die Verbesserung der Leistung und die Verringerung der Latenz bei der Workloadzuweisung. Sie haben die größte Auswirkung, wenn sie in großen Intune-Umgebungen arbeiten, z. B. Umgebungen mit >100.000 Geräten. Diese Empfehlungen sollten zusammen mit anderen Entwurfsaspekten wie Verwaltbarkeit, Benutzerfreundlichkeit, rollenbasierter Verwaltung und Einfachheit berücksichtigt werden.

Verwenden der integrierten virtuellen Gruppen

DO	DON'T
Verwenden Sie die virtuellen Gruppen "Alle Benutzer" und "Alle Geräte", anstatt Ihre eigene Version aller Benutzer bzw. aller Geräte mithilfe der dynamischen Gruppen "Microsoft Entra" zu erstellen.	Erstellen Sie keine eigenen dynamischen Gruppen "Alle Benutzer" oder "Alle Geräte" für Richtlinien und App-Targeting in Intune.

Größere Gruppen benötigen länger, um Mitgliedschaftsaktualisierungen zwischen Microsoft Entra ID und Intune zu synchronisieren. Alle Benutzer und Alle Geräte sind normalerweise die größten Gruppen, die Sie haben. Wenn Sie Intune-Workloads großen Microsoft Entra-Gruppen mit vielen Benutzern oder Geräten zuweisen, können Synchronisierungsrückstände in Ihrer Intune-Umgebung auftreten. Dieser Rückstand wirkt sich auf Richtlinien- und App-Bereitstellungen aus, die länger brauchen, um verwaltete Geräte zu erreichen.

Das Update von Microsoft Entra auf Intune erfolgt in der Regel innerhalb von 5 Minuten. Es ist nicht sofort. Diese Zeit kann sich auf Registrierungszuweisungen auswirken. Administratoren sollten Geräte nach einigen Minuten registrieren, nicht sofort, nachdem sie die Benutzer einer Gruppe hinzugefügt haben.

Die integrierten Gruppen "Alle Benutzer" und "Alle Geräte" sind reine Intune-Gruppierungsobjekte, die in Microsoft Entra ID nicht vorhanden sind. Es findet keine fortlaufende Synchronisierung zwischen Microsoft Entra ID und Intune statt. Die Gruppenmitgliedschaft erfolgt also sofort.

Sie können diese Optimierung auch auf andere große und sich häufig ändernde Gruppen anwenden, die Sie möglicherweise haben, wie "Alle Windows-Geräte" oder "Alle iOS-Geräte". Verwenden Sie anstelle des Erstellens und Adressierens dieser Gruppen die vorhandenen virtuellen Gruppen "Alle Benutzer" oder "Alle Geräte", da Intune-Richtlinien und -Anwendungen automatisch nach Plattform eingegrenzt werden.

Wenn Sie sehr große Gruppen in Intune verwenden (über 100.000 Mitglieder), müssen Sie mit einer anfänglichen Verzögerung bei der Zielgruppenadressierung rechnen. Es gibt einen erstmaligen Setupprozess, der zwischen Microsoft Entra ID und Intune stattfindet. Die erste vollständige Synchronisierung dauert immer länger als nachfolgende inkrementelle Synchronisierungen.

Gruppen wiederverwenden

DO	DON'T
Verwenden Sie dieselben Gruppenobjekte zum Zuweisen mehrerer Richtlinien wieder.	Erstellen Sie keine doppelten Kopien derselben Gruppe, um unterschiedliche Richtlinien als Ziel zu verwenden. Erstellen Sie keine dedizierten "App-Gruppen" oder "Richtliniengruppen".

Im Hintergrund konvertiert Intune Mitglieder der Microsoft Entra-Gruppe in Zuweisungsnachrichten für jeden Benutzer und jedes Gerät. Dieser Prozess ist hochgradig optimiert, wenn die Gruppenobjekte identisch sind.

Beispielsweise funktioniert die Gruppierung und Zielgruppenadressierung in Intune am besten, wenn die Benutzergruppe "Engineering" mit 10 Richtlinien als Ziel verwendet wird. Es funktioniert nicht am besten, wenn die Engineering-Benutzer Mitglieder von 10 verschiedenen Gruppen sind, wobei jede Gruppe einer anderen Richtlinie zugewiesen ist.

Wir haben einige Designs gesehen, die diese Anleitung nicht verwenden. Beispielsweise erstellen IT-Administratoren eine "Install_Edge"-Gruppe, erstellen eine "Deploy_Edge_Config_Policy"-Gruppe und fügen dann die gleichen Geräte in jede Gruppe ein, was aus Leistungsgründen nicht empfohlen wird.

