Auswählen der richtigen Targeting-Methode in Microsoft Intune

Microsoft Intune unterstützt mehrere Methoden für das Targeting von Geräten und Benutzern mit Richtlinien und Apps. Jede Methode hat unterschiedliche Stärken, Bewertungsmerkmale und Anwendungsfälle. Durch die Wahl der richtigen Methode – oder Kombination aus Methoden – wird sichergestellt, dass Richtlinien und Apps die richtigen Geräte zur richtigen Zeit erreichen.

In diesem Artikel werden die verfügbaren Targeting-Konstrukte beschrieben und Sie können den richtigen Ansatz für Ihre Umgebung auswählen.

Zentrale Konzepte

Bevor Sie sich für eine Zielgruppenmethode entscheiden, sollten Sie sich mit den Prinzipien vertraut machen, die für eine effektive Zielgruppenadressierung in Intune maßgeblich sind:

Prinzip Beschreibung
Breit beginnen, verfeinern, schmal Anstatt viele enge Gruppen zu erstellen, die jeder Richtlinie entsprechen, beginnen Sie mit der breitesten anwendbaren Zielgruppe, und verwenden Sie Zuweisungsfilter, um zu verfeinern, welche Geräte die Richtlinie erhalten. Diese Strategie reduziert die Ausbreitung von Gruppen und vereinfacht die Verwaltung.
Gruppen definieren den Bereich, Filter definieren das Targeting Gruppen antworten "Wer ist das Publikum?". Antwort von Zuweisungsfiltern auf "Welche Geräte in dieser Zielgruppe erhalten diese Richtlinie tatsächlich?" Die Kombination beider Anliegen in Gruppen allein führt zu vielen nahezu identischen Gruppen, die schwer zu managen sind.
Eine Gruppe, viele Richtlinien Sie brauchen keine 1:1-Beziehung zwischen Gruppen und Richtlinien. Eine einzelne große Gruppe kann mehrere Richtlinienzuweisungen erfüllen. Durch die Anwendbarkeit der Arbeitsauslastungs- oder Zuweisungsfilter kann sichergestellt werden, dass die Richtlinien nur für die entsprechenden Benutzer und Geräte gelten.
Gruppenmitgliedschaft ist eine Identitäts-, keine Richtlinienabsicht Gruppen sollten beschreiben, was ein Gerät ist oder was ein Benutzer ist, und zwar auf eine Weise, die für die gesamte organization von Bedeutung ist, und nicht, welche Richtlinie es erhalten soll. Wenn nur Intune eine Gruppe liest, sollten Sie auswerten, ob ein Aufgabenfilter die Gruppe ersetzen kann.
Beim Einchecken bewerten vs. bei Änderung bewerten Gruppen und Filter verwenden unterschiedliche Auswertungsmodelle. Die Gruppenmitgliedschaft wird verarbeitet, wenn sich Geräte- oder Benutzerattribute ändern, die den aktuellen Status des Verzeichnisses widerspiegeln. Filter werden bei jedem Geräte-Check-in anhand der Eigenschaften des jeweiligen Moments ausgewertet. Wählen Sie aus, ob Sie eine Mitgliedschaft benötigen, die andere Dienste lesen können (Gruppen), oder eine präzise Zielgruppenadressierung während der Check-in-Zeit für Intune (Filter).

Übersicht über Methoden für das Zielgruppen-Targeting

Die Intune-Zielgruppenadressierung basiert auf zwei Ebenen: Gruppentypen, die definieren, wer oder was im Bereich ist, und Intune-Zielfunktionen, die verfeinern, wie und wann Richtlinien diese Geräte erreichen.

Gruppentypen

Gruppentyp Funktion der Einstellung Am besten geeignet für
Virtuelle Gruppen Integrierte Alle Benutzer und Alle Gerätegruppen, die von Intune verwaltet werden Allgemeine Richtlinien, die für alle oder jedes Gerät gelten
Statische Gruppen Manuell verwaltete Sicherheitsgruppen mit fester Mitgliedschaft Feste, bekannte Gruppen von Benutzern oder Geräten, die sich nicht häufig ändern
Dynamische Gruppen Gruppen mit regelbasierter Mitgliedschaft, die von Microsoft Entra ID ausgewertet werden Workloadübergreifende Zielgruppenadressierung (bedingter Zugriff, Lizenzierung), Autopilot, benutzerbasierte Gruppierung

Statische und dynamische Gruppen sind Microsoft Entra-Sicherheitsgruppen – jeder Dienst, der Gruppenmitgliedschaft (bedingter Zugriff, Lizenzierung, SharePoint, Exchange) nutzt, kann sie verwenden. Virtuelle Gruppen werden von Intune verwaltet und immer aktuell, ohne dass eine zusätzliche Verarbeitung erforderlich ist.

