Verteilte IT-Umgebung mit vielen Administratoren im selben Microsoft Intune-Mandanten

Viele Organisationen verwenden eine verteilte IT-Umgebung, in der sie über einen einzelnen Microsoft Microsoft Intune-Mandanten mit mehreren lokalen Administratoren verfügen. In diesem Artikel wird eine Möglichkeit zum Skalieren von Microsoft Intune beschrieben, um mehrere lokale Administratoren zu unterstützen, die ihre eigenen Benutzer und Geräte verwalten und ihre eigenen Richtlinien in einem einzigen Microsoft Microsoft Intune-Mandanten erstellen.

Es gibt keine richtige oder falsche Antwort darauf, wie viele Administratoren Sie in Ihrem Mandanten haben sollten. Der Artikel konzentriert sich auf Mandanten mit vielen lokalen Administratoren.

Verteilte IT wird in Organisationen benötigt, in denen eine große Anzahl lokaler Administratoren eine Verbindung mit einem einzelnen Intune-Mandanten herstellt. Beispielsweise sind einige Schulsysteme so organisiert, dass Sie für jede Schule im System oder in der Region einen lokalen Administrator haben. In einigen Fällen kann diese verteilte Umgebung mehr als 15 verschiedene lokale Administratoren umfassen, die ein Rollup für dasselbe zentrale System oder denselben Microsoft Intune Mandanten durchführen.

Jeder lokale Administrator kann Gruppen einrichten, die den lokalen organisatorischen Anforderungen entsprechen. Der lokale Administrator erstellt in der Regel Gruppen und organisiert mehrere Benutzer oder Geräte nach geografischem Standort, Abteilung oder Hardwaremerkmalen. Die lokalen Administratoren verwenden diese Gruppen auch, um Aufgaben im großen Stil zu verwalten. Die lokalen Administratoren können beispielsweise Richtlinien für viele Benutzer festlegen oder Apps auf einer Reihe von Geräten bereitstellen.

In diesem Artikel verwendete Begriffe

  • Geringste Rechte: Das Sichern des Zugriffs auf Ihre Organization ist ein wesentlicher Sicherheitsschritt. Intune verwendet rollenbasierte Zugriffssteuerungen (Role-Based Access Controls, RBAC), um Administratoren Berechtigungen innerhalb von Intune zum Verwalten verschiedener Aufgaben zuzuweisen. Mit dem Prinzip des geringstprivilegierten Zugriffs können Ihre Administratoren die ihnen zugewiesenen Aufgaben nur auf den Benutzern und Geräten ausführen, die sie verwalten sollten.

  • Zentrales Team: Das zentrale Team oder die zentrale Gruppe umfasst die primären Administratoren in Ihrem Mandanten. Diese Administratoren können alle lokalen Administratoren beaufsichtigen und den lokalen Administratoren Anleitungen bieten.

  • Lokale Administratoren: Die lokalen Administratoren sind lokal tätig und konzentrieren sich auf Richtlinien und Profile für ihre spezifischen Standorte. Schulen, Krankenhäuser und so weiter.

Rollenbasierte Zugriffssteuerung

Das Sichern des Zugriffs auf Ihre Organization ist ein wesentlicher Sicherheitsschritt. Intune verwendet rollenbasierte Zugriffssteuerungen, um Ihren Administratoren präzise Berechtigungen zu erteilen, um zu steuern, wer Zugriff auf die Ressourcen Ihrer organization hat und was er mit diesen Ressourcen tun kann. Durch das Zuweisen von Intune RBAC-Rollen und die Einhaltung der Prinzipien des geringstprivilegierten Zugriffs können Ihre Administratoren die ihnen zugewiesenen Aufgaben nur auf den Benutzern und Geräten ausführen, die sie verwalten sollten.

In den folgenden Abschnitten werden die verschiedenen Modelle mit Richtlinien für die Verwaltung von Richtlinien, Profilen und Apps zwischen dem zentralen Team und den lokalen Administratoren kurz beschrieben. Die Modelle sind:

  • Partielles Delegierungsmodell
  • Vollständiges Delegierungsmodell
  • Zentrales Modell
  • Dezentralisiertes Modell
  • Hybridmodell

Partielles Delegierungsmodell

Das Modell der teilweisen Delegierung schlägt die folgenden Richtlinien für die Richtlinienverwaltung zwischen dem zentralen Team und den lokalen Administratoren vor.