Ein ähnliches und nicht empfohlenes Muster ist das Erstellen von "App-Gruppen". Eine App-Gruppe ist, wenn für jede App mehrere Microsoft Entra-Gruppen erstellt wurden. Um beispielsweise die Microsoft Edge-Anwendung zu verwalten, erstellt ein Administrator die folgenden Gruppen:

• Edge_Required
• Edge_Available
• Edge_Uninstall

Der Administrator fügt diesen Gruppen einzelne Benutzer oder Geräte hinzu. Durch diese App-Gruppen wird die Anzahl der Microsoft Entra-Gruppen, die Intune abonnieren und auf Mitgliedschaftsaktualisierungen überwachen muss, drastisch erhöht. Dies ist weniger effizient. Ein ineffizientes Design für die Gruppensynchronisierung wirkt sich darauf aus, wie schnell neue Zuweisungen erstellt und an Geräte übermittelt werden.

Inkrementelle Gruppenänderungen vornehmen

DO	DON'T
Seien Sie vorsichtig bei Änderungen der Verschachtelung großer Gruppen in Microsoft Entra ID.	Nehmen Sie nicht alle Änderungen an der Verschachtelung großer Gruppen gleichzeitig vor.

Eine Änderung der Mitgliedschaft in großen Gruppen in Microsoft Entra ID kann Bursts von Targeting-Änderungen in Intune erzeugen. Diese Bursts können die Ausrichtung auf andere Aufgaben in Ihrer Umgebung verzögern.

Wenn eine Gruppe von Administratoren Ihre Gruppen und eine andere Gruppe Microsoft Entra ID verwaltet, sollten Sie die Auswirkungen kommunizieren, die Änderungen an der Microsoft Entra ID auf das Intune-Targeting haben können.

Wenn ein Microsoft Entra Administrator beispielsweise neue große Gruppen innerhalb einer vorhandenen Gruppe schachtelt, die Intune für die Zielgruppenadressierung verwendet, beginnt Intune mit der Synchronisierung aller Gruppen und Gruppenmitgliedschaften. Die erforderliche Zeit für die Verarbeitung aller Mitgliedschaften hängt von der Anzahl und Größe der Gruppenänderungen in Microsoft Entra ID ab.

Diese Empfehlung gilt auch, wenn Gruppen "nicht geschachtelt" sind. Weitere Informationen zu geschachtelten Gruppen finden Sie unter Verwalten von Microsoft Entra-Gruppen und Gruppenmitgliedschaft.

Verwenden von Zuweisungsfiltern zum Ein- und Ausschließen

DO	DON'T
Verwenden Sie Zuweisungsfilter, um die richtige Kombination aus Benutzer und Gerät für die Zielgruppenadressierung zu erzielen.	Mischen Sie Benutzergruppen und Gerätegruppen nicht, wenn Sie Gruppen ein- und ausschließen.

Diese Empfehlung ist auch eine Unterstützungserklärung. Es wird nicht empfohlen oder unterstützt, Zuweisungen zu Benutzergruppen zu erstellen und eine Gerätegruppe von dieser Zuweisung auszuschließen oder umgekehrt.

Diese Empfehlung besteht aufgrund der Timing-/Latenzcharakteristik dynamischer Gruppen. Die Mitgliedschaft ausgeschlossener Gruppen erfolgt nicht sofort, was dazu führen kann, dass Geräte fälschlicherweise App- oder Richtlinienzuweisungen erhalten. Weitere Informationen finden Sie unter Zuweisen von Richtlinien und Profilen – Supportmatrix.

Anstelle von gemischten Ausschlüssen empfehlen wir, einer Benutzergruppe zuzuweisen. Verwenden Sie dann Zuweisungsfilter, um die entsprechenden Geräte dynamisch ein- oder auszuschließen.

Zuweisungsfilter anstelle von dynamischen Gruppen für das Targeting von Geräteeigenschaften verwenden

DO	DON'T
Verwenden Sie Filter für einfache Geräteeigenschaften (Betriebssystemtyp, Hersteller, Modell, Besitz, Gerätekategorie).	Verwenden Sie keine dynamischen Gruppen für einfache Geräteeigenschaften, wenn die Gruppe nur von Intune verwendet wird.

Dynamische Gerätegruppen, die einfache Eigenschaftsregeln verwenden (wie device.deviceOSType -eq "Windows" oder device.deviceOwnership -eq "Company"), führen zusätzliche Verarbeitungsschritte ohne Nutzen ein, wenn die Gruppe nur von Intune verbraucht wird. Zuweisungsfilter werten dieselben Eigenschaften beim Einchecken von Geräten aus – direkt, ohne dass die Auswertung der Gruppenmitgliedschaft erforderlich ist.