Features für die Intune-Zielgruppenadressierung

Construct Funktion der Einstellung Am besten geeignet für
Aufgabenfilter Von Intune ausgewertete Regeln, die auf Gruppenzuweisungen angewendet werden Zielgruppen-Targeting für Geräteeigenschaften für Intune-Richtlinien – wird beim Einchecken ausgewertet, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein
Gruppierung der Registrierungszeit Fügt Geräte während der Registrierung einer Sicherheitsgruppe hinzu Schnelle Bereitstellung gruppenbasierter Richtlinien während der Registrierung ohne Wartezeit für die Verarbeitung dynamischer Gruppenmitgliedschaften

Diese gelten nur für Intune. Aufgabenfilter und Gruppierungen von Anmeldezeiten erweitern die Möglichkeiten von Gruppen – sie ersetzen keine Gruppen, aber sie schließen spezifische Lücken in Bezug auf Geschwindigkeit und Präzision, die Gruppen allein nicht schließen können.

Gruppentypen

Virtuelle Gruppen

Intune bietet integrierte virtuelle Gruppen für alle Benutzer und alle Geräte. Diese Gruppen sind immer aktuell, d. h. sie müssen nicht verarbeitet werden, um die Mitgliedschaft zu aktualisieren.

Virtuelle Gruppen sind am effektivsten, wenn sie mit den Intune-Zielfeatures kombiniert werden:

  • Virtuelle Gruppe + Zuweisungsfilter : Weisen Sie allen Geräten eine Richtlinie zu und wenden Sie dann einen Filter an, um den Bereich auf bestimmte Geräteeigenschaften (z. B. Betriebssystemtyp, Hersteller oder Besitz) einzugrenzen. Der Filter wird beim Einchecken ausgewertet, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein.

Verwenden Sie in folgenden Fällen:

  • Eine Richtlinie oder App sollte alle Benutzer oder alle Geräte erreichen
  • Sie möchten ein allgemeines Ziel, das Sie mit Zuweisungsfiltern verfeinern, um eine präzise Zielgruppenadressierung auf Geräteebene zu erreichen

Statische Gruppen

Statische Sicherheitsgruppen haben eine manuell verwaltete Mitgliedschaft. Ein Administrator fügt Mitglieder direkt hinzu oder entfernt sie.

Statische Gruppen können auch mit Intune-Targeting-Features kombiniert werden:

  • Statische Gruppe + Zuweisungsfilter : Weisen Sie eine Richtlinie einer statischen Gruppe (z. B. einer Abteilung oder einem Pilotring) zu, und wenden Sie dann einen Filter an, um die Geräte in dieser Gruppe weiter einzugrenzen, die die Richtlinie erhalten.
  • Statische Gruppe + Zeitgruppierung für die Registrierung : Verwenden Sie eine statische Gruppe als Ziel für die Gruppierung der Registrierungszeit. Geräte werden der Gruppe während der Registrierung hinzugefügt, wodurch eine schnelle Richtlinienübermittlung beim ersten Einchecken ermöglicht wird.

Verwenden Sie in folgenden Fällen:

  • Sie haben eine feste Gruppe von Benutzern oder Geräten (z. B. eine Pilotgruppe oder ein Führungsteam)
  • Für arbeitsauslastungsübergreifende Szenarien benötigen Sie eine Gruppenmitgliedschaft, aber die Population ist klein und stabil

Dynamische Gruppen

Dynamische Gruppen verwenden eine regelbasierte Mitgliedschaft, die von Microsoft Entra ID ausgewertet und aktualisiert wird. Sie sind der Standardmechanismus zum Organisieren von Benutzern und Geräten im gesamten Microsoft 365-Ökosystem – jeder Dienst, der Gruppenmitgliedschaften (bedingter Zugriff, Lizenzierung, SharePoint, Exchange) liest, nutzt dynamische Gruppen.

Nachdem ein Gerät registriert oder sich ein Benutzerattribut geändert hat, muss die Gruppenmitgliedschaft zusätzlich verarbeitet werden, bevor die Änderung widergespiegelt wird.

Verwenden Sie in folgenden Fällen:

  • Arbeitsauslastungsübergreifende Szenarien: Richtlinien für bedingten Zugriff, gruppenbasierte Lizenzierung, SharePoint-Zugriff, Exchange Online-Richtlinien oder jeder Microsoft 365-Dienst, für den eine Gruppenmitgliedschaft erforderlich ist
  • Autopilot-Targeting – Autopilot-Bereitstellungsprofile müssen Gruppen zugewiesen werden. Geräte müssen Gruppenmitglieder sein, bevor die Registrierung beginnt
  • Benutzerbasierte Gruppierung : Gruppieren von Benutzern nach Abteilung, Standort, Berufsbezeichnung oder anderen Benutzerattributen

Hinweis

Wenn Ihre dynamische Gerätegruppe nur von Intune verwendet wird (nicht von bedingtem Zugriff, Lizenzierung oder anderen Diensten), bewerten Sie, ob ein Zuweisungsfilter dasselbe Targeting erreichen kann. Filter unterstützen viele der gleichen Geräteeigenschaften – einschließlich enrollmentProfileName – und werden beim Einchecken ausgewertet, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein.

Dynamische Gruppen können auch mit Zuordnungsfiltern kombiniert werden:

  • Dynamische Gruppe + Zuweisungsfilter : Weisen Sie einer dynamischen Gruppe eine Richtlinie zu und wenden Sie dann einen Filter an, um weiter zu verfeinern, welche Geräte in dieser Gruppe die Richtlinie erhalten. ist nützlich, wenn die Gruppe workloadübergreifende Zwecke erfüllt, Sie jedoch eine präzisere Intune-Zielgruppenadressierung innerhalb der Gruppe benötigen.

    Beispiel: Ihre organization verwendet eine dynamische Gruppe für alle unternehmenseigenen Windows-Geräte, da Richtlinien für bedingten Zugriff diese Gruppenmitgliedschaft erfordern. In Intune weisen Sie dieser Gruppe ein Konfigurationsprofil zu und wenden einen Zuweisungsfilter an, um nur Geräte mit Windows 11 24H2 oder höher anzuvisieren. Die Gruppe verarbeitet den Bereich für den bedingten Zugriff, während der Filter das Zielgruppen-Targeting nach Intune-spezifischen Versionen verarbeitet – ohne eine zweite Gruppe zu erstellen.

Bewährte Methoden für dynamische Gruppen:

  • Halten Sie die Regeln einfach : Verwenden Sie direkte Eigenschaftsvergleiche mit -eq oder -startsWith und einer kleinen Anzahl von Bedingungen. Einfachere Regeln werden schneller ausgewertet und sind einfacher zu beheben.
  • Vermeiden Sie memberOf — Transitive Gruppensuchen erhöhen die Verarbeitungskomplexität erheblich und sind eine häufige Quelle für unerwartete Ergebnisse bei der Mitgliedschaft.
  • Attributschreibberechtigungen überwachen : Wenn eine dynamische Gruppe den Zugriff auf sensible Ressourcen steuert (bedingter Zugriff, Lizenzierung), hängt die Sicherheit dieses Zugriffs davon ab, wer die in der Regel referenzierten Attribute ändern kann.
  • Sicherstellen, dass Geräte über saubere und genaue Attribute verfügen – Die dynamische Gruppenmitgliedschaft hängt von den Eigenschaften ab, die in das Geräteobjekt geschrieben werden. Veraltete oder fehlende Werte führen zu unerwarteten Mitgliedschaften.

Ausführliche Anleitungen zur Regelsyntax und zum Schreiben effizienter Regeln finden Sie unter:

Features für die Intune-Zielgruppenadressierung

Aufgabenfilter

Zuweisungsfilter sind von Intune ausgewertete Regeln, mit denen verfeinert wird, welche Geräte eine Richtlinie oder App erhalten. Filter werden über eine Gruppenzuweisung angewendet und werten Geräteeigenschaften direkt beim Einchecken aus, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein.

