Netzwerkendpunkte für Microsoft Intune

In diesem Artikel werden IP-Adressen und Porteinstellungen aufgeführt, die für Proxyeinstellungen in Ihren Microsoft Intune-Bereitstellungen erforderlich sind.

Als rein cloudbasierter Dienst erfordert Intune keine lokale Infrastruktur wie Server oder Gateways.

Zugriff für verwaltete Geräte

Sie müssen die Kommunikation für Intune aktivieren, um Geräte hinter Firewalls und Proxyservern zu verwalten.

• Die Endpunkte in diesem Artikel ermöglichen den Zugriff auf die in den folgenden Tabellen angegebenen Ports.

• Für einige Aufgaben erfordert Intune nicht authentifizierten Proxyserverzugriff auf manage.microsoft.com, *.azureedge.net und graph.microsoft.com.

  Hinweis

  Die ÜBERPRÜFUNG des SSL-Datenverkehrs wird für "*.manage.microsoft.com"-, "*.dm.microsoft.com"-Endpunkte oder die im Konformitätsabschnitt aufgeführten ENDPUNKTe (Device Health Attestation, DHA) nicht unterstützt.

Sie können die Proxyservereinstellungen auf einzelnen Clientcomputern festlegen. Sie können zudem Gruppenrichtlinieneinstellungen verwenden, um die Einstellungen für alle Clientcomputer hinter einem bestimmten Proxyserver anzupassen.

Für verwaltete Geräte sind Konfigurationen erforderlich, über die Alle Benutzer über Firewalls auf Dienste zugreifen können.

PowerShell-Skript

Um die Konfiguration von Diensten über Firewalls zu vereinfachen, haben wir das Onboarding mit dem Office 365-Endpunktdiensts vorgenommen. Derzeit wird über ein PowerShell-Skript auf die Intune Endpunktinformationen zugegriffen. Es gibt weitere abhängige Dienste für Intune, die bereits als Teil des Microsoft 365-Diensts abgedeckt und als "erforderlich" gekennzeichnet sind. Dienste, die bereits von Microsoft 365 abgedeckt werden, sind nicht im Skript enthalten, um Duplizierung zu vermeiden.

Mithilfe des folgenden PowerShell-Skripts können Sie die Liste der IP-Adressen für den Intune-Dienst abrufen.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.ips} | select -unique -ExpandProperty ips

Mithilfe des folgenden PowerShell-Skripts können Sie die Liste der FQDNs abrufen, die von Intune und abhängigen Diensten verwendet werden. Wenn Sie das Skript ausführen, können sich die URLs in der Skriptausgabe von den URLs in den folgenden Tabellen unterscheiden. Stellen Sie mindestens sicher, dass Sie die URLs in die Tabellen einschließen.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.urls} | select -unique -ExpandProperty urls

Das Skript bietet eine praktische Methode zum Auflisten und Überprüfen aller Dienste, die von Intune und Autopilot an einem Ort benötigt werden. Vom Endpunktdienst können zusätzliche Eigenschaften zurückgegeben werden, z. B. die Category-Eigenschaft, die angibt, ob der FQDN oder die IP als Zulassen, Optimieren oder Standard konfiguriert werden soll.

Endpunkte

Außerdem benötigen Sie FQDNs, die im Rahmen der Microsoft 365-Anforderungen abgedeckt werden. Die folgenden Tabellen zeigen den Dienst, an den sie gebunden sind, und die Liste der zurückgegebenen URLs.

Die in den Tabellen angezeigten Datenspalten sind:

• ID: Die ID-Nummer der Zeile, auch als Endpunktsatz bezeichnet. Diese ID entspricht der ID, die vom Webdienst für den Endpunktsatz zurückgegeben wird.

• Kategorie: Zeigt an, ob der Endpunktsatz als "Optimieren", "Zulassen" oder " Standard" kategorisiert ist. In dieser Spalte wird auch aufgelistet, welche Endpunktsätze für netzwerkkonnektivität erforderlich sind. Für Endpunktsätze, die nicht über Netzwerkkonnektivität verfügen müssen, stellen wir Hinweise in diesem Feld bereit, um anzugeben, welche Funktionalität fehlen würde, wenn der Endpunktsatz blockiert wird. Wenn Sie einen gesamten Dienstbereich ausschließen, ist für die als erforderlich aufgeführten Endpunktsätze keine Konnektivität erforderlich.

