Migrationshandbuch: Einrichten von oder Wechseln zu Microsoft Intune

Nachdem Sie den Wechsel zu Microsoft Intune geplant haben, besteht der nächste Schritt darin, den Migrationsansatz auszuwählen, der für Ihre organization geeignet ist. Diese Entscheidungen hängen von Ihrer aktuellen MDM-Umgebung (Mobile Device Management), den Geschäftszielen und technischen Anforderungen ab.

In diesem Migrationsleitfaden werden Ihre Optionen zur Einführung oder Umstellung auf Intune aufgeführt und beschrieben, darunter:

• Sie verwenden keine Lösung für die Verwaltung mobiler Geräte
• Sie verwenden eine MDM-Lösung eines Drittanbieters
• Sie verwenden den Konfigurations-Manager
• Sie verwenden eine lokale Gruppenrichtlinie
• Sie verwenden Microsoft 365 Basic Mobility und Security

Verwenden Sie diesen Leitfaden, um den besten Migrationsansatz zu ermitteln und Anleitungen & Empfehlungen zu erhalten.

Bevor Sie beginnen

• Microsoft Intune ist eine cloudnative Lösung, die die Verwaltung von Identitäten, Geräten und Apps erleichtert. Wenn es Ihr Ziel ist, cloudnativ zu werden, finden Sie in den folgenden Artikeln weitere Informationen:

  • Informationen zu cloudnativen Endpunkten
  • Was ist Intune?

• Ihre Intune-Bereitstellung kann sich von einer früheren MDM-Bereitstellung unterscheiden. Intune verwendet die auf Identitäten basierende Zugriffssteuerung. Es ist kein Netzwerkproxy erforderlich, um von Geräten außerhalb Ihres Netzwerks auf Organisationsdaten zuzugreifen.

Derzeit keine Verwendung eines Anbieters

Wenn Sie derzeit keinen MDM- oder MAM-Anbieter (Mobile Application Management) verwenden, haben Sie einige Optionen:

• Microsoft Intune: Wenn Sie eine Cloudlösung wünschen und für die vollständige Geräteverwaltung bereit sind, dann gehen Sie direkt zu Intune. Sie können Intune verwenden, um die Konformität zu überprüfen, Gerätefunktionen zu konfigurieren, Apps bereitzustellen und System- & App-Updates zu installieren. Sie profitieren auch von den Vorteilen des Microsoft Intune Admin Center, einer webbasierten Konsole.

  • Erste Schritte mit Intune
  • Schritt 1 – Einrichten von Intune
  • Schritt 2 – Hinzufügen, Konfigurieren und Schützen von Apps mit Intune
  • Schritt 3 – Planen von Konformitätsrichtlinien
  • Schritt 4: Erstellen von Gerätekonfigurationsprofilen zum Sichern von Geräten
  • Schritt 5 – Registrieren von Geräten

• Konfigurations-Manager: Wenn Sie die Funktionen von Konfigurations-Manager (lokal) mit Intune (Cloud) kombinieren möchten, sollten Sie die Mandantenanfügung (in diesem Artikel) oder die gemeinsame Verwaltung (in diesem Artikel) in Betracht ziehen.

  Konfigurations-Manager kann:

  • Verwalten Sie lokale Windows Server und einige Clientgeräte.
  • Softwareupdates von Partnern oder Drittanbietern verwalten.
  • Erstellen Sie benutzerdefinierte Tasksequenzen bei der Bereitstellung des Windows-Betriebssystems.
  • Bereitstellen und Verwalten vieler App-Typen

Derzeit Verwendung eines MDM-Anbieters eines Drittanbieters

Geräte dürfen über nur einen MDM-Anbieter verfügen. Wenn Sie einen anderen MDM-Anbieter verwenden, z. B. Workspace ONE (zuvor AirWatch genannt), MobileIron oder MaaS360, können Sie zu Intune wechseln.

Benutzer müssen die Registrierung ihrer Geräte beim aktuellen MDM-Anbieter aufheben, bevor sie sich bei Intune registrieren.

1. Richten Sie Intune ein, und legen Sie die MDM-Autorität auf Intune fest.

   Weitere Informationen finden Sie unter:

   • Erste Schritte mit Ihrer Microsoft Intune-Bereitstellung
   • Schritt 1 – Einrichten von Intune.