Verwenden Sie in folgenden Fällen:

  • Sie adressieren Intune-Richtlinien oder -Apps basierend auf Geräteeigenschaften (Betriebssystemversion, Hersteller, Modell, Besitz, Gerätekategorie)
  • Sie möchten die Auswertung direkt beim Einchecken von Geräten durchführen, ohne dass die Verarbeitung einer Gruppenmitgliedschaft erforderlich ist
  • Sie möchten allgemeine Gruppenzuweisungen (z. B. alle Geräte) mit präzisem Targeting auf Geräteebene kombinieren
  • Sie möchten bestimmte Geräte in eine Richtlinie, die einer breiten Gruppe zugewiesen ist, ein- oder ausschließen

Gängige Szenarios:

  • Bereitstellen einer Konformitätsrichtlinie für alle unternehmenseigenen Windows-Geräte
  • Ausschließen eines bestimmten Geräteherstellers von einem Konfigurationsprofil
  • Zielgeräte mit einer bestimmten Betriebssystemversion für eine App-Bereitstellung
  • Einschränken einer Richtlinie, die allen Geräten zugewiesen ist, auf iOS-Geräte, die sich im Besitz der organization befinden

Hinweis

Zuweisungsfilter sind nicht in jedem Szenario ein Ersatz für Gruppen. Filter können nicht verwendet werden für:

  • Autopilot-Profilzuweisung – Geräte müssen Gruppenmitglieder sein, bevor die Registrierung beginnt
  • Bedingter Zugriff, Lizenzierung oder SharePoint – für diese Dienste ist die Mitgliedschaft in der Entra-Gruppe erforderlich
  • Workloads, die keine Filter unterstützen – Überprüfen Sie die Filterunterstützung für Ihre spezifische Richtlinie oder Ihren App-Typ, bevor Sie sie umgehen.

Gruppierung der Registrierungszeit

Durch die Gruppierung der Registrierungszeit werden Geräte während der Registrierung einer angegebenen Sicherheitsgruppe hinzugefügt und nicht danach. Mit diesem Feature können Apps und Richtlinien, die dieser Gruppe zugewiesen sind, früher im Registrierungsprozess bereitgestellt werden – in vielen Fällen beim ersten Einchecken – ohne auf die Verarbeitung der Gruppenmitgliedschaft warten zu müssen. Der tatsächliche Übermittlungszeitpunkt hängt von der Workload, der Plattform, dem Zuweisungstyp und der Registrierungsmethode ab.

Verwenden Sie in folgenden Fällen:

Nicht verwenden, wenn:

  • Mit einem Zuweisungsfilter kann dasselbe Targeting erreicht werden. Wenn die Richtlinie nur für Intune gilt und das Targeting auf den Geräteeigenschaften basiert, die beim Check-in verfügbar sind (Betriebssystem, Hersteller, Besitz), ist ein Filter einfacher und erfordert keine Gruppenverwaltung
  • Sie benötigen die Gruppe nicht für andere Zwecke – durch die Gruppierung der Registrierungszeit werden echte Mitgliedschaften in Entra-Sicherheitsgruppen erstellt, die nach der Registrierung beibehalten werden. Wenn kein anderer Dienst diese Gruppe liest, erhöhen Sie den Verwaltungsaufwand ohne Nutzen
  • Die Registrierungsmethode unterstützt dies nicht – nur bestimmte Registrierungsflüsse unterstützen die Gruppierung der Registrierungszeit. Vergewissern Sie sich, dass Ihre Registrierungsmethode in der Liste der unterstützten Methoden enthalten ist, bevor Sie sie umgehen.

Weitere Informationen finden Sie unter "Gruppierung der Registrierungszeit" in Microsoft Intune.

