Massenregistrierung für Windows-Geräte

Verknüpfen Sie neue Windows-Geräte mit Microsoft Entra ID und Intune. Um Geräte für Ihren Microsoft Entra-Mandanten in großen Mengen zu registrieren, erstellen Sie ein Bereitstellungspaket mit der Windows Configuration Designer (WCD)-App. Durch Anwenden des Bereitstellungspakets auf unternehmenseigene Geräte werden die Geräte Ihrem Microsoft Entra-Mandanten zugeordnet, und sie werden für die Intune-Verwaltung registriert. Sobald das Paket angewendet wurde, können sich Ihre Microsoft Entra-Benutzer anmelden.

Microsoft Entra-Benutzer sind Standardbenutzer auf diesen Geräten und erhalten zugewiesene Intune-Richtlinien und erforderliche Apps. Windows-Geräte, die mit der Windows-Massenregistrierung in Intune registriert werden, können die Unternehmensportal-App nutzen, um verfügbare Apps zu installieren.

Anforderungen

Anforderungen an die Geräteplattform

Diese Registrierungsmethode unterstützt die folgenden Plattformen:

Windows (unterstützte Versionen)

Anforderungen an die Mandantenkonfiguration

Aktivieren der automatischen Windows-Registrierung.

Stellen Sie sicher, dass der Dienstprinzipal für Microsoft. Azure. SyncFabric (AppID 00000014-0000-0000-c000-000000000000) ist in Ihrem Microsoft Entra-Mandanten vorhanden. Verwenden Sie den Get-MgServicePrincipal -Filter "AppId eq '00000014-0000-0000-c000-000000000000'" Befehl in einer Befehlszeile, um nach dem Dienstprinzipal zu suchen. Ohne den Dienstprinzipal kann Windows-Konfigurations-Designer das Massenregistrierungstoken nicht abrufen, was zu einem Fehler führt.

Verwenden Sie den New-MgServicePrincipal -AppId "00000014-0000-0000-c000-000000000000" Befehl, um den Dienstprinzipal zu registrieren. Weitere Informationen zu diesem Befehl finden Sie unter New-MgServicePrincipal.

Anforderungen an Rollen

Verwenden Sie zum Erstellen eines Massenregistrierungstokens ein Konto mit einer der folgenden Microsoft Entra-Rollen. Das Konto darf nicht auf eine Verwaltungseinheit in Microsoft Entra ID beschränkt sein:

Administrator für Cloudgeräte

Intune-Administrator

Password Administrator

Weitere Informationen zu diesen Rollen finden Sie unter Integrierte Microsoft Entra-Rollen.

Wichtig

Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

Erstellen eines Bereitstellungspakets

Installieren Sie Windows Configuration Designer (WCD) aus dem Microsoft Store.
Öffnen Sie die Windows Configuration Designer-App, und wählen Sie Desktopgeräte bereitstellen aus.
Das Fenster Neues Projekt wird geöffnet, in dem Sie folgende Informationen angeben:
- Name: Der Name für das Projekt
- Projektordner: Speicherort des Projekts
- Beschreibung: Eine optionale Beschreibung des Projekts
Geben Sie einen eindeutigen Namen für Ihre Geräte ein. Die Namen können eine Seriennummer (%SERIENNUMMER%) oder eine zufällige Folge von Zeichen umfassen. Optional können Sie auch einen Product Key eingeben, wenn Sie die Windows-Edition aktualisieren, das Gerät für die gemeinsame Nutzung konfigurieren und vorinstallierte Software entfernen.
Optional können Sie das WLAN konfigurieren, bei dem sich Geräte beim ersten Start anmelden. Wenn die Netzwerkgeräte nicht konfiguriert wurden, ist beim ersten Start des Geräts eine kabelgebundene Netzwerkverbindung erforderlich.
Wählen Sie Bei Azure AD registrieren, geben Sie ein Datum für den Ablauf des Massentokens ein, und wählen Sie dann Massentoken abrufen aus. Der Gültigkeitszeitraum des Tokens beträgt 180 Tage.

Hinweis

Nachdem ein Bereitstellungspaket erstellt wurde, kann es vor Ablauf widerrufen werden, indem das zugehörige Benutzerkonto package_{GUID} aus Microsoft Entra ID entfernt wird.

