Festlegen der Autorität für die Verwaltung mobiler Geräte

Die Einstellung für die Autorität für die Verwaltung mobiler Geräte (Mobile Device Management, MDM) bestimmt, wie Sie Ihre Geräte verwalten. Als IT-Administrator müssen Sie eine MDM-Autorität festlegen, bevor Benutzer Geräte für die Verwaltung registrieren können. Ihnen sollte auch eine Intune-Lizenz zum Festlegen der MDM-Autorität zugewiesen werden.

Die möglichen Konfigurationen sind Folgende:

  • Intune (eigenständig): Ausschließliche Verwaltung in der Cloud, die Sie mithilfe des Azure-Portals konfigurieren Ihnen stehen alle Funktionen von Intune zur Verfügung. Weitere Informationen finden Sie unter Festlegen der MDM-Autorität im Microsoft Intune Admin Center.

  • Intune-Co-Management – Integration der Intune-Cloudlösung mit Konfigurations-Manager für Windows-Geräte. Sie konfigurieren Intune mithilfe der Konfigurations-Manager-Konsole. Weitere Informationen finden Sie unter Konfigurieren der automatischen Registrierung von Geräten bei Intune.

  • Basismobilität und Sicherheit für Microsoft 365 – Nachdem diese Konfiguration aktiviert wurde, wird die MDM-Autorität auf "Office 365" festgelegt. Wenn Sie mit der Verwendung von Intune beginnen möchten, müssen Sie Intune-Lizenzen erwerben.

  • Basismobilität und Sicherheit für Microsoft 365 Koexistenz: Sie können Intune zu Ihrem Mandanten hinzufügen, wenn Sie bereits Basismobilität und Sicherheit für Microsoft 365 verwenden. Sie können die Verwaltungsautorität entweder auf Intune oder Basismobilität und Sicherheit für Microsoft 365 festlegen, damit jeder Benutzer bestimmt, welcher Dienst zum Verwalten seiner MDM-registrierten Geräte verwendet wird. Die Verwaltungsautorität eines jeden Benutzers wird basierend auf der dem Benutzer zugewiesenen Lizenz definiert:

    • Basismobilität und Sicherheit für Microsoft 365 verwaltet die Geräte von Benutzern, die nur über eine Lizenz für Microsoft 365 Basic oder Standard verfügen.
    • Intune verwaltet die Geräte von Benutzern, die über eine Lizenz verfügen, die sie zur Verwendung berechtigt.
    • Wenn Sie einem Benutzer, der zuvor von Basismobilität und Sicherheit für Microsoft 365 verwaltet wurde, eine Lizenz hinzufügen, die Intune berechtigt, werden dessen Geräte auf die Intune-Verwaltung umgestellt. Um zu vermeiden, dass die grundlegende Basismobilität und Sicherheit für die Microsoft 365-Konfiguration auf den Geräten der Benutzer verloren geht, stellen Sie sicher, dass Sie den Benutzern Intune-Konfigurationen zuweisen, bevor Sie sie zu Intune wechseln.

Festlegen der MDM-Autorität in Intune

  1. Wählen Sie im Microsoft Intune Admin Center das orangefarbene Banner aus, um die Einstellung "Autorität der mobilen Geräteverwaltung" zu öffnen. Der orangefarbene Banner wird nur angezeigt, wenn Sie die MDM-Autorität noch nicht festgelegt haben. Wenn das orangefarbene Banner nicht sichtbar ist, können Sie direkt zu den Einstellungen der MDM-Autorität navigieren, um die MDM-Autorität zu konfigurieren.

  2. Wählen Sie unter Autorität für die Verwaltung mobiler Geräte Ihre MDM-Autorität aus den folgenden Optionen aus:

    • Intune-MDM-Autorität
    • Keine

    Screenshot des Bildschirms

Eine Meldung zeigt an, dass Sie die MDM-Autorität erfolgreich auf Intune festgelegt haben.

Workflow der Intune-Verwaltungsbenutzeroberfläche

Wenn die Verwaltung von Android- oder Apple-Geräten aktiviert ist, sendet Intune Geräte- und Benutzerinformationen zur Integration mit diesen Drittanbieterdiensten, um die jeweiligen Geräte zu verwalten.

Szenarios, die eine Zustimmung zur Datenfreigabe hinzufügen, werden unter den folgenden Bedingungen eingeschlossen:

  • Sie aktivieren persönliche oder unternehmenseigene Android Enterprise-Arbeitsprofile.
  • Apple-MDM-Push-Zertifikate werden aktiviert und hochgeladen.
  • Einer der Apple-Dienste wie das Programm zur Geräteregistrierung, School Manager oder Volume Purchase Program wird aktiviert.

