Erstellen einer Konformitätsrichtlinie in Microsoft Intune

Konformitätsrichtlinien für Geräte sind ein wichtiges Feature bei der Verwendung von Intune, um die Ressourcen Ihrer Organisation zu schützen. Sie können in Intune Regeln und Einstellungen erstellen, die Geräte erfüllen müssen, um als konform angesehen zu werden, z. B. die mindestens erforderliche Betriebssystemversion. Wenn das Gerät nicht kompatibel ist, können Sie den Zugriff auf Daten und Ressourcen mithilfe des bedingten Zugriffs blockieren.

Sie können auch Maßnahmen bei Nichteinhaltung der Vorschriften ergreifen, z. B. das Senden einer Benachrichtigungs-E-Mail an den Benutzer. Eine Übersicht der Funktionsweise von Konformitätsrichtlinie und wie Sie diese verwenden können, finden Sie unter Erste Schritte mit den Gerätekonformitätsrichtlinien in Intune.

Inhalt dieses Artikels:

• Listet die Voraussetzungen und Schritte zum Erstellen einer Konformitätsrichtlinie auf.
• Zuweisen der Richtlinie an einen Benutzer und an eine Gerätegruppe.
• Beschreibt weitere Features, einschließlich Bereichstags zum "Filtern" Ihrer Richtlinien und Schritte, die Sie auf Geräten ausführen können, die nicht konform sind.
• Liste der Check-In-Aktualisierungszykluszeiten, wenn Geräte Richtlinienaktualisierungen erhalten.

Anforderungen

Anforderungen an die Geräteplattform

Voraussetzungen für die Lizenzierung

• Microsoft Intune-Abonnement
• Wenn Sie bedingten Zugriff verwenden, benötigen Sie die Microsoft Entra ID P1- oder P2-Edition. Die Preise von Microsoft Entra listen auf, was Sie mit den verschiedenen Editionen erhalten. Für die Intune-Konformität ist keine Microsoft Entra ID erforderlich.

• Android-Geräteadministrator
• Android AOSP
• Android für Unternehmen
• iOS
• Linux – Ubuntu Desktop, Version 24.04 LTS oder 26.04 LTS
• macOS
• Windows

Wichtig

Die Verwaltung des Android-Geräteadministrators (DA) ist veraltet und für Geräte mit Zugriff auf Google Mobile Services (GMS) nicht mehr verfügbar. Wenn Sie derzeit die DA-Verwaltung verwenden, empfehlen wir, zu einer anderen Android-Verwaltungsoption zu wechseln. Support- und Hilfedokumentation bleiben für einige Android 15- und frühere Geräte ohne GMS verfügbar. Weitere Informationen finden Sie unter Beenden der Unterstützung für den Android-Geräteadministrator auf GMS-Geräten.

Registrierungsmethoden

• Registrieren Sie Geräte in Intune (nur dann können Sie den Konformitätsstatus ermitteln).
• Registrieren Sie Geräte für einen Benutzer oder registrieren Sie ohne einen Hauptbenutzer. Einzelne Geräte können nicht für mehrere Benutzer registriert werden.

Zusätzlich zu den in Intune integrierten Complianceeinstellungen unterstützen die folgenden Plattformen das Hinzufügen benutzerdefinierter Complianceeinstellungen zu Konformitätsrichtlinien:

• Linux
  • Ubuntu Desktop, Version 24.04 LTS oder 26.04 LTS
  • RedHat Enterprise Linux 9 oder 10
• Windows

Bevor Sie benutzerdefinierte Einstellungen hinzufügen können, müssen Sie eine benutzerdefinierte JSON-Datei vorbereiten, in der die Einstellungen definiert sind, auf denen Sie Ihre benutzerdefinierte Compliance basieren möchten, und ein Skript, das auf Geräten ausgeführt wird, um die im JSON-Code definierten Einstellungen zu erkennen.

Weitere Informationen zur Verwendung benutzerdefinierter Complianceeinstellungen, einschließlich unterstützter Plattformen, Voraussetzungen und zum Konfigurieren der benutzerdefinierten Compliancekategorie beim Erstellen einer Richtlinie, finden Sie unter Verwenden benutzerdefinierter Complianceeinstellungen.

Erstellen der Richtlinie

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wechseln Sie zu Geräte.

