Wählen Sie die richtige Zielmethode in Microsoft Intune

Microsoft Intune unterstützt verschiedene Methoden für die Ausrichtung auf Geräte und Benutzer mit Richtlinien und Apps. Jede Methode weist unterschiedliche Stärken, Auswertungsmerkmale und Anwendungsfälle auf. Wenn Sie die richtige Methode oder eine Kombination von Methoden auswählen, können Sie sicherstellen, dass Richtlinien und Apps zur richtigen Zeit die richtigen Geräte erreichen.

Dieser Artikel beschreibt die verfügbaren Zielkonstrukte und hilft Ihnen bei der Auswahl des richtigen Ansatzes für Ihre Umgebung.

Zentrale Konzepte

Bevor Sie sich für eine Zielmethode entscheiden, sollten Sie sich mit den Prinzipien vertraut machen, die für effektives Targeting in Intune gelten:

Prinzip Beschreibung
Breit beginnen, schmal verfeinern Anstatt viele enge Gruppen zu erstellen, die jeder Richtlinie entsprechen, beginnen Sie mit der breitesten anwendbaren Zielgruppe, und verwenden Sie Zuweisungsfilter, um zu verfeinern, welche Geräte die Richtlinie erhalten. Diese Strategie reduziert die Zersiedelung von Gruppen und vereinfacht die Verwaltung.
Gruppen definieren den Bereich, Filter definieren die Zielgruppenadressierung Gruppen antworten auf "Wer ist das Publikum?". Zuweisungsfilter antworten auf "Welche Geräte in dieser Zielgruppe erhalten diese Richtlinie tatsächlich?" Die Kombination beider Anliegen allein in Gruppen führt zu vielen nahezu identischen Gruppen, die schwer zu verwalten sind.
Eine Gruppe, viele Richtlinien Sie benötigen keine 1:1-Beziehung zwischen Gruppen und Richtlinien. Eine einzelne allgemeine Gruppe kann mehrere Richtlinienzuweisungen ausführen. Durch die Anwendbarkeit der Workload- oder Zuweisungsfilter kann sichergestellt werden, dass die Richtlinien nur an die entsprechenden Benutzer und Geräte übergeben werden.
Gruppenmitgliedschaft ist Identität, keine Richtlinienabsicht Gruppen sollten beschreiben, was ein Gerät ist oder was ein Benutzer ist, auf eine Weise, die für Ihre organization aussagekräftig ist , und nicht, welche Richtlinie es erhalten sollte. Wenn nur Intune eine Gruppe liest, bewerten Sie, ob ein Zuweisungsfilter die Gruppe ersetzen kann.
Evaluieren beim Einchecken im Vergleich zu Änderungen Gruppen und Filter verwenden unterschiedliche Auswertungsmodelle. Die Gruppenmitgliedschaft wird verarbeitet, wenn sich Geräte- oder Benutzerattribute entsprechend dem aktuellen Status des Verzeichnisses ändern. Filter werden bei jedem Geräte-Check-in anhand der Eigenschaften des Geräts zu diesem Zeitpunkt ausgewertet. Wählen Sie basierend darauf aus, ob Sie eine Mitgliedschaft benötigen, die andere Dienste lesen können (Gruppen) oder eine präzise Check-in-Time-Zielbestimmung für Intune (Filter).

Übersicht über Zielgruppenadressierungsmethoden

Intune-Targeting basiert auf zwei Ebenen: Gruppentypen, die definieren, wer oder was sich im Gültigkeitsbereich befindet, und Intune Zielfeatures, die verfeinern, wie und wann Richtlinien diese Geräte erreichen.

