> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/de/automatisierung/runbooks/runbook-references/org/security/sync-mfa-secure-users-to-group_scheduled.md).
# Sichere MFA-Benutzer mit Gruppe synchronisieren, geplant
Eine Gruppe mit Benutzern füllen, die eine sichere MFA-Methode registriert haben
{% hint style="info" %}
Dies ist ein geplanter Runbook-Lauf. Er ist dafür ausgelegt, nach einem wiederkehrenden Zeitplan ausgeführt zu werden, anstatt für ein einzelnes Objekt ausgelöst zu werden. Siehe [Planung](/de/automatisierung/runbooks/scheduling.md) für Details dazu, wie Runbook-Zeitpläne konfiguriert werden.
{% endhint %}
### Beschreibung
Hält eine Entra ID-Gruppe mit den Benutzern synchron, die mindestens eine sichere Authentifizierungsmethode registriert haben, z. B. einen Passkey oder die Microsoft Authenticator-App. Benutzer, die ihre sichere Methode verlieren, werden entfernt. Administratoren, eine Ausschlussgruppe und einzelne Benutzer können ausgeschlossen werden, z. B. wenn die Gruppe Self-Service Password Reset steuert. Ein Testlauf zeigt nur die Änderungen an, und der Bericht kann per E-Mail gesendet oder als Download-Link bereitgestellt werden. Details zu den Optionen finden Sie in der Runbook-Dokumentation (docs.realmjoin.com).
### So funktioniert es
Das Runbook liest die Entra ID [Registrierungsbericht für Authentifizierungsmethoden](https://learn.microsoft.com/en-us/graph/api/authenticationmethodsroot-list-userregistrationdetails) (`userRegistrationDetails`) und spiegelt die Zielgruppe gegen alle **Mitgliedsbenutzer** die sich qualifizieren:
* Ein Benutzer qualifiziert sich, wenn mindestens eine seiner registrierten Methoden in der konfigurierten **sicheren** Menge vorhanden ist.
* Im **strikten Modus** (`SecureOnly`), darf ein Benutzer zusätzlich keine Methode aus der **unsicheren** Menge registriert haben — ein Passkey-Benutzer, der zusätzlich einen SMS-Faktor beibehält, qualifiziert sich nicht.
* Benutzer, die sich qualifizieren und noch keine Gruppenmitglieder sind, werden hinzugefügt; Mitglieder, die sich nicht mehr qualifizieren, werden entfernt (Spiegelungssynchronisierung).
* Gastbenutzer werden niemals hinzugefügt oder entfernt. Gruppenmitglieder, die keine Benutzer sind (Geräte, Service Principals, verschachtelte Gruppen), werden niemals verändert.
Die Zielgruppe sollte ausschließlich von diesem Runbook verwaltet werden.
### Gruppen sicherer Methoden
Jeder Schalter steuert, welche `methodsRegistered` Werte als sicher gelten:
| Schalter | Standard | Abgedeckte Werte |
| ------------------------------------- | -------- | ------------------------------------------------------------------------------------ |
| Passkeys / FIDO2-Sicherheitsschlüssel | ein | `fido2SecurityKey`, `passKeyDeviceBound`, `passKeyDeviceBoundAuthenticator` |
| Plattformanmeldeinformationen | ein | `windowsHelloForBusiness`, `passKeyDeviceBoundWindowsHello`, `macOsSecureEnclaveKey` |
| Microsoft Authenticator-App | ein | `microsoftAuthenticatorPush`, `microsoftAuthenticatorPasswordless` |
| Software-OTP | aus | `softwareOneTimePasscode` |
| Hardware-OTP | aus | `hardwareOneTimePasscode` |
| Zertifikatbasierte Authentifizierung | ein | `certificateBasedAuthentication` |
### Strikter Modus (SecureOnly)
Bei aktiviertem strikten Modus qualifizieren sich Benutzer mit einer der folgenden integrierten unsicheren Methoden niemals:
`mobilePhone`, `alternateMobilePhone`, `officePhone`, `email`, `securityQuestion`
Wenn eine Methode sowohl in der sicheren als auch in der unsicheren Menge landet (nur über die Überschreibungsparameter möglich), setzt sich unsicher durch — solche Benutzer qualifizieren sich im strikten Modus niemals. Das Runbook weist beim Start darauf hin.
### Ausschlüsse
Ausgeschlossene Benutzer qualifizieren sich unabhängig von ihren registrierten Methoden niemals: Sie werden nie zur Zielgruppe hinzugefügt und entfernt, wenn sie bereits Mitglieder sind. Der Bericht pro Benutzer zeigt den Grund in der `ExclusionReason` Spalte an.
#### Admin-Benutzer ausschließen (`ExcludeAdmins`, standardmäßig aktiviert)
Benutzer mit einer Entra ID-Verzeichnisrolle werden ausgeschlossen. Das umfasst:
* **Aktive Rollenzuweisungen** (`roleManagement/directory/roleAssignments`)
* **PIM-berechtigte Zuweisungen** (`roleManagement/directory/roleEligibilitySchedules`, erfordert Entra ID P2 — ohne P2 weicht das Runbook auf aktive Zuweisungen aus und protokolliert eine Warnung)
* **Rollenzuweisbare Gruppen**: Gruppen, denen eine Rolle zugewiesen ist, werden auf ihre transitive Benutzer-Mitgliedschaft erweitert
Hintergrund: Wenn die Zielgruppe **SSPR** und die SSPR-Administratorrichtlinie deaktiviert ist, müssten Administratoren in der Gruppe dennoch einen zweiten Faktor registrieren, sobald zwei SSPR-Methoden erforderlich sind. Administratoren aus der Gruppe herauszuhalten, vermeidet dies.
Diese Option erfordert die zusätzliche Graph-Berechtigung `RoleManagement.Read.Directory` für die verwaltete Identität.
#### Ausschlussgruppe (`ExcludeGroupId`, optional)
Transitive Benutzer-Mitglieder der konfigurierten Gruppe werden ausgeschlossen — vorgesehen für Konten, die von dieser Synchronisierung niemals verwaltet werden dürfen, z. B. **Break-Glass-Konten** oder **Dienstkonten**. Verschachtelte Gruppen werden berücksichtigt. Die Ausschlussgruppe darf nicht selbst die Zielgruppe sein.
#### Einzeln ausgeschlossene Benutzer (`ExcludeUserIds`, optional)
Einzelne Benutzer können direkt über die Mehrbenutzerauswahl ausgeschlossen werden — für einmalige Ausschlüsse, für die es sich nicht lohnt, eine separate Ausschlussgruppe zu pflegen. Die Liste akzeptiert Benutzer **Objekt-IDs** und **User Principal Names** (UPNs). Nicht auflösbare Einträge (z. B. ein gelöschtes Konto) protokollieren eine Warnung und werden ignoriert, sodass ein veralteter Eintrag eine geplante Synchronisierung nie unterbricht.
#### Ausschlüsse über die Runbook-Anpassung verwalten (ohne die Auswahllisten)
Beide Ausschlussparameter können zentral voreingestellt werden über [JSON-basierte Runbook-Anpassung](https://docs.realmjoin.com/automation/runbooks/runbook-customization#json-based-customizing) (RealmJoin-Portal: **Einstellungen** → **Runbook-Anpassungen**) — nützlich, wenn die Ausschlüsse für den Tenant fest sind und beim Starten oder Planen des Runbooks nicht jedes Mal manuell ausgewählt werden sollen:
```json
{
"Runbooks": {
"rjgit-org_security_sync-mfa-secure-users-to-group_scheduled": {
"Parameters": {
"ExcludeGroupId": {
"DefaultValue": "00000000-0000-0000-0000-000000000000",
"Hide": true
},
"ExcludeUserIds": {
"DefaultValue": [
"11111111-1111-1111-1111-111111111111",
"breakglass@contoso.com"
],
"Hide": true
}
}
}
}
}
```
* **ExcludeGroupId** akzeptiert eine einzelne Gruppe **Objekt-ID** (GUID) als einfacher String — kopieren Sie ihn von der Übersichtsseite der Gruppe im Entra admin center oder im RealmJoin-Portal.
* **ExcludeUserIds** akzeptiert ein JSON **Array von Zeichenfolgen**; jeder Eintrag kann ein Benutzer **Objekt-ID** oder eine **UPN**. Einträge werden getrimmt und dedupliziert; das Runbook löst sie beim Start auf.
* **Empfohlen:** Wenn die Ausschlüsse über die Runbook-Anpassung gepflegt werden, setzen Sie außerdem `"Hide": true` auf den Parameter (wie im obigen Beispiel). Dadurch wird er vollständig aus dem Startformular entfernt, sodass die zentral konfigurierten Ausschlüsse in der Benutzeroberfläche beim Starten oder Planen des Runbooks nicht überschrieben werden können. Ohne `Ausblenden`, werden die konfigurierten Werte nur vorausgefüllt angezeigt und können dort weiterhin geändert werden.
### Referenz zur Methodenklassifizierung
Verwenden Sie beim Erstellen der kommagetrennten Überschreibungszeichenfolgen die genauen Graph-Werte aus dieser Tabelle:
| `methodsRegistered` Wert | Anzeigename | Klassifizierung | Durch Schalter abgedeckt (Standard) |
| ------------------------------------ | ------------------------------------------------------- | --------------- | ----------------------------------------------- |
| `fido2SecurityKey` | FIDO2-Sicherheitsschlüssel | Sicher | Passkeys / FIDO2 (ein) |
| `passKeyDeviceBound` | Passkey (gerätegebunden) | Sicher | Passkeys / FIDO2 (ein) |
| `passKeyDeviceBoundAuthenticator` | Passkey in Microsoft Authenticator | Sicher | Passkeys / FIDO2 (ein) |
| `windowsHelloForBusiness` | Windows Hello for Business | Sicher | Plattformanmeldeinformationen (ein) |
| `passKeyDeviceBoundWindowsHello` | Passkey in Windows Hello | Sicher | Plattformanmeldeinformationen (ein) |
| `macOsSecureEnclaveKey` | Plattformanmeldeinformationen für macOS | Sicher | Plattformanmeldeinformationen (ein) |
| `microsoftAuthenticatorPush` | Microsoft Authenticator (Push-Benachrichtigung) | Sicher | Microsoft Authenticator-App (ein) |
| `microsoftAuthenticatorPasswordless` | Microsoft Authenticator (kennwortlose Telefonanmeldung) | Sicher | Microsoft Authenticator-App (ein) |
| `softwareOneTimePasscode` | Software-OATH-Token (TOTP-App) | Sicher | Software-OTP (aus) |
| `hardwareOneTimePasscode` | Hardware-OATH-Token | Sicher | Hardware-OTP (aus) |
| `certificateBasedAuthentication` | Zertifikatbasierte Authentifizierung | Sicher | Zertifikatbasierte Authentifizierung (ein) |
| `mobilePhone` | Telefon (SMS / Sprachanruf) | Unsicher | integrierte unsichere Liste |
| `alternateMobilePhone` | Alternatives Telefon (Sprachanruf) | Unsicher | integrierte unsichere Liste |
| `officePhone` | Office-Telefon (Sprachanruf) | Unsicher | integrierte unsichere Liste |
| `email` | E-Mail (nur SSPR) | Unsicher | integrierte unsichere Liste |
| `securityQuestion` | Sicherheitsfragen (nur SSPR) | Unsicher | integrierte unsichere Liste |
| `temporaryAccessPass` | Temporary Access Pass | Neutral | qualifiziert sich nie, disqualifiziert sich nie |
Unbekannte oder zukünftige Graph-Werte werden als neutral behandelt, sofern sie nicht ausdrücklich in einem Überschreibungsparameter aufgeführt sind.
### Überschreibungsparameter
Beide Überschreibungsparameter sind standardmäßig ausgeblendet und für die Anpassung von RealmJoin-Runbooks vorgesehen:
* **SecureMethodsOverride** — kommagetrennte Liste von `methodsRegistered` Werten, die die sichere Menge definieren. Wenn gesetzt, **alle** Schalter der Methoden-Gruppen ignoriert. Beispiel: `fido2SecurityKey,passKeyDeviceBound,passKeyDeviceBoundAuthenticator,windowsHelloForBusiness`
* **UnsecureMethodsOverride** — kommagetrennte Liste, die die integrierte unsichere Liste ersetzt. Wird nur im strikten Modus ausgewertet. Beispiel: `mobilePhone,alternateMobilePhone,officePhone,email,securityQuestion,softwareOneTimePasscode`
Unbekannte Werte erzeugen eine Warnung, werden aber dennoch ausgewertet, sodass zukünftige Graph-Werte verwendet werden können, bevor diese Dokumentation nachgezogen wird.
### E-Mail-Bericht und Download-Links
Optional kann ein detaillierter Bericht bereitgestellt werden – besonders nützlich zur Prüfung des allerersten Laufs (idealerweise kombiniert mit dem Testlaufmodus):
* **Bericht per E-Mail senden** (`SendEmail`, standardmäßig deaktiviert): sendet den Bericht an die konfigurierten Empfänger. Das Empfängerfeld wird nur angezeigt, wenn E-Mail aktiviert ist. Erfordert die `RJReport.EmailSender` Tenant-Einstellung (siehe die [RealmJoin Report Settings Dokumentation](https://docs.realmjoin.com/automation/runbooks/runbook-report-settings)).
* **Datei-Download-Links erstellen** (`CreateDownloadLink`, standardmäßig deaktiviert): lädt die Berichtdateien in einen Azure Storage Account hoch und gibt zeitlich begrenzte Download-Links zurück (verwendet die `RJReport.StorageAccount.*` Tenant-Einstellungen).
Berichtdateien werden nur erstellt, wenn mindestens eine der beiden Optionen aktiviert ist. Der Bericht besteht aus:
* **mfa-secure-users-group-sync-changes.csv** - alle ausgeführten (oder im Testlauf ausstehenden) Änderungen mit methodenspezifischen Details pro Benutzer
* **mfa-secure-users-group-sync-all-users.csv** - die Auswertung jedes Mitgliedsbenutzers: registrierte Methoden, sichere/unsichere Klassifizierung, Qualifikation, