Intune-Verwaltungserweiterung für Windows

Die Intune Management Extension (IME) ist ein Installer-Agent. Die Verwaltungserweiterung verbessert die Windows-Geräteverwaltung (MDM). Die Intune-Verwaltungserweiterung ergänzt das Standardmäßige Windows MDM-Feature, indem erweiterte Geräteverwaltungsfunktionen aktiviert werden.

Hinweis

Informationen zu PowerShell-Skripts finden Sie unter Verwenden von PowerShell-Skripts auf Windows 10/11-Geräten in Intune.

Wichtig

Um erweiterte Funktionen und Fehlerbehebungen zu unterstützen, verwenden Sie .NET Framework 4.7.2 oder höher mit der Intune-Verwaltungserweiterung auf Windows-Clients. Wenn ein Windows-Client weiterhin eine frühere Version des .NET Framework verwendet, funktioniert die Intune-Verwaltungserweiterung weiterhin. Die .NET Framework 4.7.2 ist ab dem 10. Juli 2018 ab Windows Update verfügbar, die in Win10 1809 (RS5) und höher enthalten ist. Beachten Sie, dass mehrere Versionen der .NET Framework-Versionen auf einem Gerät gleichzeitig vorhanden sein können.

Diese Funktion gilt für:

• Windows 10 und höher (ausgenommen Windows 10 Home- und Windows-Geräte, die im S Modus ausgeführt werden).

Hinweis

Sobald die Voraussetzungen für die Intune Verwaltungserweiterung erfüllt sind, wird die Intune Verwaltungserweiterung automatisch installiert, wenn dem Benutzer oder Gerät ein PowerShell-Skript oder eine Win32-App, Microsoft Store-Apps, einstellungen für benutzerdefinierte Konformitätsrichtlinien oder proaktive Korrekturen zugewiesen werden. Weitere Informationen finden Sie in den Voraussetzungen der Intune-Verwaltungserweiterung.

Voraussetzungen

Für die Intune-Verwaltungserweiterung sind folgende Voraussetzungen erforderlich. Wenn diese erfüllt sind, wird die Intune-Verwaltungserweiterung automatisch installiert, sobald dem Benutzer oder Gerät ein PowerShell-Skript oder eine Win32-App zugewiesen wird.

• Geräte mit Windows 10, Version 1607 oder höher. Wenn das Gerät mithilfe der automatischen Massenregistrierung registriert wurde, muss es mindestens Windows 10, Version 1709 ausführen. Die Intune-Verwaltungserweiterung wird auf Windows 10 im S-Modus nicht unterstützt, da der S-Modus das Ausführen von Nicht-Store-Apps nicht zulässt.

• Geräte, die mit Microsoft Entra ID verknüpft sind, einschließlich:

  • Microsoft Entra hybrid eingebunden: Geräte, die mit Microsoft Entra ID und auch mit lokales Active Directory (AD) verknüpft sind. Anleitungen finden Sie unter Planen ihrer Microsoft Entra Hybrid Join-Implementierung.

  • Microsoft Entra registriert/Arbeitsplatzbeitritt (WPJ): Geräte, die in Microsoft Entra ID registriert sind, finden Sie unter Workplace Join als nahtlose zweite Faktor-Authentifizierung. In der Regel handelt es sich dabei um BYOD-Geräte (Bring Your Own Device), auf denen ein Geschäfts-, Schul- oder Unikonto über Einstellungen>Konten>Zugriff auf Geschäfts-, Schul- oder Unikonto hinzugefügt wurde.

• Bei Intune registrierte Geräte, wie u. a.:

  • Geräte, die in einer Gruppenrichtlinie registriert sind – Weitere Informationen finden Sie unter Automatisches Registrieren eines Windows-Geräts mit Gruppenrichtlinie.

  • Geräte, die folgendermaßen manuell in Intune registriert wurden:

    • Die automatische Registrierung bei Intune ist in Microsoft Entra ID aktiviert. Benutzer melden sich mit einem lokalen Benutzerkonto bei Geräten an und verknüpfen das Gerät manuell mit Microsoft Entra ID. Anschließend melden sie sich mit ihrem Microsoft Entra-Konto beim Gerät an.

    OR

    • Der Benutzer meldet sich mit dem Microsoft Entra-Konto beim Gerät an und registriert sich dann bei Intune.