3. Wählen Sie unter Geräte verwalten die Option Compliance aus. Wählen Sie dann Create policy aus.

4. Wählen Sie aus den folgenden Optionen eine Plattform für diese Richtlinie aus:

   • Android-Geräteadministrator
   • Android (AOSP)
   • Android für Unternehmen
   • iOS/iPadOS
   • Linux – (Ubuntu Desktop, Version 24.04 LTS oder 26.04 LTS, RedHat Enterprise Linux 9 oder RedHat Enterprise Linux 10)
   • macOS
   • Windows 10 und höher
   • Windows 8.1 und höher

   Wählen Sie für Android Enterprise auch einen Profiltyp aus. Ihre Optionen:

   • Vollständig verwaltetes, dediziertes und unternehmenseigenes Arbeitsprofil
   • Persönliches geschäftliches Profil

   Wählen Sie dann Erstellen aus, um die Konfigurationsseite zu öffnen.

5. Geben Sie auf der Registerkarte Grundlagen einen Namen ein, mit dem Sie diese Richtlinie später identifizieren können. Ein geeigneter Richtlinienname ist z. B. iOS/iPadOS-Geräte mit Jailbreak als nicht konform markieren.

   Geben Sie optional eine Beschreibung für die Richtlinie ein.

6. Erweitern Sie auf der Registerkarte Konformitätseinstellungen die verfügbaren Kategorien, und konfigurieren Sie Einstellungen für Ihre Richtlinie. In den folgenden Artikeln werden die verfügbaren Complianceeinstellungen für jede Plattform beschrieben:

   • Android-Geräteadministrator
   • Android (AOSP)
   • Android für Unternehmen
   • iOS/iPadOS
   • Linux
   • macOS
   • Windows 8.1 und höher
   • Windows

7. Fügen Sie optional benutzerdefinierte Einstellungen für unterstützte Plattformen hinzu.

   Tipp

   Dieser Schritt ist optional und wird für die folgenden Plattformen unterstützt:

   • Linux
     • Ubuntu Desktop, Version 24.04 LTS oder 26.04 LTS
     • RedHat Enterprise Linux 9 oder 10
   • macOS
   • Windows Bevor Sie einer Richtlinie benutzerdefinierte Einstellungen hinzufügen können, laden Sie ein Erkennungsskript in Intune hoch und verfügen Sie über eine JSON-Datei, in der die Einstellungen definiert sind, die Sie für die Compliance verwenden möchten. Weitere Informationen finden Sie unter Benutzerdefinierte Complianceeinstellungen.

   Erweitern Sie auf der Seite "Complianceeinstellungen " die Kategorie "Benutzerdefinierte Compliance ":

   Für Windows:

   1. Erweitern Sie auf der Seite "Konformitätseinstellungen " die Option "Benutzerdefinierte Konformität ", und legen Sie "Benutzerdefinierte Konformität " auf "Erforderlich" fest.
   2. Wählen Sie für Wählen Sie Ihr Ermittlungsskript auswählen die Option Zum Auswählen klicken aus, und geben Sie dann den Namen eines Skripts ein, das Sie zuvor dem Microsoft Intune Admin Center hinzugefügt haben. Dieses Skript muss hochgeladen werden, bevor Sie mit der Erstellung der Richtlinie beginnen. Wählen Sie Auswählen aus, um mit dem nächsten Schritt fortzufahren.
   3. Wählen Sie für JSON-Datei mit Ihren benutzerdefinierten Konformitätseinstellungen hochladen und validieren das Ordnersymbol aus, suchen Sie dann die JSON-Datei für Windows, die Sie mit dieser Richtlinie verwenden möchten, und fügen Sie sie hinzu. Unterstützung zum JSON-Code finden Sie unter Erstellen eines JSON-Codes für benutzerdefinierte Complianceeinstellungen.