Den richtigen Ansatz wählen

Für die meisten Intune-Umgebungen kombiniert der beste Ansatz mehrere Methoden:

  1. Beginnen Sie mit breiten Gruppen – Verwenden Sie virtuelle Gruppen, statische Gruppen oder dynamische Gruppen als Basisaufgabenziele. Wählen Sie die umfassendste geeignete Basisgruppe für Ihre organization aus, berücksichtigen Sie jedoch die Auswertung, den Zeitaufwand und die arbeitsauslastungsübergreifenden Anforderungen der einzelnen Gruppentypen.
  2. Verfeinern der Zielgruppenadressierung basierend auf Geräteattributen – Verwenden Sie Zuweisungsfilter, wenn die Richtlinie nur Intune ist. Verwenden Sie dynamische Gruppen, wenn die attributbasierte Mitgliedschaft für mehrere Workloads (bedingter Zugriff, Lizenzierung, Autopilot) erforderlich ist.
  3. Verwenden Sie die Gruppierung für Registrierungszeiten , um das Warten auf die Verarbeitung der Gruppenmitgliedschaft während der Registrierung zu entfernen, sodass Richtlinien beim ersten Einchecken bereitgestellt werden.

Achtung

Umfassende Aufträge sind mächtig, bergen aber Risiken. Bevor Sie allen Geräten mit einem Filter Richtlinien mit hoher Auswirkung zuweisen, überprüfen Sie den Filter zunächst anhand einer Pilotgruppe. Ein falsch konfigurierter oder gelöschter Filter für eine allgemeine Zuweisung kann sich auf jedes Gerät im Bereich auswirken. Verwenden Sie gestaffelte Rollout-Ringe, und überwachen Sie die Zuordnungsberichte, bevor Sie sie auf die Produktion ausweiten.

Wenn eine dynamische Gruppe zu einem Filter werden kann

Wenn Sie über dynamische Gerätegruppen verfügen, die einfache Eigenschaftenregeln verwenden und nur von Intune (nicht von bedingtem Zugriff, Lizenzierung oder anderen Diensten) verwendet werden, können Sie Ihr Zielgruppen-Targeting vereinfachen, indem Sie diese Gruppen durch Zuweisungsfilter ersetzen. Die Absicht besteht nicht darin, alle dynamischen Gruppen zu entfernen. Es geht darum, unnötigen Gruppenverarbeitungsaufwand für Gruppen zu vermeiden, die nicht workloadübergreifenden Zwecken dienen.

In der folgenden Tabelle sind allgemeine Regeln für dynamische Gruppen und die entsprechende Syntax für Zuordnungsfilter aufgeführt:

Dynamische Gruppenregel Äquivalenter Zuweisungsfilter Hinweise
device.deviceOSType -eq "Windows" operatingSystemSKU -eq "Windows" Zielgruppen-Targeting nach Betriebssystemtyp
device.deviceManufacturer -eq "Microsoft" manufacturer -eq "Microsoft Corporation" Zielgruppen-Targeting nach Hersteller
device.deviceModel -startsWith "Surface" model -startsWith "Surface" Zielgruppen-Targeting nach Modell
device.deviceOwnership -eq "Company" deviceOwnership -eq "Corporate" Zielgruppen-Targeting nach Eigentumsverhältnissen
device.deviceCategory -eq "Engineering" deviceCategory -eq "Engineering" Zielgruppen-Targeting nach Gerätekategorie

Hinweis

Eigenschaftsnamen und -werte können zwischen dynamischen Gruppenregeln und der Syntax von Zuordnungsfiltern geringfügig abweichen. Überprüfen Sie beim Erstellen von Filtern die genauen Eigenschaftsnamen und unterstützten Werte in den Eigenschaften unterstützter Geräte.

Wichtig

Entfernen Sie keine dynamischen Gruppen, die von Diensten außerhalb von Intune verwendet werden (bedingter Zugriff, Lizenzierung, SharePoint). Diese Dienste können keine Zuweisungsfilter nutzen, sondern erfordern eine Gruppenmitgliedschaft. Vereinfachen Sie nur Gruppen, die ausschließlich für das Targeting nach Intune-Richtlinien existieren.

Tipp

Auch Targeting-Entscheidungen wirken sich auf die Leistung aus – insbesondere in großen Umgebungen. Anleitungen zur Wiederverwendung von Gruppen, zur Vermeidung häufiger Antimuster und zum Verständnis des Synchronisierungsverhaltens finden Sie unter Leistungsempfehlungen für Gruppierung, Zielgruppenadressierung und Filterung.

  • Last updated on