Tutorial: Einrichten cloudnativer Windows-Endpunkte mit Microsoft Intune

In diesem Tutorial erfahren Sie Schritt für Schritt, wie Sie mit Microsoft Intune und Windows Autopilot einen cloudnativen Windows-Endpunkt einrichten. Ein cloudnativer Windows-Endpunkt (manchmal als cloudnatives Windows geschrieben) ist mit Microsoft Entra verbunden, bei Microsoft Intune registriert und wird vollständig aus der Cloud verwaltet – kein Active Directory-Domänenbeitritt, keine lokale Infrastruktur erforderlich.

Am Ende dieses Lernprogramms verfügen Sie über ein vollständig konfiguriertes Windows-Gerät, das:

  • Microsoft Entra ist beiMicrosoft Intune registriert
  • Gesichert mit Microsoft Defender Antivirus, BitLocker-Verschlüsselung, Windows LAPS und Sicherheitsbaselines
  • Bereitstellung über Windows Autopilot mit Microsoft 365-Apps, OneDrive Bekanntes Verschieben von Ordnern und das Unternehmensportal
  • Bereit für die Skalierung auf den Rest Ihrer Windows-Flotte

Hintergrundinformationen finden Sie unter Was sind cloudnative Endpunkte? und Planen der Implementierung Ihres Microsoft Entra-Beitritts.

Tipp

Wenn Sie etwas über cloudnative Endpunkte lesen, werden die folgenden Begriffe verwendet:

  • Endpunkt: Ein Endpunkt ist ein Gerät, z. B. ein Mobiltelefon, ein Tablet, ein Laptop oder ein Desktopcomputer. „Endpunkte“ und „Geräte“ werden austauschbar verwendet.
  • Verwaltete Endpunkte: Endpunkte, die Richtlinien von der Organisation mithilfe einer MDM-Lösung oder von Gruppenrichtlinienobjekten empfangen. Diese Geräte befinden sich in der Regel im Besitz der Organisation, können aber auch BYOD- oder persönliche Geräte sein.
  • Cloudnative Endpunkte: Endpunkte, die mit Microsoft Entra verbunden sind. Sie sind nicht mit dem lokalen AD verknüpft.
  • Workload: Alle Programme, Dienste oder Prozesse.

Erste Schritte

Schließe die fünf Phasen der Reihe nach ab – jede baut auf der vorherigen auf.

Fünf Phasen zum Einrichten cloudnativer Windows-Endpunkte mit Microsoft Intune und Windows Autopilot.

Phase Ziel
Phase 1 : Einrichten der Umgebung Vorbereiten Ihres Mandanten, Testgeräts und Autopilot-Baselinerichtlinien
Phase 2 – Erstellen eines cloudnativen Windows-Endpunkts Bereitstellen Ihres ersten Endpunkts über Autopilot
Phase 3 – Schützen Sie Ihren cloudnativen Windows-Endpunkt Anwenden der Endpunktsicherheit: Defender, BitLocker, LAPS, Baselines, Updates
Phase 4 : Anwenden von Anpassungen und Überprüfen Ihrer lokalen Konfiguration Hinzufügen von organization-spezifischen Apps und Einstellungen und Migrieren von Gruppenrichtlinien
Phase 5 – Skalieren Sie Ihre Bereitstellung mit Windows Autopilot Skalieren Sie die Bereitstellung für Ihre Flotte mithilfe von OEM-Registrierung, Personas und Rolloutringen

Nachdem Ihre Endpunkte bereitgestellt wurden, verwenden Sie den Abschnitt Überwachen ihrer cloudnativen Windows-Endpunkte, um den Richtlinien-, App- und Compliance-Status im Intune Admin Center im Rahmen des laufenden Betriebs zu überprüfen.

Phase 1 – Richten Sie Ihre Umgebung ein

Bevor Sie Ihren ersten cloudnativen Windows-Endpunkt erstellen, müssen einige wichtige Anforderungen und Konfigurationen überprüft werden. In dieser Phase werden Sie durch die Überprüfung der Anforderungen, die Konfiguration von Windows Autopilot und das Erstellen einiger Einstellungen und Anwendungen geführt.

Schritt 1 – Netzwerkanforderungen

Ihr cloudnativer Windows-Endpunkt benötigt Zugriff auf mehrere Internetdienste. Starten Sie ihre Tests in einem offenen Netzwerk. Oder verwenden Sie Ihr Unternehmensnetzwerk, nachdem Sie Zugriff auf alle Endpunkte gewährt haben, die unter Windows Autopilot-Netzwerkanforderungen aufgeführt sind.

Wenn Ihr drahtloses Netzwerk Zertifikate erfordert, können Sie während des Tests mit einer Ethernet-Verbindung beginnen, während Sie den besten Ansatz für drahtlose Verbindungen für die Gerätebereitstellung bestimmen.

Schritt 2 – Registrierung und Lizenzierung

Bevor Sie Microsoft Entra beitreten und sich bei Intune registrieren können, müssen Sie einige Dinge überprüfen. Sie können eine neue Microsoft Entra Gruppe erstellen, z. B. den Namen Intune MDM-Benutzer. Fügen Sie dann bestimmte Testbenutzerkonten hinzu und richten Sie jede der folgenden Konfigurationen auf diese Gruppe aus, um einzuschränken, wer Geräte registrieren kann, während Sie Ihre Konfiguration einrichten. Um eine Microsoft Entra-Gruppe zu erstellen, wechseln Sie zu Verwalten von Microsoft Entra-Gruppen und -Gruppenmitgliedschaft.

  • Einschränkungen für die Registrierung Durch Registrierungseinschränkungen können Sie steuern, welche Gerätetypen bei der Verwaltung mit Intune registriert werden können. Damit dieser Leitfaden erfolgreich ist, stellen Sie sicher, dass Windows (MDM)-Registrierung zulässig ist, was die Standardkonfiguration ist.

    Für Informationen zum Konfigurieren von Registrierungseinschränkungen wechseln Sie zu Festlegen von Registrierungseinschränkungen in Microsoft Intune.

  • MDM-Einstellungen für Microsoft Entra-Geräte Wenn Sie ein Windows-Gerät mit Microsoft Entra verbinden, kann Microsoft Entra so konfiguriert werden, dass Ihre Geräte angewiesen werden, automatisch bei einem MDM registriert zu werden. Diese Konfiguration ist erforderlich, damit Windows Autopilot funktioniert.

    Um zu überprüfen, ob die MDM-Einstellungen Ihres Microsoft Entra-Geräts ordnungsgemäß aktiviert sind, wechseln Sie zu Schnellstart – Einrichten der automatischen Registrierung in Intune.

  • Microsoft Entra Unternehmensbranding Durch das Hinzufügen Ihres Firmenlogos und Ihrer Bilder zu Microsoft Entra wird sichergestellt, dass Benutzer bei der Anmeldung bei Microsoft 365 ein vertrautes und einheitliches Erscheinungsbild sehen. Diese Konfiguration ist erforderlich, damit Windows Autopilot funktioniert.

    Informationen zum Konfigurieren des benutzerdefinierten Brandings in Microsoft Entra finden Sie unter Hinzufügen von Branding zur Microsoft Entra-Anmeldeseite Ihrer organization.

  • Lizenzierung Benutzer, die Windows-Geräte über die Out-of-Box-Experience (OOBE) bei Intune registrieren, benötigen zwei Schlüsselfunktionen.

    Benutzer benötigen die folgenden Lizenzen:

    • Eine Lizenz für Microsoft Intune oder Microsoft Intune für Bildungseinrichtungen
    • Eine Lizenz wie eine der folgenden Optionen, die die automatische MDM-Registrierung ermöglicht:
      • Microsoft Entra Premium P1
      • Microsoft Intune for Education

    Um Lizenzen zuzuweisen, wechseln Sie zu Zuweisen von Microsoft Intune-Lizenzen.

    Hinweis

    Beide Arten von Lizenzen sind in der Regel in Lizenzierungspaketen wie Microsoft 365 E3 (oder A3) und höher enthalten. Vergleiche der Microsoft 365-Lizenzierung finden Sie hier.

Schritt 3 – Importieren Sie Ihr Testgerät

Um den cloudnativen Windows-Endpunkt zu testen, müssen wir zunächst einen virtuellen Computer oder ein physisches Gerät für Tests vorbereiten. Mit den folgenden Schritten werden die Gerätedetails abgerufen und in den Windows Autopilot-Dienst hochgeladen, die weiter unten in diesem Artikel verwendet werden.

Hinweis

Während die folgenden Schritte eine Möglichkeit bieten, ein Gerät zum Testen zu importieren, können Partner und OEMs im Rahmen des Kaufs in Ihrem Namen Geräte in Windows Autopilot importieren. Weitere Informationen zu Windows Autopilot finden Sie in Phase 5.

  1. Installieren Sie Windows auf einem virtuellen Computer, oder setzen Sie ein physisches Gerät zurück, sodass es auf dem OOBE-Setupbildschirm wartet. Für einen virtuellen Computer können Sie optional einen Prüfpunkt erstellen.

  2. Führen Sie die erforderlichen Schritte aus, um eine Verbindung zum Internet herzustellen.

  3. Öffnen Sie eine Eingabeaufforderung mit der Tastenkombination UMSCHALT+F10 .

  4. Stellen Sie sicher, dass Sie über Internetzugriff verfügen, indem Sie bing.com pingen:

    • ping bing.com

  5. Wechseln Sie zu PowerShell, indem Sie den folgenden Befehl ausführen:

    • powershell.exe

  6. Laden Sie das Skript Get-WindowsAutopilotInfo herunter, indem Sie die folgenden Befehle ausführen:

    • Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process
    • Install-Script Get-WindowsAutopilotInfo

  7. Wenn Sie dazu aufgefordert werden, geben Sie Y ein, um zu akzeptieren.

  8. Geben Sie den folgenden Befehl ein:

    • Get-WindowsAutopilotInfo.ps1 -GroupTag CloudNative -Online

    Hinweis

    Mit Gruppentags können Sie dynamische Microsoft Entra-Gruppen basierend auf einer Teilmenge von Geräten erstellen. Gruppentags können beim Importieren von Geräten festgelegt oder später im Microsoft Intune Admin Center geändert werden. Wir verwenden das Gruppen-Tag CloudNative in Schritt 4. Sie können den Tag-Namen für Ihre Tests auf einen anderen Namen festlegen.

  9. Wenn Sie zur Eingabe von Anmeldeinformationen aufgefordert werden, melden Sie sich mit Ihrem Intune-Administratorkonto an.

  10. Lassen Sie den Computer bis Phase 2 in der Out-of-Box-Experience.

Schritt 4: Erstellen einer dynamischen Microsoft Entra-Gruppe für das Gerät

Um die Konfigurationen aus diesem Leitfaden auf die Testgeräte zu beschränken, die Sie in Windows Autopilot importieren, erstellen Sie eine dynamische Microsoft Entra-Gruppe. Diese Gruppe sollte automatisch die Geräte einschließen, die in Windows Autopilot importiert werden, und das Gruppentag CloudNative aufweisen. Sie können dann alle Ihre Konfigurationen und Anwendungen auf diese Gruppe ausrichten.

  1. Öffnen Sie das Microsoft Intune Admin Center.

  2. Wählen Sie Gruppen>Neue Gruppe aus. Geben Sie die folgenden Details ein:

    • Gruppentyp: Wählen Sie Sicherheit aus.
    • Gruppenname: Geben Sie Autopilot Cloud-Native Windows-Endpunkten ein.
    • Mitgliedschaftstyp: Wählen Sie "Dynamisches Gerät" aus.

  3. Wählen Sie Dynamische Abfrage hinzufügen aus.

  4. Wählen Sie im Abschnitt Regelsyntax die Option Bearbeiten aus.

  5. Fügen Sie den folgenden Text ein:

    (device.devicePhysicalIds -any (_ -eq "[OrderID]:CloudNative"))

  6. Wählen Sie OK>Speichern>Erstellen aus.

Tipp

Es dauert einige Minuten, bis dynamische Gruppen aufgefüllt werden, nachdem Änderungen vorgenommen wurden. In großen Organisationen kann dies länger dauern. Warten Sie nach dem Erstellen einer neuen Gruppe einige Minuten, bevor Sie überprüfen, ob das Gerät jetzt Mitglied der Gruppe ist.

Für weitere Informationen zu dynamischen Gruppen für Geräte wechseln Sie zu Regeln für Geräte.

Schritt 5 – Konfigurieren der Registrierungsstatusseite

Die Registrierungsstatusseite (ESP) ist der Mechanismus, den ein IT-Experte verwendet, um die Endbenutzererfahrung während der Endpunktbereitstellung zu steuern. Siehe Einrichten der Registrierungsstatusseite. Um den Umfang der Seite "Registrierung status" einzuschränken, können Sie ein neues Profil erstellen und auf die im vorherigen Schritt erstellte Gruppe "Autopilot Cloud-Native Windows-Endpunkte" abzielen: Erstellen Microsoft Entra dynamischen Gruppe für das Gerät.

  • Zu Testzwecken empfehlen wir die folgenden Einstellungen, können diese aber nach Bedarf anpassen:

    Einstellung Wert
    Fortschritt der App- und Profilkonfiguration anzeigen Ja
    Seite nur auf Geräten anzeigen, die von der Windows-Willkommensseite bereitgestellt wurden Ja (Standard)

Schritt 6 – Erstellen und Zuweisen des Windows Autopilot-Profils

Jetzt können wir ein Windows Autopilot-Profil erstellen und unserem Testgerät zuweisen. Dieses Profil teilt Ihrem Gerät mit, dass es Microsoft Entra beitreten soll und welche Einstellungen während der OOBE angewendet werden sollen.

  1. Öffnen Sie das Microsoft Intune Admin Center.

  2. Geräte> auswählen, Registrierung fürGeräteonboarding>>, Windows>Windows Autopilot>Bereitstellungsprofile.

  3. Wählen Sie Profil erstellen>Windows-PC.

  4. Geben Sie den Namen Autopilot Cloud-Native Windows-Endpunkte ein, und wählen Sie dann Weiter aus.

  5. Bestätigen Sie in den Einstellungen für die Out-of-Box-Erfahrung (OOBE) die folgenden Schlüsselwerte, und wählen Sie Weiter aus:

    Einstellung Wert
    Bereitstellungsmodus Benutzergesteuert
    Join to Microsoft Entra ID as Microsoft Entra ist beigetreten
    Benutzerkontotyp Standard
    Gerätenamenvorlage anwenden Optional. Eine Benennungsvorlage wie CloudPC-%SERIAL% macht Geräte im Admin Center leicht zu identifizieren.

    Wichtig

    Das Festlegen des Benutzerkontotyps auf Standard ist eine bewährte Sicherheitsmethode. Es verhindert, dass Benutzer nicht genehmigte Software installieren, und reduziert die Angriffsfläche auf cloudnativen Endpunkten.

  6. Behalten Sie die Bereichstags bei, und wählen Sie Weiteraus.

  7. Weisen Sie das Profil der von Ihnen erstellten Microsoft Entra Gruppe namens Autopilot Cloud-Native Windows-Endpunkte zu, wählen Sie Weiter und dann Erstellen aus.

Schritt 7 – Synchronisieren der Windows Autopilot-Geräte

Der Windows Autopilot-Dienst synchronisiert mehrmals täglich. Sie können auch sofort eine Synchronisierung auslösen, damit Ihr Gerät zum Testen bereit ist. So synchronisieren Sie sofort:

  1. Öffnen Sie das Microsoft Intune Admin Center.

  2. Geräte> auswählenRegistrierung>für Geräte-Onboarding>, Windows>, Windows Autopilot-Geräte>.

  3. Wählen Sie Synchronisieren aus.

Die Synchronisierung dauert einige Minuten und wird im Hintergrund fortgesetzt. Wenn die Synchronisierung abgeschlossen ist, zeigt der Profilstatus für das importierte Gerät Zugewiesenan.

Schritt 8 – Konfigurieren Sie die Einstellungen für eine optimale Microsoft 365-Erfahrung

Wir haben einige Einstellungen ausgewählt, die konfiguriert werden sollen. Diese Einstellungen zeigen eine optimale Microsoft 365-Endbenutzererfahrung auf Ihrem Windows-Cloud-nativen Gerät. Diese Einstellungen werden mithilfe eines Katalogprofils für Gerätekonfigurationseinstellungen konfiguriert. Für weitere Informationen wechseln Sie zu Erstellen einer Richtlinie mithilfe des Einstellungenkatalogs in Microsoft Intune.

Nachdem Sie das Profil erstellt und Ihre Einstellungen hinzugefügt haben, weisen Sie das Profil der zuvor erstellten Gruppe Autopilot Cloud-Native Windows-Endpunkte zu.

  • Microsoft Outlook – Um die Benutzererfahrung bei der ersten Ausführung für Microsoft Outlook zu verbessern, wird über die folgende Einstellung automatisch ein Profil konfiguriert, wenn Outlook zum ersten Mal geöffnet wird.

    Festlegen der Kategorie Einstellung Wert
    Microsoft Outlook 2016\Konto Einstellungen\Exchange (Benutzereinstellung) Nur das erste Profil basierend auf der primären Active Directory-SMTP-Adresse automatisch konfigurieren Enabled

  • Microsoft Edge – Um die Benutzererfahrung bei der ersten Ausführung für Microsoft Edge zu verbessern, konfigurieren Sie Microsoft Edge mit den folgenden Einstellungen so, dass die Einstellungen des Benutzers synchronisiert und die Benutzerumgebung übersprungen wird.

    Festlegen der Kategorie Einstellung Wert
    Microsoft Edge "Eindruck beim ersten Ausführen" und Begrüßungsbildschirm ausblenden Enabled
      Synchronisierung von Browserdaten erzwingen und die Zustimmungsaufforderung zur Synchronisierung nicht anzeigen Enabled

  • Microsoft OneDrive – Um die Erfahrung der ersten Anmeldung zu verbessern, wird Microsoft OneDrive mit den folgenden Einstellungen so konfiguriert, dass die Desktops, Bilder und Dokumente automatisch angemeldet und zu OneDrive umgeleitet werden. Dateien bei Bedarf (Files On-Demand, FOD) wird ebenfalls empfohlen. Dies ist standardmäßig aktiviert und nicht in der folgenden Liste enthalten. Für weitere Informationen zur empfohlenen Konfiguration für die OneDrive-Synchronisierungs-App wechseln Sie zu Empfohlene Konfiguration der Synchronisierungs-App für Microsoft OneDrive.