✔️ Berechtigungen

  • Berechtigungen zum Erstellen, Aktualisieren und Löschen von Richtlinien, Registrierungsprofilen und Apps sollten vom zentralen Team gehalten werden.
  • Erteilen Sie nur den lokalen Administratoren Lese- und Zuweisungsberechtigungen.

✔️ Wiederverwendung

  • Allgemein konfigurierte Richtlinien, Registrierungsprofile und Apps sollten den lokalen Administratoren so weit wie möglich zur Wiederverwendung zur Verfügung gestellt werden.
  • Microsoft Intune verwendet viele gängige Konfigurationen, die in einige Kategorien fallen. Lesen Sie die für App-Schutzrichtlinien aufgeführten Empfehlungen.
  • Als lokale Administratoren an Bord sollten sie die vorhandenen Richtlinien überprüfen und bei Bedarf wiederverwenden.

✔️ Ausnahmen

  • Das zentrale Team kann bei Bedarf im Namen der lokalen Administratoren neue Richtlinien, Registrierungsprofile und Apps als Ausnahmen erstellen. Diese Ausnahmen gelten in der Regel für alle Profiltypen, die eindeutige Parameter erfordern.

In diesen beiden Bereichen wird ein Modell der teilweisen Delegation vorgeschlagen:

Gruppen- und Aufgabenrichtlinien für lokale Administratoren: Was sind einige der bewährten Methoden, die lokale Administratoren beim Organisieren von Gruppen für die Geräteverwaltung über Microsoft Intune anwenden sollten? Weitere Informationen finden Sie unter Intune-Gruppierung, -Zielgruppenadressierung und -Filterung: Empfehlungen für optimale Leistung – Microsoft Tech Community-Blog.

Featurespezifische Richtlinien: Verwaltung von Richtlinien/Profilen/Apps zwischen einer zentralen Behörde und den lokalen Administratoren mit spezifischen Berechtigungen für die verschiedenen Funktionen Weitere Informationen finden Sie unter Featurespezifische Richtlinien in diesem Artikel.

Vollständiges Delegierungsmodell

Das Modell der vollständigen Delegation schlägt die folgenden Richtlinien für die Richtlinienverwaltung zwischen dem zentralen Team und den lokalen Administratoren vor.

  • Jeder lokale Administrator sollte über ein eigenes Bereichstag verfügen, um jedes Objekt, das er vollständig verwaltet, voneinander zu trennen.
  • Wenn der lokale Administrator keine Elemente erstellen, aktualisieren oder löschen muss, erteilen Sie ihm eine Rolle mit Lese- und Zuweisungsberechtigungen und vermeiden Sie es, ihm eine andere Rolle mit vollen Berechtigungen zuzuweisen. Mit diesem Ansatz können Sie vermeiden, Berechtigungen über Bereichstags hinweg zu kombinieren.
  • Manchmal müssen die lokalen Administratoren ihre eigenen Richtlinien, Profile und Apps erstellen, während sie einige gemeinsame Richtlinien, Profile und Apps freigeben. Erstellen Sie in solchen Fällen eine spezielle Gruppe, und weisen Sie ihr die allgemeinen Richtlinien, Profile und Apps zu. Diese Gruppe sollte nicht im Scope (Gruppe) einer Intune RBAC-Rollenzuweisung für einen lokalen Administrator enthalten sein. Durch diesen Ansatz wird verhindert, dass die Berechtigungen zum Erstellen, Aktualisieren und Löschen, die den lokalen Administratoren zugewiesen sind, auf diese allgemeinen Richtlinien, Profile und Apps angewendet werden.

Zentrales Modell

Im zentralen Modell verwaltet ein einzelnes lokales Administratorteam (übergeordnetes Team) mehrere untergeordnete Organisationen. Faktoren wie Geografie, Geschäftseinheit oder Größe können zur Gruppierung untergeordneter Organisationen verwendet werden.

  • Es gibt nur ein Bereichstag, das für alle verwalteten lokalen Administratoren verwendet wird.

  • Wenn möglich, sollte das lokale Administratorteam die Zuweisungen auf alle lokalen Administratoren standardisieren und alle ihre Geräte zur Zuweisung in einer einzigen Microsoft Entra-Gruppe platzieren. Wenn es nicht möglich ist, eine einzelne Microsoft Entra-Gruppe zu erstellen, kann das lokale Administratorteam verschiedene Microsoft Entra-Gruppen erstellen, um unterschiedliche Zuweisungen vorzunehmen.

  • Wenn ein anderes lokales Administratorteam eine Organisation verwaltet oder verschiebt, müssen die folgenden Schritte ausgeführt werden:

    • Alle Geräte und Benutzer der Organisation müssen aus gemeinsamen Microsoft Entra-Gruppen im Bereich des ursprünglichen lokalen Administratorteams extrahiert werden.

    • Für alle Richtlinien/Apps/Profile, die für diese Organisation eindeutig zugewiesen sind, muss das Bereichstag für das neue lokale Administratorteam aktualisiert werden.

Dezentralisiertes Modell

Im dezentralisierten Modell werden mehrere lokale Administratoren (Kinder) sowohl von ihrem dedizierten lokalen Administrator verwaltet als auch von einem zwischengeschalteten lokalen Verwaltungsteam beaufsichtigt. Sowohl der übergeordnete als auch der untergeordnete Administrator verfügen über eigene Bereichstags, um Verwaltungsgrenzen darzustellen.

  • Wenn es weniger als 50 untergeordnete Administratoren gibt, kann dem mittleren lokalen Administratorteam Zugriff gewährt werden, indem alle Bereichstags der untergeordneten zu den RBAC-Rollenzuweisungen der mittleren lokalen Administratorteams zugewiesen werden.
  • Wenn es mehr als 50 untergeordnete Administratoren gibt, sollte dem mittleren lokalen Administratorteam ein eigenes Bereichstag zugewiesen werden, um die gesamte Sammlung der von ihm beaufsichtigten Kinderadministratoren darzustellen.
  • Neu erstellte Richtlinien unter den Bereichstags des untergeordneten Administrators müssen mit dem Zwischentag von einem Benutzer mit einer entsprechenden Rolle versehen werden, um zu verhindern, dass das mittlere lokale Administratorteam die Sichtbarkeit verliert.

Hybridmodell

Im Hybridmodell wird derselbe übergeordnete Administrator sowohl im zentralen als auch im dezentralisierten Modell gleichzeitig verwendet. Für dieses Modell gibt es keine besonderen Empfehlungen.

Featurespezifische Richtlinien

Abhängig von den geschäftlichen Anforderungen für die einzelnen Features können die in diesem Abschnitt enthaltenen Richtlinien empfehlen, Richtlinien pro lokalem Administrator zu erstellen und möglicherweise die zum Erstellen von Objekten erforderlichen Berechtigungen an die lokalen Administratoren zu delegieren.

Hinweis

Die Anleitungen in diesem Abschnitt behandeln nicht alle Features, sondern nur die Bereiche, für die wir spezielle Anweisungen haben.

Richtlinie zum App-Schutz

App-Schutzrichtlinien sind Regeln, die sicherstellen, dass die Daten einer Organisation in einer verwalteten App jederzeit sicher sind und dort verbleiben. Weitere Informationen finden Sie unter App-Schutzrichtlinien.

Die Richtlinien für Richtlinien zum App-Schutz sind wie folgt auf das zentrale Team und die lokalen Administratoren aufgeteilt:

Zentrales Team – Tasks

  • Überprüfen Sie die Sicherheits- und Geschäftsanforderungen in der gesamten organization, und erstellen Sie eine Reihe allgemeiner Richtlinien für den App-Schutz für lokale Administratoren.
  • Überprüfen Sie die aufgeführten Empfehlungen, um zu ermitteln, welche Sicherheitskontrollen geeignet sind, bevor Sie Richtlinien zum App-Schutz erstellen.
  • Eine Methode für lokale Administratoren eingerichtet haben, um bei Bedarf angepasste Richtlinien für den App-Schutz für bestimmte Geschäftsanforderungen anzufordern, bei denen die Geschäftsanforderungen mit den vorhandenen allgemeinen Richtlinien nicht erfüllt werden können.
  • Spezifische Empfehlungen zu den einzelnen Konfigurationsebenen und den Mindest-Apps, die geschützt werden müssen, finden Sie unter Datenschutzframework mit Richtlinien zum App-Schutz.