  Informationen zu diesen Kategorien und Anleitungen für deren Verwaltung finden Sie unter Neue Microsoft 365-Endpunktkategorien.

• ER: Dies ist Ja/True, wenn der Endpunktsatz über Azure ExpressRoute mit Microsoft 365-Routenpräfixen unterstützt wird. Die BGP-Community, die die angezeigten Routenpräfixe enthält, entspricht dem aufgeführten Dienstbereich. Wenn ER den Wert No/False aufweist, wird ExpressRoute für diesen Endpunktsatz nicht unterstützt.

• Adressen: Listen die FQDNs oder Die Domänennamen und IP-Adressbereiche für den Endpunktsatz. Beachten Sie, dass ein IP-Adressbereich im CIDR-Format vorliegt und viele einzelne IP-Adressen im angegebenen Netzwerk enthalten kann.

• Ports: Listen die TCP- oder UDP-Ports, die mit aufgelisteten IP-Adressen kombiniert werden, um den Netzwerkendpunkt zu bilden. Möglicherweise stellen Sie eine Duplizierung in IP-Adressbereichen fest, in denen verschiedene Ports aufgeführt sind.

Intune Kerndienst

Autopilot-Abhängigkeiten

Remotehilfe

Intune Abhängigkeiten

In diesem Abschnitt sind in den folgenden Tabellen die Intune Abhängigkeiten sowie die Ports und Dienste aufgeführt, auf die der Intune Client zugreift.

• Abhängigkeiten der Windows-Pushbenachrichtigungsdienste
• Abhängigkeiten der Übermittlungsoptimierung
• Apple-Abhängigkeiten
• Android AOSP-Abhängigkeiten

WNS-Abhängigkeiten (Windows Push Notification Services)

Bei von Intune verwalteten Windows-Geräten, die mithilfe von mobiler Geräteverwaltung verwaltet werden, müssen für Geräteaktionen und andere sofortige Aktivitäten die Windows-Pushbenachrichtigungsdienste verwendet werden. Weitere Informationen finden Sie unter Zulassen von Windows Notification-Datenverkehr durch Unternehmensfirewalls.

Abhängigkeiten der Übermittlungsoptimierung

Portanforderungen : Für Peer-to-Peer-Datenverkehr verwendet die Übermittlungsoptimierung 7680 für TCP/IP. Teredo wird an Port 3544 für NAT-Traversal verwendet (die Verwendung von Teredo ist optional). Für die Clientdienstkommunikation wird HTTP oder HTTPS über Port 80/443 verwendet.

Proxyanforderungen : Um die Übermittlungsoptimierung verwenden zu können, müssen Sie Bytebereichsanforderungen zulassen. Weitere Informationen finden Sie unter Proxyanforderungen für Windows Update.

Firewallanforderungen : Lassen Sie die folgenden Hostnamen durch Ihre Firewall zu, um die Übermittlungsoptimierung zu unterstützen. Für die Kommunikation zwischen Clients und dem Clouddienst zur Übermittlungsoptimierung:

• *.do.dsp.mp.microsoft.com

Für Metadaten der Übermittlungsoptimierung:

• *.dl.delivery.mp.microsoft.com

Apple-Abhängigkeiten

Weitere Informationen finden Sie in den folgenden Ressourcen:

• Verwenden von Apple-Produkten in Unternehmensnetzwerken
• Von Apple-Softwareprodukten verwendete TCP- und UDP-Ports
• Informationen zu macOS-, iOS- und iTunes-Server-Hostverbindungen und iTunes-Hintergrundprozessen
• Wenn Ihre macOS- und iOS-Clients keine Apple Push-Benachrichtigungen empfangen

Android AOSP-Abhängigkeiten

Android-Portinformationen : Je nachdem, wie Sie Android-Geräte verwalten möchten, müssen Sie möglicherweise die Google Android Enterprise-Ports und/oder die Android-Pushbenachrichtigung öffnen. Weitere Informationen zu den unterstützten Verwaltungsmethoden für Android finden Sie in der Dokumentation zur Android-Registrierung.

