Bericht über Abweichungen beim primären Benutzer, geplant
Primäre Benutzer und Anmeldungen zwischen Intune und RealmJoin vergleichen
Beschreibung
Vergleicht für Windows-Geräte den in Intune erfassten primären Benutzer mit dem in RealmJoin erfassten und listet jedes Gerät auf, bei dem sie sich unterscheiden. Außerdem wird geprüft, wer sich tatsächlich an jedem Gerät anmeldet, anhand der von Intune und dem RealmJoin-Agenten protokollierten Anmeldungen, und listet Geräte auf, deren primärer Benutzer dies nicht mehr tut. Welche Kategorien aufgelistet werden, wird in der Runbook-Anpassung festgelegt. Es werden nur Geräte berücksichtigt, die kürzlich mit Intune synchronisiert wurden. Der Bericht kann per E-Mail gesendet oder als Downloadlink bereitgestellt werden.
So funktioniert es
Das Runbook liest zwei Listen und gleicht sie anhand der Entra-Geräte-ID ab (mit der Intune-Geräte-ID als Fallback):
Intune: alle Windows-Geräte, die innerhalb der letzten Intune letzte Synchronisierung innerhalb (Tage), mit ihrem primären Benutzer und den Anmeldungen, die Intune auf dem Gerät protokolliert hat. Geräte, die die Synchronisierung mit Intune beendet haben, werden absichtlich ausgelassen; sie gehören in das Veraltete Geräte melden (geplant) Runbook.
RealmJoin: die Geräteliste der RealmJoin-Kunden-API. Für jedes Gerät enthält sie die Benutzer, die der RealmJoin-Agent als angemeldet gemeldet hat, jeweils mit einem zuletzt gesehen Zeitstempel, und welcher von ihnen RealmJoin als primären Benutzer behandelt.
Für jedes Gerät beantwortet das Runbook zwei Fragen: Stimmen die primären Benutzer überein, und meldet sich der primäre Benutzer noch an? Jede Antwort ist eine Kategorie; ein Gerät kann in mehreren sein. Ob der RealmJoin-Agent selbst noch meldet, ist eine andere Frage und wird von den Bericht RealmJoin-Agent-Kontakt (geplant) Runbook.
Kategorien
Abweichung
Der primäre Benutzer aus Intune und der primäre Benutzer aus RealmJoin unterscheiden sich.
PrimaryUserDeleted
Der primäre Benutzer aus Intune wurde aus Entra ID gelöscht. Intune schreibt dann die Objekt-ID des Benutzers vor den User Principal Name; das Runbook erkennt dies und zählt es nicht als Abweichung.
PrimaryUserNotLoggingOn
Jemand anderes hat sich am Gerät angemeldet, und der primäre Benutzer hat dies innerhalb von Der primäre Benutzer muss sich innerhalb von (Tagen) angemeldet haben. Das Gerät wird vermutlich von einer anderen Person genutzt als der erfassten.
MissingInRealmJoin
Das Gerät existiert in Intune, aber RealmJoin kennt es nicht oder kennt es ohne primären Benutzer.
MissingInIntune
RealmJoin kennt das Gerät, aber es hat sich innerhalb des Synchronisierungsfensters nicht mit Intune synchronisiert.
Welche Kategorien aufgelistet werden, wird in der Runbook-Anpassung festgelegt; standardmäßig ist nur Abweichung aktiviert. Befunde Spalte, die jede Kategorie nennt, in der sich das Gerät befindet.
Woher die Anmeldungen stammen
Zwei Quellen werden kombiniert:
Intune zeichnet die letzten Anmeldungen auf einem Gerät mit der Objekt-ID des Benutzers und einem Zeitstempel auf. Das Runbook löst die IDs in Benutzerprinzipalnamen auf; ein Benutzer, der nicht mehr existiert, wird als gelöscht angezeigt.
Der RealmJoin-Agent läuft im Kontext des angemeldeten Benutzers und meldet sich alle 15 Minuten bei RealmJoin, solange jemand angemeldet ist. Jede Meldung aktualisiert den zuletzt gesehen Zeitstempel dieses Benutzers auf diesem Gerät, sodass die RealmJoin-Benutzer eines Geräts die Personen sind, die der Agent als angemeldet gesehen hat, jeweils mit ihrem letzten Sichtungszeitpunkt.