Lokale Administratoren – Berechtigungen und Aufgaben

  • Bieten Sie lokalen Administratoren Lese- und Zuweisungsberechtigungen, aber keine Berechtigungen für verwaltete Apps, aktualisieren oder löschen Sie sie. Diese Konfiguration von Berechtigungen verhindert, dass sie eigene Richtlinien für den App-Schutz erstellen.
  • Bereitstellen von Lese- und Zuweisungsberechtigungen für die Anwendungskonfigurationsrichtlinienzuweisung für ihre Apps.
  • Erteilen Sie Lese- und Zuweisungsberechtigungen nur, wenn es unterschiedliche Schutzrichtlinien für verwaltete und nicht verwaltete Geräte gibt. Wenn das zentrale Team beschließt, nur eine Richtlinie für beide anzubieten, ist keine Anwendungskonfigurationsrichtlinie erforderlich.
  • Wenn eine Anwendungskonfigurationsrichtlinie verwendet wird, wird empfohlen, die Anwendungskonfigurationsrichtlinie ausnahmslos allen App-Instanzen zuzuweisen.
  • Wählen Sie aus den allgemeinen Richtlinien für den App-Schutz aus. Lokale Administratoren können das zentrale Team auffordern, in Ausnahmefällen und nur bei Bedarf benutzerdefinierte App-Schutzrichtlinien zu erstellen.
  • Weitere Informationen finden Sie unter App-Schutzrichtlinien.

Kompatibilitätsrichtlinie

Konformitätsrichtlinien in Intune definieren die Regeln und Einstellungen, die Benutzer und Geräte erfüllen müssen, um konform zu sein. Compliance kann erforderlich sein, bevor ein Gerät für den Zugriff auf die Ressourcen Ihrer Organisation verwendet werden kann. Weitere Informationen zu Konformitätsrichtlinien finden Sie unter Verwenden von Konformitätsrichtlinien zum Festlegen von Regeln für Geräte, die Sie mit Intune verwalten.

Zentrales Team

Das zentrale Team sollte allgemeine Konformitätsrichtlinien erstellen, aus denen lokale Administratoren auswählen können, und nur bei Bedarf Ausnahmerichtlinien erstellen. Weitere Informationen finden Sie unter Verwenden von Konformitätsrichtlinien zum Festlegen von Regeln für Geräte, die Sie mit Intune verwalten. Das Erstellen von Richtlinien umfasst die Erstellung benutzerdefinierter Skripts für Konformitätsrichtlinien, da diese derselben Skalierung unterliegen wie normale Konformitätsrichtlinien.

Weitere Informationen zum Erstellen einer Konformitätsrichtlinie finden Sie unter Erstellen einer Konformitätsrichtlinie in Microsoft Intune.

Lokale Administratoren

Bieten Sie lokalen Administratoren Lese- und Zuweisungsberechtigungen, aber keine Berechtigungen zum Erstellen, Aktualisieren oder Löschen von Compliancerichtlinien. Die Lese- und Zuweisungsberechtigungen ermöglichen es ihnen, aus den allgemeinen Konformitätsrichtlinien auszuwählen, die vom zentralen Team erstellt wurden, und sie ihren Benutzern und Geräten zuzuweisen.

Gerätekonfiguration

In diesem Abschnitt:

  • Geräteeinschränkungen und allgemeine Konfiguration
  • Ressourcenzugriff
  • Windows-Updateringe
  • Featureupdates
  • Qualitätsupdates.

Geräteeinschränkungen und allgemeine Konfiguration

  • Erteilen Sie lokalen Administratoren die Berechtigung zum Erstellen, Aktualisieren und Löschen innerhalb ihres eigenen Bereichs.

