Automatisches Registrieren eines Windows-Geräts mithilfe einer Gruppenrichtlinie

Sie können eine Gruppenrichtlinie verwenden, um die automatische Registrierung bei der Verwaltung mobiler Geräte (Mobile Device Management, MDM) für in active Directory (AD) in die Domäne eingebundene Geräte auszulösen.

Die in Ihrem lokalen AD erstellte Gruppenrichtlinie löst die Registrierung bei Intune ohne Benutzerinteraktion aus. Dieser Mechanismus für Ursache und Wirkung bedeutet, dass Sie automatisch eine große Anzahl von in die Domäne eingebundenen Unternehmensgeräten in Microsoft Intune registrieren können. Der Registrierungsprozess beginnt im Hintergrund, nachdem Sie sich mit Ihrem Microsoft Entra-Konto beim Gerät angemeldet haben.

Anforderungen:

• Auf dem in Active Directory eingebundenen Gerät muss eine unterstützte Version von Windows ausgeführt werden.
• Das Unternehmen hat einen MDM-Dienst (Mobile Device Management) konfiguriert.
• Das lokale Active Directory muss mit Microsoft Entra ID (über Microsoft Entra Connect) integriert werden.
• Konfiguration des Dienstverbindungspunkts (Service Connection Point, SCP). Weitere Informationen finden Sie unter Konfigurieren des SCP mit Microsoft Entra Connect. Informationen zu Umgebungen, die keine SCP-Daten in AD veröffentlichen, finden Sie unter Zielbereitstellung mit Microsoft Entra Hybrid Join.
• Das Gerät sollte nicht bereits mit den klassischen Agents in Intune registriert sein (Geräte, die mithilfe von Agents verwaltet werden, schlagen bei der Registrierung mit error 0x80180026fehl).
• Die Mindestanforderung für die Windows Server-Version basiert auf der Microsoft Entra-Hybrideinbindungsanforderung. Weitere Informationen finden Sie unter Planen ihrer Microsoft Entra Hybrid Join-Implementierung.

Die automatische Registrierung basiert auf dem Vorhandensein eines MDM-Diensts und der Microsoft Entra-Registrierung für den PC. Nachdem das Unternehmen sein AD mit der Microsoft Entra-ID registriert hat, wird ein Windows-PC, der einer Domäne beigetreten ist, automatisch bei Microsoft Entra registriert.

Wenn die Gruppenrichtlinie für die automatische Registrierung aktiviert ist, wird im Hintergrund eine Aufgabe erstellt, die die MDM-Registrierung initiiert. Der Task verwendet die vorhandene MDM-Dienstkonfiguration aus den Microsoft Entra-Informationen des Benutzers. Wenn die mehrstufige Authentifizierung erforderlich ist, wird der Benutzer aufgefordert, die Authentifizierung abzuschließen. Nachdem die Registrierung konfiguriert wurde, kann der Benutzer den Status auf der Seite Einstellungen überprüfen.

• Ab Windows 10, Version 1709, hat die Gruppenrichtlinienrichtlinie Vorrang vor MDM, wenn dieselbe Richtlinie in Gruppenrichtlinie und MDM konfiguriert ist.
• Ab Windows 10, Version 1803, können Sie mit einer neuen Einstellung die Rangfolge in MDM ändern. Weitere Informationen finden Sie unter Windows-Gruppenrichtlinie und Intune-MDM-Richtlinie wer gewinnt?.

Damit diese Richtlinie funktioniert, müssen Sie überprüfen, ob der MDM-Dienstanbieter die durch Gruppenrichtlinien initiierte MDM-Registrierung für in die Domäne eingebundene Geräte zulässt.

Konfigurieren der automatischen Registrierung für eine Gruppe von Geräten

Führen Sie die folgenden Schritte aus, um die automatische Registrierung mithilfe einer Gruppenrichtlinie zu konfigurieren:

1. Erstellen Sie ein Gruppenrichtlinienobjekt (Group Policy Object, GPO), und aktivieren Sie die Gruppenrichtlinie Computerkonfiguration>Administrative Vorlagen>Windows-Komponenten>MDM>Automatische MDM-Registrierung mit Standardmäßigen Microsoft Entra-Anmeldeinformationen aktivieren.
2. Erstellen Sie eine Sicherheitsgruppe für die PCs.
3. Verknüpfen Sie das Gruppenrichtlinienobjekt.
4. Filtern sie mithilfe von Sicherheitsgruppen.

Wenn die Richtlinie nicht angezeigt wird, rufen Sie die neueste ADMX-Version für Ihre Windows-Version ab. Gehen Sie wie folgt vor, um das Problem zu beheben. Die neueste MDM.admx ist abwärtskompatibel.

