Gerät außer Betrieb nehmen
Ein Windows-Gerät entfernen/außer Betrieb nehmen
Beschreibung
Ein Windows-Gerät entfernen/ausphasieren. Sie können wählen, ob Sie das Gerät löschen und/oder aus Intune und AutoPilot entfernen möchten. Optional kann das Gerät in Microsoft Defender for Endpoint mit einem Tag versehen werden, um es als von der Behebung ausgeschlossen zu markieren. HINWEIS: Das Ausschluss-Tag wird auf das Gerät angewendet, erscheint aber im "Tags"-Filter des Defender-Portals erst dann, wenn es dort einmal über das Portal erstellt wurde (Gerät > Tags verwalten > "Neues Tag erstellen").
Microsoft Defender for Endpoint-Ausschluss-Tag
Microsoft Defender for Endpoint verfügt über eine native Ausschlussstatus (wird im Filter des Geräteinventars angezeigt als Ausgeschlossen / Nicht ausgeschlossen). Dieser Status kann nur über das Defender-Portal festgelegt werden — es gibt keine API um den nativen Ausschlussstatus eines Geräts programmgesteuert festzulegen.
Da der native Ausschlussstatus nicht automatisiert werden kann, wendet dieses Runbook stattdessen ein benutzerdefiniertes Gerätetag an (Standard ExcludeFromRemediation) wenn Gerät von Microsoft Defender for Endpoint ausschließen ist aktiviert. Das Gerät wird anhand seiner Entra ID-Geräte-ID gesucht und über POST /api/machines/{id}/tags, wodurch ein Kennzeichen bereitgestellt wird, das zum Filtern und Ansteuern ausgeschlossener Geräte verwendet werden kann.
Einmalige Einrichtung: den Tag filterbar machen
Der Filter des Portals Tags Der Filter listet leider nur Tags auf, die über das Portal erstellt wurden. Ein ausschließlich über die API gesetzter Tag ist dem Gerät zugeordnet und auf der Geräteseite sichtbar, aber er zu im Tags-Filter von selbst angezeigt.
Damit der Ausschluss-Tag sichtbar und zum Filtern im Defender-Geräteinventarverwendbar ist, muss ein Gerät einmal manuell über das Portal mit einem Tag versehen werden (ein Gerät auswählen > Tags verwalten > „Neuen Tag erstellen“, mit exakt demselben Tag-Wert). Nach diesem einmaligen Schritt wird der Tag zu einem bekannten, filterbaren Tag, und dieses Runbook kann ihn in großem Umfang auf Geräte anwenden.
Hinweis: Dieser Tag ist nur eine Kennzeichnung — er setzt nicht den nativen Ausschlussstatus des Geräts und hat für sich allein keine Behebungswirkung. Er wird nur wirksam, wenn eine Defender-Gerätegruppe oder Automatisierungsregel ausdrücklich so konfiguriert ist, dass sie mit diesem Tag-Wert übereinstimmt. Solche Regeln stimmen den Tag-Wert direkt ab, unabhängig vom Portal Tags filter, sodass der einmalige manuelle Schritt nur beeinflusst, ob der Tag in der Portal-Benutzeroberfläche für Filterungen auswählbar ist.
Siehe Geräte-Tags erstellen und verwalten für Details.
Ort
Gerät → Allgemein → Gerät ausphasieren
Vollständiger Runbook-Name
rjgit-device_general_outphase-device
Berechtigungen
Anwendungsberechtigungen
Typ: Microsoft Graph
DeviceManagementManagedDevices.PrivilegedOperations.All
DeviceManagementManagedDevices.ReadWrite.All
DeviceManagementServiceConfig.ReadWrite.All
Device.Read.All
Typ: WindowsDefenderATP
Machine.Read.All
Machine.ReadWrite.All
RBAC-Rollen
Cloud-Geräteadministrator
Parameter
DeviceId
Die Geräte-ID des Zielgeräts.
Erforderlich
wahr
Standardwert
Typ
Zeichenfolge
intuneAction
Bestimmt die auszuführende Intune-Aktion (zurücksetzen, löschen oder keine).
Erforderlich
false
Standardwert
2
Typ
Int32
aadAction
Bestimmt die auszuführende Aktion für Entra ID (Azure AD) (löschen, deaktivieren oder keine).
Erforderlich
false
Standardwert
2
Typ
Int32
wipeDevice
Wenn auf true gesetzt, löst dies eine Zurücksetzungsaktion in Intune aus.
Erforderlich
false
Standardwert
Wahr
Typ
Boolesch
removeIntuneDevice
Wenn auf true gesetzt, wird das Intune-Geräteobjekt gelöscht.
Erforderlich
false
Standardwert
False
Typ
Boolesch
removeAutopilotDevice
„Delete device from AutoPilot database?“ (finaler Wert: true) oder „Keep device / do not care“ (finaler Wert: false) können als auszuführende Aktion gewählt werden. Wenn auf true gesetzt, löscht das Runbook das Gerät aus der AutoPilot-Datenbank, wodurch das Gerät auch den Tenant verlassen kann. Wenn auf false gesetzt, bleibt das Gerät in der AutoPilot-Datenbank und kann im Tenant einem anderen Benutzer/Gerät neu zugewiesen werden.
Erforderlich
false
Standardwert
Wahr
Typ
Boolesch
removeAADDevice
"Gerät aus Entra ID löschen?" (Endwert: true) oder "Gerät behalten / egal" (Endwert: false) können als auszuführende Aktion ausgewählt werden. Wenn auf true gesetzt, löscht das Runbook das Geräteobjekt aus Entra ID (Azure AD). Wenn auf false gesetzt, bleibt das Geräteobjekt in Entra ID (Azure AD) erhalten.
Erforderlich
false
Standardwert
Wahr
Typ
Boolesch
disableAADDevice
"Gerät in Entra ID deaktivieren?" (Endwert: true) oder "Gerät behalten / egal" (Endwert: false) können als auszuführende Aktion ausgewählt werden. Wenn auf true gesetzt, deaktiviert das Runbook das Geräteobjekt in Entra ID (Azure AD). Wenn auf false gesetzt, bleibt das Geräteobjekt in Entra ID (Azure AD) aktiviert.
Erforderlich
false
Standardwert
False
Typ
Boolesch
excludeFromDefender
Wenn auf true gesetzt, wird das Gerät in Microsoft Defender for Endpoint mit dem angegebenen Ausschluss-Tag markiert. Wenn auf false gesetzt, wird der Defender-Schritt vollständig übersprungen.
Erforderlich
false
Standardwert
False
Typ
Boolesch
defenderExclusionTag
Der Tag, der dem Gerät in Microsoft Defender for Endpoint hinzugefügt wird, um es als ausgeschlossen zu markieren. Standardmäßig „ExcludeFromRemediation“.
Erforderlich
false
Standardwert
ExcludeFromRemediation
Typ
Zeichenfolge
Zuletzt aktualisiert
War das hilfreich?