2. Bereitstellen von Apps und Erstellen von App-Schutzrichtlinien. Die Idee ist, organization Daten in Ihren Apps während der Migration und bis zur Registrierung & Verwaltung von Geräten durch Intune zu schützen.

   Weitere Informationen finden Sie unter Schritt 2 – Hinzufügen, Konfigurieren und Schützen von Apps mit Intune.

3. Heben Sie die Registrierung von Geräten beim aktuellen MDM-Anbieter auf.

   Wenn die Registrierung von Geräten aufgehoben wurde, erhalten diese Ihre Richtlinien nicht mehr, einschließlich der Richtlinien, die Schutz bieten. Die Geräte sind anfällig, bis sie sich bei Intune registrieren und Ihre neuen Richtlinien erhalten.

   Geben Sie Benutzern spezifische Schritte zum Aufheben der Abmeldung. Stellen Sie eine Anleitung für das Aufheben der Registrierung von Geräten bei Ihrem bisherigen MDM-Anbieter bereit. Klare und hilfreiche Kommunikation minimiert Ausfallzeiten der Endbenutzer, Unzufriedenheit und Helpdeskanrufe.

4. Optional, wird aber empfohlen. Wenn Sie über die Microsoft Entra ID P1 oder P2 verfügen, verwenden Sie auch bedingten Zugriff, um Geräte zu blockieren, bis sie sich in Intune registrieren.

   Weitere Informationen finden Sie unter Schritt 3 – Planen von Konformitätsrichtlinien.

5. Optional, wird aber empfohlen. Erstellen Sie eine Baseline der Compliance und Geräteeinstellungen, die alle Benutzer und Geräte aufweisen müssen. Diese Richtlinien können bereitgestellt werden, wenn sich Benutzer bei Intune registrieren.

   Weitere Informationen finden Sie unter:

   • Schritt 3 – Planen von Konformitätsrichtlinien
   • Schritt 4: Konfigurieren Sie Gerätefunktionen und -einstellungen, um Geräte zu schützen und auf Ressourcen zuzugreifen
   • Schutz- und Konfigurationsebenen in Microsoft Intune

6. Registrieren Sie sich bei Intune. Geben Sie den Benutzern unbedingt bestimmte Schritte für die Registrierung.

   Weitere Informationen finden Sie unter:

   • Schritt 5 – Registrieren von Geräten bei Microsoft Intune
   • Bereitstellungshandbuch für die Intune-Registrierung

Empfehlungen:

• Wenn Sie von einem Partner-MDM/MAM-Anbieter wechseln, notieren Sie sich die Aufgaben, die Sie ausführen, und die Features, die Sie verwenden. Diese Informationen geben eine Vorstellung davon, welche Aufgaben auch in Intune ausgeführt werden sollten.

• Gehen Sie schrittweise vor. Beginnen Sie mit einer kleinen Gruppe von Pilotbenutzern, und fügen Sie immer mehr Gruppen hinzu, bis alles bereitgestellt ist.

• Überwachen Sie die Auslastung des Helpdesks und den Registrierungserfolg der jeweiligen Phasen. Planen Sie Zeit ein, um die Erfolgskriterien für jede Gruppe auszuwerten, bevor Sie die nächste Gruppe migrieren.

  Ihre Pilotbereitstellung sollte Folgendes überprüfen:

  • Die Registrierungserfolgs- und -fehlerraten bewegen sich im erwarteten Rahmen.

  • Benutzerproduktivität:

    • Die Unternehmensressourcen funktionieren, einschließlich VPN, WLAN, E-Mail und Zertifikaten.
    • Auf bereitgestellte Apps kann zugegriffen werden.

  • Datensicherheit:

    • Überprüfen Sie die Konformitätsberichte, und suchen Sie nach häufig auftretenden Problemen und Trends. Besprechen Sie mit Ihrem Helpdesk Probleme, Lösungen und Trends.
    • Schutzmaßnahmen für mobile Apps werden angewendet.

• Wenn Sie mit der ersten Migrationsphase zufrieden sind, wiederholen Sie den Migrationszyklus für die nächste Phase.