  • Verwenden Sie den Einstellungenkatalog und die Sicherheitsbaselines im größtmöglichen Umfang anstelle der in der Liste der Konfigurationsprofile erstellten Profile, um die Skalierung im Microsoft Intune Admin Center zu minimieren.

  • Im Allgemeinen sollte das zentrale Team versuchen, den Inhalt von Konfigurationen zentral zu überwachen und doppelte Profile nach Möglichkeit durch ein freigegebenes Profil zu ersetzen.

Ressourcenzugriff

Das Modell der vollständigen Delegation wird empfohlen.

Windows-Updateringe

  • Es wird empfohlen, die Windows Update-Ringe zentral zu verwalten. Das zentrale Team sollte so viele allgemeine Richtlinien für den Windows Update-Ring erstellen, wie erforderlich sind, um die Varianz der lokalen Administratoren zu berücksichtigen.
  • Die lokalen Administratoren sollten keine eigenen Windows-Updateringe erstellen. Wenn Sie an eine große Anzahl von Administratoren delegieren, kann die Gesamtzahl der Objekte groß und schwierig zu verwalten sein. Die bewährten Methoden variieren für jedes Feature. Weitere Informationen finden Sie unter Windows Updateringe.

Featureupdates

Das Modell der vollständigen Delegation wird empfohlen.

Qualitätsupdates.

Das Modell der vollständigen Delegation wird empfohlen.

Zertifikate

  • Es wird empfohlen, Berechtigungen über das zentrale Team zu verwenden, um Connectors nach Bedarf zu integrieren und zu offboarden. Onboarding von Connectors für jeden lokalen Administrator zur Unterstützung der Zertifikatsausstellung.

  • Erteilen Sie den lokalen Administratoren keine Berechtigung zum Aktualisieren oder Löschen von Connectors.

Anwendungen

Erteilen Sie lokalen Administratoren vollständige Berechtigungen zum Verwalten von Apps im Rahmen ihres Bereichs.

In diesem Abschnitt:

  • Apple Volumenkaufprogramm

  • Windows

  • Android

Weitere Informationen finden Sie unter Verwalten von Apps.

Apple Volumenkaufprogramm

Derzeit bestehen keine Skalierungsbedenken für die unterstützte Anzahl von Token für das Volume Purchase Program. Weitere Informationen finden Sie unter Wie viele Token kann ich hochladen?

Windows

Android

  • Lokale Administratoren sollten aus vorhandenen Store-Apps auswählen oder das zentrale Team bitten, neue Android-Store-Apps hinzuzufügen. Lokale Administratoren sollten keine neuen Android Store-Apps erstellen. Die Gesamtzahl der Objekte kann groß und schwierig zu verwalten sein.

  • Lokale Administratoren können nach Bedarf Android-Branchen-Apps innerhalb der plattformübergreifenden, branchenspezifischen App und des Weblinklimits erstellen.

  • Das zentrale Team muss verwaltete Google Play-Apps hinzufügen.

    • Das zentrale Team kann nur verwaltete Google Play-Apps sehen, die im Land oder der Region ihres Mandanten verfügbar sind. Wenn das zentrale Team eine verwaltete Google Play-App benötigt, die nur in bestimmten Ländern oder Regionen verfügbar ist, muss es möglicherweise mit dem App-Entwickler zusammenarbeiten, um sie korrekt aufzulisten.
    • Das zentrale Team sollte alle Inhalte im Zusammenhang mit verwalteten Google Play-Apps verwalten, einschließlich privater Apps, Web-Apps und Sammlungen. Wenn ein Kunde beispielsweise plant, den Managed Google Play iframe zu verwenden, um private Apps zu veröffentlichen, muss er dies mit einem einzigen Entwicklerkonto tun, das dem zentralen Team gehört.
    • Das zentrale Team kann ein einzelnes Bereichstag als Managed-Google Play-Bereichstag auswählen. Es verfügt über ein spezielles Dropdown-Menü auf der Managed Google Play Connector-Seite. Das Bereichstag gilt für alle verwalteten Google Play-Apps, nachdem das zentrale Team sie der Konsole hinzugefügt hat, jedoch nicht rückwirkend für Apps, die bereits hinzugefügt wurden. Es wird dringend empfohlen, dass das zentrale Team das Bereichstag vor dem Hinzufügen von Apps festlegt und dann jedem regionalen Team dieses Bereichstag zuweist. Andernfalls können regionale Administratoren ihre verwalteten Google Play-Apps möglicherweise nicht sehen.

