Bereitstellungshandbuch: Verwalten von Geräten, auf denen Windows 10/11 ausgeführt wird

Artikel
04/04/2023

In diesem Leitfaden wird beschrieben, wie Sie Windows-Apps und -Endpunkte mithilfe von Microsoft Intune schützen und verwalten, und enthält unsere Setupempfehlungen und Ressourcen von den Voraussetzungen bis zur Registrierung.

Überprüfen Sie für jeden Abschnitt in diesem Leitfaden die zugehörigen Aufgaben. Einige Aufgaben sind erforderlich, und einige, z. B. das Einrichten Microsoft Entra bedingten Zugriffs, sind optional. Wählen Sie die bereitgestellten Links in jedem Abschnitt aus, um zu unseren empfohlenen Hilfedokumentationen auf Microsoft Learn zu gelangen, in denen Sie ausführlichere Informationen und Anleitungen finden.

Schritt 1: Voraussetzungen

Erfüllen Sie die folgenden Voraussetzungen, um die Endpunktverwaltungsfunktionen Ihres Mandanten zu aktivieren:

Weitere Informationen und Empfehlungen zum Vorbereiten Ihrer organization, zum Onboarding oder zur Einführung von Intune für die Verwaltung mobiler Geräte finden Sie unter Migrationsleitfaden: Einrichten oder Wechseln zu Microsoft Intune.

Schritt 2: Planen Der Bereitstellung

Verwenden Sie den Planungsleitfaden zu Microsoft Intune zum Definieren Ihrer Geräteverwaltungsziele, Anwendungsfallszenarien und Anforderungen. Verwenden Sie den Leitfaden, um Rollout, Kommunikation, Support, Tests und Validierung zu planen. In einigen Fällen müssen Sie beispielsweise nicht anwesend sein, wenn Mitarbeiter und Studenten ihre Geräte registrieren. Es wird empfohlen, einen Kommunikationsplan zu haben, damit die Benutzer wissen, wo Sie Informationen zur Installation und Verwendung von Intune-Unternehmensportal finden können.

Weitere Informationen finden Sie unter Microsoft Intune Planungshandbuch.

Schritt 3: Erstellen von Konformitätsrichtlinien

Verwenden Sie Konformitätsrichtlinien, um sicherzustellen, dass Geräte, die auf Ihre Daten zugreifen, sicher sind und die Standards Ihrer organization erfüllen. Die letzte Phase des Registrierungsprozesses ist die Konformitätsbewertung, die überprüft, ob die Einstellungen auf dem Gerät Ihren Richtlinien entsprechen. Gerätebenutzer müssen alle Konformitätsprobleme beheben, um Zugriff auf geschützte Ressourcen zu erhalten. Intune kennzeichnet Geräte, die die Konformitätsanforderungen nicht erfüllen, als nicht konform und führt gemäß Ihrer Aktion bei Nichtkonformitätskonfigurationen zusätzliche Maßnahmen aus (z. B. Senden einer Benachrichtigung des Benutzers, Einschränken des Zugriffs oder Zurücksetzen des Geräts).

Sie können Microsoft Entra Richtlinien für bedingten Zugriff in Verbindung mit Gerätekonformitätsrichtlinien verwenden, um den Zugriff auf Windows-PCs, Unternehmens-E-Mails und Microsoft 365-Dienste zu steuern. Sie können z. B. eine Richtlinie erstellen, die Verhindert, dass Mitarbeiter auf Microsoft Teams in Edge zugreifen können, ohne zuvor ihr Gerät zu registrieren oder zu schützen.

Tipp

Eine Übersicht über Gerätekonformitätsrichtlinien finden Sie unter Übersicht über die Kompatibilität.