  • Wiederholen Sie den Zyklus in Phasen, bis alle Benutzer zu Intune migriert wurden.
  • Stellen Sie sicher, dass der Helpdesk während der gesamten Migration für den Support für Endbenutzer zur Verfügung steht. Führen Sie eine freiwillige Migration durch, bis Sie die Arbeitsauslastung für Supportanrufe einschätzen können.
  • Legen Sie keine Fristen für die Registrierung fest, bevor Ihr Helpdesk alle verbleibenden Benutzer bearbeiten kann.

Hilfreiche Informationen:

• Erste Schritte mit Intune
• Bereitstellungshandbuch für die Intune-Registrierung
• Schritt 1 – Einrichten von Intune und Ihrem Mandanten

Derzeit Verwendung von Konfigurations-Manager

Konfigurations-Manager unterstützt Windows Server und Windows & macOS-Clientgeräte. Wenn Ihre organization andere Plattformen verwendet, müssen Sie die Geräte möglicherweise zurücksetzen und dann in Intune registrieren. Nach der Registrierung erhalten diese die von Ihnen erstellten Richtlinien und Profile. Weitere Informationen finden Sie unter Bereitstellungsleitfaden: Registrieren von Geräten bei Microsoft Intune.

Wenn Sie derzeit Konfigurations-Manager verwenden und Intune verwenden möchten, stehen Ihnen die folgenden Optionen zur Verfügung.

Option 1 – Mandantenanlage hinzufügen

Mit der Mandantenanfügung können Sie Ihre Konfigurations-Manager-Geräte in Ihre organization in Intune hochladen, die auch als Mandant bezeichnet wird. Nachdem Sie Ihre Geräte angefügt haben, verwenden Sie das Microsoft Intune Admin Center, um Remoteaktionen auszuführen, z. B. Computer- und Benutzerrichtlinien synchronisieren. Sie können auch Ihre lokalen Server sehen und Betriebssysteminformationen abrufen.

Der Mandantenaschluss ist ohne zusätzliche Kosten in Ihrer Konfigurations-Manager-Co-Verwaltungslizenz enthalten. Es ist die einfachste Möglichkeit, die Cloud (Intune) in Ihr lokales Konfigurations-Manager-Setup zu integrieren.

Weitere Informationen finden Sie unter Mandantenanfügung im Microsoft Endpoint Manager: Gerätesynchronisierung und Geräteaktionen.

Option 2 – Einrichten der gemeinsamen Verwaltung

Bei dieser Option wird für einige Workloads Konfigurations-Manager verwendet und für die anderen Intune.

1. Richten Sie in Konfigurations-Manager die Co-Verwaltung ein.
2. Richten Sie in Intune Intune ein, und legen Sie die MDM-Autorität auf Intune fest.

Geräte können in Intune registriert werden und Ihre Richtlinien empfangen.

Hilfreiche Informationen:

• Was ist die gemeinsame Verwaltung?
• Co-Verwaltungsworkloads
• Konfigurations-Manager-Workloads auf Intune umstellen
• Häufig gestellte Fragen zu den Konfigurations-Manager-Produkten und -Lizenzierungen

Option 3 – Wechseln von Konfigurations-Manager zu Intune

Die meisten bestehenden Konfigurations-Manager-Kunden möchten Konfigurations-Manager weiterhin verwenden. Es umfasst Dienste, die für lokale Geräte vorteilhaft sind.

Diese Schritte stellen lediglich eine Übersicht dar und wurden nur für die Benutzer aufgenommen, die sich eine Lösung wünschen, die sich vollständig in der Cloud befindet. Bei dieser Option führen Sie die folgenden Aktionen aus:

• Registrieren Sie vorhandene lokales Active Directory Windows-Clientgeräten als Geräte in Microsoft Entra ID.
• Sie verschieben Ihre vorhandenen lokalen Konfigurations-Manager-Workloads in Intune.

Diese Option bedeutet mehr Arbeit für Administratoren, kann aber eine nahtlosere Benutzererfahrung für vorhandene Windows-Clientgeräte schaffen. Für neue Windows-Clientgeräte wird empfohlen, mit Microsoft 365 und Intune von Grund auf neu zu beginnen (in diesem Artikel).

