Bereitstellen von in Azure AD Hybrid eingebundenen Geräten mit Intune und Windows Autopilot

Sie können in Azure AD Hybrid eingebundene Geräte mithilfe von Intune und Windows Autopilot einrichten. Führen Sie dazu die Schritte in diesen Artikel durch. Weitere Informationen zu Azure AD Hybrid Join finden Sie unter Grundlegendes zu Azure AD Hybrid Join und zur Co-Verwaltung.

Voraussetzungen

Voraussetzungen für die Geräteregistrierung

Das zu registrierende Gerät muss die folgenden Anforderungen erfüllen:

  • Windows 11 oder Windows 10 Version 1809 oder höher verwenden.
  • Über Internetzugriff gemäß der Windows Autopilot-Netzwerkanforderungen verfügen.
  • Über Zugriff auf einen Active Directory-Domänencontroller verfügen.
  • Fähigkeit, den Domänencontroller der Domäne zu pingen, der Sie beitreten möchten.
  • Bei Verwendung eines Proxys müssen WPAD-Proxyeinstellungen aktiviert und konfiguriert sein.
  • Machen Sie Erfahrungen mit der Windows-Willkommensseite.
  • Verwenden Sie einen Autorisierungstyp, den Azure Active Directory auf der Windows-Willkommensseite unterstützt.

Obwohl nicht erforderlich, ermöglicht das Konfigurieren der Azure AD-Hybrideinbindung für Active Directory-Verbunddienste (AD FS) einen schnelleren Windows Autopilot Azure AD-Registrierungsprozess während der Bereitstellungen. Verbundkunden, die die Verwendung von Kennwörtern und AD FS nicht unterstützen, müssen die Schritte im Artikel Active Directory-Verbunddienste (AD FS) unterstützung von prompt=login-Parametern ausführen, um die Authentifizierungserfahrung ordnungsgemäß zu konfigurieren.

Voraussetzungen für Intune Connectorserver

  • Der Intune Connector für Active Directory muss auf einem Computer installiert werden, auf dem Windows Server 2016 oder höher mit .NET Framework Version 4.7.2 oder höher ausgeführt wird.

  • Der Server, auf dem der Intune Connector gehostet wird, muss Zugriff auf das Internet und Ihr Active Directory haben.

    Hinweis

    Der Intune Connectorserver erfordert standardmäßigen Domänenclientzugriff auf Domänencontroller, einschließlich der RPC-Portanforderungen, die für die Kommunikation mit Active Directory erforderlich sind. Weitere Informationen finden Sie in den folgenden Artikeln:

  • Für höhere Skalierbarkeit und Verfügbarkeit können Sie mehrere Connectors in der Umgebung installieren. Es wird empfohlen, den Connector auf einem Server zu installieren, auf dem keine anderen Intune-Connectors ausgeführt werden. Jeder Connector muss in der Lage sein, Computerobjekte in jeder Domäne zu erstellen, die Sie unterstützen möchten.

  • Der Intune-Connector benötigt die gleichen Endpunkte wie Intune.

Einrichten der automatischen WINDOWS-MDM-Registrierung

  1. Melden Sie sich bei Azure an, wählen Sie im linken Bereich Azure Active Directory>Mobility (MDM und MAM)>Microsoft Intune aus.

  2. Stellen Sie sicher, dass Benutzer, die mit Azure AD verbundene Geräte mithilfe von Intune und Windows bereitstellen, Mitglieder einer Gruppe aus dem MDM-Benutzerbereich sind.

  3. Verwenden Sie die Standardwerte in den Feldern URL zu den MDM-Nutzungsbedingungen, URL für MDM-Ermittlung und MDM Compliance-URL, und klicken Sie dann auf Speichern.

Erhöhen des Kontolimits für den Computer in der Organisationseinheit

Der Intune-Connector für Active Directory erstellt Computer mit Registrierung per Autopilot in der lokalen Active Directory-Domäne. Der Hostcomputer des Intune-Connectors muss über die Berechtigung verfügen, die Computerobjekte innerhalb der Domäne zu erstellen.