Der primäre Benutzer zählt als angemeldet, wenn ihn eine der beiden Quellen innerhalb des Anmeldefensters gesehen hat. PrimaryUserNotLoggingOn erfordert beides: Jemand anderes wurde gesehen, und der primäre Benutzer nicht innerhalb des Fensters. Ein Gerät, auf dem überhaupt niemand gesehen wurde, wird als Unbekannt in der PrimaryUserLogon Spalte angezeigt und wird nie als nicht angemeldet gezählt.
Gemeinsam genutzte Geräte, auf denen mehrere Personen absichtlich angemeldet sind, erzeugen diesen Befund für ihren primären Benutzer; schließe sie mit Geräte aus Gruppe ausschließen.
Gerätebereich
Geräte aus Gruppe einschließen beschränkt den Vergleich auf die Geräte in dieser Entra ID-Gruppe, Geräte aus Gruppe ausschließen überspringt die Geräte einer Gruppe. Beide sind optional und können kombiniert werden; ein Filter greift, sobald seine Gruppe ausgewählt ist.
Kategorien aktivieren
Die Kategorie-Schalter sind im Portal ausgeblendet und werden in der Runbook-Anpassung gesetzt, sodass ein Zeitplan immer denselben Satz meldet. Eine Anpassung, die zusätzlich zu den Abweichungen die Anmeldeprüfung aktiviert:
Siehe die Leitfaden zur Runbook-Anpassung für die Syntax.
Berichtszustellung
Berichtsdateien werden nur generiert, wenn eine Zustellmethode über die Berichtszustellung Option (E-Mail und/oder Download-Link) ausgewählt wird. Mit Nur Ausgabedaten ausgewählt, werden die Ergebnisse direkt im Register Output Data des RealmJoin-Portals gelesen, wo jede Tabelle auch nach Excel exportiert werden kann. E-Mail-Zustellung und Download-Link-Generierung sind unabhängig und können kombiniert werden.
Für den Download-Link werden die Berichtsdateien in das in den RJReport.StorageAccount.* Tenant-Einstellungen hochgeladen, und zeitlich begrenzte SAS-Download-Links werden zurückgegeben. Der Storage-Upload authentifiziert sich mit der verwalteten Identität des Automation-Kontos; diese Identität benötigt die Storage Account Contributor RBAC-Rolle auf dem Ziel-Storage Account (dies ist eine Azure-RBAC-Zuweisung, keine Graph-Anwendungsberechtigung).
Zeitpläne, die vor der Berichtszustellung diese Option existierte, senden weiterhin ihre E-Mail: Ein gespeicherter Empfänger allein aktiviert die E-Mail für sie weiterhin. Wenn ein solcher Zeitplan zum Bearbeiten geöffnet wird, zeigt die Option Nur Ausgabedaten; wählen Sie die Zustellung vor dem Speichern erneut aus, andernfalls sendet der Zeitplan den Bericht nicht mehr.
Ergebnis ohne Befunde
Es wird keine E-Mail gesendet und keine Datei erstellt, wenn kein Gerät in eine aktivierte Kategorie fällt. Ein Lauf ohne Befunde wird normal abgeschlossen und ist kein Fehler; die Registerkarte Ausgabedaten zeigt weiterhin die Zusammenfassung an.
Einrichtung bezüglich der RealmJoin-API-Anmeldeinformationen
Das Runbook fragt die RealmJoin-Kunden-API ab und benötigt dafür eine dedizierte Anmeldeinformation, die im Azure Automation-Konto gespeichert ist. Dieselbe Anmeldeinformation dient allen Runbooks, die die API verwenden, also ist dies eine einmalige Einrichtung pro Automation-Konto.
API-Anmeldeinformationen abrufen - Wenn Sie noch keine RealmJoin-API-Anmeldeinformationen haben, fordern Sie diese unter support@realmjoin.com an. Der Benutzername hat die Form
t-<Tenant-ID>, das Kennwort ist das API-Geheimnis. Ein Portal-Login funktioniert hier nicht.Nach der Funktion für Gerätebenutzer fragen - Die Geräteliste der Kunden-API ist eine Funktion, die RealmJoin pro Tenant aktiviert. Bitten Sie den Support, sie zusammen mit den Anmeldeinformationen zu aktivieren; ohne sie antwortet die API mit HTTP 403 und das Runbook bricht mit dieser Meldung ab.
Automation-Konto öffnen - Öffnen Sie im Azure Portal das für Runbooks verwendete Automation-Konto.
Wechseln Sie zu Gemeinsame Ressourcen > Anmeldeinformationen - Im linken Menü unter Gemeinsame Ressourcen, klicken Sie auf Anmeldeinformationen.
Eine neue Anmeldeinformation hinzufügen - Klicken Sie auf Anmeldeinformation hinzufügen.
Nennen Sie sie genau
RJAPI- Das Runbook sucht genau nach diesem Namen; jeder andere Name führt dazu, dass die Anmeldeinformation nicht gefunden wird.Benutzername und Geheimnis der API eingeben - Verwenden Sie die Werte aus Schritt 1.
Speichern - Klicken Sie auf Erstellen und führen Sie das Runbook erneut aus.
Die API erlaubt 30 Anfragen pro Minute und Tenant und antwortet darüber hinaus mit HTTP 429. Das Runbook benötigt pro Lauf eine Anfrage und wiederholt eine gedrosselte Anfrage nach einer kurzen Verzögerung bis zu fünfmal, bevor es aufgibt.
Einrichtung für den E-Mail-Versand
Das Senden eines E-Mail-Berichts ist optional und erfolgt nur, wenn Bericht zusätzlich per E-Mail senden oder Bericht zusätzlich per E-Mail und Download-Link senden als Berichtsübermittlung ausgewählt ist; dann ist ein Empfänger erforderlich. Die Absenderadresse wird aus dem RJReport.EmailSender Mandanten-Einstellung übernommen.
Dieses Runbook sendet E-Mails über die Microsoft Graph API. Um E-Mails über die Graph API zu senden, müssen Sie in der Runbook-Anpassung eine vorhandene E-Mail-Adresse konfigurieren.
Dieser Ablauf wird ausführlich beschrieben in der RealmJoin Report Settings Dokumentation.
E-Mail-Branding
Die Berichts-E-Mail berücksichtigt die optionalen RJReport.Branding.* Mandanten-Einstellungen:
Header- und Footer-Bild - öffentliche HTTPS-URLs, PNG/JPEG/GIF, max. 200 KB jeweils
Footer-Link - Ziel des Fußzeilenbildes
Akzent- und Textfarbe - 6-stellige Hex-Werte, z. B.
#0052cc
Wenn diese Einstellungen nicht konfiguriert sind, werden die Standardgrafiken und -farben von RealmJoin verwendet. Ein Bild, das nicht heruntergeladen oder validiert werden kann, oder ein ungültiger Farbwert verhindert niemals die E-Mail des Berichts – stattdessen wird der entsprechende Standard verwendet.
Einrichtungsanweisungen und Bildanforderungen: E-Mail-Branding.
Hinweise und Einschränkungen
Es werden nur Windows-Geräte verglichen: Der RealmJoin-Agent läuft unter Windows, daher hat RealmJoin für andere Plattformen keine Primärbenutzer- oder Anmeldedaten.
Der Bericht ist eine Momentaufnahme pro Lauf. Er behält den vorherigen Lauf nicht und meldet deshalb nicht, dass ein primärer Benutzer geändert hat zwischen zwei Läufen; vergleichen Sie dafür zwei Berichtsdateien.
Die von Intune aufgezeichneten Anmeldungen umfassen nur die neuesten Anmeldungen, und der RealmJoin-Agent sieht nur Benutzer, die angemeldet waren, während er lief. Ein Benutzer, der sich selten anmeldet, kann daher als nicht angemeldet erscheinen.
Der für RealmJoin angezeigte primäre Benutzer ist derjenige, den RealmJoin aus den Agent-Berichten ermittelt hat; es ist nicht der in Entra ID registrierte Besitzer des Geräts.
