Geräte ausmustern
Mehrere Geräte auf einmal löschen und bereinigen
Beschreibung
Nimmt mehrere Geräte auf einmal außer Betrieb, angegeben als Liste von Geräte-IDs oder Seriennummern. Sie wählen, ob die Geräte vollständig gelöscht oder nur aus Intune entfernt werden und ob ihre Autopilot-Registrierung entfernt wird. Ihre Entra ID-Objekte können gelöscht, deaktiviert oder beibehalten werden. Optional werden die Geräte in Microsoft Defender for Endpoint mit Tags versehen, sodass Regeln, die das Tag verwenden, sie von der automatisierten Behebung ausschließen können. Ein vollständiges Löschen entfernt alle Daten und kann nicht rückgängig gemacht werden.
Ausschluss-Tag für Microsoft Defender for Endpoint
Microsoft Defender for Endpoint verfügt über einen nativen Ausschlussstatus (im Geräteinventar-Filter angezeigt als Ausgeschlossen / Nicht ausgeschlossen). Dieser Status kann nur über das Defender-Portal gesetzt werden — es gibt keine API um den nativen Ausschlussstatus eines Geräts programmgesteuert festzulegen.
Da der native Ausschlussstatus nicht automatisiert werden kann, wendet dieses Runbook stattdessen ein benutzerdefiniertes Geräte-Tag an (Standard ExcludeFromRemediation) wenn Geräte von Microsoft Defender for Endpoint ausschließen ist aktiviert. Jedes Gerät in der Liste wird anhand seiner Entra ID-Geräte-ID gesucht und über POST /api/machines/{id}/tags markiert, wodurch eine Kennzeichnung bereitgestellt wird, die zum Filtern und gezielten Ansprechen ausgeschlossener Geräte verwendet werden kann.
Einmalige Einrichtung: das Tag filterbar machen
Der Tags -Filter des Portals listet nur Tags auf, die über das Portal erstellt wurden. Ein Tag, das ausschließlich über die API gesetzt wird, wird dem Gerät zugeordnet und ist auf der Geräteseite sichtbar, erscheint aber nicht von selbst im Tags-Filter.
Damit das Ausschluss-Tag im Defender-Geräteinventar, ein Gerät muss einmal manuell über das Portal mit einem Tag versehen werden (Gerät auswählen > Tags verwalten > „Neues Tag erstellen“, mit genau demselben Tag-Wert). Nach diesem einmaligen Schritt wird das Tag zu einem bekannten, filterbaren Tag, und dieses Runbook kann es in großem Umfang auf Geräte anwenden.
Hinweis: Dieses Tag ist nur ein Label — es legt nicht den nativen Ausschlussstatus des Geräts fest und hat für sich genommen keine Wirkung auf die Behebung. Es wirkt nur, wenn eine Defender-Gerätegruppe oder Automatisierungsregel ausdrücklich so konfiguriert ist, dass sie mit diesem Tag-Wert übereinstimmt. Solche Regeln gleichen den Tag-Wert direkt ab, unabhängig vom Portal Tags filter, sodass der einmalige manuelle Schritt nur beeinflusst, ob das Tag im Portal-UI für Filterungen auswählbar ist.
Geräte, die per Seriennummer bereitgestellt werden und in Intune nicht gefunden werden, haben keine Entra ID-Geräte-ID und werden daher in Defender nicht markiert.
Siehe „Geräte-Tags erstellen und verwalten“ für Details.
Ort
Organisation → Geräte → Geräte aus dem Betrieb nehmen
Vollständiger Runbook-Name
rjgit-org_devices_outphase-devices
Details
Version
1.2.1
Erforderliche Module
RealmJoin.RunbookHelper (>= 0.8.9)
Planbar
nein
Berechtigungen
Anwendungsberechtigungen
Typ: Microsoft Graph
DeviceManagementManagedDevices.PrivilegedOperations.All
Löst das vollständige Löschen des Geräts über managedDevices/{id}/wipe aus, wenn die Aktion zum vollständigen Löschen ausgewählt ist
DeviceManagementManagedDevices.ReadWrite.All
Sucht Intune-Geräte anhand der Seriennummer oder azureADDeviceId und löscht sie
DeviceManagementServiceConfig.ReadWrite.All
Findet und löscht den Autopilot-Datensatz des Geräts
Device.Read.All
Sucht das Entra ID-Geräteobjekt und seinen registrierten Besitzer für den Bericht
Typ: WindowsDefenderATP
Machine.Read.All
Findet das Gerät in Microsoft Defender for Endpoint über /machines, gefiltert nach aadDeviceId
Machine.ReadWrite.All
Fügt das Ausschluss-Tag über /machines/{id}/tags hinzu, wenn excludeFromDefender aktiviert ist
RBAC-Rollen
Cloudgeräteadministrator
Erforderlich, um Entra ID-Geräteobjekte über /devices/{id} zu deaktivieren und zu löschen
Parameter
DeviceListChoice
Gibt an, ob die Liste Entra ID-Geräte-IDs oder Seriennummern enthält.