In einigen Domänen werden Computern keine Berechtigungen zum Erstellen von Computern gewährt. Darüber hinaus verfügen Domänen über ein integriertes Limit (Standardeinstellung: 10), das für alle Benutzer und Computer gilt, denen keine Berechtigungen zum Erstellen von Computerobjekten gewährt wurden. Die Rechte müssen an Computer delegiert werden, die den Intune-Connector in der Organisationseinheit hosten, in der Azure AD Hybrid-eingebundene Geräte erstellt werden.

Die Organisationseinheit, der die Berechtigung zum Erstellen von Computern gewährt wird, muss mit Folgendem übereinstimmen:

  • Mit der Organisationseinheit, die im Domänenbeitrittsprofil eingetragen ist
  • Mit dem Domänennamen des Computers für Ihre Domäne, wenn kein Profil ausgewählt ist

  1. Öffnen Sie Active Directory-Benutzer und -Computer („DSA.msc“).

  2. Klicken Sie mit der rechten Maustaste auf die Organisationseinheit, die zum Erstellen von in Azure AD hybrid eingebundenen Computern >delegatsteuerung verwendet werden soll.

    Screenshot des Befehls

  3. Wählen Sie im Assistenten zum Zuweisen der Objektverwaltung die Optionen Weiter>Hinzufügen...>Objekttypen aus.

  4. Wählen Sie im Bereich Objekttypen die Option Computer>OK aus.

    Screenshot des Bereichs

  5. Geben Sie im Bereich zur Auswahl von Benutzern, Computern oder Gruppen im Feld Geben Sie die zu verwenden Objektnamen ein den Namen des Computers ein, auf dem der Connector installiert ist.

    Screenshot des Bereichs

  6. Wählen Sie Namen überprüfen aus, um Ihren Eintrag zu validieren, und klicken Sie auf >OK>Weiter.

  7. Wählen Sie Benutzerdefinierte Aufgaben zum Zuweisen erstellen>Weiter aus.

  8. Wählen Sie nur die folgenden Objekte im Ordner>Computerobjekte aus.

  9. Wählen Sie Ausgewählte Objekte in diesem Ordner erstellen und Ausgewählte Objekte in diesem Ordner löschen aus.

    Screenshot des Bereichs

  10. Wählen Sie Weiter aus.

  11. Aktivieren Sie unter Permissions (Berechtigungen) das Kontrollkästchen Full Control (Vollzugriff). Durch diese Auswahl werden auch alle anderen Optionen aktiviert.

    Screenshot des Bereichs

  12. Klicken Sie auf Weiter>Fertig stellen.

Installieren des Intune-Connectors

Stellen Sie vor Beginn der Installation sicher, dass alle Voraussetzungen für den Intune Connectorserver erfüllt sind.

Installationsschritte

  1. Deaktivieren Sie internet Explorer erweiterte Sicherheitskonfiguration. Bei Windows Server ist die verstärkte Sicherheitskonfiguration für Internet Explorer standardmäßig aktiviert. Wenn Sie sich nicht beim Intune Connector für Active Directory anmelden können, deaktivieren Sie internet Explorer erweiterte Sicherheitskonfiguration für den Administrator. So deaktivieren Sie internet Explorer erweiterte Sicherheitskonfiguration:

    1. Öffnen Sie auf dem Server, auf dem der Intune Connector installiert wird, Server-Manager.
    2. Wählen Sie im linken Bereich von Server-Manager die Option Lokaler Server aus.
    3. Wählen Sie im rechten Bereich EIGENSCHAFTEN von Server-Manager den Link Ein oder Aus neben IE Enhanced Security Configuration aus.
    4. Wählen Sie im Fenster Internet Explorer Erweiterte Sicherheitskonfiguration unter Administratoren die Option Aus aus, und wählen Sie dann OK aus.

  2. Wählen Sie im Microsoft Intune Admin CenterGeräte>Windows>Windows-Registrierung>Intune Connector für Active Directory>Hinzufügen aus.

  3. Folgen Sie den Anweisungen, um den Connector herunterzuladen.

  4. Öffnen Sie die heruntergeladene Connectorsetupdatei (ODJConnectorBootstrapper.exe), um den Connector zu installieren.