Ort
Organisation → Geräte → Primären Benutzer-Mismatch melden (geplant)
Vollständiger Runbook-Name
rjgit-org_devices_report-primary-user-mismatch_scheduled
Details
Version
1.8.0
Erforderliche Module
RealmJoin.RunbookHelper (>= 0.8.9) Microsoft.Graph.Authentication (>= 2.39.0) Az.Accounts (>= 5.5.2)
Planbar
ja
Berechtigungen
Anwendungsberechtigungen
Typ: Microsoft Graph
DeviceManagementManagedDevices.Read.All
Liest die Windows-Geräte in Intune mit ihrem primären Benutzer, ihrer letzten Synchronisierungszeit und den Benutzern, die sich angemeldet haben
Directory.Read.All
Löst die Benutzer-IDs aus den Intune-Anmeldedaten in Benutzerprinzipalnamen auf und liest die Gruppenmitglieder der optionalen Ein- und Ausschlussgruppen
Mail.Send (optional — Funktion: E-Mail-Bericht)
Sendet die Bericht-E-Mail über Send-RjRbReportEmail, wenn ein Empfänger konfiguriert ist
Organization.Read.All (optional — Funktion: E-Mail-Bericht)
Liest den Tenant-Anzeigenamen für den E-Mail-Betreff, den E-Mail-Text und die Berichtsdateinamen
Hinweise zu Berechtigungen
RealmJoin-Kunden-API: eine Anmeldeinformation für das Automation-Konto mit dem API-Benutzernamen (t-) und dem Geheimnis des Tenants, bereitgestellt vom RealmJoin-Support RealmJoin-Kunden-API: Die Funktion für Gerätebenutzer der API muss für den Tenant vom RealmJoin-Support aktiviert sein (sonst antwortet die Geräteliste mit HTTP 403) Azure Storage Account: Rolle 'Storage Account Contributor' für die verwaltete Identität des Automation-Kontos auf dem Ziel-Storage Account - der Upload ruft die Kontoschlüssel über listKeys ab (nur für die Downloadlink-Optionen erforderlich)
Parameter
SyncThresholdDays
Nur Geräte, die innerhalb dieser Anzahl von Tagen mit Intune synchronisiert wurden, werden verglichen. Geräte, die ganz aufgehört haben zu synchronisieren, gehören stattdessen in den Bericht über veraltete Geräte.
Erforderlich
nein
Standardwert
30
Typ
Int32
Anzeigename im Portal
Intune letzte Synchronisierung innerhalb (Tage)
DeviceNamePrefix
Nur Geräte, deren Name mit diesem Text beginnt. Für alle leer lassen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Anzeigename im Portal
Geräte-Namenspräfix
PrimaryUserLogonDays
Der primäre Benutzer zählt als nicht angemeldet, wenn sich jemand anderes am Gerät angemeldet hat und der primäre Benutzer dies innerhalb dieser Anzahl von Tagen nicht getan hat.
Erforderlich
nein
Standardwert
30
Typ
Int32
Anzeigename im Portal
Der primäre Benutzer muss sich innerhalb von (Tagen) angemeldet haben
IncludeMismatches
Listet Geräte auf, deren primärer Benutzer sich zwischen Intune und RealmJoin unterscheidet.
Erforderlich
nein
Standardwert
Wahr
Typ
Boolesch
Anzeigename im Portal
Abweichungen einschließen?
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
IncludeMissingInRealmJoin
Listet Geräte auf, die in Intune vorhanden sind, aber nicht in RealmJoin, oder die RealmJoin ohne primären Benutzer kennt.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Geräte einschließen, die in RealmJoin fehlen?
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
IncludeMissingInIntune
Listet Geräte auf, die in RealmJoin vorhanden sind, sich aber innerhalb des Synchronisierungsfensters nicht mit Intune synchronisiert haben.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Geräte einschließen, die in Intune fehlen?
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
IncludePrimaryUserDeleted
Listet Geräte auf, deren primärer Benutzer aus Intune aus Entra ID gelöscht wurde. Ohne diese Option würden sie wie Abweichungen aussehen, weil Intune den Namen eines gelöschten Benutzers neu schreibt.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Gelöschte primäre Benutzer einschließen?