1. Richten Sie in Microsoft Entra Hybrid Active Directory und Microsoft Entra ID für Ihre Geräte ein. Microsoft Microsoft Entra Hybrid-verbundene Geräte werden in Ihr lokales Active Directory eingebunden und bei Ihrer Microsoft Entra ID registriert. Wenn Geräte sich in Microsoft Entra ID befinden, sind sie auch für Intune verfügbar.

   Hybrid Microsoft Entra ID unterstützt Windows-Geräte. Weitere Voraussetzungen, einschließlich Anmeldeanforderungen, finden Sie unter Planen der Implementierung von Microsoft Entra Hybrid Join.

2. Richten Sie in Konfigurations-Manager die Co-Verwaltung ein.

3. Richten Sie in Intune Intune ein, und legen Sie die MDM-Autorität auf Intune fest.

4. Verschieben Sie in Konfigurations-Manager alle Workloads von Konfigurations-Manager in Intune.

5. Deinstallieren Sie auf den Geräten den Konfigurations-Manager-Client. Weitere Informationen finden Sie unter Deinstallieren des Clients.

   Sobald Intune eingerichtet ist, können Sie eine Intune-App-Konfigurationsrichtlinie erstellen, die den Konfigurations-Manager-Client deinstalliert. Beispielsweise könnten Sie die Schritte in Installieren des Konfigurations-Manager-Clients mit Intune rückgängig machen.

Geräte können in Intune registriert werden und Ihre Richtlinien empfangen.

Option 4 – Mit Microsoft 365 und Intune von Grund auf neu beginnen

Diese Option gilt für Windows-Clientgeräte. Wenn Sie Windows Server verwenden, z. B. Windows Server 2022, verwenden Sie diese Option nicht. Verwenden Sie Konfigurations-Manager.

So verwalten Sie Ihre Windows-Clientgeräte:

1. Stellen Sie Microsoft 365 bereit, einschließlich der Erstellung von Benutzern und Gruppen. Verwenden oder konfigurieren Sie Microsoft 365 Basic Mobility and Security nicht.

   Nützliche Links:

   • Microsoft 365 Enterprise-Bereitstellungshandbuch
   • Einrichten von Microsoft 365 Business

2. Richten Sie Intune ein, und legen Sie die MDM-Autorität auf Intune fest.

3. Deinstallieren Sie den Konfigurations-Manager-Client auf vorhandenen Geräten. Weitere Informationen finden Sie unter Deinstallieren des Clients.

Geräte können in Intune registriert werden und Ihre Richtlinien empfangen.

Derzeit Verwendung einer lokalen Gruppenrichtlinie

In der Cloud verwalten MDM-Anbieter wie Intune Einstellungen und Features auf Geräten. Gruppenrichtlinienobjekte (GPO) werden nicht verwendet.

Wenn Sie Geräte verwalten, ersetzen Intune-Gerätekonfigurationsprofile das lokale GPO. Gerätekonfigurationsprofile verwenden Einstellungen, die von Apple, Google und Microsoft verfügbar gemacht werden.

Insbesondere gilt:

• Auf Android-Geräten verwenden diese Profile die Android Management API und die EMM-API.
• Auf Apple-Geräten verwenden diese Profile die Payloads für die Geräteverwaltung.
• Auf Windows-Geräten verwenden diese Profile die Windows-Konfigurationsdienstanbieter (Configuration Service Provider, CSP).

Verwenden Sie beim Migrieren von Geräten aus einer Gruppenrichtlinie die Analyse von Gruppenrichtlinien. Die Gruppenrichtlinienanalyse ist ein Tool und Feature in Intune, das Ihre Gruppenrichtlinienobjekte analysiert. In Intune importieren Sie Ihre Gruppenrichtlinienobjekte und sehen dann, welche Richtlinien in Intune verfügbar (und welche nicht). Für die Richtlinien, die in Intune verfügbar sind, können Sie eine Einstellungskatalogrichtlinie mit den importierten Einstellungen erstellen. Weitere Informationen zu diesem Feature finden Sie unter Erstellen einer Einstellungskatalogrichtlinie mithilfe Ihrer importierten Gruppenrichtlinienobjekte in Microsoft Intune.

Als Nächstes Schritt 1: Microsoft Intune einrichten.

Aktuell verwenden Sie Microsoft 365 Basic Mobility und Security

Wenn Sie Microsoft 365 Basic Mobilitäts- und Sicherheitsrichtlinien erstellt und bereitgestellt haben, finden Sie weitere Informationen unter Wechseln von Microsoft 365 Basic Mobility und Security zu Intune.

Migration zwischen Mandanten

Ein Mandant ist Ihre organization in Microsoft Entra ID, z. B. Contoso. Es umfasst einen dedizierten Microsoft Entra Dienst instance den Contoso erhält, wenn es einen Microsoft-Clouddienst wie Microsoft Intune oder Microsoft 365 erhält. Microsoft Entra ID wird von Intune und Microsoft 365 verwendet, um Benutzer und Geräte zu identifizieren, den Zugriff auf die von Ihnen erstellten Richtlinien zu steuern und vieles mehr.

In Intune können Sie einige Ihrer Richtlinien mithilfe von Microsoft Graph und Windows PowerShell exportieren und importieren.

Erstellen Sie beispielsweise ein Microsoft Intune-Testabonnement. Im Mandanten dieses Testabonnements verfügen Sie zum Beispiel über Richtlinien zur Konfiguration von Apps und Features oder zum Überprüfen der Konformität. Sie möchten diese Richtlinien in einen anderen Mandanten verschieben.

In diesem Abschnitt wird gezeigt, wie Sie die Microsoft Graph-Skripts für eine Migration zwischen Mandanten verwenden. Außerdem werden einige Richtlinientypen aufgeführt, die exportiert werden können und welche nicht.

Herunterladen der Beispiele und Ausführen des Skripts

Dieser Abschnitt enthält eine Übersicht über die Schritte. Nutzen Sie diese Schritte als Orientierungshilfe, und wissen Sie, dass Ihre spezifischen Schritte möglicherweise anders sein können.

1. Laden Sie die Beispiele herunter, und verwenden Sie Windows PowerShell, um Ihre Richtlinien zu exportieren:

   1. Wechseln Sie zu microsoftgraph/powershell-intune-samples, und wählen Sie Code>Download ZIP (ZIP herunterladen) aus. Extrahieren Sie den Inhalt der .zip-Datei.

   2. Öffnen Sie die Windows PowerShell-App als Administrator, und ändern Sie das Verzeichnis in Ihren Ordner. Geben Sie z. B. den folgenden Befehl ein:

      cd C:\psscripts\powershell-intune-samples-master

   3. Laden Sie das Microsoft.Graph-Modulherunter, und installieren Sie es.

      Wenn Sie dazu aufgefordert werden, wählen Sie Y aus, um das Modul aus einem nicht vertrauenswürdigen Repository zu installieren. Die Installation kann einige Minuten dauern.

   4. Ändern Sie das Verzeichnis in den Ordner mit dem Skript, das Sie ausführen möchten. Ändern Sie beispielsweise das Verzeichnis in den Ordner CompliancePolicy:

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

   5. Führen Sie das Exportskript aus. Geben Sie z. B. den folgenden Befehl ein:

      .\CompliancePolicy_Export.ps1

      Melden Sie sich mit Ihrem Konto an. Wenn Sie dazu aufgefordert werden, geben Sie den Pfad zur Ablage der Richtlinien ein. Geben Sie z. B. Folgendes ein:

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies

   Die Richtlinien werden in Ihren Ordner exportiert.

2. Importieren Sie Ihre Richtlinien in Ihren neuen Mandanten:

   1. Ändern Sie das Verzeichnis in den PowerShell-Ordner mit dem Skript, das Sie ausführen möchten. Ändern Sie beispielsweise das Verzeichnis in den Ordner CompliancePolicy:

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

   2. Führen Sie das Importskript aus. Geben Sie z. B. den folgenden Befehl ein:

      .\CompliancePolicy_Import_FromJSON.ps1

      Melden Sie sich mit Ihrem Konto an. Wenn Sie dazu aufgefordert werden, geben Sie den Pfad zur .json-Richtliniendatei ein, die Sie importieren möchten. Geben Sie z. B. Folgendes ein:

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies\PolicyName.json

3. Melden Sie sich beim Microsoft Intune Admin Center an. Die importierten Richtlinien werden angezeigt.

Einschränkungen

Es gibt einige Richtlinientypen, die nicht exportiert werden können. Es gibt einige Richtlinientypen, die exportiert, aber nicht in einen anderen Mandanten importiert werden können. Orientieren Sie sich an der folgenden Liste. Hinweis: Es gibt noch weitere Richtlinientypen, die nicht aufgeführt sind.