Aufgabe	Detail
Erstellen einer Konformitätsrichtlinie	Hier erhalten Sie eine Schritt-für-Schritt-Anleitung zum Erstellen und Zuweisen einer Konformitätsrichtlinie zu Benutzer- und Gerätegruppen.
Hinzufügen von Aktionen für die Nichtkonformität	Wählen Sie aus, was geschieht, wenn Geräte die Bedingungen Ihrer Konformitätsrichtlinie nicht mehr erfüllen. Beispiele für Aktionen sind das Senden von Warnungen, das Remotesperren von Geräten oder das Außerbetriebnahmen von Geräten. Sie können Aktionen für die Nichtkonformität hinzufügen, wenn Sie eine Richtlinie für die Gerätekonformität konfigurieren, oder Sie fügen sie später durch Bearbeiten der Richtlinie hinzu.
Erstellen einer gerätebasierten oder App-basierten Richtlinie für bedingten Zugriff	Wählen Sie die Apps oder Dienste aus, die Sie schützen möchten, und definieren Sie die Zugriffsbedingungen.
Blockieren des Zugriffs auf Apps, die keine moderne Authentifizierung verwenden	Erstellen Sie eine App-basierte Richtlinie für bedingten Zugriff, um Apps zu blockieren, die andere Authentifizierungsmethoden als OAuth2 verwenden. z. B. Apps, welche die einfache und formularbasierte Authentifizierung verwenden. Bevor Sie den Zugriff blockieren, melden Sie sich jedoch bei Microsoft Entra ID an, und überprüfen Sie den Aktivitätsbericht für Authentifizierungsmethoden, um festzustellen, ob Benutzer die Standardauthentifizierung verwenden, um auf wichtige Dinge zuzugreifen, die Sie vergessen haben oder die Sie nicht kennen. Beispielsweise verwenden Kioske für Besprechungsraumkalender die Standardauthentifizierung.
Hinzufügen benutzerdefinierter Konformitätseinstellungen	Mit benutzerdefinierten Konformitätseinstellungen können Sie Ihre eigenen Bash-Skripts schreiben, um Konformitätsszenarien zu behandeln, die noch nicht in den in Microsoft Intune integrierten Gerätekonformitätsoptionen enthalten sind. In diesem Artikel wird beschrieben, wie Sie benutzerdefinierte Konformitätsrichtlinien für Windows-Geräte erstellen, überwachen und behandeln. Für benutzerdefinierte Konformitätseinstellungen müssen Sie ein benutzerdefiniertes Skript erstellen , das die Einstellungs- und Wertpaare identifiziert.

Schritt 4: Konfigurieren der Endpunktsicherheit

Verwenden Sie die Intune-Endpunktsicherheitsfeatures, um die Gerätesicherheit zu konfigurieren und Sicherheitsaufgaben für gefährdete Geräte zu verwalten.

Aufgabe	Detail
Verwalten von Geräten mit Endpunktsicherheitsfunktionen	Verwenden Sie die Endpunktsicherheitseinstellungen in Intune, um die Gerätesicherheit effektiv zu verwalten und Probleme für Geräte zu beheben.
Hinzufügen von Endpoint Protection-Einstellungen	Konfigurieren Sie allgemeine Endpoint Protection-Sicherheitsfeatures wie Firewall, BitLocker und Microsoft Defender. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu Endpoint Protection-Einstellungen.
Konfigurieren von Microsoft Defender für Endpunkt in Intune	Wenn Sie Intune in Microsoft Defender for Endpoint integrieren, können Sie nicht nur Sicherheitsverletzungen verhindern, sondern auch Microsoft Defender für Endpoints Threat & Vulnerability Management (TVM) nutzen und Intune verwenden, um von TVM identifizierte Endpunktschwäche zu beheben.
BitLocker-Richtlinie verwalten	Stellen Sie sicher, dass Geräte bei der Registrierung verschlüsselt werden, indem Sie eine Richtlinie erstellen, die BitLocker auf verwalteten Geräten konfiguriert.
Verwalten von Sicherheitsbaselineprofilen	Verwenden Sie die Sicherheitsbaselines in Intune, um Ihre Benutzer und Geräte zu schützen und zu schützen. Eine Sicherheitsbaseline enthält die bewährten Methoden und Empfehlungen für Einstellungen, die sich auf die Sicherheit auswirken.
Verwenden von Windows Update for Business für Softwareupdates	Konfigurieren Sie eine Windows Update Rolloutstrategie mit Windows Update for Business. In diesem Artikel werden die Richtlinientypen vorgestellt, die Sie zum Verwalten von Windows 10/11-Softwareupdates verwenden können, und wie Sie von Updateringverzögerungen zu einer Richtlinie für Featureupdates wechseln.