    Festlegen der Kategorie Einstellung Wert
    OneDrive Benutzer automatisch mit ihren Windows-Anmeldeinformationen bei der OneDrive-Synchronisierungs-App anmelden Enabled
      Bekannte Windows-Ordner automatisch auf OneDrive verschieben Enabled

    Hinweis

    Weitere Informationen finden Sie unter Umleiten bekannter Ordner.

Der folgende Screenshot zeigt ein Beispiel für ein Einstellungskatalogprofil, in dem jede der vorgeschlagenen Einstellungen konfiguriert ist:

Screenshot eines Beispiels für ein Einstellungskatalogprofil in Microsoft Intune.

Schritt 9: Erstellen und Zuweisen einiger Anwendungen

Ihr cloudnativer Endpunkt benötigt einige Anwendungen. Um loszulegen empfehlen wir die folgenden Anwendungen zu konfigurieren und sie auf die zuvor erstellte Gruppe Autopilot cloudnative Windows-Endpunkte auszurichten.

  • Microsoft 365 Apps (früher Office 365 ProPlus) – Microsoft 365 Apps wie Word, Excel und Outlook können mithilfe des integrierten App-Profils "Microsoft 365 Apps für Windows" in Intune problemlos auf Geräten bereitgestellt werden.

    • Wählen Sie im Gegensatz zu XML den Konfigurationsdesigner für das Einstellungsformat aus.
    • Wählen Sie Aktueller Kanal für den Aktualisierungskanal aus.

    Um Microsoft 365-Apps bereitzustellen, wechseln Sie zu Hinzufügen von Microsoft 365-Apps zu Windows-Geräten mithilfe von Microsoft Intune.

  • Unternehmensportal-App: Es wird empfohlen, die Intune-Unternehmensportal-App auf allen Geräten als erforderliche Anwendung bereitzustellen. Die Unternehmensportal-App ist der Self-Service-Hub für Benutzer, die Anwendungen aus mehreren Quellen wie Intune, Microsoft Store und Konfigurations-Manager installieren. Benutzer verwenden die Unternehmensportal-App auch, um ihr Gerät mit Intune zu synchronisieren, den Compliance-Status zu überprüfen und so weiter.

    Informationen zum Bereitstellen des Unternehmensportals nach Bedarf finden Sie unter Hinzufügen und Zuweisen der Windows-Unternehmensportal-App für von Intune verwaltete Geräte.

  • Microsoft Store-App (Whiteboard) – Während Intune eine Vielzahl von Apps bereitstellen kann, stellen wir eine Store-App (Microsoft Whiteboard) bereit, um die Dinge für diesen Leitfaden einfach zu halten. Folgen Sie den Schritten unter Hinzufügen von Microsoft Store-Apps zu Microsoft Intune, um Microsoft Whiteboard zu installieren.

Weiter: Phase 2 – Erstellen eines cloudnativen Windows-Endpunkts

Phase 2 – Erstellen eines cloudnativen Windows-Endpunkts

Verwenden Sie zum Erstellen Ihres ersten cloudnativen Windows-Endpunkts denselben virtuellen Computer oder dasselbe physische Gerät, den Sie gesammelt und dann den Hardwarehash in Phase 1, Schritt 3 – Importieren Sie Ihr Testgerät, in den Windows Autopilot-Dienst hochgeladen haben. Führen Sie mit diesem Gerät den Windows Autopilot-Prozess durch.

  1. Setzen Sie Ihren Windows-PC auf die Out-of-Box-Experience (OOBE) zurück (oder setzen Sie sie ggf. zurück).

    Hinweis

    Wenn Sie aufgefordert werden, Setup für Personal oder eine organization auszuwählen, wurde der Windows Autopilot-Prozess nicht gestartet. Starten Sie in diesem Fall das Gerät neu, und stellen Sie sicher, dass es über Internetzugriff verfügt. Wenn es immer noch nicht funktioniert, versuchen Sie, den PC zurückzusetzen oder Windows neu zu installieren.

  2. Melden Sie sich mit Microsoft Entra-Anmeldeinformationen (UPN oder AzureAD\Benutzername) an.

  3. Auf der Seite "Status der Registrierung" wird der Status der Gerätekonfiguration angezeigt.

Herzlichen Glückwunsch! Sie haben Ihren ersten cloudnativen Windows-Endpunkt bereitgestellt!

Validieren Ihres Endpunkts

Überprüfen Sie die folgenden Aufgaben auf Ihrem neuen Gerät, bevor Sie zu Phase 3 übergehen:

  • OneDrive-Ordner (Desktop, Dokumente, Bilder) werden umgeleitet und synchronisiert.
  • Outlook öffnet und konfiguriert Ihr Microsoft 365-Profil automatisch.
  • Das Unternehmensportal ist installiert, und Microsoft Whiteboard ist verfügbar.
  • Sie können sich mit Ihren Microsoft Entra-Anmeldeinformationen anmelden und auf Cloudressourcen zugreifen.
  • Bei Bedarf kann auf lokale Ressourcen (Dateifreigaben, Intranetsites, Drucker) zugegriffen werden.

Wenn Sie zur Eingabe eines Kennworts aufgefordert werden, wenn Sie Windows Hello für den Zugriff auf lokale Ressourcen verwenden, ist Windows Hello for Business Hybrid noch nicht konfiguriert. Sie können den Test fortsetzen, indem Sie das Schlüsselsymbol auf dem Anmeldebildschirm auswählen und stattdessen Ihren Benutzernamen und Ihr Kennwort verwenden. Weitere Informationen finden Sie unter Windows Hello for Business Hybrid.

Weiter: Phase 3 – Schützen Ihres cloudnativen Windows-Endpunkts

Phase 3 – Sichern Sie Ihren cloudnativen Windows-Endpunkt

Diese Phase soll Ihnen dabei helfen, Sicherheitseinstellungen für Ihre Organisation zu erstellen. In diesem Abschnitt werden Sie auf die verschiedenen Endpunktsicherheitskomponenten in Microsoft Intune aufmerksam gemacht, darunter:

Microsoft Defender Antivirus (MDAV)

Die folgenden Einstellungen werden als Mindestkonfiguration für Microsoft Defender Antivirus, eine integrierte Betriebssystemkomponente von Windows, empfohlen. Für diese Einstellungen ist kein spezieller Lizenzvertrag wie E3 oder E5 erforderlich, und sie können im Microsoft Intune Admin Center aktiviert werden.

Wechseln Sie im Admin Center zu Endpunktsicherheit>Antivirus>Richtlinie> erstellenFenster und höher>Profiltyp = :Microsoft Defender Antivirus.

Defender:

  • Verhaltensüberwachung zulassen: Zugelassen. Aktiviert die Verhaltensüberwachung in Echtzeit.
  • Cloudschutz zulassen: Zugelassen. Aktiviert den Cloudschutz.
  • E-Mail-Überprüfung zulassen: Zugelassen. Aktiviert die Überprüfung von E-Mails.
  • Scannen aller heruntergeladenen Dateien und Anlagen zulassen: Zugelassen.
  • Echtzeitüberwachung zulassen: Zugelassen. Aktiviert den Echtzeitüberwachungsdienst und führt ihn aus.
  • Scannen von Netzwerk-Files zulassen: Zugelassen. Scannt Netzwerkdateien.
  • Skriptüberprüfung zulassen: Zugelassen.
  • Erweitertes Cloud-Timeout: 50
  • Aufbewahrungsdauer für bereinigte Schadsoftware: 30
  • Netzwerkschutz aktivieren: Aktiviert (Überwachungsmodus)
  • PUA-Schutz: PUA-Schutz aktiviert. Erkannte Elemente sind blockiert. Sie werden sich in der Geschichte zusammen mit anderen Bedrohungen zeigen.
  • Echtzeit-Scanrichtung: Überwachen Sie alle Dateien (bidirektional).
  • Probeneinwilligung einreichen: Senden Sie sichere Proben automatisch.
  • Zugriffsschutz zulassen: Zugelassen.
  • Korrekturmaßnahme für schwerwiegende Bedrohungen: Quarantäne. Verschiebt Dateien in Quarantäne.
  • Korrekturmaßnahme für Bedrohung mit niedrigem Schweregrad: Quarantäne. Verschiebt Dateien in Quarantäne.
  • Korrekturmaßnahme für Bedrohungen mit mittlerem Schweregrad: Quarantäne. Verschiebt Dateien in Quarantäne.
  • Korrekturaktion für Bedrohungen mit hohem Schweregrad: Quarantäne. Verschiebt Dateien in Quarantäne.

Weitere Informationen zur Windows Defender-Konfiguration, einschließlich Microsoft Defender für Endpunkt für Kunden, die für E3 und E5 lizenziert sind, finden Sie unter:

Microsoft Defender Firewall

Verwenden Sie Endpoint Security in Microsoft Intune, um die Firewall und Firewallregeln zu konfigurieren. Für weitere Informationen wechseln Sie zu Firewallrichtlinie für Endpunktsicherheit in Intune.

Microsoft Defender Firewall kann ein vertrauenswürdiges Netzwerk mithilfe des NetworkListManager-CSP erkennen. Außerdem kann sie auf Endpunkten unter Windows zum Domänenfirewallprofil wechseln.