   Für Linux und macOS:

   1. Wählen Sie auf der Seite "Complianceeinstellungen " die Option "Einstellungen hinzufügen " aus, um die Einstellungsauswahl zu öffnen.
   2. Wählen Sie "Benutzerdefinierte Konformität" aus. Schließen Sie dann die Einstellungsauswahl.
   3. Switch Benutzerdefinierte Konformität erfordern auf "True".
   4. Wählen Sie für Wählen Sie Ihr Ermittlungsskript auswählen die Option Skript auswählen aus. Wählen Sie dann ein Skript aus, das zuvor zum Microsoft Intune Admin Center hinzugefügt wurde. Dieses Skript muss hochgeladen werden, bevor Sie mit der Erstellung der Richtlinie beginnen.
   5. Wählen Sie für Wählen Sie Ihre Regeldatei aus, wählen Sie das Ordnersymbol aus, suchen Sie dann die JSON-Datei, die Sie mit dieser Richtlinie verwenden möchten, und fügen Sie sie hinzu. Unterstützung zum JSON-Code finden Sie unter Erstellen eines JSON-Codes für benutzerdefinierte Complianceeinstellungen.

   Warten Sie, während Intune den JSON-Code validiert. Probleme, die behoben werden müssen, werden auf dem Bildschirm angezeigt. Nach der Validierung des JSON-Inhalts werden die Regeln aus dem JSON-Code im Tabellenformat angezeigt.

8. Wählen Sie auf der Registerkarte Aktionen für Nichtkompatibilität eine Abfolge von Aktionen aus, die automatisch auf Geräte angewendet werden sollen, die diese Konformitätsrichtlinie nicht erfüllen.

   Sie können mehrere Aktionen hinzufügen und Zeitpläne und Details für einige Aktionen konfigurieren. Sie können beispielsweise den Zeitplan der Standardaktion Gerät als nicht konform markieren so ändern, dass die Aktion nach einem Tag ausgeführt wird. Dann können Sie eine Aktion hinzufügen, mit der eine E-Mail mit einer Warnung an den Benutzer gesendet wird, wenn ein Gerät nicht konform ist. Sie können auch Aktionen hinzufügen, mit denen Geräte gesperrt oder außer Betrieb genommen werden, die weiterhin nicht konform sind.

   Informationen zu den Aktionen, die Sie konfigurieren können – z. B. zum Senden von Benachrichtigungs-E-Mails an Ihre Benutzer –, finden Sie unter Aktionen für nicht konforme Geräte hinzufügen.

   Ein anderes Beispiel ist die Verwendung von Standorten: Sie können einer Konformitätsrichtlinie mindestens einen Standort hinzufügen. In diesem Fall gilt die Standardaktion für Nichtkonformität, wenn Sie mindestens einen Standort auswählen. Wenn ein Gerät nicht mit einem der ausgewählten Standorte verbunden ist, wird es als nicht konform betrachtet. Sie können den Zeitplan so konfigurieren, dass Ihren Benutzern eine Toleranzperiode eingeräumt wird (z.B. ein Tag).

9. Wählen Sie auf der Registerkarte Bereich Tags aus, mit denen die Richtlinien für bestimmte Gruppen gefiltert werden können, wie etwa US-NC IT Team oder JohnGlenn_ITDepartment. Nachdem Sie die Einstellungen hinzugefügt haben, können Sie Ihrer Konformitätsrichtlinie ebenfalls eine Bereichsmarkierung hinzufügen.

   Weitere Informationen zur Verwendung von Bereichstags finden Sie unter Verwenden von Bereichsmarkierungen.

10. Weisen Sie die Richtlinie auf der Registerkarte Zuweisungen Ihren Gruppen zu.

    Wählen Sie Gruppen hinzufügen aus, und weisen Sie die Richtlinie dann einer oder mehreren Gruppen zu. Die Richtlinie gilt für diese Gruppen, wenn Sie die Richtlinie nach dem nächsten Schritt speichern.

    Richtlinien für Linux unterstützen keine benutzerbasierten Zuweisungen und können nur Gerätegruppen zugewiesen werden.

11. Überprüfen Sie die Einstellungen auf der Registerkarte Überprüfen + erstellen, und klicken Sie auf Erstellen, um die Konformitätsrichtlinie zu speichern.

    Intune bewertet die Benutzer oder Geräte, die von Ihrer Richtlinie angesprochen werden, beim Einchecken mit Intune auf ihre Konformität.

Aktualisierungszykluszeit

Intune verwendet verschiedene Aktualisierungszyklen, um nach Updates der Konformitätsrichtlinien zu suchen. Wenn ein Gerät vor Kurzem registriert wurde, wird der Check-In häufiger durchgeführt. Unter Richtlinien- und Profilaktualisierungszyklen werden die geschätzten Aktualisierungszeiten aufgeführt.