  • Gemeinsam verwaltete Geräte, die Configuration Manager und Intune verwenden. Stellen Sie bei der Installation von Win32-Apps sicher, dass die Apps-Workload auf Pilot Intune- oder Intune-festgelegt ist. PowerShell-Skripts werden auch dann ausgeführt, wenn die Apps-Workload auf Configuration Manager festgelegt ist. Die Intune-Verwaltungserweiterung wird auf einem Gerät bereitgestellt, wenn Sie ein PowerShell-Skript für das Gerät als Ziel angeben. Denken Sie daran, dass das Gerät ein Microsoft Entra ID oder Microsoft Entra hybrid eingebundenes Gerät sein muss. Außerdem muss Windows 10, Version 1607 oder höher, darauf ausgeführt werden. Weitere Informationen finden Sie in den folgenden Artikeln:

    • Was ist Co-Verwaltung?
    • Client-Apps-Workload
    • Umstellen von Configuration Manager-Workloads auf Intune

Hinweis

Informationen zur Verwendung von Windows 10/11-VMs finden Sie unter Verwenden von Windows 10/11-VMs mit Intune.

Grundlegendes zur Installation Intune Verwaltungserweiterungs-Agents

Bei Geräten, die die Voraussetzungen erfüllen, wird die Intune-Verwaltungserweiterung automatisch installiert, wenn einem Benutzer oder Gerät bestimmte Features zugewiesen werden. Die Installation erfolgt in der Regel, wenn die folgenden Features zugewiesen sind:

• PowerShell-Skripts
• Korrekturen
• Ermittlungsskripts für benutzerdefinierte Compliance
• Win32-Apps
• Endpunktanalyse
• Remotehilfe
• Verwaltete Installationsprogramme in Intune
• Aktualisieren des Windows-BIOS mithilfe der MDM-Konfigurationsrichtlinie

Hinweis

Informationen dazu, wie der IME eingeführt und aktualisiert wird, finden Sie unter Dienstinformationen für Microsoft Intune Releaseupdates.

Der Agent wird ggf. unter C:\ProgramData\Microsoft\IntuneManagementExtension\Logs installiert und nicht im Startmenü auf Windows-Geräten angezeigt. Der Agent wird unter Dienste im Task-Manager als IntuneManagementExtension angezeigt, wenn er auf Windows-Geräten ausgeführt wird.

Funktionalität der Intune-Verwaltungserweiterung

• Der IME authentifiziert sich automatisch bei Intune-Diensten, bevor er eincheckt, um zugewiesene Installationen für das Windows-Gerät zu empfangen.
• Der IME prüft mit Intune Diensten in der Regel alle 8 Stunden nach neuen oder aktualisierten Installationen. Dieser Check-In-Prozess ist unabhängig vom MDM-Check-In.

Manuelles Initiieren eines Intune Management-IME-Check-Ins von einem Windows-Gerät aus

Öffnen Sie auf einem Windows-Gerät, auf dem der IME installiert ist, Unternehmensportal, und wählen Sie Einstellungen>Synchronisieren aus. Dadurch wird sowohl ein MDM-Check-In als auch ein IME-Check-In initiiert.

Alternativ können Sie den Task-Manager öffnen, den Dienst IntuneManagementExtension suchen, mit der rechten Maustaste klicken und Neu starten auswählen. Der IntuneManagementExtension-Dienst wird sofort neu gestartet, wodurch ein Check-In mit Intune initiiert wird.

Hinweis

Die Synchronisierungsaktionen über die Einstellungen-App (Windows 10 oder höher) oder Geräte in Microsoft Intune Admin Center initiieren einen MDM-Check-In und erzwingen keinen IME-Check-In.

Entfernen der Intune-Verwaltungserweiterung

Es gibt mehrere Bedingungen, die dazu führen können, dass der IME vom Gerät entfernt wird, z. B.:

• Shellskripts werden dem Gerät nicht mehr zugewiesen.
• Das Windows-Gerät wird nicht mehr verwaltet.
• Der IME befindet sich mehr als 24 Stunden in einem unwiederbringlichen Zustand (Aktivierungszeit des Geräts).

Häufige Probleme und Lösungen

Problem: Intune Verwaltungserweiterung wird nicht heruntergeladen.