In jedem Fall muss die Zustimmung erteilt werden, wenn ein Verwaltungsdienst für mobile Geräte ausgeführt wird. Beispielsweise zum Bestätigen, dass ein IT-Administrator Google- oder Apple-Geräte zur Registrierung autorisiert hat. An den folgenden Speicherorten finden Sie die Dokumentation zur Frage, welche Informationen freigegeben werden, wenn die neuen Workflows live sind:

Wichtige Überlegungen

Nach dem Wechsel zur neuen MDM-Autorität gibt es eine gewisse Übergangszeit (bis zu acht Stunden), bevor das Gerät eincheckt und mit dem Dienst synchronisiert wird. Sie müssen in der neuen MDM-Autorität Einstellungen konfigurieren, um sicherzustellen, dass registrierte Geräte auch nach der Änderung weiterhin verwaltet und geschützt werden.

  • Geräte müssen nach der Umstellung eine Verbindung mit dem Dienst herstellen, damit die Einstellungen der neuen MDM-Autorität (eigenständiges Intune) die vorhandenen Einstellungen auf dem Gerät ersetzen.
  • Nach dem Ändern der MDM-Autorität verbleiben einige der grundlegenden Einstellungen (z.B. Profile) aus der vorherigen MDM-Autorität für bis zu sieben Tage oder bis zur ersten Verbindung des Geräts mit dem Dienst auf dem Gerät. Sie sollten Apps und Einstellungen (z. B. Richtlinien, Profile und Apps) in der neuen MDM-Autorität so bald wie möglich konfigurieren und die Einstellung für die Benutzergruppen bereitstellen, die Benutzer enthalten, die bereits über registrierte Geräte verfügen. Sobald ein Gerät nach der Umstellung der MDM-Autorität eine Verbindung mit dem Dienst herstellt, werden die neuen Einstellungen der neuen MDM-Autorität übertragen, und Lücken bei Verwaltung und Schutz werden verhindert.
  • Geräte, denen keine Benutzer zugeordnet sind (dies ist typischerweise der Fall, wenn Sie das iOS/iPadOS-Programm zur Geräteregistrierung oder die Massenregistrierung verwenden), werden nicht zur neuen MDM-Autorität migriert. Für diese Geräte müssen Sie sich mit dem Support in Verbindung setzen, um Hilfe beim Verschieben dieser Geräte zur neuen MDM-Autorität zu erhalten.

Koexistenz

Wenn Sie die Koexistenz aktivieren, können Sie Intune für eine neue Gruppe von Benutzern verwenden, während Sie weiterhin die Basismobilität und Sicherheit für die vorhandenen Benutzer verwenden. Sie können steuern, welche Geräte von Intune über den Benutzer verwaltet werden. Intune verwaltet alle von einem Benutzer registrierten Geräte, wenn der Benutzer über eine Intune-Lizenz verfügt oder die Intune-Co-Verwaltung mit Konfigurations-Manager verwendet. Andernfalls wird der Benutzer von „Basic Mobility and Security“ verwaltet.

Zum Aktivieren der Koexistenz sind drei Hauptschritte erforderlich:

  1. Vorbereitung
  2. Hinzufügen der Intune-MDM-Autorität
  3. Benutzer- und Gerätemigration (optional).

Vorbereitung

Berücksichtigen Sie die folgenden Punkte, bevor Sie die Koexistenz mit „Basic Mobility and Security“ aktivieren:

  • Stellen Sie sicher, dass Sie über ausreichende Intune-Lizenzen für die Benutzer verfügen, die Sie über Intune verwalten möchten.
  • Überprüfen Sie, welchen Benutzern Intune-Lizenzen zugewiesen sind. Nachdem Sie die Koexistenz aktiviert haben, werden die Geräte von Benutzern, denen bereits eine Intune-Lizenz zugewiesen wurde, an Intune übertragen. Um unerwartete Geräteübertragungen zu vermeiden, sollten Sie Intune-Lizenzen erst dann zuweisen, wenn Sie die Koexistenz aktiviert haben.
  • Erstellen Sie Intune-Richtlinien zum Ersetzen von Gerätesicherheitsrichtlinien, die ursprünglich über das Office 365 Security & Compliance-Portal bereitgestellt wurden, und stellen Sie sie bereit. Diese Ersetzung sollte für alle Benutzer durchgeführt werden, von denen Sie erwarten, dass sie von „Basic Mobility and Security“ zu Intune wechseln. Wenn diesen Benutzern keine Intune-Richtlinien zugewiesen sind, können sie durch das Aktivieren der Koexistenz die „Basic Mobility and Security“-Einstellungen verlieren. Diese Einstellungen gehen ersatzlos verloren, z. B. verwaltete E-Mail-Profile. Auch beim Ersetzen von Richtlinien zur Gerätesicherheit durch Intune-Richtlinien werden Benutzer aufgefordert, ihre E-Mail-Profile erneut zu authentifizieren, nachdem das Gerät in die Intune-Verwaltung verschoben wurde.
  • Sie können die Bereitstellung von Basic Mobility and Security nicht mehr rückgängig machen, nachdem Sie sie eingerichtet haben. Es gibt jedoch Schritte, die Sie ausführen können, um die Richtlinien zu deaktivieren. Weitere Informationen finden Sie unter Deaktivieren der grundlegenden Mobilität und Sicherheit.

Hinzufügen der Intune-MDM-Autorität

Um die Koexistenz zu aktivieren, müssen Sie Intune als MDM-Autorität für Ihre Umgebung hinzufügen:

  1. Melden Sie sich beim Microsoft Intune Admin Center mit globalen Microsoft Entra oder Intune Service-Administratorrechten an.

  2. Navigieren Sie zu Geräte.

  3. Das Blattbanner "MDM-Autorität hinzufügen " wird angezeigt.

  4. Klicken Sie auf Intune-MDM-Autorität>Hinzufügen, um die MDM-Autorität von Office 365 in Intune zu ändern.

    Screenshot des Bildschirms

Migrieren von Benutzern und Geräten (optional)

Nachdem Sie die MDM-Autorität von Intune aktiviert haben, wird die Koexistenz aktiviert, und Sie können mit der Verwaltung von Benutzern über Intune beginnen. Optional können Sie Geräte, die zuvor mit Basismobilität und Sicherheit verwaltet wurden, mit Intune verwalten, indem Sie diesen Benutzern eine Intune-Lizenz zuweisen. Die Geräte der Benutzer werden beim nächsten MDM-Einchecken an Intune übertragen. Einstellungen, die über Basismobilität und Sicherheit auf diese Geräte angewendet wurden, werden nicht mehr angewendet und von den Geräten entfernt.

Bereinigen mobiler Geräte nach Ablauf des MDM-Zertifikats

Das MDM-Zertifikat wird automatisch erneuert, wenn mobile Geräte mit dem Intune-Dienst kommunizieren. Wenn mobile Geräte zurückgesetzt werden oder für längere Zeit keine Kommunikation mit dem Intune-Dienst stattfindet, wird das MDM-Zertifikat nicht verlängert. Das Gerät wird 180 Tage nach Ablauf des MDM-Zertifikats aus dem Azure-Portal entfernt.

Entfernen der MDM-Autorität

Die MDM-Autorität kann nicht in „Unbekannt“ geändert werden. Der Dienst verwendet die MDM-Autorität, um zu bestimmen, an welches Portal diese registrierten Geräte melden (Microsoft Intune oder Basic Mobility and Security for Microsoft 365).

Was passiert nach der Umstellung der MDM-Autorität

  • Wenn der Intune-Dienst eine Änderung der MDM-Autorität eines Mandanten erkennt, sendet er eine Benachrichtigung an alle registrierten Geräte. Die Benachrichtigung fordert die Geräte auf, sich außerhalb ihres regulären Zeitplans einzuchecken und mit dem Dienst zu synchronisieren. Dadurch stellen alle eingeschalteten und Online-Geräte eine Verbindung mit dem Dienst her und erhalten die neue MDM-Autorität. Die neue Behörde verwaltet und schützt die Geräte ohne Unterbrechung. Nachdem die MDM-Autorität für den Mandanten von Intune standalone geändert wurde, funktionieren die Geräte daher weiterhin normal unter der neuen MDM-Autorität.

  • Bei Geräten, die während oder kurz nach der Änderung der MDM-Autorität eingeschaltet und online sind, kommt es zu einer Verzögerung. Die Verzögerung kann bis zu acht Stunden dauern, abhängig vom Zeitpunkt des nächsten geplanten regulären Check-ins. Während der Verzögerung sind die Geräte nicht unter der neuen MDM-Autorität für den Dienst registriert. Nach der Verzögerung sind die Geräte vollständig registriert und unter der neuen MDM-Autorität betriebsbereit.