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
IncludePrimaryUserNotLoggingOn
Listet Geräte auf, bei denen andere Benutzer angemeldet sind, der primäre Benutzer aber nicht innerhalb von "Der primäre Benutzer muss sich innerhalb von (Tagen) angemeldet haben". Verwendet die von Intune und dem RealmJoin-Agenten protokollierten Anmeldungen.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Primäre Benutzer, die sich nicht anmelden, einschließen?
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
IncludeDeviceGroup
Nur Geräte in dieser Entra ID-Gruppe. Für alle Geräte leer lassen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Anzeigename im Portal
Geräte aus Gruppe einschließen
ExcludeDeviceGroup
Überspringt Geräte in dieser Entra ID-Gruppe, zum Beispiel gemeinsam genutzte Geräte, auf denen mehrere Personen absichtlich angemeldet sind. Für keines leer lassen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Anzeigename im Portal
Geräte aus Gruppe ausschließen
SendEmailReport
Sendet den Bericht an die E-Mail-Adresse des Empfängers.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
EmailTo
Senden Sie den Bericht an diese Adressen. Trennen Sie mehrere mit Kommas; jeder Empfänger erhält eine separate E-Mail.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Anzeigename im Portal
E-Mail-Adresse(n) des Empfängers
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
EmailFrom
Absenderadresse der Berichts-E-Mail. Wird aus der Mandanten-Einstellung RJReport.EmailSender übernommen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingHeaderImageUrl
Headerbild der Berichts-E-Mail (HTTPS-URL, PNG/JPEG/GIF, max. 200 KB). Wird aus der Mandanten-Einstellung RJReport.Branding.HeaderImageUrl übernommen; bei leerem Wert wird der standardmäßige RealmJoin-Header verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingFooterImageUrl
Footerbild der Berichts-E-Mail (HTTPS-URL, PNG/JPEG/GIF, max. 200 KB). Wird aus der Mandanten-Einstellung RJReport.Branding.FooterImageUrl übernommen; bei leerem Wert wird der standardmäßige RealmJoin-Footer verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingFooterLink
Link hinter dem Footerbild der Berichts-E-Mail. Wird aus der Mandanten-Einstellung RJReport.Branding.FooterLink übernommen; bei leerem Wert wird realmjoin.com verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingAccentColor
Akzentfarbe der Berichts-E-Mail als 6-stelliger Hexwert. Wird aus der Mandanten-Einstellung RJReport.Branding.AccentColor übernommen; bei leerem oder ungültigem Wert wird der Standard von RealmJoin verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingTextColor
Textfarbe der Berichts-E-Mail als 6-stelliger Hexwert. Wird aus der Mandanten-Einstellung RJReport.Branding.TextColor übernommen; bei leerem oder ungültigem Wert wird der Standard von RealmJoin verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
ReportFileFormat
Stellen Sie den Bericht als CSV, als Excel-Arbeitsmappe oder beides bereit.
Erforderlich
nein
Standardwert
CSV & XLSX
Typ
Zeichenfolge
Anzeigename im Portal
Berichtsdateiformat
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
Portaloptionen
CSV & XLSX
CSV & XLSX
Nur CSV
Nur CSV
Nur XLSX
Nur XLSX
CreateDownloadLink
Laden Sie den Bericht außerdem hoch und geben Sie einen Downloadlink zurück, der nach einigen Tagen abläuft.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
ContainerName
Speichercontainer, in den die Berichtsdateien hochgeladen werden. Pro Runbook festlegen.
Erforderlich
nein
Standardwert
report-primary-user-mismatch
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
ResourceGroupName
Ressourcengruppe des Storage Account für Berichtshochladungen. Aus der Tenant-Einstellung RJReport.StorageAccount.ResourceGroup übernommen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
StorageAccountName
Storage Account für Berichtshochladungen. Aus der Tenant-Einstellung RJReport.StorageAccount.StorageAccountName übernommen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
LinkExpiryDays
Anzahl der Tage, die ein Downloadlink gültig bleibt. Aus der Tenant-Einstellung RJReport.StorageAccount.LinkExpiryDays übernommen.
Erforderlich
nein
Standardwert
6
Typ
Int32
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
Zuletzt aktualisiert
War das hilfreich?