Richtlinien- oder Profiltyp	Informationen
Anwendungen
Branchenspezifische Android-Apps	Export -import Um Ihre branchenspezifische App einem neuen Mandanten hinzuzufügen, benötigen Sie auch die ursprünglichen .apk-Anwendungsquelldateien.
Apple Volume Purchase Program (VPP)	Export -import Diese Apps werden mit dem Apple VPP synchronisiert. Im neuen Mandanten fügen Sie Ihr VPP-Token hinzu, das Ihre verfügbaren Apps zeigt.
Branchenspezifische iOS-/iPadOS-Apps	Export -import Um Ihre branchenspezifische App einem neuen Mandanten hinzuzufügen, benötigen Sie auch die ursprünglichen .ipa-Anwendungsquelldateien.
Managed Google Play	Export -import Diese Apps und Weblinks werden mit Managed Google Play synchronisiert. Im neuen Mandanten fügen Sie Ihr Managed Google Play-Konto hinzu, in dem Ihre verfügbaren Apps angezeigt werden.
Microsoft Store für Unternehmen	Export -import Diese Apps werden mit dem Microsoft Store für Unternehmen synchronisiert. Im neuen Mandanten fügen Sie Ihr Microsoft Store für Unternehmen-Konto hinzu, in dem Ihre verfügbaren Apps angezeigt werden.
Windows-App (Win32)	Export -import Um Ihre branchenspezifische App einem neuen Mandanten hinzuzufügen, benötigen Sie auch die ursprünglichen .intunewin-Anwendungsquelldateien.
Compliancerichtlinien
Aktionen bei Nichtkonformität	Export -import Möglicherweise wird ein Link zu einer E-Mail-Vorlage angezeigt. Wenn Sie eine Richtlinie importieren, die Nichtkonformitätsaktionen enthält, werden stattdessen die Standardaktionen für Nichtkonformität hinzugefügt.
Aufgaben	Export -import Zuweisungen sind auf eine Gruppen-ID ausgerichtet. In einem neuen Mandanten lautet die Gruppen-ID anders.
Konfigurationsprofile
E-Mails	Export Wenn ein E-Mail-Profil keine Zertifikate verwendet, sollte der Import funktionieren. Wenn ein E-Mail-Profil ein Stammzertifikat verwendet, kann das Profil nicht in einen neuen Mandanten importiert werden. Die Stammzertifikat-ID lautet in einem neuen Mandanten anders.
SCEP-Zertifikat	Export -import SCEP-Zertifikatprofile verwenden ein Stammzertifikat. Die Stammzertifikat-ID lautet in einem neuen Mandanten anders.
VPN	Export Wenn ein VPN-Profil keine Zertifikate verwendet, sollte der Import funktionieren. Wenn ein VPN-Profil ein Stammzertifikat verwendet, kann das Profil nicht in einen neuen Mandanten importiert werden. Die Stammzertifikat-ID lautet in einem neuen Mandanten anders.
WLAN	Export Wenn ein Wi-Fi-Profil keine Zertifikate verwendet, sollte der Import funktionieren. Wenn ein WLAN-Profil ein Stammzertifikat verwendet, kann das Profil nicht in einen neuen Mandanten importiert werden. Die Stammzertifikat-ID lautet in einem neuen Mandanten anders.
Aufgaben	Export -import Zuweisungen sind auf eine Gruppen-ID ausgerichtet. In einem neuen Mandanten lautet die Gruppen-ID anders.
Endpunktsicherheit
Endpunkterkennung und -reaktion	Export -import Diese Richtlinie ist mit Microsoft Defender für Endpunkt verknüpft. Im neuen Mandanten konfigurieren Sie Microsoft Defender für Endpunkt, worin automatisch die Richtlinie Endpunkterkennung und -reaktion enthalten ist.

Verwandte Artikel

• Erste Schritte mit Intune
• Bereitstellungshandbücher für die Registrierung