Zuweisen von Benutzer- und Geräteprofilen in Microsoft IntuneAssign user and device profiles in Microsoft Intune

Wenn Sie ein Profil erstellen, enthält es alle Einstellungen, die Sie vorgenommen haben.You create a profile, and it includes all the settings you entered. Als Nächstes stellen Sie das Profil für eine Benutzer- oder Gerätegruppe bereit. Dieser Vorgang wird auch als „Zuweisen“ bezeichnet.The next step is to deploy or "assign" the profile to your user or device groups. Wenn Sie ein Profil zuweisen, erhalten Benutzer und Geräte das Profil, und die von Ihnen angegebenen Einstellungen werden angewendet.When it's assigned, the users and devices receive your profile, and the settings you entered are applied.

In diesem Artikel wird erklärt, wie Sie ein Profil zuweisen können, und Sie erhalten Informationen zur Verwendung von Bereichsmarkierungen für Ihre Profile.This article shows you how to assign a profile, and includes some information on using scope tags on your profiles.

Hinweis

Wenn ein Profil entfernt wird oder nicht mehr einem Gerät zugewiesen ist, kann dies je nach den Einstellungen im Profil verschiedene Folgen haben.When a profile is removed or no longer assigned to a device, different things can happen, depending on the settings in the profile. Die Einstellungen basieren auf CSPs, und jeder CSP kann mit der Entfernung des Profils anders umgehen.The settings are based on CSPs, and each CSP can handle the profile removal differently. Eine Einstellung könnte z. B. den vorhandenen Wert beibehalten und nicht auf einen Standardwert zurücksetzen.For example, a setting might keep the existing value, and not revert back to a default value. Das Verhalten wird von jedem CSP im Betriebssystem gesteuert.The behavior is controlled by each CSP in the operating system. Eine Liste der Windows-CSPs finden Sie in der Referenz des Konfigurationsdienstanbieters (Configuration Service Provider, CSP).For a list of Windows CSPs, see configuration service provider (CSP) reference.

Wenn Sie den Wert einer Einstellung ändern möchten, erstellen Sie ein neues Profil, konfigurieren Sie die Einstellung Nicht konfiguriert, und weisen Sie das Profil zu.To change a setting to a different value, create a new profile, configure the setting to Not configured, and assign the profile. Nach Anwendung auf das Gerät sollten Benutzer die Einstellung auf ihren bevorzugten Wert ändern können.Once applied to the device, users should have control to change the setting to their preferred value.

Zum Konfigurieren dieser Einstellungen empfehlen wir die Bereitstellung für eine Pilotgruppe.When configuring these settings, we suggest deploying to a pilot group. Weitere Hinweise zum Intune-Rollout finden Sie unter Entwickeln eines Rolloutplans.For more Intune rollout advice, see create a rollout plan.

VorbereitungBefore you begin

Stellen Sie sicher, dass Sie über die richtige Rolle zum Zuweisen von Profilen verfügen.Be sure you have the correct role to assign profiles. Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung (RBAC) mit Microsoft Intune.For more information, see Role-based access control (RBAC) with Microsoft Intune.

Zuweisen eines GeräteprofilsAssign a device profile

  1. Melden Sie sich beim Microsoft Endpoint Manager Admin Center an.Sign in to the Microsoft Endpoint Manager admin center.

  2. Wählen Sie Geräte > Konfigurationsprofile aus.Select Devices > Configuration profiles. Dort sind alle Profile aufgelistet.All the profiles are listed.

  3. Wählen Sie das Profil aus, das Sie zuweisen möchten, und klicken Sie auf Eigenschaften > Zuweisungen > Bearbeiten:Select the profile you want to assign > Properties > Assignments > Edit:

    Auswählen von Zuweisungen zum Bereitstellen des Profils für Benutzer und Gruppen in Microsoft Intune und Endpoint Manager

  4. Wählen Sie Eingeschlossene Gruppen oder Ausgeschlossene Gruppen aus, und klicken Sie dann auf Einzuschließende Gruppen auswählen.Select Included groups or Excluded groups, and then choose Select groups to include. Wenn Sie Ihre Gruppen auswählen, wählen Sie eine Azure AD-Gruppe aus.When you select your groups, you're choosing an Azure AD group. Halten Sie die STRG-Taste gedrückt, um mehrere Gruppen auszuwählen, und wählen Sie Ihre Gruppen anschließend aus.To select multiple groups, hold down the Ctrl key, and select your groups.

    Ein- oder Ausschließen von Benutzern und Gruppen beim Zuweisen oder Bereitstellen eines Profils in Microsoft Intune und Endpoint Manager

  5. Klicken Sie auf Überprüfen und speichern.Select Review + Save. Diese Schritt weist das Profil nicht zu.This step doesn't assign your profile.

  6. Klicken Sie auf Speichern.Select Save. Nach dem Speichern ist das Profil zugewiesen.When you save, your profile is assigned. Ihre Gruppen empfangen die Profileinstellungen, wenn die Geräte beim Intune-Dienst eingecheckt werden.Your groups will receive your profile settings when the devices check in with the Intune service.

Verwenden von Bereichstags oder AnwendbarkeitsregelnUse scope tags or applicability rules

Wenn Sie ein Profil erstellen oder aktualisieren, können Sie diesem auch Bereichstags und Anwendbarkeitsregeln hinzufügen.When you create or update a profile, you can also add scope tags and applicability rules to the profile.

Bereichsmarkierungen sind eine gute Möglichkeit, Profile für bestimmte Gruppen wie z. B. US-NC IT Team oder JohnGlenn_ITDepartment zu filtern.Scope tags are a great way to filter profiles to specific groups, such as US-NC IT Team or JohnGlenn_ITDepartment. Unter Use RBAC and scope tags for distributed IT (Verwenden der RBAC und von Bereichsmarkierungen für eine verteilte IT) finden Sie weitere Informationen.Use RBAC and scope tags for distributed IT has more information.

Auf Windows 10-Geräten können Sie Anwendbarkeitsregeln hinzufügen, wodurch das Profil nur für eine bestimmte Betriebssystemversion oder eine bestimmte Windows-Version gilt.On Windows 10 devices, you can add applicability rules so the profile only applies to a specific OS version or a specific Windows edition. Unter Anwendbarkeitsregeln finden Sie weitere Informationen.Applicability rules has more information.

Benutzer- und Gerätegruppen im VergleichUser groups vs. device groups

Viele Benutzer fragen sich, ob sie besser Benutzergruppen oder Gerätegruppen verwenden sollen.Many users ask when to use user groups and when to use device groups. Bei der Beantwortung dieser Frage spielt Ihr Ziel eine entscheidende Rolle.The answer depends on your goal. Nachfolgend finden Sie Informationen für den Einstieg.Here's some guidance to get you started.

GerätegruppenDevice groups

Wenn Sie Einstellungen auf ein Gerät anwenden möchten und es für Sie keine Rolle spielt, wer auf dem Gerät angemeldet ist, weisen Sie Ihre Profile einer Benutzergruppe zu.If you want to apply settings on a device, regardless of who's signed in, then assign your profiles to a devices group. Einstellungen, die auf Gerätegruppen angewendet werden, gelten immer für das jeweilige Gerät und nicht für den Benutzer.Settings applied to device groups always go with the device, not the user.

Beispiel:For example:

  • Gerätegruppen sind nützlich für die Verwaltung von Geräten ohne dedizierten Benutzer.Device groups are useful for managing devices that don't have a dedicated user. Geräte zum Drucken von Tickets oder zum Einscannen von Warenbeständen werden beispielsweise gemeinsam von Mitarbeitern in unterschiedlichen Schichten verwendet und sind einem bestimmten Lager zugewiesen.For example, you have devices that print tickets, scan inventory, are shared by shift workers, are assigned to a specific warehouse, and so on. Ordnen Sie diese Geräte einer Gerätegruppe zu, und weisen Sie dieser Ihre Profile zu.Put these devices in a devices group, and assign your profiles to this devices group.

  • Sie erstellen ein Intune-Profil für die Schnittstelle zur Konfiguration der Gerätefirmware, das die Einstellungen im BIOS aktualisiert.You create a Device Firmware Configuration Interface (DFCI) Intune profile that updates settings in the BIOS. Beispielsweise können Sie dieses Profil so konfigurieren, dass die Kamera des Geräts deaktiviert wird, oder die Startoptionen sperren, um zu verhindern, dass Benutzer ein anderes Betriebssystem starten.For example, you configure this profile to disable the device camera, or lock down the boot options to prevent users from booting up another OS. Es bietet sich hierbei an, dieses Profil einer Gerätegruppe zuzuweisen.This profile is a good scenario to assign to a devices group.

  • Auf manchen Windows-Geräten sollten Sie immer einige Einstellungen für Microsoft Edge steuern – unabhängig davon, wer das Gerät verwendet.On some specific Windows devices, you always want to control some Microsoft Edge settings, regardless of who's using the device. Möglicherweise möchten Sie alle Downloads blockieren, sämtliche Cookies auf die aktuelle Browsersitzung einschränken und den Browserverlauf löschen.For example, you want to block all downloads, limit all cookies to the current browsing session, and delete the browsing history. Dafür bietet es sich an, diese Windows-Geräte einer Gerätegruppe zuzuordnen.For this scenario, put these specific Windows devices in a devices group. Erstellen Sie anschließend in Intune eine administrative Vorlage, fügen Sie diese Geräteeinstellungen hinzu, und weisen Sie dieses Profil anschließend der Gerätegruppe zu.Then, create an Administrative Template in Intune, add these device settings, and then assign this profile to the devices group.

Fazit: Verwenden Sie Gerätegruppen immer dann, wenn es keine Rolle spielt, wer bei dem jeweiligen Gerät angemeldet ist oder ob überhaupt jemand sich anmeldet.To summarize, use device groups when you don't care who's signed in on the device, or if anyone signs in. Damit sind Ihre Einstellungen immer auf dem Gerät gespeichert.You want your settings to always be on the device.

BenutzergruppenUser groups

Profileinstellungen, die auf Benutzergruppen angewendet werden, gelten immer für den jeweiligen Benutzer – auch wenn er mehrere Geräte verwendet.Profile settings applied to user groups always go with the user, and go with the user when signed in to their many devices. Es ist normal, dass Benutzer mehrere Geräte verwenden, z. B. ein Surface Pro für die Arbeit und ein iOS/iPadOS-Gerät für den Privatgebrauch.It's normal for users to have many devices, such as a Surface Pro for work, and a personal iOS/iPadOS device. In der Regel greifen diese Benutzer dann auch über ihre verschiedenen Geräte auf ihre E-Mails und andere Unternehmensressourcen zu.And, it's normal for a person to access email and other organization resources from these devices.

Befolgen Sie die folgende allgemeine Regel: Wenn ein Feature zu einem Benutzer gehört, z. B. E-Mail oder Benutzerzertifikate, weisen Sie dieses Benutzergruppen zu.Follow this general rule: If a feature belongs to a user, such as email or user certificates, then assign to user groups.

Beispiel:For example:

  • Sie möchten ein Helpdesksymbol für alle Benutzer auf all ihren Geräten einrichten.You want to put a Help Desk icon for all users on all their devices. Fügen Sie dafür diese Benutzer einer Benutzergruppe hinzu, und weisen Sie dieser Benutzergruppe das Helpdesksymbol zu.In this scenario, put these users in a users group, and assign your Help Desk icon profile to this users group.