Gruppentypen

Gruppentyp Funktion der Einstellung Am besten geeignet für
Virtuelle Gruppen Integrierte Gruppen "Alle Benutzer" und "Alle Geräte", die von Intune Allgemeine Richtlinien, die für jeden oder jedes Gerät gelten
Statische Gruppen Manuell verwaltete Sicherheitsgruppen mit fester Mitgliedschaft Behoben, bekannte Gruppen von Benutzern oder Geräten, die sich nicht häufig ändern
Dynamische Gruppen Gruppen mit regelbasierter Mitgliedschaft, die von Microsoft Entra ID ausgewertet werden Workloadübergreifendes Targeting (bedingter Zugriff, Lizenzierung), Autopilot, benutzerbasierte Gruppierung

Statische und dynamische Gruppen sind Microsoft Entra Sicherheitsgruppen – jeder Dienst, der die Gruppenmitgliedschaft nutzt (bedingter Zugriff, Lizenzierung, SharePoint, Exchange), kann sie verwenden. Virtuelle Gruppen werden Intune verwaltet und immer aktuell, ohne dass eine zusätzliche Verarbeitung erforderlich ist.

features für Intune targeting

Erstellen Funktion der Einstellung Am besten geeignet für
Zuweisungsfilter Intune ausgewerteten Regeln, die auf Gruppenzuweisungen angewendet werden Ziel von Geräteeigenschaften für Intune-Richtlinien – beim Einchecken ausgewertet, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein
Gruppierung der Registrierungszeit Hinzufügen von Geräten zu einer Sicherheitsgruppe während der Registrierung Schnelle gruppenbasierte Richtlinienübermittlung während der Registrierung ohne Warten auf die verarbeitung dynamischer Gruppenmitgliedschaften

Diese sind für Intune eindeutig. Zuweisungsfilter und Die Gruppierung zur Registrierungszeit erweitern das, was Sie mit Gruppen tun können– sie ersetzen keine Gruppen, sondern lösen bestimmte Lücken in Geschwindigkeit und Genauigkeit, die Gruppen allein nicht beheben können.

Gruppentypen

Virtuelle Gruppen

Intune bietet integrierte virtuelle Gruppen für Alle Benutzer und Alle Geräte. Diese Gruppen sind immer aktuell– sie erfordern keine Verarbeitung, um die Mitgliedschaft zu aktualisieren.

Virtuelle Gruppen sind am effektivsten, wenn sie mit Intune Zielfeatures kombiniert werden:

  • Virtuelle Gruppe + Zuweisungsfilter – Weisen Sie allen Geräten eine Richtlinie zu, und wenden Sie dann einen Filter auf einen begrenzten Bereich auf bestimmte Geräteeigenschaften (z. B. Betriebssystemtyp, Hersteller oder Besitz) an. Der Filter wird beim Einchecken ausgewertet, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein.

Verwenden Sie in folgenden Fällen:

  • Eine Richtlinie oder App sollte alle Benutzer oder alle Geräte erreichen
  • Sie möchten ein breites Ziel, das Sie mit Zuweisungsfiltern verfeinern, um eine präzise Zielbestimmung auf Geräteebene zu erreichen.

Statische Gruppen

Statische Sicherheitsgruppen verfügen über manuell verwaltete Mitgliedschaften. Ein Administrator fügt Mitglieder direkt hinzu oder entfernt sie.

Statische Gruppen können auch mit Intune Zielfeatures kombiniert werden:

  • Statische Gruppe + Zuweisungsfilter – Weisen Sie einer statischen Gruppe (z. B. einer Abteilung oder einem Pilotring) eine Richtlinie zu, und wenden Sie dann einen Filter an, um die Geräte in dieser Gruppe weiter einzugrenzen, die die Richtlinie erhalten.
  • Statische Gruppe + Registrierungszeitgruppierung – Verwenden Sie eine statische Gruppe als Ziel für die Registrierungszeitgruppierung. Geräte werden der Gruppe während der Registrierung hinzugefügt, wodurch eine schnelle Richtlinienübermittlung beim ersten Einchecken ermöglicht wird.

Verwenden Sie in folgenden Fällen:

  • Sie verfügen über eine feste Gruppe von Benutzern oder Geräten (z. B. eine Pilotgruppe oder ein Führungsteam).
  • Sie benötigen eine Gruppenmitgliedschaft für workloadübergreifende Szenarien, aber die Grundgesamtheit ist klein und stabil.

Dynamische Gruppen

Dynamische Gruppen verwenden eine regelbasierte Mitgliedschaft, die von Microsoft Entra ID ausgewertet und aktualisiert wird. Sie sind der Standardmechanismus zum Organisieren von Benutzern und Geräten im gesamten Microsoft 365-Ökosystem– jeder Dienst, der Gruppenmitgliedschaften liest (bedingter Zugriff, Lizenzierung, SharePoint, Exchange), nutzt dynamische Gruppen.