  • Pro Gerät wird nur eine OEMConfig-Richtlinie unterstützt, mit Ausnahme von Zebra-Geräten. Bei Zebra-Geräten wurde empfohlen, die geringstmögliche Anzahl von Richtlinien zu verwenden, da die Zeit zum Erzwingen der Richtlinie additiv ist. Wenn Sie beispielsweise sechs Richtlinien unter der Annahme zuweisen, dass sie übereinander gelegt werden, dauert es etwa 6-mal länger, bis die Arbeit auf dem Gerät beginnt als bei einer einzelnen Richtlinie.

Hinweis

Gehen Sie äußerst vorsichtig vor, wenn Sie den Updatemodus mit hoher Priorität für viele verschiedene Apps und Gruppen festlegen. Dies hat mehrere Gründe:

  • Obwohl für viele Apps der Modus mit hoher Priorität festgelegt werden kann, kann jeweils nur ein App-Update installiert werden. Ein großes App-Update kann potenziell viele kleinere Updates blockieren, bis die Installation der großen App abgeschlossen ist.
  • Je nachdem, wann Apps neue Updates veröffentlichen, kann es zu einem plötzlichen Anstieg der Netzwerkauslastung kommen, wenn App-Veröffentlichungen zusammenfallen. Wenn Wi-Fi auf einigen Geräten nicht verfügbar ist, kann es auch zu einem Anstieg der Mobilfunknutzung kommen.
  • Obwohl bereits störende Benutzererfahrungen erwähnt wurden, wächst das Problem, wenn immer mehr Apps in den Update-Modus mit hoher Priorität versetzt werden.

Weitere Informationen zu Skalierungsbedenken in Bezug auf verwaltete Google Play-App-Updates mit dem Updatemodus mit hoher Priorität finden Sie im Techcommunity-Blog Bewährte Methoden zum Aktualisieren Ihrer Android Enterprise-Apps.

Registrierungsprofile

In diesem Abschnitt:

  • Windows Autopilot
  • Seite zum Status der Registrierung (ESP)
  • Apple Business Manager (ABM)
  • Profile für Android Enterprise
  • Registrierungseinschränkungen
  • Gerätekategorien

Windows Autopilot

  • Erteilen Sie lokalen Administratoren die Berechtigungen zum Lesen von Windows Autopilot-Geräten und zum Hochladen neuer Windows Autopilot-Geräte.
  • Lokale Administratoren sollten keine Windows Autopilot-Profile erstellen. Wenn Sie an eine große Anzahl von Administratoren delegieren, kann die Gesamtzahl der Objekte groß und schwierig zu verwalten sein. Die bewährte Methode variiert je nach Featurebereich. Weitere Informationen zum Windows Autopilot finden Sie unter Verwenden des Windows Autopilot zum Registrieren von Windows-Geräten in Intune.

Seite "Registrierungsstatus"

  • Lokale Administratoren sollten aus vorhandenen Profilen für die Registrierungs- status Seite auswählen und zuweisen oder das zentrale Team bitten, nur bei Bedarf ein Ausnahmeprofil zu erstellen.
  • Lokale Administratoren sollten keine Profile für Registrierungs-Statusseiten erstellen. Wenn Sie an eine große Anzahl von Administratoren delegieren, kann die Gesamtzahl der Objekte groß und schwierig zu verwalten sein. Die bewährte Methode variiert je nach Featurebereich. Informationen zur Seite "Registrierung status" finden Sie unter Einrichten der Seite "Registrierungsstatus".