Durch die Verwendung des Domänennetzwerkprofils können Sie Firewallregeln basierend auf einem vertrauenswürdigen Netzwerk, einem privaten Netzwerk und einem öffentlichen Netzwerk trennen. Diese Einstellungen können über ein benutzerdefiniertes Windows-Profil angewendet werden.

Hinweis

Mit Microsoft Entra verbundene Endpunkte können LDAP nicht verwenden, um eine Domänenverbindung auf die gleiche Weise zu erkennen wie in Domänen eingebundene Endpunkte. Verwenden Sie stattdessen den NetworkListManager-CSP , um einen TLS-Endpunkt anzugeben, der beim Zugriff den Endpunkt auf das Domänenfirewallprofil umschaltet.

BitLocker-Verschlüsselung

Verwenden Sie Endpoint Security in Microsoft Intune, um die Verschlüsselung mit BitLocker zu konfigurieren.

Diese Einstellungen können im Microsoft Intune Admin Center aktiviert werden. Wechseln Sie im Admin Center zu Endpunktsicherheit>,Datenträgerverschlüsselung>verwalten>,Richtlinie>erstellen für Windows und höher>ein Profil fürBitLocker erstellen = .

Wenn Sie die folgenden BitLocker-Einstellungen konfigurieren, wird die 128-Bit-Verschlüsselung für Standardbenutzer im Hintergrund aktiviert, was häufig vorkommt. Da Ihre organization jedoch möglicherweise andere Sicherheitsanforderungen hat, verwenden Sie daher die BitLocker-Dokumentation für weitere Einstellungen.

Festlegen der Kategorie Einstellung Wert
BitLocker Geräteverschlüsselung anfordern Enabled
  Warnung für andere Datenträgerverschlüsselung zulassen Disabled
  Standard-Benutzerverschlüsselung zulassen Enabled
  Konfigurieren der Rotation von Wiederherstellungskennwörtern Aktualisieren ein für Azure AD-verbundene Geräte
BitLocker-Laufwerkverschlüsselung Auswählen der Laufwerkverschlüsselungsmethode und Verschlüsselungsstärke Not Configured
  Bereitstellen der eindeutigen Bezeichner für Ihre Organisation Not Configured
Betriebssystemlaufwerke Erzwingen des Laufwerkverschlüsselungstyps auf Betriebssystemlaufwerken Enabled
  Wählen Sie den Verschlüsselungstyp (Gerät) aus. Verschlüsselung "Nur verwendeter Speicherplatz"
  Zusätzliche Authentifizierung beim Start erforderlich Enabled
  Zulassen von BitLocker ohne kompatibles TPM (erfordert ein Kennwort oder einen Startschlüssel auf einem USB-Speicherstick) False
  TPM-Startschlüssel und PIN konfigurieren Startschlüssel und PIN mit TPM zulassen
  TPM-Startschlüssel konfigurieren Startschlüssel mit TPM zulassen
  TPM-Start-PIN konfigurieren Start-PIN mit TPM zulassen
  TPM-Start konfigurieren TPM erforderlich
  Konfigurieren der Mindestlänge der PIN für den Start Nicht konfiguriert
  Erweiterte PINs für den Start zulassen Nicht konfiguriert
  Verhindern, dass Standardbenutzer die PIN oder das Kennwort ändern Nicht konfiguriert
  Zulassen, dass Geräte, die mit InstantGo oder HSTI kompatibel sind, die Pre-Boot-PIN deaktivieren Nicht konfiguriert
  Aktivieren der Verwendung der BitLocker-Authentifizierung, die Tastatureingaben vor dem Start auf Wahllisten erfordert Nicht konfiguriert
  Wählen Sie aus, wie BitLocker-geschützte Betriebssystemlaufwerke wiederhergestellt werden können Enabled
  Benutzerspeicher von BitLocker-Wiederherstellungsinformationen konfigurieren 48-stelliges Wiederherstellungskennwort erforderlich
  Datenwiederherstellungs-Agent zulassen False
  Speicherung von BitLocker-Wiederherstellungsinformationen in AD DS konfigurieren Speichern von Wiederherstellungskennwörtern und Schlüsselpaketen
  Aktivieren Sie BitLocker erst, wenn Wiederherstellungsinformationen für Betriebssystemlaufwerke in AD DS gespeichert sind True
  Auslassen von Wiederherstellungsoptionen im BitLocker-Setup-Assistenten True
  Speichern von BitLocker-Wiederherstellungsinformationen in AD DS für Betriebssystemlaufwerke True
  Pre-Boot-Wiederherstellungsmeldung und URL konfigurieren Nicht konfiguriert
Feste Datenlaufwerke Erzwingen des Laufwerkverschlüsselungstyps auf Festplattenlaufwerken Enabled
  Wählen Sie den Verschlüsselungstyp aus: (Gerät) Dem Benutzer die Auswahl gestatten (Standard)
  Wählen Sie, wie BitLocker-geschützte Festplattenlaufwerke wiederhergestellt werden können Enabled
  Benutzerspeicher von BitLocker-Wiederherstellungsinformationen konfigurieren 48-stelliges Wiederherstellungskennwort erforderlich
  Datenwiederherstellungs-Agent zulassen False
  Speicherung von BitLocker-Wiederherstellungsinformationen in AD DS konfigurieren Kennwörter und Schlüsselpakete für die Wiederherstellung sichern
  Aktivieren Sie BitLocker erst, wenn Wiederherstellungsinformationen in AD DS für feste Datenlaufwerke gespeichert sind True
  Auslassen von Wiederherstellungsoptionen im BitLocker-Setup-Assistenten True
  Speichern von BitLocker-Wiederherstellungsinformationen in AD DS für feste Datenlaufwerke True
  Schreibzugriff auf Festplattenlaufwerke verweigern, die nicht durch BitLocker geschützt sind Nicht konfiguriert
Wechseldatenträger Steuern der Verwendung von BitLocker auf Wechseldatenträgern Enabled
  Benutzern das Anwenden des BitLocker-Schutzes auf Wechseldatenträger (Geräte) gestatten False
  Benutzern das Anhalten und Entschlüsseln des BitLocker-Schutzes auf Wechseldatenträgern (Gerät) gestatten False
  Schreibzugriff auf Wechseldatenträger verweigern, die nicht durch BitLocker geschützt sind Nicht konfiguriert

Windows Kennwortlösung für lokale Administratoren (LAPS)

Standardmäßig ist das integrierte lokale Administratorkonto (bekannte SID S-1-5-500) deaktiviert. Es gibt einige Szenarien, in denen ein lokales Administratorkonto von Vorteil sein kann, z. B. Problembehandlung, Endbenutzersupport und Gerätewiederherstellung. Wenn Sie das integrierte Administratorkonto aktivieren oder ein neues lokales Administratorkonto erstellen möchten, ist es wichtig, das Kennwort für dieses Konto zu sichern.

Windows Kennwortlösung für lokale Administratoren (Local Administrator Password Solution, LAPS) ist eines der Features, mit denen Sie das Kennwort zufällig in Microsoft Entra speichern können. Wenn Sie Intune als MDM-Dienst verwenden, führen Sie die folgenden Schritte aus, um Windows LAPS zu aktivieren.

Wichtig

Windows LAPS geht davon aus, dass das lokale Standardadministratorkonto aktiviert ist, auch wenn es umbenannt wird oder wenn Sie ein anderes lokales Administratorkonto erstellen. Windows LAPS erstellt oder aktiviert keine lokalen Konten für Sie, es sei denn, Sie konfigurieren den automatischen Kontoverwaltungsmodus.

Sie müssen alle lokalen Konten unabhängig von der Konfiguration von Windows LAPS erstellen oder aktivieren. Sie können Skripte für diese Aufgabe schreiben oder Konfigurationsdienstanbieter (CSPs) verwenden, z. B. den CSP für Konten oder den Richtlinien-CSP.

  1. Stellen Sie sicher, dass auf Ihren Windows-Geräten das Sicherheitsupdate vom April 2023 (oder höher) installiert ist.

    Weitere Informationen finden Sie unter Updates für das Microsoft Entra-Betriebssystem.

  2. Aktivieren Sie Windows LAPS in Microsoft Entra:

    1. Melden Sie sich bei Microsoft Entra an.
    2. Wählen Sie für die Einstellung LAPS (Enable Local Administrator Password Solution) die Option Ja> speichern (oben auf der Seite).

    Weitere Informationen finden Sie unter Aktivieren von Windows LAPS mit Microsoft Entra.

  3. Erstellen Sie in Intune eine Endpunktsicherheitsrichtlinie:

    1. Melden Sie sich beim Microsoft Intune Admin Center an.
    2. Endpoint Security>Account Protection> auswählenCreate Policy>Windows>Lokale Administratorkennwortlösung (Windows LAPS)>Erstellen

    Weitere Informationen finden Sie unter Erstellen einer LAPS-Richtlinie in Intune.

Sicherheitsbasislinien

Sie können Sicherheitsbasislinien verwenden, um eine Reihe von Konfigurationen anzuwenden, von denen bekannt ist, dass sie die Sicherheit eines Windows-Endpunkts erhöhen. Für weitere Informationen zu Sicherheitsbasislinien wechseln Sie zu Windows MDM-Sicherheitsbasislinieneinstellungen für Intune.