Nachdem ein Gerät registriert wurde oder ein Benutzerattribute geändert wurde, erfordert die Gruppenmitgliedschaft eine zusätzliche Verarbeitung, bevor die Änderung widerspiegelt wird.

Verwenden Sie in folgenden Fällen:

  • Workloadübergreifende Szenarien: Richtlinien für bedingten Zugriff, gruppenbasierte Lizenzierung, SharePoint-Zugriff, Exchange Online-Richtlinien oder ein beliebiger Microsoft 365-Dienst, der eine Gruppenmitgliedschaft erfordert
  • Autopilot-Targeting – Autopilot-Bereitstellungsprofile müssen Gruppen zugewiesen werden. Geräte müssen Gruppenmitglieder sein, bevor die Registrierung beginnt.
  • Benutzerbasierte Gruppierung – Gruppieren von Benutzern nach Abteilung, Standort, Position oder anderen Benutzerattributen

Hinweis

Wenn Ihre dynamische Gerätegruppe nur von Intune (nicht bedingter Zugriff, Lizenzierung oder andere Dienste) genutzt wird, bewerten Sie, ob ein Zuweisungsfilter dasselbe Ziel erreichen kann. Filter unterstützen viele der gleichen Geräteeigenschaften – einschließlich enrollmentProfileName – und werten beim Einchecken aus, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein.

Dynamische Gruppen können auch mit Zuweisungsfiltern kombiniert werden:

  • Dynamische Gruppe + Zuweisungsfilter – Weisen Sie einer dynamischen Gruppe eine Richtlinie zu, und wenden Sie dann einen Filter an, um die Geräte in dieser Gruppe weiter zu verfeinern, die die Richtlinie erhalten. der Ansatz ist nützlich, wenn die Gruppe workloadübergreifende Zwecke erfüllt, Aber Sie benötigen eine genauere Intune Zielgruppenadressierung innerhalb der Gruppe.

    Beispiel: Ihr organization verwendet eine dynamische Gruppe für alle unternehmenseigenen Windows-Geräte, da richtlinien für bedingten Zugriff diese Gruppenmitgliedschaft erfordern. Innerhalb Intune weisen Sie dieser Gruppe ein Konfigurationsprofil zu und wenden einen Zuweisungsfilter nur auf Geräte an, auf denen Windows 11 24H2 oder höher ausgeführt wird. Die Gruppe verarbeitet den Bereich für bedingten Zugriff, während der Filter Intune spezifische Versionsadressierung verarbeitet, ohne eine zweite Gruppe zu erstellen.

Bewährte Methoden für dynamische Gruppen:

  • Regeln einfach halten – Verwenden Sie direkte Eigenschaftenvergleiche mit -eq oder -startsWith und eine kleine Anzahl von Bedingungen. Einfachere Regeln werden schneller ausgewertet und lassen sich leichter beheben.
  • Vermeide memberOf – Transitive Gruppensuchvorgänge erhöhen die Verarbeitungskomplexität und sind eine häufige Quelle unerwarteter Mitgliedschaftsergebnisse.
  • Schreibberechtigungen für Überwachungsattribute – Wenn eine dynamische Gruppe den Zugriff auf sensible Ressourcen (bedingter Zugriff, Lizenzierung) steuert, hängt die Sicherheit dieses Zugriffs davon ab, wer die Attribute ändern kann, auf die in der Regel verwiesen wird.
  • Sicherstellen, dass Geräte über sauber, genaue Attribute verfügen– Die dynamische Gruppenmitgliedschaft hängt von den Eigenschaften ab, die in das Geräteobjekt geschrieben werden. Veraltete oder fehlende Werte führen zu einer unerwarteten Mitgliedschaft.

Ausführliche Anleitungen zur Regelsyntax und zum Schreiben effizienter Regeln finden Sie unter:

features für Intune targeting

Zuweisungsfilter

Zuweisungsfilter sind Intune ausgewertete Regeln, die verfeinern, welche Geräte eine Richtlinie oder App erhalten. Filter werden auf eine Gruppenzuweisung angewendet und werten Geräteeigenschaften direkt beim Einchecken aus, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein.