Benutzer können jederzeit die Unternehmensportal-App öffnen und das Gerät synchronisieren, um sofort nach Richtlinienupdates zu suchen.

Clientgesteuerte Konformitätsbewertung (Vorschau)

Für unterstützte Windows-Geräte unterstützt Intune eine clientgesteuerte Konformitätsbewertung. Mit dieser Funktion kann ein Gerät bestimmte lokale Zustandsänderungen erkennen und proaktiv eine Neubewertung der Compliance anfordern, anstatt auf den nächsten geplanten Eincheckzyklus zu warten.

Zu den Zustandsänderungen, die eine clientgesteuerte Konformitätsbewertung auslösen können, gehören Änderungen an der Gerätekonfiguration, dem Sicherheitsstatus und anderen Einstellungen, die sich auf den Konformitätsstatus eines Geräts auswirken.

Zuweisung eines InGracePeriod-Status

Der InGracePeriod-Status für eine Konformitätsrichtlinie ist ein Wert. Der Wert wird durch die Kombination der Toleranzperiode eines Geräts und dem tatsächlichen Status eines Geräts in Bezug auf diese Konformitätsrichtlinie ermittelt.

Im Detail bedeutet das: Wenn ein Gerät den Status „NonCompliant“ für eine zugewiesene Richtlinie aufweist und:

• dem Gerät keine Toleranzperiode zugewiesen ist, dann ist der zugewiesene Wert für die Konformitätsrichtlinie „NonCompliant“.
• die Toleranzperiode des Geräts abgelaufen ist, dann lautet der zugewiesene Wert für die Konformitätsrichtlinie „NonCompliant“.
• die Toleranzperiode des Geräts erst in der Zukunft abläuft, lautet der zugewiesene Wert für die Konformitätsrichtlinie „InGracePeriod“.

In der folgenden Tabelle werden diese Punkte zusammengefasst:

Tatsächlicher Konformitätsstatus	Wert der zugewiesenen Toleranzperiode	Effektiver Konformitätsstatus
NonCompliant	Keine Toleranzperiode zugewiesen	NonCompliant
NonCompliant	Datum des Vortags	NonCompliant
NonCompliant	Datum des folgenden Tags	InGracePeriod

Weitere Informationen zum Überwachen der Richtlinien zur Gerätekonformität finden Sie unter Überwachen von Intune-Richtlinien zur Gerätekonformität.

Zuweisen eines resultierenden Konformitätsrichtlinienstatus

Wenn ein Gerät mehrere Konfigurationsprofile hat und es über verschiedene Konformitätsstatus für mindestens zwei zugeordnete Konformitätsprofile verfügt, wird genau ein resultierender Konformitätsstaus zugewiesen. Diese Zuweisung basiert auf einem konzeptuellen Schweregrad, der den einzelnen Konformitätsstatus zugewiesen ist. Jeder Konformitätsstatus verfügt über den folgenden Schweregrad:

Status	Severity
Unbekannt	1
NotApplicable	2
Kompatible	3
InGracePeriod	4
NonCompliant	5
Fehler	6

Wenn ein Gerät über mehrere Konformitätsrichtlinien verfügt, weist Intune diesem Gerät den höchsten Schweregrad aller Richtlinien zu.

Angenommen, einem Gerät sind z. B. drei Konformitätsrichtlinien zugewiesen: ein Status „Unknown“ (Unbekannt, Schweregrad = 1), ein Status „Compliant“ (Konform, Schweregrad = 3) und ein Status „InGracePeriod“ (Befristet, Schweregrad = 4). Der InGracePeriod-Status hat den höchsten Schweregrad, sodass das Gerät den InGracePeriod-Compliance-Status erhält.

Wichtig

Die Ausgabe des Ermittlungsskripts ist auf 2048 Zeichen beschränkt. Wenn die Ausgabe diesen Grenzwert überschreitet, kann sie abgeschnitten werden, was zu ungültigem JSON-Code und Fehler 65009 bei der Konformitätsbewertung führt. Um dies zu vermeiden, halten Sie die Ausgaben kurz oder teilen Sie große Regelsätze auf mehrere Richtlinien auf.

Nächste Schritte

Überwachen von Intune-Richtlinien zur Gerätekompatibilität.