Schritt 5: Konfigurieren von Geräteeinstellungen

Verwenden Sie Microsoft Intune, um Windows-Einstellungen und -Features auf Geräten zu aktivieren oder zu deaktivieren. Um diese Einstellungen zu konfigurieren und zu erzwingen, erstellen Sie ein Gerätekonfigurationsprofil und weisen Sie das Profil dann Gruppen in Ihrer Organisation zu. Geräte erhalten das Profil nach der Registrierung.

Aufgabe	Detail
Erstellen eines Geräteprofils	Erstellen Sie ein Geräteprofil in Microsoft Intune, und suchen Sie Ressourcen zu allen Geräteprofiltypen. Sie können auch den Einstellungskatalog verwenden, um eine Richtlinie von Grund auf neu zu erstellen.
Konfigurieren von Gruppenrichtlinieneinstellungen	Verwenden von Windows 10-Vorlagen zum Konfigurieren von Gruppenrichtlinieneinstellungen in Microsoft Intune. Administrative Vorlagen enthalten Hunderte von Einstellungen, die Sie für Internet Explorer, Microsoft Edge, OneDrive, Remotedesktop, Word, Excel und andere Office-Programme konfigurieren können. Diese Vorlagen bieten Administratoren eine vereinfachte Ansicht der Einstellungen ähnlich wie bei einer Gruppenrichtlinie und sind vollständig cloudbasiert.
Konfigurieren des WLAN-Profils	Dieses Profil ermöglicht es Personen, das WLAN-Netzwerk Ihrer Organisation zu finden und eine Verbindung dazu herzustellen. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu WLAN-Einstellungen für Windows 10 und höher.
Konfigurieren eines VPN-Profils	Richten Sie eine sichere VPN-Option, z. B. Microsoft Tunnel, für Personen ein, die eine Verbindung mit dem Netzwerk Ihrer Organisation herstellen. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu VPN-Einstellungen.
E-Mail-Profil konfigurieren	Konfigurieren Sie E-Mail-Einstellungen, damit Benutzer eine Verbindung mit einem E-Mail-Server herstellen und auf ihre E-Mails des Unternehmens oder der Bildungseinrichtung zugreifen können. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu E-Mail-Einstellungen.
Einschränken von Gerätefunktionen	Schützen Sie Benutzer vor nicht autorisiertem Zugriff und Ablenkungen, indem Sie die Gerätefunktionen einschränken, die sie im Unternehmen in der Bildungseinrichtung verwenden können. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu Geräteeinschränkungen für Windows 10/11 und Windows 10 Teams.
Benutzerdefiniertes Profil konfigurieren	Hinzufügen und Zuweisen von Geräteeinstellungen und -funktionen, die nicht in Intune integriert sind. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu benutzerdefinierten Einstellungen.
Konfigurieren von BIOS-Einstellungen	Richten Sie Intune ein, damit Sie UEFI-Einstellungen (BIOS) auf registrierten Geräten mithilfe der Device Firmware Configuration Interface (DFCI) steuern können.
Konfigurieren des Domänenbeitritts	Wenn Sie planen, Microsoft Entra verbundene Geräte zu registrieren, müssen Sie ein Domänenbeitrittsprofil erstellen, damit Intune weiß, welcher lokalen Domäne sie beitreten soll.
Konfigurieren von Übermittlungsoptimierungseinstellungen	Verwenden Sie diese Einstellungen, um den Bandbreitenverbrauch auf Geräten zu reduzieren, die Apps und Updates herunterladen.
Anpassen des Brandings und der Registrierungsumgebung	Passen Sie die Intune-Unternehmensportal und Microsoft Intune App-Erfahrung an die eigenen Wörter, das Branding, die Bildschirmeinstellungen und die Kontaktinformationen Ihrer Organisation an.
Konfigurieren von Kiosks und dedizierten Geräten	Erstellen Sie ein Kioskprofil, um Geräte zu verwalten, die im Kioskmodus ausgeführt werden.
Anpassen freigegebener Geräte	Steuern des Zugriffs, der Konten und der Energiefunktionen auf gemeinsam genutzten geräten oder geräten mit mehreren Benutzern.
Konfigurieren der Netzwerkgrenze	Erstellen Sie ein Netzwerkbegrenzungsprofil, um Ihre Umgebung vor Standorten zu schützen, denen Sie nicht vertrauen.
Konfigurieren der Windows-Integritätsüberwachung	Erstellen Sie ein Windows-Integritätsüberwachungsprofil, damit Microsoft Leistungsdaten sammeln und Empfehlungen für Verbesserungen bereitstellen kann. Das Erstellen eines Profils ermöglicht das Endpunktanalysefeature in Microsoft Intune, das gesammelte Daten analysiert, Software empfiehlt, die Startleistung verbessert und häufige Supportprobleme behebt.
Konfigurieren der Test-App für Kursteilnehmer	Konfigurieren Sie die Test-App für Kursteilnehmer, die Tests oder Prüfungen auf registrierten Geräten ablegen.
Konfigurieren des eSim-Mobilfunkprofils	Sie können eSIM für ESIM-fähige Geräte wie surface LTE Pro konfigurieren, um über eine Datenverbindung eine Verbindung mit dem Internet herzustellen. Diese Konfiguration ist ideal für globale Reisende, die auf Reisen in Verbindung und flexibel bleiben müssen, und entfällt die Notwendigkeit einer SIM-Karte.