Verwenden Sie in folgenden Fällen:

  • Sie zielen auf Intune Richtlinien oder Apps basierend auf Geräteeigenschaften (Betriebssystemversion, Hersteller, Modell, Besitz, Gerätekategorie) ab.
  • Sie möchten die Auswertung direkt beim Einchecken des Geräts durchführen, ohne dass eine Verarbeitung der Gruppenmitgliedschaft erforderlich ist.
  • Sie möchten allgemeine Gruppenzuweisungen (z. B. Alle Geräte) mit präziser Zielbestimmung auf Geräteebene kombinieren.
  • Sie möchten bestimmte Geräte aus einer Richtlinie einschließen oder ausschließen , die einer breiten Gruppe zugewiesen ist.

Häufige Szenarien:

  • Bereitstellen einer Konformitätsrichtlinie für alle unternehmenseigenen Windows-Geräte
  • Ausschließen eines bestimmten Geräteherstellers aus einem Konfigurationsprofil
  • Zielgeräte, auf denen eine bestimmte Betriebssystemversion für eine App-Bereitstellung ausgeführt wird
  • Beschränken Sie eine Richtlinie, die Allen Geräten zugewiesen ist, nur auf iOS-Geräte, die sich im Besitz des organization

Hinweis

Zuweisungsfilter sind kein Ersatz für Gruppen in jedem Szenario. Filter können nicht für Folgendes verwendet werden:

  • Autopilot-Profilzuweisung – Geräte müssen Gruppenmitglieder sein, bevor die Registrierung beginnt.
  • Bedingter Zugriff, Lizenzierung oder SharePoint – diese Dienste erfordern Entra Gruppenmitgliedschaft
  • Workloads, die keine Filter unterstützen – Überprüfen Sie die Filterunterstützung für Ihre spezifische Richtlinie oder Ihren App-Typ, bevor Sie sie entwerfen.

Gruppierung der Registrierungszeit

Durch die Registrierungszeitgruppierung werden Geräte während der Registrierung einer angegebenen Sicherheitsgruppe hinzugefügt, anstatt danach. Mit diesem Feature können Apps und Richtlinien, die dieser Gruppe zugewiesen sind, früher im Registrierungsablauf bereitgestellt werden – in vielen Fällen beim ersten Einchecken – ohne auf die Verarbeitung der Gruppenmitgliedschaft zu warten. Die tatsächliche Übermittlungszeit hängt von der Workload, der Plattform, dem Zuweisungstyp und der Registrierungsmethode ab.

Verwenden Sie in folgenden Fällen:

Verwenden Sie nicht, wenn:

  • Ein Zuweisungsfilter kann das gleiche Ziel erreichen. Wenn die Richtlinie nur Intune ist und Sie die Zieleinstellungen basierend auf den beim Einchecken verfügbaren Geräteeigenschaften (Betriebssystem, Hersteller, Besitz) verwenden, ist ein Filter einfacher und erfordert keine Gruppenverwaltung.
  • Sie benötigen die Gruppe nicht für andere Zwecke. Durch die Gruppierung zur Registrierungszeit werden echte Entra Sicherheitsgruppenmitgliedschaften erstellt, die nach der Registrierung beibehalten werden. Wenn kein anderer Dienst diese Gruppe liest, fügen Sie den Verwaltungsaufwand ohne Vorteile hinzu.
  • Die Registrierungsmethode unterstützt dies nicht– nur bestimmte Registrierungsflows unterstützen die Gruppierung der Registrierungszeit. Überprüfen Sie, ob Ihre Registrierungsmethode in der Liste unterstützt ist, bevor Sie sie herum entwerfen.

Weitere Informationen findest du unter Registrierungszeitgruppierung in Microsoft Intune.