    Wichtig

    In der Zeit zwischen der Umstellung der MDM-Autorität und dem Hochladen des erneuerten APNs-Zertifikats in die neue Autorität schlagen neue Registrierungen und Eincheckvorgänge für iOS/iPadOS-Geräte fehl. Aus diesem Grund ist es wichtig, dass Sie das APNs-Zertifikat so bald wie möglich nach der Umstellung der MDM-Autorität überprüfen und in die neue Autorität hochladen.

  • Benutzer können schnell auf die neue MDM-Autorität umstellen, indem sie manuell einen Eincheckvorgang des Geräts beim Dienst starten. Benutzer können diese Änderung problemlos mithilfe der Unternehmensportal-App und durch Starten einer Überprüfung der Gerätekonformität vornehmen.

  • Um zu überprüfen, ob nach der Umstellung der MDM-Autorität und dem Einchecken und Synchronisieren der Geräte beim Dienst alles ordnungsgemäß funktioniert, suchen Sie in der neuen MDM-Autorität nach den Geräten.

  • Es gibt eine Übergangszeit, bis ein Gerät beim Dienst eingecheckt wird, wenn das Gerät während der Umstellung der MDM-Autorität offline war. Während der Übergangszeit ist es wichtig, die Funktionalität des Geräts zu schützen und aufrechtzuerhalten. Um die Funktionalität des Geräts zu schützen und aufrechtzuerhalten, verbleiben die folgenden Profile auf dem Gerät. Diese Profile verbleiben bis zu sieben Tage auf dem Gerät oder bis das Gerät eine Verbindung mit der neuen MDM-Autorität herstellt. Sobald das Gerät eine Verbindung herstellt und neue Einstellungen empfängt, werden die vorhandenen Profile überschrieben:

    • E-Mail-Profil
    • VPN-Profil
    • Zertifikatprofil
    • WLAN-Profil
    • Konfigurationsprofile

  • Nach dem Wechsel zur neuen MDM-Autorität kann es bis zu einer Woche dauern, bis die Compliancedaten im Microsoft Intune Admin Center korrekt gemeldet werden. Die Konformitätsstatus in Microsoft Entra ID und auf dem Gerät sind jedoch korrekt, sodass das Gerät weiterhin geschützt ist.

  • Stellen Sie sicher, dass die neuen Einstellungen, mit denen vorhandene Einstellungen überschrieben werden sollen, denselben Namen wie die vorherigen haben, um sicherzustellen, dass die alten Einstellungen überschrieben werden. Andernfalls weisen die Geräte möglicherweise redundante Profile und Richtlinien auf.

    Tipp

    Es empfiehlt sich, alle Verwaltungseinstellungen und Konfigurationen sowie Bereitstellungen kurz nach Abschluss der Umstellung der MDM-Autorität zu erstellen. Dadurch wird sichergestellt, dass Geräte in der Übergangszeit geschützt und aktiv verwaltet werden.

  • Führen Sie nach der Umstellung der MDM-Autorität die folgenden Schritte aus, um zu überprüfen, ob neue Geräte erfolgreich bei der neuen Autorität registriert werden:

    • Registrieren eines neuen Geräts
    • Stellen Sie sicher, dass das neu registrierte Gerät in der neuen MDM-Autorität angezeigt wird.
    • Führen Sie eine Aktion, z. B. Remotesperre, vom Microsoft Intune Admin Center auf dem Gerät aus. Wenn es erfolgreich ist, wird das Gerät von der neuen MDM-Autorität verwaltet.

  • Wenn Sie Probleme mit bestimmten Geräten haben, können Sie die Registrierung der Geräte aufheben und sie neu registrieren, damit sie so schnell wie möglich mit der neuen Autorität verbunden und von ihr verwaltet werden.

Bestätigen der MDM-Autorität Ihres Mandanten

Um zu bestätigen, dass Ihre MDM-Autorität auf Intune festgelegt ist, führen Sie die folgenden Schritte aus:

  1. Wählen Sie im Microsoft Intune Admin CenterMandantenverwaltung>Mandanten status aus.
  2. Suchen Sie auf der Registerkarte "Mandantendetails " nach MDM-Autorität.

Nächste Schritte

Da die MDM-Autorität nun festgelegt ist, können Sie mit der Geräteregistrierung beginnen.

  • Last updated on