Schritt 6: Einrichten sicherer Authentifizierungsmethoden

Richten Sie Authentifizierungsmethoden in Intune ein, um sicherzustellen, dass nur autorisierte Personen auf Ihre internen Ressourcen zugreifen. Intune unterstützt die mehrstufige Authentifizierung, Zertifikate und abgeleitete Anmeldeinformationen. Zertifikate werden auch zum Signieren und Verschlüsseln von E-Mails mithilfe von S/MIME verwendet.

Aufgabe	Detail
Mehrstufige Authentifizierung (MFA) erforderlich	Personen müssen zum Zeitpunkt der Geräteregistrierung zwei Arten von Anmeldeinformationen angeben. Diese Richtlinie funktioniert in Verbindung mit Microsoft Entra Richtlinien für bedingten Zugriff.
Erstellen eines vertrauenswürdigen Zertifikatprofils	Sie müssen ein vertrauenswürdiges Zertifikatprofil erstellen und bereitstellen, bevor Sie ein importiertes SCEP- oder PKCS-Zertifikatprofil erstellen können. Das vertrauenswürdige Zertifikatprofil stellt das vertrauenswürdige Stammzertifikat für Geräte und Benutzer mit importierten SCEP-, PKCS- und PKCS-Zertifikaten bereit.
Verwenden von SCEP-Zertifikaten mit Intune	Erfahren Sie, was für die Verwendung von SCEP-Zertifikaten mit Intune benötigt wird, und konfigurieren Sie die erforderliche Infrastruktur. Anschließend können Sie ein SCEP-Zertifikatprofil erstellen oder eine Drittanbieterzertifizierungsstelle mit SCEP einrichten.
Verwenden von PKCS-Zertifikaten mit Intune	Konfigurieren Sie erforderliche Infrastrukturelemente (wie lokale Zertifikat-Connectors), exportieren Sie ein PKCS-Zertifikat und fügen Sie dieses anschließend zu einem Intune-Gerätekonfigurationsprofil hinzu.
Verwenden importierter PKCS-Zertifikate mit Intune	Richten Sie importierte PKCS-Zertifikate ein, mit denen Sie S/MIME zum Verschlüsseln von E-Mails einrichten und verwenden.
Einrichten eines Ausstellers für abgeleitete Anmeldeinformationen	Stellen Sie Windows-Geräte mit Zertifikaten bereit, die von Benutzer-Smartcards abgeleitet sind.
Integrieren von Windows Hello for Business in Microsoft Intune	Erstellen Sie eine Windows Hello for Business Richtlinie, um Windows Hello for Business während der Geräteregistrierung zu aktivieren oder zu deaktivieren. Hello for Business ist eine alternative Anmeldemethode, die Active Directory oder ein Microsoft Entra-Konto verwendet, um ein Kennwort, eine intelligente Karte oder eine virtuelle intelligente Karte zu ersetzen.