Auswählen des richtigen Ansatzes

Für die meisten Intune Umgebungen kombiniert der beste Ansatz mehrere Methoden:

  1. Beginnen Sie mit allgemeinen Gruppen – Verwenden Sie virtuelle Gruppen, statische Gruppen oder dynamische Gruppen als Basiszuweisungsziele. Wählen Sie die umfassendste geeignete Basisgruppe für Ihre organization aus. Berücksichtigen Sie dabei jedoch den Bewertungszeitpunkt und die workloadübergreifenden Anforderungen der einzelnen Gruppentypen.
  2. Optimieren der Zielgruppenadressierung basierend auf Geräteattributen: Verwenden Sie Zuweisungsfilter, wenn die Richtlinie nur Intune ist. Verwenden Sie dynamische Gruppen, wenn die attributbasierte Mitgliedschaft workloadsübergreifend erforderlich ist (bedingter Zugriff, Lizenzierung, Autopilot).
  3. Verwenden Sie die Registrierungszeitgruppierung , um das Warten auf die Verarbeitung der Gruppenmitgliedschaft während der Registrierung zu entfernen, sodass Richtlinien beim ersten Einchecken übermittelt werden.

Achtung

Umfangreiche Zuweisungen sind leistungsstark, bergen jedoch Risiken. Bevor Sie Allen Geräten mit einem Filter Richtlinien mit hohen Auswirkungen zuweisen, überprüfen Sie den Filter zunächst anhand einer Pilotgruppe. Ein falsch konfigurierter oder gelöschter Filter für eine umfassende Zuweisung kann sich auf jedes Gerät im Bereich auswirken. Verwenden Sie gestaffelte Rolloutringe und überwachen Sie die Zuweisungsberichte, bevor Sie in die Produktion expandieren.

Wenn eine dynamische Gruppe zu einem Filter werden kann

Wenn Sie über dynamische Gerätegruppen verfügen, die einfache Eigenschaftenregeln verwenden und nur von Intune genutzt werden – nicht von bedingtem Zugriff, Lizenzierung oder anderen Diensten –, können Sie Ihre Zielgruppenadressierung vereinfachen, indem Sie diese Gruppen durch Zuweisungsfilter ersetzen. Bei der Absicht geht es nicht darum, alle dynamischen Gruppen zu entfernen. Es geht darum, unnötigen Gruppenverarbeitungsaufwand für Gruppen zu entfernen, die keine workloadübergreifenden Zwecke erfüllen.

Die folgende Tabelle enthält allgemeine dynamische Gruppenregeln und deren entsprechende Zuweisungsfiltersyntax:

Dynamische Gruppenregel Äquivalenter Zuweisungsfilter Hinweise
device.deviceOSType -eq "Windows" operatingSystemSKU -eq "Windows" Ziel des Betriebssystemtyps
device.deviceManufacturer -eq "Microsoft" manufacturer -eq "Microsoft Corporation" Herstellerziel
device.deviceModel -startsWith "Surface" model -startsWith "Surface" Modelladressierung
device.deviceOwnership -eq "Company" deviceOwnership -eq "Corporate" Besitzziele
device.deviceCategory -eq "Engineering" deviceCategory -eq "Engineering" Gerätekategorieadressierung

Hinweis

Eigenschaftennamen und -werte können sich zwischen dynamischen Gruppenregeln und Zuweisungsfiltersyntax geringfügig unterscheiden. Überprüfen Sie die genauen Eigenschaftennamen und unterstützten Werte unter Unterstützte Geräteeigenschaften beim Erstellen von Filtern.

Wichtig

Entfernen Sie keine dynamischen Gruppen, die von Diensten außerhalb von Intune (bedingter Zugriff, Lizenzierung, SharePoint) verwendet werden. Diese Dienste können keine Zuweisungsfilter nutzen– sie erfordern eine Gruppenmitgliedschaft. Vereinfachen Sie nur Gruppen, die ausschließlich für Intune Richtlinienadressierung vorhanden sind.

Tipp

Zielentscheidungen wirken sich auch auf die Leistung aus – insbesondere in großen Umgebungen. Anleitungen zur Wiederverwendung von Gruppen, zur Vermeidung gängiger Antimuster und zum Verständnis des Synchronisierungsverhaltens finden Sie unter Leistungsempfehlungen für Gruppierung, Zielgruppenadressierung und Filterung.

  • Last updated on