Basislinien können mit den vorgeschlagenen Einstellungen angewendet und nach Ihren Anforderungen angepasst werden. Einige Einstellungen innerhalb der Basislinien können zu unerwarteten Ergebnissen führen oder mit Apps und Diensten, die auf Ihren Windows Endpunkten ausgeführt werden, nicht kompatibel sein. Daher sollten Baselines isoliert getestet werden. Wenden Sie die Baseline nur auf eine ausgewählte Gruppe von Testendpunkten ohne andere Konfigurationsprofile oder Einstellungen an.

Bekannte Probleme mit Sicherheitsbasislinien

Die folgenden Einstellungen in der Windows Sicherheitsbasislinie können Probleme mit Windows Autopilot oder beim Versuch Apps als Standardbenutzer zu installieren, verursachen:

  • Sicherheitsoptionen für lokale Richtlinien\Verhalten der Administratoreingabeaufforderung für erhöhte Rechte (Standard = Aufforderung zur Zustimmung auf dem sicheren Desktop)
  • Standardverhalten der Eingabeaufforderung für Erhöhte Rechte durch Benutzer (Standard = Anforderungen für erhöhte Rechte automatisch verweigern)

Weitere Informationen finden Sie unter Problembehandlung bei Richtlinienkonflikten mit Windows Autopilot.

Windows Update Clientrichtlinien

Windows Update-Clientrichtlinien sind die Cloudtechnologie zum Steuern, wie und wann Updates auf Geräten installiert werden. In Intune können Windows Update-Clientrichtlinien mithilfe der folgenden Elemente konfiguriert werden:

Für weitere Informationen wechseln Sie zu:

Tipp

Für cloudnative Umgebungen sollten Sie Windows Autopatch in Betracht ziehen. Autopatch automatisiert die Verwaltung und Berichterstattung von Update-Ringen, sodass Verzögerungsfristen und Fristen nicht mehr manuell eingestellt werden müssen. Es ist in Microsoft Intune enthalten und ist der empfohlene Ansatz für Organisationen, die vollautomatische, richtliniengesteuerte Windows-Updates mit minimalem Verwaltungsaufwand wünschen.

Kompatibilitätsrichtlinie

Eine Konformitätsrichtlinie meldet die Integrität Ihrer cloudnativen Windows-Endpunkte, z. B. ob BitLocker aktiviert ist, Secure Boot aktiviert ist und Microsoft Defender Antivirus ausgeführt wird. Die Richtlinie ist auch die Grundlage für den bedingten Zugriff, sodass Sie verhindern können, dass nicht kompatible Geräte auf Ressourcen der organization zugreifen.

So erstellen Sie eine Windows-Konformitätsrichtlinie:

  1. Melden Sie sich beim Microsoft Intune Admin Center an.

  2. Wählen Sie "Gerätekonformität>>Richtlinie erstellen" aus.

  3. Wählen Sie unter "Plattform" die Option "Erstellen" unter "Windows 10 und höher>" aus.

  4. Geben Sie unter Grundlagen einen Namen für die Richtlinie ein, und wählen Sie Weiter aus.

  5. Konfigurieren Sie in den Konformitätseinstellungen die folgenden empfohlenen Werte, und wählen Sie Weiter aus:

    Festlegen der Kategorie Einstellung Wert
    Geräteintegrität BitLocker erforderlich Erforderlich
      Sicherer Start muss auf dem Gerät aktiviert sein Erforderlich
      Codeintegrität erforderlich Erforderlich
    Systemsicherheit Firewall Erforderlich
      Antivirus Erforderlich
      Antispyware Erforderlich
      Erfordern eines Kennworts zum Entsperren von Mobilgeräten Erforderlich
      Einfache Kennwörter Blockieren
      Kennworttyp Alphanumerisch
      Minimale Kennwortlänge 14
      Maximaler Zeitraum der Inaktivität (in Minuten) bis zur Anforderung eines Kennworts 1 Minute
      Kennwortablauf (Tage) 365
      Anzahl vorheriger Kennwörter, deren Wiederverwendung verhindert wird 5
    Defender Microsoft Defender-Antischadsoftware Erforderlich
      Sicherheitsinformationen zur Microsoft Defender-Antischadsoftware auf dem neuesten Stand Erforderlich
      Echtzeitschutz Erforderlich

    Tipp

    Microsoft und die aktuellen NIST-Richtlinien empfehlen nicht mehr den regelmäßigen Kennwortablauf. Die Windows-Sicherheitsbaseline hat das Ablaufen von Kennwörtern im Jahr 2019 entfernt. Bei cloudnativen Endpunkten besteht die stärkste Haltung darin, Benutzer zur kennwortlosen Anmeldung mit Windows Hello for Business und Passkeys/FIDO2-Sicherheitsschlüsseln zu bewegen und schwache Kennwörter mit Microsoft Entra-Kennwortschutz zu blockieren. Passen Sie die oben genannten Werte an die Richtlinien Ihrer Organization an. Weitere Informationen finden Sie unter "Kennwortlose Authentifizierung mit Microsoft Intune".

  6. Legen Sie unter Aktionen für Nichtkonformität den Zeitplan "Gerät als nicht konform markieren" auf 1 einen Tag (oder einen anderen Karenzzeitraum, der für Ihre organization geeignet ist) fest.

    Tipp

    Wenn Sie bedingten Zugriff verwenden, konfigurieren Sie einen Aktivierungszeitraum, damit nicht kompatible Geräte nicht sofort den Zugriff auf Ressourcen der organization verlieren. Sie können auch eine Aktion hinzufügen, um Benutzern eine E-Mail mit Schritten zur Einhaltung der Vorschriften hinzuzufügen.

  7. Weisen Sie die Richtlinie der Gruppe Autopilot Cloud-Native Windows-Endpunkte aus Schritt 4 – Erstellen Microsoft Entra dynamischen Gruppe für das Gerät – zu.

Weitere Informationen zu Windows-Kompatibilitätseinstellungen finden Sie unter Windows-Gerätekompatibilitätseinstellungen in Microsoft Intune.

Bedingter Zugriff

Der bedingte Zugriff in Microsoft Entra verwendet das Compliancesignal von Intune, um den Zugriff auf Ressourcen der Organization zuzulassen oder zu blockieren. Das gängigste cloudnative Muster ist die Anforderung eines kompatiblen Geräts für Microsoft 365-Apps und andere Clouddienste. Dieses Muster stellt sicher, dass nur von Intune verwaltete, fehlerfreie Geräte auf Ihre Daten zugreifen können.

Eine typische cloudnative Baseline für bedingten Zugriff umfasst Folgendes:

  • Mehrstufige Authentifizierung für alle Benutzer erforderlich
  • Erfordern ein konformes Gerät (oder ein hybrides mit Microsoft Entra verbundenes Gerät) für Cloud-Apps.
  • Blockieren Sie ältere Authentifizierungsprotokolle .

Wichtig

Testen Sie zunächst Richtlinien für den bedingten Zugriff auf eine Pilotgruppe. Eine falsch konfigurierte Richtlinie kann Administratoren vom Microsoft Entra Admin Center ausschließen.

Eine schrittweise Anleitung finden Sie unter:

Weiter: Phase 4: Anwenden von Anpassungen und Überprüfen der lokalen Konfiguration

Phase 4 – Anwenden von Anpassungen und Überprüfen Ihrer lokalen Konfiguration

In dieser Phase wenden Sie organization-spezifische Einstellungen und Apps an und überprüfen Ihre lokale Konfiguration. In dieser Phase können Sie alle für Ihr Organisation spezifischen Anpassungen vornehmen. Beachten Sie die verschiedenen Komponenten von Windows, wie Sie vorhandene Konfigurationen aus einer lokalen AD-Gruppenrichtlinienumgebung überprüfen und auf cloudnative Endpunkte anwenden können. Es gibt Abschnitte für jeden der folgenden Bereiche:

Microsoft Edge

Microsoft Edge-Bereitstellung

Microsoft Edge ist auf Geräten enthalten, auf denen Folgendes ausgeführt wird:

  • Windows

Nachdem sich Benutzer angemeldet haben, wird Microsoft Edge automatisch aktualisiert. Sie können den folgenden Befehl ausführen, um ein Update für Microsoft Edge während der Bereitstellung auszulösen:

Start-Process -FilePath "C:\Program Files (x86)\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe" -argumentlist "/silent /install appguid={56EB18F8-B008-4CBD-B6D2-8C97FE7E9062}&appname=Microsoft%20Edge&needsadmin=True"

Um Microsoft Edge in früheren Versionen von Windows bereitzustellen, wechseln Sie zu Hinzufügen von Microsoft Edge für Windows zu Microsoft Intune.

Microsoft Edge-Konfiguration

Zwei Komponenten der Microsoft Edge, die angewendet werden, wenn sich Benutzer mit ihren Microsoft 365 Anmeldeinformationen anmelden, können über das Microsoft 365 Admin Center konfiguriert werden.

  • Das Logo der Startseite in Microsoft Edge kann durch Konfigurieren des Abschnitts Ihre Organisation innerhalb des Microsoft 365 Admin Center angepasst werden. Für weitere Informationen wechseln Sie zu Anpassung des Microsoft 365-Designs für Ihre Organisation.

  • Die standardmäßige Erfahrung für neue Registerkartenseiten in Microsoft Edge umfasst Office 365-Informationen und personalisierte Nachrichten. Wie diese Seite angezeigt wird, kann im Microsoft 365 Admin Center unter Einstellungen>, Organisationseinstellungen>,Neuigkeiten>,Microsoft Edge neue Registerkartenseite angepasst werden.