Erforderlich
ja
Standardwert
0
Typ
Int32
Anzeigename im Portal
Liste enthält
Portaloptionen
Geräte-IDs
0
Seriennummern
1
Geräteliste
Geräte-IDs oder Seriennummern, durch Kommas getrennt.
Erforderlich
ja
Standardwert
Typ
Zeichenfolge
Anzeigename im Portal
Geräteliste
intuneAction
Vollständiges Löschen entfernt alle Benutzer- und Registrierungsdaten von den Geräten. „Aus Intune löschen“ entfernt nur die Gerätedatensätze, für Geräte, die bereits gelöscht oder zerstört wurden. „Nicht löschen oder entfernen“ lässt Intune unverändert.
Erforderlich
nein
Standardwert
2
Typ
Int32
Anzeigename im Portal
Intune-Aktion
Portaloptionen
Gerät vollständig löschen (Benutzer- und Registrierungsdaten nicht beibehalten)
2
Gerät aus Intune löschen
1
Gerät nicht aus Intune löschen oder entfernen
0
aadAction
Löscht die Geräteobjekte aus Entra ID, Deaktivieren behält sie bei, blockiert jedoch Anmeldungen von den Geräten, und Beibehalten lässt Entra ID unverändert.
Erforderlich
nein
Standardwert
2
Typ
Int32
Anzeigename im Portal
Entra ID-Objekt
Portaloptionen
Gerät in Entra ID löschen
2
Gerät in Entra ID deaktivieren
1
Das Entra ID-Gerät beibehalten
0
wipeDevice
Aus Kompatibilitätsgründen beibehaltener Legacy-Schalter. Die Auswahl unter „Intune-Aktion“ entscheidet, ob die Geräte vollständig gelöscht werden.
Erforderlich
nein
Standardwert
Wahr
Typ
Boolesch
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
removeIntuneDevice
Aus Kompatibilitätsgründen beibehaltener Legacy-Schalter. Die Auswahl unter „Intune-Aktion“ entscheidet, ob die Intune-Datensätze gelöscht werden.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
removeAutopilotDevice
Das Entfernen der Geräte aus der Autopilot-Datenbank ermöglicht es ihnen, den Mandanten zu verlassen und anderswo registriert zu werden. Wenn sie beibehalten werden, ist eine spätere erneute Bereitstellung in diesem Mandanten möglich.
Erforderlich
nein
Standardwert
Wahr
Typ
Boolesch
Anzeigename im Portal
Aus Autopilot-Datenbank entfernen?
Portaloptionen
Gerät aus Autopilot entfernen
ja
Gerät beibehalten
nein
removeAADDevice
Aus Kompatibilitätsgründen beibehaltener Legacy-Schalter. Die Auswahl unter „Entra ID-Objekt“ entscheidet, ob die Entra ID-Objekte gelöscht werden.
Erforderlich
nein
Standardwert
Wahr
Typ
Boolesch
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
disableAADDevice
Aus Kompatibilitätsgründen beibehaltener Legacy-Schalter. Die Auswahl unter „Entra ID-Objekt“ entscheidet, ob die Entra ID-Objekte deaktiviert werden.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
excludeFromDefender
Kennzeichnet die Geräte in Microsoft Defender for Endpoint mit dem Ausschluss-Tag, damit Regeln, die dieses Tag verwenden, sie von der automatisierten Behebung ausschließen können. Überspringen lässt Defender unverändert.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Geräte in Microsoft Defender for Endpoint als ausgeschlossen markieren?
Portaloptionen
Geräte in Microsoft Defender for Endpoint als ausgeschlossen markieren
ja
Defender-Operationen überspringen
nein
defenderExclusionTag
Tag-Name, der den Geräten in Microsoft Defender for Endpoint zugewiesen wird und in Ihren Ausschlussregeln verwendet wird.
Erforderlich
nein
Standardwert
ExcludeFromRemediation
Typ
Zeichenfolge
Anzeigename im Portal
Defender-Ausschluss-Tag
Zuletzt aktualisiert
War das hilfreich?