Mögliche Lösungen:

• Das Gerät ist nicht mit Microsoft Entra ID verknüpft. Stellen Sie sicher, dass die Geräte die in diesem Artikel beschriebenen Voraussetzungen erfüllen.
• Den Gruppen, denen der Benutzer oder das Gerät angehört, sind keine PowerShell-Skripts oder Win32-Apps zugewiesen.
• Das Gerät kann nicht beim Intune-Dienst einchecken. Mögliche Gründe hierfür sind beispielsweise, dass es nicht auf das Internet oder die Windows-Pushbenachrichtigungsdienste (WNS) zugreifen kann.
• Das Gerät befindet sich im S Modus. Die Intune-Verwaltungserweiterung wird auf Geräten nicht unterstützt, die im S Modus ausgeführt werden.

Folgendermaßen können Sie feststellen, ob das Gerät automatisch registriert wird:

1. Navigieren Sie zu Einstellungen>Konten>Access work or school (Zugriff auf Geschäfts-, Schul- oder Unikonto).
2. Wählen Sie die Informationen zum verknüpften Konto >aus.
3. Wählen Sie unter Advanced Diagnostic Report (Erweiterter Diagnosebericht) Create Report (Bericht erstellen) aus.
4. Öffnen Sie MDMDiagReport in einem Webbrowser.
5. Suchen Sie nach der Eigenschaft MDMDeviceWithAAD. Wenn diese Eigenschaft vorhanden ist, wird das Gerät automatisch registriert. Wenn diese Eigenschaft nicht vorhanden ist, wird das Gerät nicht automatisch registriert.

Die automatische Windows-Registrierung aktivieren umfasst die Schritte zum Konfigurieren der automatischen Registrierung in Intune.

Protokolle zur Intune-Verwaltungserweiterung

IME-Protokolle auf dem Clientcomputer befinden sich in der Regel in C:\ProgramData\Microsoft\IntuneManagementExtension\Logs. Sie können diese Protokolldateien mit CMTrace.exe anzeigen.

Darüber hinaus können Sie die Protokolldatei AppWorkload.log verwenden, um Die Problembehandlung und Analyse von Win32-App-Verwaltungsereignissen auf dem Client zu unterstützen. Diese Protokolldatei enthält alle Protokollierungsinformationen im Zusammenhang mit App-Bereitstellungsaktivitäten, die vom IME durchgeführt werden.

IME-Protokolldateien

Protokolldatei	Beschreibung
IntuneManagementExtension.log	Dies ist die Standard Protokolldatei. Sie enthält alle IME-Check-Ins, Richtlinienanforderungen, Richtlinienverarbeitungs- und Berichtsaktivitäten.
AgentExecutor.log	Diese Datei verfolgt PowerShell-Skriptausführungen (bereitgestellt von Intune).
AppActionProcessor.log	Diese Datei verfolgt Erkennungs- und Anwendbarkeitsprüfungsaktionen für zugewiesene Apps nach.
AppWorkload.log	Diese Datei hilft bei der Problembehandlung und Analyse von Win32-App-Bereitstellungsaktivitäten.
ClientCertCheck.log	Diese Datei verfolgt Die Zertifikatüberprüfungen des Geräteclients nach.
ClientHealth.log	Diese Datei verfolgt die Integrität der Intune Verwaltungserweiterung nach.
DeviceHealthMonitoring.log	Diese Datei verfolgt die Integrität der Hardwarebereitschaft, den Gerätebestand und andere Datensammler nach.
HealthScripts.log	Diese Datei verfolgt die Integrität von Korrekturen nach, die nach einem regulären Zeitplan ausgeführt werden.
Sensor.log	Diese Datei verfolgt die Integrität des Endpunktanalysedatensammlers, einschließlich Startleistung, App-Zuverlässigkeit und mehr.
Win32AppInventory.log	Diese Datei verfolgt die Integrität des App-Bestandssammlers nach.

Nächste Schritte

• Die von Ihnen erstellte App wird in der App-Liste angezeigt. Sie können sie jetzt den von Ihnen ausgewählten Gruppen zuweisen. Weitere Informationen finden Sie unter Zuweisen von Apps zu Gruppen mit Microsoft Intune.
• Erfahren Sie mehr über die Möglichkeiten, mit denen Sie die Eigenschaften und die Zuweisung Ihrer App überwachen können. Weitere Informationen finden Sie unter Überwachen von App-Informationen und -Zuweisungen mit Microsoft Intune.
• Erfahren Sie mehr über den Kontext Ihrer App in Intune. Weitere Informationen finden Sie unter Übersicht über den Lebenszyklus der Microsoft Intune Mobile Device Management (MDM).