  • Ein Benutzer erhält ein neues Gerät, das der Organisation gehört.A user receives a new organization-owned device. Er meldet sich mit seinem Domänenkonto bei dem Gerät an.The user signs in to the device with their domain account. Das Gerät wird automatisch in Azure AD registriert und von Intune verwaltet.The device is automatically registered in Azure AD, and automatically managed by Intune. Es bietet sich hierbei an, dieses Profil einer Benutzergruppe zuzuweisen.This profile is a good scenario to assign to a users group.

  • Wenn ein Benutzer sich bei einem Gerät anmeldet, sollten Sie Features über Apps wie OneDrive oder Office steuern.Whenever a user signs in to a device, you want to control features in apps, such as OneDrive or Office. Weisen Sie in diesem Fall die Profileinstellungen für OneDrive oder Office einer Benutzergruppe zu.In this scenario, assign your OneDrive or Office profile settings to a users group.

    Angenommen, Sie möchten nicht vertrauenswürdige ActiveX-Steuerelemente in Ihren Office-Apps blockieren.For example, you want to block untrusted ActiveX controls in your Office apps. Dann können Sie in Intune eine administrative Vorlage erstellen, Einstellungen konfigurieren und anschließend dieses Profil einer Benutzergruppe zuweisen.You can create an Administrative Template in Intune, configure this setting, and then assign this profile to a users group.

Fazit: Verwenden Sie Benutzergruppen immer dann, wenn Sie Ihre Einstellungen und Regeln mit dem Benutzer verknüpfen möchten – unabhängig davon, welches Gerät er verwendet.To summarize, use user groups when you want your settings and rules to always go with the user, whatever device they use.

Ausschließen von Gruppen aus einer ProfilzuweisungExclude groups from a profile assignment

Mit Gerätekonfigurationsprofilen für Intune können Sie Gruppen in die Profilzuweisung einschließen und von dieser ausschließen.Intune device configuration profiles let you include and exclude groups from profile assignment.

Es hat sich bewährt, Profile speziell für Ihre Benutzergruppen zu erstellen und zuzuweisen.As a best practice, create and assign profiles specifically for your user groups. Erstellen Sie außerdem unterschiedliche Profile für einzelne Gerätegruppen.And, create and assign different profiles specifically for your device groups. Weitere Informationen zu Gruppen finden Sie unter Hinzufügen von Gruppen zum Organisieren von Benutzern und Geräten.For more information on groups, see Add groups to organize users and devices.

Wenn Sie Ihre Profile zuweisen, können Sie für da Ein- und Ausschließen von Gruppen die folgende Tabelle zurate ziehen.When you assign your profiles, use the following table when including and excluding groups. Ein Häkchen bedeutet, dass die Zuweisung unterstützt wird:A checkmark means that assignment is supported:

Unterstützte Optionen schließen Gruppen in eine Profilzuweisung ein oder daraus aus

Was Sie wissen solltenWhat you should know

  • Der Ausschluss hat in folgenden Szenarien für denselben Gruppentyp Vorrang vor der Einbeziehung:Exclusion takes precedence over inclusion in the following same group type scenarios:

    • Einschließen von Benutzergruppen und Ausschließen von BenutzergruppenIncluding user groups and excluding user groups
    • Einschließen von Gerätegruppen und Ausschließen von GerätegruppenIncluding device groups and excluding device group

    Angenommen Sie weisen der Benutzergruppe Alle Unternehmensbenutzer ein Geräteprofil zu, schließen aber gleichzeitig Mitglieder der Benutzergruppe Mitarbeiter der Führungsebene aus.For example, you assign a device profile to the All corporate users user group, but exclude members in the Senior Management Staff user group. Da es sich bei beiden Gruppen um Benutzergruppen handelt, wird dieses Profil allen Unternehmensbenutzern außer den Führungskräften zugewiesen.Since both groups are user groups, All corporate users except the Senior Management staff get the profile.