Aufgrund der Verwendung des Benutzerkontos package_{GUID} im Massenregistrierungsprozess müssen Mandanten, die Richtlinien für bedingten Zugriff mit MFA verwenden, einen Ausschluss festlegen oder MFA für diesen Prozess deaktivieren, da MFA für dieses Szenario nicht unterstützt wird.
Geben Sie Ihre Microsoft Entra-Anmeldeinformationen an, um ein Massentoken abzurufen. Stellen Sie sicher, dass Sie sich mittels Kennwort- oder CBA-Authentifizierung authentifizieren, da andere Authentifizierungsmethoden von der App für diesen Vorgang nicht unterstützt werden.
Hinweis
- Das Konto, das zum Anfordern des Massenregistrierungstokens in der Windows Configuration Designer-App verwendet wird, muss im MDM-Benutzerbereich in Microsoft Entra ID enthalten sein. Wenn Sie dieses Konto aus einer Gruppe entfernen, die an den MDM-Benutzerbereich gebunden ist, funktioniert die Massenregistrierung nicht mehr.
- Der Massenabruf von Token funktioniert nicht für Verbundbenutzerkonten, die für gestaffelte Rollouts aktiviert sind.
Wählen Sie auf der Seite Bei all Ihren Apps angemeldet bleiben die Option Nein, nur bei dieser App anmelden aus. Wenn Sie das Kontrollkästchen aktiviert lassen und auf OK klicken, wird das von Ihnen verwendete Gerät von Ihrer Organisation verwaltet. Wenn Sie nicht beabsichtigen, Ihr Gerät verwalten zu lassen, achten Sie darauf, Nein, nur bei dieser App anmelden auszuwählen.
Klicken Sie auf Weiter, wenn das Massentoken erfolgreich abgerufen wurde.
Optional können Sie Anwendungen hinzufügen und Zertifikate hinzufügen. Diese Anwendungen und Zertifikate werden auf dem Gerät bereitgestellt.
Optional können Sie Ihr Bereitstellungspaket mit einem Kennwort schützen. Klicken Sie auf Erstellen.

Bereitstellen von Geräten

Greifen Sie auf das Bereitstellungspaket zu, das sich an dem unter Projektordner in der App angegebenen Speicherort befindet.
Wählen Sie aus, wie Sie das Bereitstellungspaket auf das Gerät anwenden möchten. Ein Bereitstellungspaket kann mit einer der folgenden Methoden auf ein Gerät angewendet werden:
- Speichern Sie das Paket auf einem USB-Laufwerk, verbinden Sie dieses Laufwerk mit dem Gerät, das Sie per Massenvorgang registrieren möchten, und wenden Sie das Paket während des anfänglichen Setups an.
- Speichern Sie das Paket in einem Netzwerkordner, und wenden Sie es nach der ersten Einrichtung an
Eine Schrittanleitung zum Anwenden eines Bereitstellungspakets finden Sie unter Anwenden eines Bereitstellungspakets.
Nachdem das Paket angewendet wurde, wird das Gerät nach ca. 1 Minute automatisch neu gestartet.
Wenn das Gerät neu gestartet wird, stellt es eine Verbindung mit der Microsoft Entra ID her und registriert sich bei Microsoft Intune.

Problembehandlung bei der Massenregistrierung unter Windows

Bereitstellungsprobleme

Diese Bereitstellung ist für die Verwendung auf neuen Windows-Geräten gedacht. Bei Bereitstellungsfehlern ist möglicherweise eine Zurücksetzung des Geräts auf die Werkseinstellungen oder eine Wiederherstellung des Geräts von einem Startimage erforderlich. Folgende Beispiele beschreiben einige mögliche Gründe für Fehler bei der Bereitstellung:

Ein Bereitstellungspaket, das versucht, einer Active Directory-Domäne oder einem Microsoft Entra-Mandanten beizutreten, ohne ein lokales Konto zu erstellen, kann dazu führen, dass das Gerät nicht erreichbar ist, wenn der Domänenbeitrittsprozess aufgrund mangelnder Netzwerkkonnektivität fehlschlägt.
Skripts, die vom Bereitstellungspaket ausgeführt werden, werden im Systemkontext ausgeführt. Die Skripts können beliebige Änderungen am Gerätedateisystem und an den Konfigurationen vornehmen. Ein schädliches oder fehlerhaftes Skript kann das Gerät in einen Zustand versetzen, aus dem eine Wiederherstellung nur durch erneutes Aufspielen eines Images oder durch Zurücksetzen des Geräts möglich ist.

Sie können überprüfen, ob die Einstellungen in Ihrem Paket im Provisioning-Diagnostics-Provider- Administratorprotokoll in der Ereignisanzeige erfolgreich bzw. fehlgeschlagen sind.

Hinweis

Die Massenregistrierung wird als benutzerlose Registrierungsmethode betrachtet, weshalb während der Registrierung nur die Registrierungsbeschränkung „Standard“ in Intune gelten würde. Stellen Sie sicher, dass die Windows-Plattform in der Standardeinschränkung zulässig ist, andernfalls schlägt die Registrierung fehl. Informationen zu den Funktionen neben anderen Windows-Registrierungsmethoden finden Sie unter Intune-Registrierungsmethodenfunktionen für Windows-Geräte.

Massenregistrierung über WLAN

Wenn Sie kein offenes Netzwerk verwenden, müssen Sie Zertifikate auf Geräteebene verwenden, um Verbindungen zu initiieren. Geräte, die per Massenvorgang registriert wurden, können keine benutzerspezifischen Zertifikate für den Netzwerkzugriff verwenden.

Bedingter Zugriff

Der bedingte Zugriff ist für Geräte verfügbar, die über die Massenregistrierung unter Windows 11 oder Windows 10, Version 1803 und höher, registriert sind.