Apple Business Manager

Wenn möglich, sollten lokalen Administratoren keine Berechtigungen zum Erstellen, Aktualisieren oder Löschen von Registrierungsprofilen gewährt werden. Wenn lokalen Administratoren Berechtigungen zum Erstellen von Apple Business Manager-Profilen erteilt werden, erhalten sie auch Berechtigungen zum Erstellen, Aktualisieren und Löschen in Windows Autopilot. Lokale Administratoren sollten jedoch keine Windows Autopilot-Profile erstellen.

Wenn Sie an eine große Anzahl von Administratoren delegieren, kann die Gesamtzahl der Objekte groß und schwierig zu verwalten sein. Die bewährte Methode variiert je nach Featurebereich. Weitere Informationen finden Sie unter Verwenden von Apple Business Manager zum Registrieren von Apple-Geräten in Intune.

Profile für Android Enterprise

  • Das zentrale Team sollte für jeden lokalen Administrator zur Gerätegruppierung dedizierte Geräteregistrierungsprofile für unternehmenseigene Android Enterprise-Geräte erstellen.
  • Wenn möglich, sollten lokalen Administratoren keine Berechtigungen zum Erstellen, Aktualisieren oder Löschen auf Android Enterprise-Geräten erteilt werden. Diese Einschränkungen hindern lokale Administratoren daran, die mandantenweiten Android Enterprise-Einstellungen und das globale, vollständig verwaltete Registrierungsprofil zu ändern.

Registrierungseinschränkungen

  • Dieselben Berechtigungen regeln sowohl die Gerätekonfiguration als auch die Registrierungseinschränkungen. Wenn Sie Berechtigungen zum Erstellen für die Gerätekonfiguration erteilen, erteilen Sie auch Berechtigungen zum Erstellen für Registrierungseinschränkungen. Lokalen Administratoren sollte jedoch keine Berechtigung zum Erstellen von Profilen mit Registrierungseinschränkungen erteilt werden. Weisen Sie sie stattdessen an, keine neuen Profile für Registrierungseinschränkungen zu erstellen.

  • Durch Limiteinschränkungen für Registrierungsgeräte wird definiert, wie viele Geräte jeder Benutzer registrieren kann. Die Beschränkungen für Registrierungsgerätelimits sollten alle möglichen Gerätelimits abdecken, die von lokalen Administratoren freigegeben werden können. Weitere Informationen finden Sie unter Was sind Registrierungsbeschränkungen?

  • Das zentrale Team sollte die Gerätetypeinschränkungen so weit wie möglich standardisieren und neue Einschränkungen hinzufügen, jedoch nur als spezielle Ausnahmen, nachdem ein lokaler Administrator die vorhandenen Einschränkungen überprüft hat.

Gerätekategorien

Das Feature "Gerätekategorien" (Gerätekategorien>) verfügt über keine eigene Berechtigungsfamilie. Stattdessen unterliegen die Berechtigungen den unter "Organisation" festgelegten Berechtigungen. Wechseln Sie zu Mandantenverwaltungsrollen>. Wählen Sie eine benutzerdefinierte oder integrierte Rolle und dann Eigenschaften aus. Hier können Sie Berechtigungen zuweisen, eine davon ist Organisation.

Zentrale Teams können Gerätekategorien erstellen. Lokale Administratoren sollten jedoch keine Gerätekategorien erstellen, aktualisieren oder löschen dürfen, da ihnen dafür Berechtigungen für die Organisation erteilt werden müssten, die ihnen Zugriff auf andere Features auf Mandantenebene gewähren, die von Organisationsberechtigungen geregelt werden.

Weitere Informationen finden Sie unter Gerätekategorien.

Endpunktanalysen

  • Das zentrale Team sollte so viele gemeinsame Endpunktanalyse-Baselines erstellen, wie es benötigt, um die Varianz der lokalen Administratoren zu unterstützen.
  • Lokale Administratoren sollten nach Möglichkeit keine eigenen Endpoint Analytics-Baselines erstellen. Wenn Sie an eine große Anzahl von Administratoren delegieren, kann die Gesamtzahl der Objekte groß und schwierig zu verwalten sein. Die bewährte Methode variiert je nach Featurebereich.
  • Weitere Informationen finden Sie unter Konfigurieren von Einstellungen in Endpunktanalysen.

Verwandte Inhalte

  • Last updated on