  • Intune bewertet keine Beziehungen zwischen Benutzer- und Gerätegruppen.Intune doesn't evaluate user-to-device group relationships. Wenn Sie Profile gemischten Gruppen zuweisen, entsprechen die Ergebnisse möglicherweise nicht Ihren Anforderungen oder Erwartungen.If you assign profiles to mixed groups, the results may not be what you want or expect.

    Beispielsweise weisen Sie der Benutzergruppe Alle Benutzer ein Geräteprofil zu, schließen jedoch eine Gerätegruppe Alle persönlichen Geräte aus.For example, you assign a device profile to the All Users user group, but exclude an All personal devices device group. In dieser gemischten Gruppenprofilzuweisung wird allen Benutzern das Profil zugewiesen.In this mixed group profile assignment, All users get the profile. Der Ausschluss wird nicht angewendet.The exclusion does not apply.

    Daher wird das Zuweisen von Profilen für gemischte Gruppen nicht empfohlen.As a result, it's not recommended to assign profiles to mixed groups.

Hinweis

Gehen Sie vorsichtig vor, wenn Sie dynamische Gerätegruppen von einer beliebigen Richtlinienzuweisung ausschließen.Use caution when excluding dynamic device groups from any policy assignment. Beachten Sie die Wartezeit, die mit der Berechnung einer dynamischen Azure AD-Gerätegruppe verbunden ist.Consider the latency associated with an Azure AD dynamic device group calculation.

Sie verfügen beispielsweise über eine Geräterichtlinie, die Allen Geräten zugewiesen ist.For example, you have a device policy that's assigned to All devices. Später ist es erforderlich, dass neue Marketinggeräte diese Richtlinie nicht erhalten.Later, you have a requirement that new marketing devices don't receive this policy. Daher erstellen Sie eine dynamische Gerätegruppe namens Marketinggeräte auf Basis der enrollmentProfilename-Eigenschaft (device.enrollmentProfileName -eq "Marketing_devices").So, you create a dynamic device group called Marketing devices based on the enrollmentProfilename property (device.enrollmentProfileName -eq "Marketing_devices"). In der Richtlinie fügen Sie die dynamische Gruppe Marketinggeräte als ausgeschlossene Gruppe hinzu.In the policy, you add the Marketing devices dynamic group as an excluded group.

Ein neues Marketinggerät wird zum ersten Mal bei Intune registriert, und ein neues Azure AD-Geräteobjekt wird erstellt.A new marketing device enrolls in Intune for the first time, and a new Azure AD device object is created. Beim Einfügen in eine dynamischen Gruppe wird das Gerät mit einer möglichen verzögerten Berechnung in der Gruppe Marketinggeräte abgelegt.The dynamic grouping process puts the device into the Marketing device s group with a possible delayed calculation. Parallel wird das Gerät bei Intune registriert und empfängt ab jetzt alle anwendbaren Richtlinien.In parallel, the device enrolls into Intune, and starts receiving all applicable policies. Die Intune-Richtlinie kann bereitgestellt werden, bevor das Gerät in die Ausschlussgruppe eingefügt wird.The Intune policy may be deployed before the device is put in the exclusion group. Dieses Verhalten führt dazu, dass eine unerwünschte Richtlinie (oder App) für die Gruppe Marketinggeräte bereitgestellt wird.This behavior results in an unwanted policy (or app) being deployed to the Marketing devices group.

Darum sollten Sie dynamische Gerätegruppen in latenzempfindlichen Szenarios nicht für Ausschlüsse verwenden.As a result, it's not recommended to use dynamic device groups for exclusions in latency sensitive scenarios.

Nächste SchritteNext steps

Unter Überwachen von Geräteprofilen in Microsoft Intune finden Sie weitere Informationen zum Überwachen Ihrer Profile und der Geräte, auf denen Ihre Profile ausgeführt werden.See monitor device profiles for guidance on monitoring your profiles, and the devices running your profiles.