Android Enterprise-Abhängigkeiten

Google Android Enterprise – Google stellt die Dokumentation der erforderlichen Netzwerkports und Zielhostnamen im Android Enterprise Bluebook im Abschnitt Firewall dieses Dokuments bereit.

Android-Pushbenachrichtigung: Intune verwendet Google Firebase Cloud Messaging (FCM) für Pushbenachrichtigungen, um Geräteaktionen und Check-Ins auszulösen. Dies ist sowohl für Android-Geräteadministrator als auch für Android Enterprise erforderlich. Informationen zu den FCM-Netzwerkanforderungen finden Sie in Google unter FCM-Ports und Ihre Firewall.

Authentifizierungsabhängigkeiten

Weitere Informationen findest du unter Office 365 URLs und IP-Adressbereiche.

Netzwerkanforderungen für PowerShell-Skripts und Win32-Apps

Wenn Sie Intune verwenden, um PowerShell-Skripts oder Win32-Apps bereitzustellen, müssen Sie auch Zugriff auf Endpunkte gewähren, in denen sich Ihr Mandant derzeit befindet.

Melden Sie sich beim Microsoft Intune Admin Center an, und wählen Sie Mandantenverwaltungsdetails> aus, um ihren Mandantenstandort (oder Azure Scale Unit, ASU) zu ermitteln. Der Speicherort befindet sich unter Mandantenstandort, z. B. „Nordamerika 0501“ oder „Europa 0202“. Suchen Sie in der folgenden Tabelle nach der passenden Nummer. Diese Zeile gibt an, welchen Speichernamen und CDN-Endpunkten Der Zugriff gewährt werden soll. Die Zeilen unterscheiden sich durch die geografische Region, wie durch die ersten beiden Buchstaben in den Namen (na = Nordamerika, eu = Europa, ap = Asien-Pazifik) angegeben. Ihr Mandantenstandort ist eine dieser drei Regionen, obwohl der tatsächliche geografische Standort Ihres organization woanders liegt.

Microsoft Store

Verwaltete Windows-Geräte, die den Microsoft Store verwenden – entweder zum Erwerben, Installieren oder Aktualisieren von Apps – benötigen Zugriff auf diese Endpunkte.

Microsoft Store-API (AppInstallManager):

• displaycatalog.mp.microsoft.com
• purchase.md.mp.microsoft.com
• licensing.mp.microsoft.com
• storeedgefd.dsx.mp.microsoft.com

Windows Update-Agent:

Ausführliche Informationen finden Sie in den folgenden Ressourcen:

• Verwalten von Verbindungsendpunkten für Windows 11 Enterprise
• Verwalten von Verbindungsendpunkten für Windows 10 Enterprise Version 21H2

Download von Win32-Inhalten:

Speicherorte und Endpunkte zum Herunterladen von Win32-Inhalten sind pro Anwendung eindeutig und werden vom externen Herausgeber bereitgestellt. Sie können den Speicherort für jede Win32 Store-App mit dem folgenden Befehl auf einem Testsystem ermitteln (Sie können die [PackageId] für eine Store-App abrufen, indem Sie auf die Eigenschaft Paketbezeichner der App verweisen, nachdem Sie sie zu Microsoft Intune hinzugefügt haben):

winget show [PackageId]

Die Eigenschaft Installer-URL zeigt entweder den externen Downloadspeicherort oder den regionsbasierten (von Microsoft gehosteten) Fallbackcache an, je nachdem, ob der Cache verwendet wird. Beachten Sie, dass sich der Speicherort des Inhaltsdownloads zwischen dem Cache und dem externen Speicherort ändern kann.