Schritt 7: Bereitstellen von Apps

Denken Sie beim Einrichten von Apps und App-Richtlinien an die Anforderungen Ihrer Organisation, z. B. die Plattformen, die Sie unterstützen, die Aufgaben, die Personen ausführen, die Art der Apps, die sie zum Ausführen dieser Aufgaben benötigen, und deren Anforderungen. Sie können Intune verwenden, um das gesamte Gerät (einschließlich Apps) zu verwalten, oder Intune nur zum Verwalten von Apps verwenden.

Aufgabe	Detail
Hinzufügen von branchenspezifischen Apps	Hinzufügen von branchenspezifischen macOS-Apps zu Intune und Zuweisen zu Gruppen.
Hinzufügen von Microsoft Edge	Hinzufügen und Zuweisen von Microsoft Edge für Windows.
Hinzufügen Intune-Unternehmensportal App aus dem Microsoft Store	Fügen Sie die Intune-Unternehmensportal-App manuell hinzu, und weisen Sie sie als erforderliche App zu.
Hinzufügen Intune-Unternehmensportal-App für Autopilot	Fügen Sie die Unternehmensportal-App zu Geräten hinzu, die von Windows Autopilot bereitgestellt werden.
Hinzufügen von Microsoft 365-Apps	Fügen Sie Microsoft 365 Apps for Enterprise hinzu.
Zuweisen von Apps zu Gruppen	Nachdem Sie Apps zu Intune hinzugefügt haben, weisen Sie diese Benutzern und Geräten zu.
Einschließen und Ausschließen von App-Zuweisungen	Steuern Sie den Zugriff und die Verfügbarkeit einer App, indem Sie ausgewählte Gruppen aus der Zuweisung ein- und ausschließen.
Verwenden von PowerShell-Skripts	Laden Sie PowerShell-Skripts hoch, um die Windows-Geräteverwaltungsfunktionen in Intune zu erweitern und den Wechsel zur modernen Verwaltung zu vereinfachen.

Schritt 8: Registrieren von Geräten

Während der Registrierung wird das Gerät mit Microsoft Entra-ID registriert und auf Konformität ausgewertet. Informationen zu den einzelnen Registrierungsmethoden und zur Auswahl einer geeigneten Registrierungsmethode für Ihre organization finden Sie im Leitfaden zur Registrierung von Windows-Geräten für Microsoft Intune.

Aufgabe	Detail
Aktivieren der automatischen MDM-Registrierung	Vereinfachen Sie die Registrierung, indem Sie die automatische Registrierung aktivieren, die automatisch Geräte in Intune registriert, die mit Ihrer Microsoft Entra-ID beitreten oder sich registrieren. Die automatische Registrierung vereinfacht die Bereitstellung von Windows Autopilot, die BYOD-Registrierung, die Registrierung mit Gruppenrichtlinie und die Massenregistrierung über ein Bereitstellungspaket.
Aktivieren der automatischen Ermittlung des MDM-Servers	Wenn Sie nicht über Microsoft Entra ID P1 oder P2 verfügen, empfiehlt es sich, einen CNAME-Eintragstyp für Intune-Registrierungsserver zu erstellen. Der CNAME-Eintrag leitet Registrierungsanforderungen an den richtigen Server um, sodass registrierende Benutzer den Servernamen nicht manuell eingeben müssen.
Windows Autopilot-Szenarien	Vereinfachen Sie die benutzergesteuerte oder selbst bereitstellende OOBE für Sie und Ihre Benutzer, indem Sie Microsoft Intune Geräteregistrierung so einrichten, dass sie automatisch während Windows Autopilot erfolgt.
Registrieren Microsoft Entra hybrid eingebundener Geräte mit Windows Autopilot	Der Intune-Connector für Active Directory ermöglicht es Geräten in Active Directory Domain Services, mit Microsoft Entra-ID zu verbinden und sich dann automatisch bei Intune zu registrieren. Wir empfehlen diese Registrierungsoption für lokale Umgebungen, die Active Directory Domain Services verwenden und ihre Identitäten derzeit nicht in Microsoft Entra ID verschieben können.
Registrieren von Geräten mit Gruppenrichtlinie	Auslösen der automatischen Registrierung bei Intune mithilfe einer Gruppenrichtlinie
Massenregistrierung von Geräten	Erstellen Sie ein Bereitstellungspaket in Windows Configuration Designer, das eine große Anzahl neuer Windows-Geräte mit Microsoft Entra ID verknüpft und bei Intune registriert.
Einrichten der Registrierungsseite status (ESP)	Erstellen Sie ein Registrierungs-status-Seitenprofil mit benutzerdefinierten Einstellungen, um Benutzer durch die Geräteeinrichtung und -registrierung zu führen.
Ändern der Gerätebesitzbezeichnung	Nachdem ein Gerät registriert wurde, können Sie seine Besitzbezeichnung in Intune in unternehmenseigene oder persönliche Geräte ändern. Diese Anpassung ändert die Art und Weise, wie Sie das Gerät verwalten, und kann mehr Verwaltungs- und Identifikationsfunktionen in Intune aktivieren oder einschränken.
Konfigurieren des Proxys für den Intune Active Directory-Connector	Konfigurieren Sie den Intune-Connector für Active Directory, um mit Ihren vorhandenen ausgehenden Proxyservern zu arbeiten.
Behandeln von Problemen bei der Registrierung	Beheben Sie Probleme, die während der Registrierung auftreten, und finden Sie Lösungen.

Schritt 9: Ausführen von Remoteaktionen

Nachdem Geräte eingerichtet wurden, können Sie unterstützte Remoteaktionen verwenden, um Geräte aus der Ferne zu verwalten und Probleme zu beheben. In den folgenden Artikeln werden die Remoteaktionen für Windows vorgestellt. Wenn eine Aktion im Portal nicht vorhanden oder deaktiviert ist, wird sie für Windows nicht unterstützt.

Aufgabe	Detail
Durchführen von Remote-Aktionen auf Geräten	Erfahren Sie, wie Sie einen Drilldown ausführen und einzelne Geräte in Intune remote verwalten und Probleme beheben. In diesem Artikel werden alle in Intune verfügbaren Remoteaktionen und Links zu diesen Verfahren aufgeführt.
Verwenden von TeamViewer für die Remoteverwaltung von Intune-Geräten	Konfigurieren Sie TeamViewer in Intune und erfahren Sie, wie Sie ein Gerät fern verwalten können.
Verwenden von Sicherheitsaufgaben zum Anzeigen von Bedrohungen und Sicherheitsrisiken	Verwenden Sie Intune, um die von Microsoft Defender for Endpoint identifizierte Endpunktschwäche zu beheben. Bevor Sie mit Sicherheitsaufgaben arbeiten können, müssen Sie Microsoft Defender for Endpoint in Intune integrieren.
Verwenden von Organisationsnachrichten	Verwenden Sie Organisationsnachrichten, um wichtige Nachrichten an Mitarbeiter auf von Intune verwalteten Geräten zu senden, auf denen Windows 11 ausgeführt werden. Organisationsnachrichten können für die Kommunikation in Remote- und Hybridarbeitsszenarien verwendet werden.

Schritt 10: Hilfe für Mitarbeiter und Studenten

Die Ressourcen in diesem Abschnitt finden Sie in der Microsoft Intune Dokumentation zur Benutzerhilfe. Diese Dokumentation richtet sich an Mitarbeiter, Studenten und andere Intune-lizenzierte Gerätebenutzer, die ein persönliches oder vom Unternehmen bereitgestelltes Gerät registrieren. Dokumentationslinks sind in der gesamten Intune-Unternehmensportal-App verfügbar und verweisen auf Informationen zu:

Registrierungsmethoden mit exemplarischen Vorgehensweisen zur Registrierung
Unternehmensportal Einstellungen und Features
Aufheben der Registrierung und Entfernen gespeicherter Daten
Aktualisieren von Geräteeinstellungen für Konformitätsanforderungen
Melden von App-Problemen