1. Laden Sie die administrativen Vorlagen für die gewünschte Version herunter:

   • Windows 11, Version 23H2
   • Windows 11, Version 22H2
   • Windows 10, Version 22H2

2. Installieren Sie das Paket auf dem Domänencontroller.

3. Navigieren Sie zu C:\Program Files (x86)\Microsoft Group Policy, und suchen Sie je nach installierter Version nach dem entsprechenden Unterverzeichnis.

4. Kopieren Sie den Ordner PolicyDefinitions in \\contoso.com\SYSVOL\contoso.com\policies\PolicyDefinitions.

   Wenn dieser Ordner nicht vorhanden ist, kopieren Sie die Dateien in den zentralen Richtlinienspeicher für Ihre Domäne.

5. Warten Sie, bis die SYSVOL DFSR-Replikation abgeschlossen ist, damit die Richtlinie verfügbar ist.

Konfigurieren der Gruppenrichtlinie für die automatische Registrierung für einen einzelnen PC

Dieses Verfahren dient nur zu Veranschaulichungszwecken, um zu veranschauliche, wie die neue Richtlinie für die automatische Registrierung funktioniert. Dies wird für die Produktionsumgebung im Unternehmen nicht empfohlen.

1. Führen Sie GPEdit.msc aus. Wählen Sie Start aus, und geben Sie dann in das Textfeld ein gpedit.

2. Wählen Sie unter Beste Übereinstimmungdie Option Gruppenrichtlinie bearbeiten aus, um sie zu starten.

3. Wählen Sie unter Richtlinie für lokale Computerdie Option Administrative Vorlagen>Windows-Komponenten>MDM aus.

4. Doppelklicken Sie auf Automatische MDM-Registrierung mit standardmäßigen Microsoft Entra-Anmeldeinformationen aktivieren. Wählen Sie Aktivieren aus, wählen Sie in der Dropdownliste Zu verwendenden Anmeldeinformationstyp auswählen die Option Benutzeranmeldeinformationen aus, und wählen Sie dann OK aus.

   

   Hinweis

   In Windows 10, Version 1903 und höher, wurde die Datei MDM.admx so aktualisiert, dass sie die Option Geräteanmeldeinformationen enthält, um auszuwählen, welche Anmeldeinformationen zum Registrieren des Geräts verwendet werden. Das Standardverhalten für ältere Releases besteht darin, benutzeranmeldeinformationen wiederhergestellt zu werden.

   Geräteanmeldeinformationen werden nur für die Microsoft Intune-Registrierung in Szenarien mit Co-Verwaltung oder Azure Virtual Desktop-Hostpools mit mehreren Sitzungen unterstützt, da das Intune-Abonnement benutzerorientiert ist. Benutzeranmeldeinformationen werden für persönliche Azure Virtual Desktop-Hostpools unterstützt.

Wenn eine Gruppenrichtlinienaktualisierung auf dem Client erfolgt, wird eine Aufgabe erstellt und für einen Tag alle fünf Minuten geplant. Die Aufgabe wird als Zeitplan bezeichnet, der vom Registrierungsclient für die automatische Registrierung bei MDM über microsoft Entra ID erstellt wird. Um die geplante Aufgabe anzuzeigen, starten Sie die Taskplaner-App.

Wenn die zweistufige Authentifizierung erforderlich ist, werden Sie aufgefordert, den Vorgang abzuschließen. Hier ist ein Beispielscreenshot.

Überprüfen der Registrierung

Um die erfolgreiche Registrierung bei MDM zu überprüfen, wechseln Sie zu Starteinstellungen>>Konten>Auf Geschäfts-, Schul- oder Unikonto zugreifen, und wählen Sie dann Ihr Domänenkonto aus. Wählen Sie Info aus, um die MDM-Registrierungsinformationen anzuzeigen.

Aufgabenplanungs-App

Wählen Sie Start aus, und geben Sie dann in das Textfeld ein task scheduler. Wählen Sie unter Beste Übereinstimmungdie Option Aufgabenplanung aus, um ihn zu starten.

Öffnen Sie in der TaskplanerbibliothekMicrosoft > Windows , und wählen Sie dann EnterpriseMgmt aus.

Um das Ergebnis der Aufgabe anzuzeigen, verschieben Sie die Bildlaufleiste, um das Ergebnis der letzten Ausführung anzuzeigen. Die Protokolle werden auf der Registerkarte Verlauf angezeigt.

Die Meldung 0x80180026 ist eine Fehlermeldung (MENROLL_E_DEVICE_MANAGEMENT_BLOCKED), die durch aktivieren der Richtlinie Mdm-Registrierung deaktivieren verursacht werden kann.

Verwandte Artikel

• Gruppenrichtlinien-Verwaltungskonsole
• Erstellen und Bearbeiten eines Gruppenrichtlinienobjekts
• Verknüpfen eines Gruppenrichtlinienobjekts
• Filtern mithilfe von Sicherheitsgruppen
• Erzwingen eines Gruppenrichtlinienobjektlinks
• Erste Schritte mit cloudnativen Windows-Endpunkten