Anstatt beispielsweise eine dynamische Gruppe mit der Regel device.deviceOSType -eq "Windows" zu erstellen und dieser Gruppe eine Richtlinie zuzuweisen, können Sie die Richtlinie allen Geräten zuweisen und einen Filter mit der Regel operatingSystemSKU -eq "Windows"anwenden. Das Ergebnis ist dasselbe, aber der Filter wird beim Einchecken ausgewertet, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein.

Erwägen Sie die Migration dynamischer Gerätegruppen zu Zuweisungsfiltern, wenn:

• Die Gruppe wird nur für Intune-Richtlinien- oder App-Zuweisungen verwendet (nicht für bedingten Zugriff, Lizenzierung oder andere Dienste).
• Die Gruppenregel verwendet Geräteeigenschaften, die von Zuweisungsfiltern unterstützt werden, wie Betriebssystemversion, Hersteller, Modell, Besitz oder Kategorie.
• Sie möchten die Targeting-Architektur vereinfachen und Abhängigkeiten von der Auswertung der Gruppenmitgliedschaft verringern.

Vermeiden in memberOf dynamischen Gruppenregeln

DO	DON'T
Verwenden Sie direkte Eigenschaftsvergleiche (-eq, -startsWith, -in) in dynamischen Gruppenregeln.	Verwenden Sie den memberOf Operator nicht in dynamischen Gruppenregeln für das Intune-Targeting.

Der memberOf Operator löst transitive Suchen nach Gruppenmitgliedschaften aus, was die Verarbeitungskomplexität erheblich erhöht. In großen Umgebungen memberOfkönnen -basierte Regeln aufgrund der rekursiven Natur des Lookups lange Auswertungszeiten verursachen und zu unerwarteten Mitgliedschaftsergebnissen führen.

Wenn Sie Geräte basierend auf ihrer Mitgliedschaft in einer anderen Gruppe adressieren müssen, prüfen Sie, ob das Szenario mithilfe einer direkten Geräteeigenschaft oder eines Zuweisungsfilters neu gestaltet werden kann. Prüfen Sie beispielsweise device.memberOf -any (group.objectId -in ['<groupId>']), ob die Geräte ein gemeinsames Attribut (z. B. den Namen des Registrierungsprofils, die Gerätekategorie oder den Hersteller) verwenden, das in einer einfacheren Regel oder einem einfacheren Filter verwendet werden kann.

Zusammenfassung

Integrieren Sie beim Erstellen und Verwalten von Aufgaben in Intune einige dieser Empfehlungen. Verwenden Sie Gruppen oder virtuelle Gruppen, und wenden Sie Aufgabenfilter an, um den Bereich des Zielgruppen-Targetings zu verfeinern. Behalten Sie die bewährten Methoden im Hinterkopf:

• Erstellen Sie keine eigene Version der Gruppen "Alle Benutzer" oder "Alle Geräte". Verwenden Sie die virtuellen Intune-Gruppen, da sie keine Microsoft Entra ID-Synchronisierung erfordern, wenn ein neuer Benutzer oder ein neues Gerät zur Umgebung hinzugefügt wird.
• Verwenden Sie Gruppen so weit wie möglich wieder, um Ihre Zielgruppenadressierung zu optimieren.
• Seien Sie vorsichtig, wenn Sie umfangreiche Schachtelungsänderungen an Intune-Gruppen vornehmen. Intune muss all diese Änderungen verarbeiten und effektive Änderungen für alle Mitglieder aller von dieser Änderung betroffenen Gruppen berechnen.
• Intune unterstützt keine gemischten Gruppenausschlüsse. Verwenden Sie also Zuweisungsfilter, um Geräte zusätzlich zu Gruppen- oder virtuellen Gruppenzuweisungen dynamisch ein- und auszuschließen.
• Verwenden Sie Zuweisungsfilter anstelle von dynamischen Gerätegruppen, wenn die Gruppe nur von Intune verwendet wird.
• Vermeiden Sie memberOf in dynamischen Gruppenregeln. Verwenden Sie stattdessen direkte Eigenschaftenvergleiche.

Anleitungen zur Auswahl zwischen Zielgruppenmethoden (virtuelle Gruppen, statische Gruppen, dynamische Gruppen, Aufgabenfilter und Gruppierung von Registrierungszeit) finden Sie unter Auswählen der richtigen Zielgruppenmethode in Microsoft Intune.

Verwandte Artikel

• Auswählen der richtigen Targeting-Methode in Microsoft Intune
• Verwenden von Filtern beim Zuweisen von Apps, Richtlinien und Profilen
• Unterstützte Geräteeigenschaften beim Erstellen von Filtern
• Unterstützte Workloads beim Erstellen von Filtern
• Filtern von Berichten und Problembehandlung