  5. Wählen Sie am Ende des Setups Jetzt konfigurieren aus.

  6. Wählen Sie Anmelden aus.

  7. Geben Sie die Anmeldedaten für die Rolle „Globaler Administrator“ oder „Intune-Administrator“ ein. Dem Benutzerkonto muss eine Intune-Lizenz zugewiesen werden.

  8. Navigieren Sie zu Geräte>Windows>Windows-Registrierung>Intune-Connector für Active Directory, und stellen Sie sicher, dass der Verbindungsstatus Aktiv lautet.

Hinweis

  • Die Rolle des globalen Administrators ist eine vorübergehende Anforderung zum Zeitpunkt der Installation.
  • Nachdem Sie sich beim Connector angemeldet haben, kann es einige Minuten dauern, bis sie im Microsoft Intune Admin Center angezeigt wird. Er wird nur angezeigt, wenn er mit Intune kommunizieren kann.
  • Inaktive Intune Connectors werden weiterhin auf der Seite Intune Connectors angezeigt und nach 30 Tagen automatisch bereinigt.

Nachdem der Intune Connector installiert wurde, wird die Anmeldung im Ereignisanzeige unter dem Pfad Anwendungs- und Dienstprotokolle>Microsoft>Intune>ODJConnectorService gestartet. Unter diesem Pfad finden Sie Admin- und Betriebsprotokolle.

Hinweis

Der Intune Connector, der ursprünglich im Ereignisanzeige direkt unter Anwendungs- und Dienstprotokolle in einem Protokoll namens ODJ Connector Service angemeldet ist. Die Protokollierung für den Intune Connector wurde jedoch in den Pfad Anwendungs- und Dienstprotokolle>Microsoft>Intune>ODJConnectorService verschoben. Wenn Sie feststellen, dass das Protokoll des ODJ-Connectordiensts am ursprünglichen Speicherort leer ist oder nicht aktualisiert wird, überprüfen Sie stattdessen den neuen Pfadspeicherort.

Konfigurieren von Webproxyeinstellungen

Wenn ein Webproxy in der Netzwerkumgebung vorhanden ist, stellen Sie sicher, dass der Intune-Connector für Active Directory ordnungsgemäß funktioniert. Informationen finden Sie unter Verwenden von vorhandenen lokalen Proxyservern.

Erstellen einer Gerätegruppe

  1. Wählen Sie im Microsoft Intune Admin CenterGruppen>Neue Gruppe aus.

  2. Wählen Sie im Bereich Gruppe die folgenden Optionen aus:

    1. Wählen Sie unter Gruppentyp die Option Sicherheit aus.
    2. Geben Sie einen Gruppennamen und eine Gruppenbeschreibung ein.
    3. Wählen Sie einen Mitgliedschaftstyp aus.

  3. Wenn Sie als Mitgliedschaftstyp Dynamische Geräte ausgewählt haben, wählen Sie im Bereich Gruppe die Option Dynamische Gerätemitglieder aus.

  4. Wählen Sie im Feld RegelsyntaxBearbeiten aus, und geben Sie eine der folgenden Codezeilen ein:

    • Wenn Sie eine Gruppe mit all Ihren Autopilot-Geräten erstellen möchten, geben Sie (device.devicePhysicalIDs -any _ -contains "[ZTDId]") ein.
    • Das Intune-Feld „Gruppentag“ wird dem Attribut „OrderID“ auf Azure AD-Geräten zugeordnet. Wenn Sie eine Gruppe erstellen möchten, die alle Autopilot-Geräte mit einem bestimmten Gruppentag (OrderID) enthält, geben Sie Folgendes ein: (device.devicePhysicalIds -any _ -eq "[OrderID]:179887111881").
    • Wenn Sie eine Gruppe mit all Ihren Autopilot-Geräten mit einer bestimmten Bestellungs-ID erstellen möchten, geben Sie (device.devicePhysicalIds -any _ -eq "[PurchaseOrderId]:76222342342") ein.

  5. Wählen Sie Speichern>Erstellen aus.

Registrieren der Autopilot-Geräte

Wählen Sie eine der folgenden Möglichkeiten, um Ihre Autopilot-Geräte zu registrieren.

Registrieren von bereits angemeldeten Autopilot-Geräten

  1. Erstellen Sie ein Autopilot-Bereitstellungsprofil, wobei die Einstellung Alle Zielgeräte in Autopilot konvertieren auf Ja festgelegt ist.

  2. Ordnen Sie das Profil einer Gruppe zu, die die Mitglieder enthält, die Sie automatisch bei Autopilot registrieren möchten.

Weitere Informationen finden Sie unter Erstellen eines Autopilot-Bereitstellungsprofils.

Registrieren von noch nicht angemeldeten Autopilot-Geräten

Wenn Ihre Geräte noch nicht registriert sind, können Sie sie selbst registrieren. Weitere Informationen finden Sie unter Manuelle Registrierung.

Registrieren von Geräten eines OEMs

Beim Kauf neuer Geräte können einige OEMs die Geräte für Sie registrieren. Weitere Informationen finden Sie unter OEM-Registrierung.

Anzeigen eines registrierten Autopilot-Geräts

Vor der Registrierung bei Intune werden registrierte Autopilot-Geräte an drei Stellen angezeigt (mit Namen, die auf ihre Seriennummern festgelegt sind):

  • Im Bereich Autopilot-Geräte unter Intune im Azure-Portal. Klicken Sie auf Geräteregistrierung>Windows-Registrierung>Geräte.
  • Im Bereich Azure AD-Geräte unter Intune im Azure-Portal. Klicken Sie auf Geräte>Azure AD-Geräte.
  • Der Bereich Alle Geräte unter Azure Active Directory im Azure-Portal (Geräte>Alle Geräte).

Nachdem Ihre Autopilot-Geräte registriert wurden, werden sie an vier Stellen angezeigt:

  • Im Bereich Autopilot-Geräte unter Intune im Azure-Portal. Klicken Sie auf Geräteregistrierung>Windows-Registrierung>Geräte.
  • Im Bereich Azure AD-Geräte unter Intune im Azure-Portal. Klicken Sie auf Geräte>Azure AD-Geräte.
  • Im Bereich Alle Geräte unter Azure Active Directory im Azure-Portal. Klicken Sie auf Geräte>Alle Geräte.
  • Im Bereich Alle Geräte unter Intune im Azure-Portal. Klicken Sie auf Geräte>Alle Geräte.

Nachdem Ihre Autopilot-Geräte registriert wurden, werden die Gerätenamen in den Hostnamen des Geräts geändert. Standardmäßig beginnt der Hostname mit DESKTOP-. Ein Geräteobjekt wird in Azure AD vorkonfiguriert, sobald ein Gerät in Autopilot registriert wurde. Wenn ein Gerät eine hybride Azure AD-Bereitstellung durchläuft, wird Design-bedingt ein weiteres Geräteobjekt erstellt, was zu doppelten Einträgen führt.

BYO VPNs

Die folgenden VPN-Clients wurden getestet und überprüft:

VPN-Clients

  • In-Box-Windows VPN-Client
  • Cisco AnyConnect (Win32-Client)
  • Pulse Secure (Win32-Client)
  • GlobalProtect (Win32-Client)
  • Prüfpunkt (Win32-Client)
  • Citrix NetScaler (Win32-Client)
  • SonicWall (Win32-Client)
  • FortiClient-VPN (Win32-Client)

Hinweis

Diese Liste der VPN-Clients ist keine umfassende Liste aller VPN-Clients, die mit Autopilot arbeiten. Wenden Sie sich an den jeweiligen VPN-Anbieter bezüglich Kompatibilität und Unterstützung mit Autopilot oder zu Problemen bei der Verwendung einer VPN-Lösung mit Autopilot.

Nicht unterstützte VPN-Clients

Die folgenden VPN-Lösungen funktionieren nicht mit Autopilot und werden daher nicht für die Verwendung mit Autopilot unterstützt:

  • UWP-basierte VPN-Plug-Ins
  • Alles, was ein Benutzerzertifikat erfordert
  • DirectAccess

Hinweis

Wenn Sie BYO-VPNs verwenden, sollten Sie ja für die Option Ad-Konnektivitätsprüfung überspringen im Windows Autopilot-Bereitstellungsprofil auswählen. Always-On VPNs sollten diese Option nicht erfordern, da automatisch eine Verbindung hergestellt wird.

Erstellen und Zuweisen eines Autopilot-Bereitstellungsprofils

Autopilot-Bereitstellungsprofile werden verwendet, um die Autopilot-Geräte zu konfigurieren.

  1. Wählen Sie im Microsoft Intune Admin CenterGeräte>Windows-Registrierung>>Bereitstellungsprofile>Profil erstellen aus.

  2. Geben Sie auf der Seite Grundlagen einen Wert in Name und eine optionale Beschreibung ein.

  3. Wenn alle Geräte in den zugewiesenen Gruppen automatisch bei Autopilot registriert werden sollen, legen Sie Alle Zielgeräte in Autopilot konvertieren auf Ja fest. Alle unternehmenseigenen, Nicht-Autopilot-Geräte in zugewiesenen Gruppen werden mit dem Autopilot-Bereitstellungsdienst registriert. Persönliche Geräte werden nicht bei Autopilot registriert. Die Verarbeitung der Registrierung kann 48 Stunden dauern. Wenn die Registrierung des Geräts aufgehoben und zurückgesetzt wird, registriert Autopilot es erneut. Nachdem ein Gerät auf diese Weise registriert wurde, wird das Gerät nicht aus dem Autopilot-Bereitstellungsdienst entfernt, wenn Sie diese Einstellung deaktivieren oder die Profilzuweisung entfernen. Sie müssen stattdessen das Gerät direkt entfernen.

  4. Wählen Sie Weiter aus.

  5. Wählen Sie auf der Seite Windows-Willkommensseite als Bereitstellungsmodus die Option Benutzergesteuert aus.

  6. Wählen Sie im Feld Azure AD beitreten als die Option In Azure AD Hybrid eingebunden aus.

  7. Wenn Sie Geräte mithilfe von VPN-Unterstützung außerhalb des Unternehmensnetzwerks bereitstellen, setzen Sie die Option Domänenkonnektivitätsprüfung überspringen auf Ja. Weitere Informationen finden Sie unter Benutzergesteuerter Modus für Azure Active Directory-Hybrideinbindung mit VPN-Unterstützung.

  8. Konfigurieren Sie die restlichen Optionen auf der Seite Windows-Willkommensseite nach Bedarf.

  9. Wählen Sie Weiter aus.

  10. Wählen Sie auf der Seite Bereichstags die Bereichstags für dieses Profil aus.

  11. Wählen Sie Weiter aus.

  12. Wählen Sie auf der Seite Zuweisungen die Option Gruppen auswählen aus, um die Suche nach einzuschließen>, und wählen Sie die Gerätegruppe > Auswählen aus.

  13. Wählen Sie Weiter>Erstellen aus.

Hinweis

Intune werden in regelmäßigen Abständen nach neuen Geräten in den zugewiesenen Gruppen suchen und dann mit dem Zuweisen von Profilen zu diesen Geräten beginnen. Aufgrund verschiedener Faktoren, die am Prozess der Autopilot-Profilzuweisung beteiligt sind, kann die geschätzte Zeit für die Zuweisung von Szenario zu Szenario variieren. Zu diesen Faktoren können AAD-Gruppen, Mitgliedschaftsregeln, Hash eines Geräts, Intune und Autopilot-Dienst sowie eine Internetverbindung gehören. Die Zuweisungszeit variiert abhängig von allen Faktoren und Variablen, die in einem bestimmten Szenario beteiligt sind.

Aktivieren der Registrierungsstatusseite (optional)

  1. Wählen Sie im Microsoft Intune Admin CenterGeräte>Windows-Registrierungsstatusseite>> aus.

  2. Klicken Sie im Bereich Seite zum Registrierungsstatus auf Standard>Einstellungen.

  3. Legen Sie für Installationsfortschritt für Apps und Profile anzeigenYes (Ja) fest.

  4. Konfigurieren Sie die anderen Optionen je nach Bedarf.

  5. Wählen Sie Speichern.

Erstellen und Zuweisen eines Domänenbeitrittsprofils

  1. Wählen Sie im Microsoft Intune Admin CenterGeräte>Konfigurationsprofile>Profil erstellen aus.

  2. Geben Sie die folgenden Eigenschaften ein:

    • Name: Geben Sie einen aussagekräftigen Namen für das neue Profil ein.
    • Beschreibung: Geben Sie eine Beschreibung für das Profil ein.
    • Plattform: Wählen Sie Windows 10 und höher aus.
    • Profiltyp: Wählen Sie Vorlagenaus, wählen Sie den Vorlagennamen Domänenbeitrittund dann Erstellenaus.

  3. Geben Sie denNamen und dieBeschreibung ein, und wählen Sie Weiteraus.

  4. Geben Sie ein Computernamenspräfix und denDomänennamenan.

  5. (Optional) Geben Sie eine Organisationseinheit (OE) im DN-Format an. In Ihren Optionen enthalten:

    • Geben Sie eine OE an, in der Sie die Steuerung an Ihr Windows 2016-Gerät delegiert haben, auf dem der Intune-Connector ausgeführt wird.
    • Stellen Sie eine Organisationseinheit bereit, in der Sie die Steuerung an die Stammcomputer in Ihrem lokales Active Directory delegiert haben.
    • Wenn Sie diesen Wert leer lassen, wird das Computerobjekt im Active Directory-Standardcontainer erstellt (CN=Computers sofern Sie ihn nie geändert haben).

    Hier sind einige gültige Beispiele:

    • OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com
    • OU=Mine,DC=contoso,DC=com

    Hier sind einige ungültige Beispiele:

    • CN=Computers,DC=contoso,DC=com (Sie können keinen Container angeben. Lassen Sie stattdessen den Wert leer, um die Standardeinstellung für die Domäne zu verwenden.
    • OU=Mine (Sie müssen die Domäne über die DC= Attribute angeben.)

    Hinweis

    Verwenden Sie keine Anführungszeichen um den Wert in Organisationseinheit.

  6. Klicken Sie auf OK>Erstellen. Das Profil wird erstellt und in der Liste angezeigt.

  7. Weisen Sie ein Geräteprofil derselben Gruppe zu, die im Schritt Gerätegruppe erstellen verwendet wurde. Es können verschiedene Gruppen verwendet werden, wenn Geräte mit verschiedenen Domänen oder Organisationseinheiten verknüpft werden müssen.

Hinweis

Die Benennungsfunktionen für Windows Autopilot für Azure AD Hybrid Join unterstützen keine Variablen wie %SERIAL%. Es werden nur Präfixe für den Computernamen unterstützt.

Deinstallieren des ODJ-Connectors

Der OSD-Connector wird lokal auf einem Computer über eine ausführbare Datei installiert. Wenn der ODJ-Connector von einem Computer deinstalliert werden muss, muss dies auch lokal auf dem Computer erfolgen. Der ODJ-Connector kann nicht über das Intune-Portal oder über einen Graph-API-Aufruf entfernt werden.

Führen Sie die folgenden Schritte aus, um den ODJ-Connector von dem Computer zu deinstallieren, auf dem er installiert ist:

  1. Melden Sie sich beim Computer an, auf dem der ODJ-Connector gehostet wird.
  2. Klicken Sie mit der rechten Maustaste auf das Startmenü , und wählen Sie Einstellungen aus.
  3. Wählen Sie im Fenster Windows-Einstellungendie Option Apps aus.
  4. Suchen Sie unter Apps-Features &nach Intune Connector für Active Directory, und wählen Sie sie aus.
  5. Wählen Sie unter Intune Connector für Active Directory die Schaltfläche Deinstallieren und dann erneut die Schaltfläche Deinstallieren aus.
  6. Der ODJ-Connector fährt mit der Deinstallation fort.

Nächste Schritte

Nachdem Sie Windows Autopilot konfiguriert haben, erfahren Sie mehr über die Verwaltung dieser Geräte. Weitere Informationen finden Sie unter Was ist die Microsoft Intune-Geräteverwaltung?.