Von Microsoft gehosteter Fallbackcache für Win32-Apps:

• Variiert je nach Region, Beispiel: sparkcdneus2.azureedge.net, sparkcdnwus2.azureedge.net

Übermittlungsoptimierung (optional, für Peering erforderlich):

Weitere Informationen finden Sie in der folgenden Ressource:

• Microsoft Connected Cache-Inhalts- und Dienstendpunkte

Migrieren von Konformitätsrichtlinien für den Geräteintegritätsnachweis zum Microsoft Azure-Nachweis

Wenn ein Kunde eine der Einstellungen für die Windows 10/11-Konformitätsrichtlinie – Geräteintegrität aktiviert, beginnt Windows 11 Geräte, einen Microsoft Azure Attestation-Dienst (MAA) basierend auf ihrem Intune Mandantenstandort zu verwenden. Windows 10- und GCCH/DOD-Umgebungen verwenden jedoch weiterhin den vorhandenen DHA-Endpunkt "has.spserv.microsoft.com" für den Geräteintegritätsnachweis und ist von dieser Änderung nicht betroffen.

Wenn ein Kunde über Firewallrichtlinien verfügt, die den Zugriff auf den neuen Intune MAA-Dienst für Windows 11 verhindern, wird Windows 11 Geräte mit zugewiesenen Konformitätsrichtlinien unter Verwendung einer der Geräteintegritätseinstellungen (BitLocker, sicherer Start, Codeintegrität) nicht konform, da sie die MAA-Nachweisendpunkte für ihren Standort nicht erreichen können.

Stellen Sie sicher, dass keine Firewallregeln vorhanden sind, die ausgehenden HTTPS/443-Datenverkehr blockieren, und dass für die in diesem Abschnitt aufgeführten Endpunkte basierend auf dem Standort Ihres Intune Mandanten keine Überprüfung des SSL-Datenverkehrs vorhanden ist.

Navigieren Sie zum Intune Admin Center >Mandantenverwaltung Mandantenverwaltung>> Status Mandantendetails finden Sie unter Mandantenstandort.

Windows Update for Business-Bereitstellungsdienst

Weitere Informationen zu den erforderlichen Endpunkten für den Windows Update for Business-Bereitstellungsdienst finden Sie unter Voraussetzungen für den Windows Update for Business-Bereitstellungsdienst.

Endpunktanalysen

Weitere Informationen zu den erforderlichen Endpunkten für die Endpunktanalyse finden Sie unter Proxykonfiguration der Endpunktanalyse.

Microsoft Defender für Endpunkt

Weitere Informationen zum Konfigurieren der Defender für Endpunkt-Konnektivität finden Sie unter Konnektivitätsanforderungen.

Um die Verwaltung der Sicherheitseinstellungen von Defender für Endpunkt zu unterstützen, lassen Sie die folgenden Hostnamen durch Ihre Firewall zu. Für die Kommunikation zwischen Clients und dem Clouddienst:

• *.dm.microsoft.com: Die Verwendung eines Wildcards unterstützt die Clouddienstendpunkte, die für die Registrierung, das Einchecken und die Berichterstellung verwendet werden und sich bei der Skalierung des Diensts ändern können.

  Wichtig

  Die SSL-Überprüfung wird auf Endpunkten, die für Microsoft Defender for Endpoint erforderlich sind, nicht unterstützt.

Microsoft Intune Endpoint Privilege Management

Um die Verwaltung von Endpunktberechtigungen zu unterstützen, lassen Sie die folgenden Hostnamen an TCP-Port 443 durch Ihre Firewall zu.

Für die Kommunikation zwischen Clients und dem Clouddienst:

• *.dm.microsoft.com: Die Verwendung eines Wildcards unterstützt die Clouddienstendpunkte, die für die Registrierung, das Einchecken und die Berichterstellung verwendet werden und sich bei der Skalierung des Diensts ändern können.

• *.events.data.microsoft.com: Wird von Intune verwalteten Geräten verwendet, um optionale Berichtsdaten an den Intune Datensammlungsendpunkt zu senden.

  Wichtig

  Die SSL-Überprüfung wird für Endpunkte, die für die Endpoint Privilege Management-Verwaltung erforderlich sind, nicht unterstützt.

Weitere Informationen finden Sie in der Übersicht über die Endpoint Privilege Management-Verwaltung.

Verwandte Themen

URLs und IP-Adressbereiche für Office 365

Microsoft 365 – Überblick über die Netzwerkkonnektivität

Netzwerke für die Inhaltsübermittlung (Content Delivery Networks, CDNs)

Andere Endpunkte, die nicht im Office 365-Webdienst für IP-Adressen und URLs enthalten sind

Verwalten von Office 365-Endpunkten