Sie können auch andere Einstellungen für Microsoft Edge mithilfe von Einstellungskatalogprofilen festlegen. Sie können z. B. bestimmte Synchronisierungseinstellungen für Ihre Organisation konfigurieren.

  • Microsoft Edge
    • Konfigurieren der Liste der Typen, die von der Synchronisierung ausgeschlossen sind – Kennwörter

Start- und Taskleistenlayout

Sie können ein standardmäßiges Start- und Taskleistenlayout mit Intune anpassen und festlegen.

Einstellungenkatalog

Der Einstellungskatalog ist ein einzelner Ort, an dem alle konfigurierbaren Windows-Einstellungen aufgelistet sind. Der Katalog vereinfacht das Erstellen einer Richtlinie und Anzeigen aller verfügbaren Einstellungen. Für weitere Informationen wechseln Sie zu Erstellen einer Richtlinie mithilfe des Einstellungenkatalogs in Microsoft Intune.

Tipp

Viele der Einstellungen, die Sie aus der Gruppenrichtlinie kennen, sind im Einstellungskatalog integriert. Wenn Einstellungen im Einstellungskatalog nicht verfügbar sind, überprüfen Sie die Vorlagen für Gerätekonfigurationsprofile.

Im Einstellungskatalog sind einige Einstellungen verfügbar, die möglicherweise für Ihre Organisation relevant sind:

  • Bevorzugte Azure Active Directory-Mandantendomäne: Mit dieser Einstellung wird der bevorzugte Mandantendomänenname so konfiguriert, dass er an den Benutzernamen eines Benutzers angehängt wird. Mit einer bevorzugten Mandantendomäne können sich Benutzer bei Microsoft Entra-Endpunkten nur mit ihrem Benutzernamen anstelle ihres gesamten UPN anmelden, solange der Domänenname des Benutzers mit der bevorzugten Mandantendomäne übereinstimmt. Benutzer mit unterschiedlichen Domänennamen können ihren gesamten UPN eingeben.

    Festlegen der Kategorie Einstellung Wert
    Authentifizierung Bevorzugter AAD-Mandantendomänenname Geben Sie einen Domänennamen ein, z. B. contoso.onmicrosoft.com. .

    Hinweis

    Die Einstellungsbezeichnung verwendet veraltete Terminologie. "AAD" bezieht sich auf Microsoft Entra ID.

  • Windows-Blickpunkt – Standardmäßig sind mehrere Verbraucherfunktionen von Windows aktiviert, was dazu führt, dass ausgewählte Store-Apps installiert werden und Vorschläge von Drittanbietern auf dem Sperrbildschirm angezeigt werden. Sie können dies über den Abschnitt „Erfahrung“ des Einstellungskatalogs steuern.

    Festlegen der Kategorie Einstellung Wert
    Benutzeroberfläche > Windows-Blickpunkt zulassen Windows-Heimanwenderfeatures zulassen Blockieren
      Vorschläge von Drittanbietern in Windows-Blickpunkt zulassen (Benutzer) Blockieren

  • Microsoft Store – Organisationen möchten in der Regel die Anwendungen einschränken, die auf Endpunkten installiert werden können. Verwenden Sie diese Einstellung, wenn Ihre Organisation steuern möchte, welche Anwendungen über die Microsoft Store installiert werden können. Diese Einstellung verhindert, dass Benutzer Anwendungen installieren, es sei denn, sie werden genehmigt.

    Festlegen der Kategorie Einstellung Wert
    Microsoft App Store Nur privaten Speicher erforderlich Nur der private Store ist aktiviert

    Hinweis

    Diese Einstellung gilt für Windows 10. Unter Windows 11 blockiert diese Einstellung den Zugriff auf den öffentlichen Microsoft Store. Weitere Informationen finden Sie unter:

  • Blockieren von Gaming – Organisationen ziehen es möglicherweise vor, dass Unternehmensendpunkte nicht zum Spielen von Spielen verwendet werden können. Die Seite „Spiele“ in der App „Einstellungen“ kann mithilfe der folgenden Einstellung vollständig ausgeblendet werden. Weitere Informationen zur Sichtbarkeit der Seite „Einstellungen“ finden Sie in der CSP-Dokumentation und in den MS-Einstellungen URI-Schemareferenz.

    Festlegen der Kategorie Einstellung Wert
    Einstellungen Liste der Seitensichtbarkeit verstecken:gaming-gamebar; gaming-gamedvr; Spiele-Übertragung; gaming-gamemode; gaming-trueplay; gaming-xboxnetworking; Ruhige MomenteSpiel

  • Steuern der Mandanten, bei denen sich der Teams-Desktopclient anmelden kann – Wenn diese Richtlinie auf einem Gerät konfiguriert ist, können sich die Benutzer nur mit Konten anmelden, die sich in einem Microsoft Entra-Mandanten befinden, der in der "Mandanten-Zulassungsliste" enthalten ist, welche in dieser Richtlinie definiert ist. Bei der "Mandanten-Zulassungsliste" handelt es sich um eine durch Kommas getrennte Liste von Microsoft Entra-Mandanten-IDs. Wenn Sie diese Richtlinie angeben und einen Microsoft Entra-Mandanten definieren, blockieren Sie auch die Anmeldung bei Teams für den persönlichen Gebrauch. Für weitere Informationen wechseln Sie zu Einschränken der Anmeldung auf Desktopgeräten.

    Festlegen der Kategorie Einstellung Wert
    Microsoft Teams Beschränken der Anmeldung bei Teams auf Konten in bestimmten Mandanten (Benutzer) Enabled

Geräteeinschränkungen

Windows Geräteeinschränkungsvorlagen enthalten viele der Einstellungen, die zum Sichern und Verwalten eines Windows Endpunkts mit Windows Configuration Service Providers (CSPs) erforderlich sind. Im Laufe der Zeit werden weitere dieser Einstellungen im Einstellungskatalog zur Verfügung gestellt. Für weitere Informationen wechseln Sie zu Geräteeinschränkungen.

Um ein Profil zu erstellen, das die Vorlage Geräteeinschränkungen verwendet, wechseln Sie im Microsoft Intune Admin Center zu Geräte>Geräte verwalten>Konfiguration>Neue Richtlinie>erstellen> Wählen Sie Windows 10 und höher für Plattformvorlagen> aus Geräteeinschränkungen für den Profiltyp.

  • URL für Desktop-Hintergrundbild (nur Desktop): Verwenden Sie diese Einstellung, um ein Hintergrundbild für Windows Enterprise- oder Windows Education-SKUs festzulegen. Sie hosten die Datei online oder verweisen auf eine Datei, die lokal kopiert wurde. Um diese Einstellung zu konfigurieren, erweitern Sie auf der Registerkarte Konfigurationseinstellungen im Profil Geräteeinschränkungendie Option Personalisierung, und konfigurieren Sie die URL für das Hintergrundbild des Desktops (nur Desktop).

  • Erfordern, dass Benutzer während der Geräteeinrichtung eine Netzwerkverbindung herstellen – Diese Einstellung verringert das Risiko, dass ein Gerät Windows Autopilot überspringen kann, wenn der Computer zurückgesetzt wird. Diese Einstellung erfordert, dass Geräte während der Out-of-Box-Experience-Phase über eine Netzwerkverbindung verfügen. Um diese Einstellung zu konfigurieren, erweitern Sie auf der Registerkarte Konfigurationseinstellungen im Profil für Geräteeinschränkungen die Option Allgemein, und konfigurieren Sie Anfordern, dass Benutzer während der Geräteeinrichtung eine Netzwerkverbindung herstellen müssen.

    Hinweis

    Die Einstellung wird beim nächsten Zurücksetzen des Geräts wirksam.

Übermittlungsoptimierung

Die Übermittlungsoptimierung wird verwendet, um den Bandbreitenverbrauch zu reduzieren, indem die Arbeit des Herunterladens unterstützter Pakete zwischen mehreren Endpunkten gemeinsam genutzt wird. Übermittlungsoptimierung ist ein selbstorganisierender verteilter Cache, mit dem Clients diese Pakete aus alternativen Quellen wie Peers im Netzwerk herunterladen können. Diese Peerquellen ergänzen die herkömmlichen internetbasierten Server. Sie können sich über alle für die Übermittlungsoptimierung verfügbaren Einstellungen informieren und erfahren, welche Arten von Downloads bei der Übermittlungsoptimierung für Windows Updates unterstützt werden.

Um Übermittlungsoptimierung Einstellungen anzuwenden, erstellen Sie ein Intune Übermittlungsoptimierung-Profil oder ein Einstellungskatalogprofil.

Einige Einstellungen, die häufig von Organisationen verwendet werden, sind:

  • Peerauswahl einschränken – Subnetz – Diese Einstellung beschränkt das Peercaching auf Computer in demselben Subnetz.
  • Gruppen-ID – Übermittlungsoptimierungsclients können so konfiguriert werden, dass nur Inhalte für Geräte derselben Gruppe freigegeben werden. Gruppen-IDs können direkt konfiguriert werden, indem eine GUID über eine Richtlinie gesendet oder DHCP-Optionen in DHCP-Bereichen verwendet werden.

Kunden, die Microsoft Configuration Manager verwenden, können verbundene Cacheserver bereitstellen, die zum Hosten von Inhalten der Übermittlungsoptimierung verwendet werden können. Für weitere Informationen wechseln Sie zu Microsoft Connected Cache im Konfigurations-Manager.

Lokale Administratoren

Wenn es nur eine Benutzergruppe gibt, die lokalen Administratorzugriff auf alle mit Microsoft Entra verbundenen Windows-Geräte benötigt, können Sie sie dem lokalen Administrator für Microsoft Entra verbundene Geräte hinzufügen.

Möglicherweise ist es erforderlich, dass der IT-Helpdesk oder andere Supportmitarbeiter über lokale Administratorrechte für eine ausgewählte Gruppe von Geräten verfügen. Sie können diese Anforderung erfüllen, indem Sie die folgenden Konfigurationsdienstanbieter (Configuration Service Providers, CSPs) verwenden.

Weitere Informationen finden Sie unter Verwalten der lokalen Administratorgruppe auf mit Microsoft Entra verbundenen Geräten

Migration von Gruppenrichtlinie zu MDM-Einstellungen

Es gibt mehrere Optionen zum Erstellen Ihrer Gerätekonfiguration, wenn Sie eine Migration von Gruppenrichtlinie zur cloudnativen Geräteverwaltung in Betracht ziehen:

  • Starten Sie neu, und wenden Sie nach Bedarf benutzerdefinierte Einstellungen an.
  • Überprüfen Sie vorhandene Gruppenrichtlinien, und wenden Sie die erforderlichen Einstellungen an. Sie können Tools wie die Analyse von Gruppenrichtlinien verwenden.
  • Verwenden Sie die Gruppenrichtlinien-Analyse, um Gerätekonfigurationsprofile für unterstützte Einstellungen direkt zu erstellen.

Der Übergang zu einem cloudnativen Windows-Endpunkt stellt eine Chance dar, Ihre Computing-Anforderungen für Endbenutzer zu überprüfen und eine neue Konfiguration für die Zukunft einzurichten. Beginnen Sie nach Möglichkeit mit einem minimalen Satz von Richtlinien neu. Vermeiden Sie die künftige Weiterverwendung unnötiger oder älterer Einstellungen aus einer in die Domäne eingebundenen Umgebung oder älteren Betriebssystemen wie Windows 7 oder Windows XP.

Um neu zu beginnen, überprüfen Sie Ihre aktuellen Anforderungen, und implementieren Sie eine minimale Sammlung von Einstellungen, um diese Anforderungen zu erfüllen. Die Anforderungen können gesetzliche oder obligatorische Sicherheitseinstellungen und -einstellungen umfassen, um die Endbenutzererfahrung zu verbessern. Das Unternehmen erstellt eine Liste von Anforderungen, nicht die IT. Jede Einstellung sollte dokumentiert und verstanden werden und einem Zweck dienen.

Das Migrieren von Einstellungen aus vorhandenen Gruppenrichtlinien zu MDM (Microsoft Intune) ist nicht der bevorzugte Ansatz. Beim Übergang zum cloudnativen Windows sollte die Absicht nicht darin bestehen, vorhandene Gruppenrichtlinieneinstellungen zu heben und zu verschieben. Berücksichtigen Sie stattdessen die Zielgruppe und die erforderlichen Einstellungen. Es ist zeitaufwändig und wahrscheinlich unpraktisch, jede Gruppenrichtlinieneinstellung in Ihrer Umgebung zu überprüfen, um deren Relevanz und Kompatibilität mit einem modernen verwalteten Gerät zu ermitteln. Vermeiden Sie es, jede Gruppenrichtlinie und einzelne Einstellung zu bewerten. Konzentrieren Sie sich stattdessen auf die Bewertung der allgemeinen Richtlinien, die die meisten Geräte und Szenarien abdecken.

Identifizieren Sie stattdessen die Gruppenrichtlinieneinstellungen, die obligatorisch sind, und überprüfen Sie diese Einstellungen anhand der verfügbaren MDM-Einstellungen. Lücken würden Hindernisse darstellen, die verhindern können, dass Sie mit einem cloudnativen Gerät fortfahren, wenn sie nicht behoben werden. Tools wie die Gruppenrichtlinien-Analyse können verwendet werden, um Gruppenrichtlinieneinstellungen zu analysieren und festzustellen, ob sie zu MDM-Richtlinien migriert werden können.

Skripts

Sie können PowerShell-Skripts für alle Einstellungen oder Anpassungen verwenden, die Sie außerhalb der integrierten Konfigurationsprofile konfigurieren müssen. Für weitere Informationen wechseln Sie zu Hinzufügen von PowerShell-Skripts zu Windows-Geräten in Microsoft Intune.

Zuordnen von Netzwerklaufwerken und Druckern

Cloudnative Szenarien verfügen nicht über eine integrierte Lösung für zugeordnete Netzwerklaufwerke. Stattdessen empfehlen wir, dass Benutzer zu Teams, SharePoint und OneDrive migrieren. Wenn die Migration nicht möglich ist, sollten Sie bei Bedarf die Verwendung von Skripts in Betracht ziehen.

Für den persönlichen Speicher haben wir in Schritt 8 – Konfigurieren von Einstellungen für eine optimale Microsoft 365 Benutzererfahrungdie Verschiebung bekannter OneDrive-Ordner konfiguriert. Weitere Informationen finden Sie unter Umleiten bekannter Ordner.

Für die Dokumentspeicherung können Benutzer auch von der SharePoint-Integration mit dem Datei-Explorer und der Möglichkeit profitieren, Bibliotheken lokal zu synchronisieren, wie hier erwähnt: Synchronisieren von SharePoint- und Teams-Dateien mit Ihrem Computer.

Wenn Sie Office-Dokumentvorlagen im Unternehmen verwenden, die sich in der Regel auf internen Servern befinden, sollten Sie das neuere cloudbasierte Äquivalent in Betracht ziehen, mit dem Benutzer von überall aus auf die Vorlagen zugreifen können.

Für Drucklösungen sollten Sie Universelles Drucken in Betracht ziehen. Für weitere Informationen wechseln Sie zu:

Anwendungen

Intune unterstützt die Bereitstellung vieler verschiedener Windows-Anwendungstypen.

Wenn Sie über Anwendungen verfügen, die MSI-, EXE- oder Skriptinstallationsprogramme verwenden, können Sie alle diese Anwendungen mithilfe der Win32-App-Verwaltung in Microsoft Intunebereitstellen. Das Umschließen dieser Installationsprogramme in das Win32-Format bietet mehr Flexibilität und Vorteile, einschließlich Benachrichtigungen, Übermittlungsoptimierung, Abhängigkeiten, Erkennungsregeln und Unterstützung für die Registrierungsstatusseite in Windows Autopilot.

Hinweis

Um Konflikte während der Installation zu vermeiden, empfiehlt es sich, ausschließlich die Branchen-Apps von Windows oder win32-Apps zu verwenden. Wenn Sie über Anwendungen verfügen, die als .msi oder .exegepackt sind, können diese mithilfe des auf GitHub verfügbaren Microsoft Win32-Tools zur Inhaltsvorbereitung in Win32-Apps (.intunewin) konvertiert werden.

Weiter: Phase 5 – Skalieren Sie Ihre Bereitstellung mit Windows Autopilot

Phase 5 – Skalieren Sie Ihre Bereitstellung mit Windows Autopilot

Sie haben bewiesen, dass Cloud-nativ auf einem Gerät funktioniert. In dieser Phase wird erläutert, wie Sie von einem Testgerät zu Ihrer Produktionsflotte wechseln: wie Geräte registriert werden, wie Sie sie nach Persona gruppieren, wie Sie den Rollout bereitstellen und wie Sie mit den vorhandenen PCs umgehen, die Sie bereits verwalten.

Geräte im großen Stil registrieren

In Phase 1 haben Sie manuell einen Hardware-Hash hochgeladen. Das ist für ein Labor in Ordnung, lässt sich aber nicht skalieren. Die produktionsfertigen Optionen sind:

Registrierungsquelle So funktioniert es Am besten geeignet für
OEM- oder Hardwarepartner Geräte werden von dem Anbieter ausgeliefert, der bereits bei Ihrem Mandanten registriert ist (Dell, HP, Lenovo, Microsoft, Surface und andere). Beschaffung neuer Hardware – der empfohlene Zielzustand.
Wiederverkäufer oder CSP Ein Microsoft-Partner registriert Geräte in Ihrem Auftrag. Indirekte oder gemischte Lieferketten.
Manueller Hashupload (CSV) Gleicher Get-WindowsAutopilotInfo Flow aus Phase 1, Schritt 3, Mengenupload als CSV. Pilotprojekte, Laborgeräte, kleine Chargen, vorhandene Geräte werden integriert.
Intune Connector / direkte Registrierung Neuere Registrierungspfade sind im Admin Center aufgetaucht. Spezifische Registrierungsszenarien – siehe Übersicht über die Autopilot-Registrierung.

Ausführliche Informationen finden Sie unter Registrieren von Autopilot-Geräten.

Tipp

Bitten Sie Ihren Händler oder OEM, Geräte beim Kauf bei Ihrer Microsoft Entra-Mandanten-ID zu registrieren, wenn Sie neue Windows-Hardware kaufen. Dieser Ansatz ist das reibungsloseste langfristige Muster und macht es überflüssig, jemals einen Hash manuell zu sammeln.

Verwenden von Gruppentags für Personas

Sie haben das CloudNative Gruppentag bereits in Phase 1 verwendet, um eine dynamische Gruppe zu steuern. Das gleiche Muster wird auf mehrere Gerätepersonas skaliert. Definieren Sie ein Gruppentag pro Persona, eine dynamische Microsoft Entra-Gruppe pro Tag und ein Autopilot-Bereitstellungsprofil plus Registrierungsstatusseite pro Gruppe.

Persona Vorgeschlagenes Gruppentag Autopilot-Profil Benutzerkontotyp
Wissensarbeiter KnowledgeWorker Benutzergesteuert Standardbenutzer
Entwickler / Power-User Developer Benutzergesteuert Administrator
Kiosk oder freigegebenes Gerät Kiosk Selbstbereitstellung. Nicht zutreffend
Vorinstalliert (weißer Handschuh) PreProvisioned Vorabbereitstellung Standardbenutzer

Durch dieses Muster werden Konfigurations-, App- und Sicherheitsrichtlinien pro Persona isoliert, und es wird verhindert, dass sich einmalige Ausnahmen auf Ihren Mandanten ausbreiten.

In Ringen ausrollen

Stellen Sie nicht die gesamte Flotte auf einmal bereit. Verwenden Sie das gleiche Ringkonzept, das Sie für Windows-Updates verwenden:

Ring Zielgruppe Zweck
Pilotprojekt IT-Team und eine kleine Gruppe von Freiwilligen Überprüfen Sie die End-to-End-Bereitstellung und -Richtlinie.
Early Adopter ~5 % der Benutzer, abteilungsübergreifend verteilt Erkennen Sie personen- und appspezifische Probleme.
Allgemein Die verbleibende Flotte, gestaffelt nach Region oder Abteilung Rollout in der Produktion.

Verwenden Sie Zuweisungsfilter , um Ringe als Ziel zu verwenden, anstatt doppelte Gruppen für jede Richtlinie zu erstellen. Überwachen Sie jeden Ring mithilfe des Abschnitts Überwachen cloudnativer Windows-Endpunkte, bevor Sie ihn zum nächsten heraufstufen.

Umgang mit vorhandenen Geräten

Für Windows-PCs, die Sie bereits verwalten, empfiehlt Microsoft, bei der nächsten Hardwareaktualisierung auf Autopilot umzusteigen, anstatt Ihre gesamte Flotte neu bereitzustellen. Cloudnatives Windows profitiert voll von einem sauberen Start in der Windows-Willkommensseite, und Aktualisierungszyklen ermöglichen Ihnen einen natürlichen Übergang mit minimalen Unterbrechungen für den Benutzer.

Wenn Sie nicht auf die Aktualisierung warten können, stehen zwei Pfade zur Verfügung:

  • Registrieren und an Ort und Stelle zurücksetzen. Sammeln Sie den Hash für ein vorhandenes Gerät, registrieren Sie ihn bei Autopilot, und setzen Sie dann den PC zurück. Das Gerät wird über OOBE als cloudnativer Endpunkt zurückgesendet. Siehe Hinzufügen vorhandener Geräte zu Windows Autopilot.
  • Bei der Aktualisierung ein Reimage erstellen. Nur neue oder aktualisierte Hardware wird als cloudnativ registriert. Vorhandene Geräte bleiben bis zum Erreichen des Lebenszyklusendes in ihrer aktuellen Verwaltung.

Achtung

Registrieren Sie keine Geräte, die aktiv von Microsoft Configuration Manager ohne einen Co-Management-Plan verwaltet werden. Bevor Sie es bei Autopilot registrieren, entscheiden Sie, ob das Gerät in der Cloud oder gemeinsam verwaltet werden soll oder ob es im Konfigurations-Manager verbleiben soll. Weitere Informationen finden Sie unter Co-Verwaltung für Windows-Geräte.

Weitere Informationen

Wenn Windows Autopilot nicht die richtige Lösung für Ihr Szenario ist, finden Sie Alternativen unter Intune-Registrierungsmethoden für Windows-Geräte.

Weiter: Überwachen von cloudnativen Windows-Endpunkten

Überwachen Ihrer cloudnativen Windows-Endpunkte

Nachdem Ihre cloudnativen Windows-Endpunkte bereitgestellt und konfiguriert wurden, verwenden Sie die Überwachungsansichten im Microsoft Intune Admin Center, um zu bestätigen, dass Richtlinien, Skripts und Apps erfolgreich bereitgestellt werden, und um Probleme frühzeitig zu erkennen. Die Überwachung ist eine fortlaufende Betriebsaufgabe, kein einmaliger Einrichtungsschritt.

Was überwacht werden soll Im Admin Center Was zu überprüfen ist Weitere Informationen
Script status Geräte>Nach Plattform>Windows>Geräte> verwaltenSkripts und Korrekturen>Plattformskripts Skript > auswählen Geräte-Status —
Status der App-Installation Apps>Windows>Windows-Apps Wählen Sie eine App>, den Status der Geräteinstallation oder den Status der Benutzerinstallation aus. Problembehandlung bei App-Installationen
Sicherheitsbasispläne — — Überwachen von Sicherheitsbaselines in Intune
Datenträgerverschlüsselung (BitLocker) Endpunktsicherheit>Datenträgerverschlüsselung Wählen Sie die BitLocker-Richtlinie >aus. Status der Geräteinstallation. Wiederherstellungsschlüssel: Geräte>Windows> Gerät > auswählen Wiederherstellungsschlüssel —
Windows Update-Ringe Geräte>Verwalten von Updates>Updates für Windows 10 und höher>Updateringe Ring > auswählen Geräte-Status Berichte für Updateringe
Compliance Geräte>Konformität Wählen Sie die Richtlinie aus, um die Ergebnisse der Zuweisung, nicht konforme Geräte und Fehler pro Einstellung anzuzeigen Überwachen von Konformitätsrichtlinien
Endpunktanalyse Berichte>Endpunktanalysen Startleistung, App-Zuverlässigkeit und proaktive Fehlerbehebungen in Ihrer gesamten Flotte Endpunktanalysen – Übersicht · Intune-Berichte

Befolgen Sie die Anleitung für Cloud-native Endpunkte

  1. Überblick: Was sind cloudnative Endpunkte?
  2. 🡺 Tutorial: Einrichten von cloudnativen Windows-Endpunkten mit Microsoft Intune (Sie sind hier)
  3. Konzept: Microsoft Entra Join vs. Hybrid Microsoft Entra Join
  4. Konzept: Cloud-native Endpunkte und ortsgebundene Ressourcen
  5. Planungsleitfaden auf hohem Niveau
  6. Bekannte Probleme und wichtige Informationen

Häufig gestellte Fragen

Was ist ein cloudnativer Windows-Endpunkt?

Ein cloudnativer Windows-Endpunkt ist ein Windows-Gerät, das mit Microsoft Entra verbunden und bei Microsoft Intune registriert ist – ohne Abhängigkeit von lokalem Active Directory, Gruppenrichtlinien oder Domänencontrollern. Die gesamte Konfiguration, Sicherheit und App-Bereitstellung wird über die Cloud mit Microsoft Intune und Windows Autopilot verwaltet.

Was ist der Unterschied zwischen cloudnativem und hybridem Microsoft Entras beigetreten?

Ein hybrid, mit Microsoft Entra verbundenes Gerät wird sowohl in das lokale Active Directory als auch in Microsoft Entra eingebunden. Es hängt weiterhin von Domänencontrollern für die Authentifizierung und Gruppenrichtlinien für die Konfiguration ab. Ein cloudnatives Gerät (nur mit Microsoft Entra verbunden) hat keine lokale Abhängigkeit – Identität, Richtlinien und Apps stammen alle aus der Cloud. Einen detaillierten Vergleich finden Sie unter Microsoft Entra Join vs. Hybrid Microsoft Entra verbunden.

Benötige ich Windows 11 für cloudnative Endpunkte?

Nein Cloudnatives Windows funktioniert mit Windows 10 22H2 oder höher. Microsoft empfiehlt Windows 11 für die beste Erfahrung mit Windows Autopilot, Windows Hello for Business und modernen Sicherheitsfeatures.

Kann ich vorhandene Geräte, die einer Domäne angehören, nach cloudnativen Geräten verschieben?

Ja, aber Microsoft empfiehlt, dies bei der nächsten Hardwareaktualisierung zu tun, anstatt die gesamte Flotte neu bereitzustellen. Cloudnatives Windows profitiert von einem sauberen Start der Windows-Willkommensseite in vollem Umfang. Informationen zu Geräten, deren Aktualisierung Sie kaum abwarten können, finden Sie unter Umgang mit vorhandenen Geräten in Phase 5.

Funktioniert cloudnatives Windows mit lokalen Ressourcen wie Dateifreigaben und Druckern?

Ja, mit etwas Planung. Cloudnative Geräte können über VPN oder über den Microsoft Entra-Anwendungsproxy auf lokale Ressourcen zugreifen. Für die Dateispeicherung empfiehlt Microsoft die Migration zu OneDrive und SharePoint. Für das Drucken sollten Sie Universelles Drucken in Betracht ziehen. Eine ausführliche Anleitung finden Sie unter Cloudnative Endpunkte und lokale Ressourcen .

Hilfreiche Onlineressourcen

  • Last updated on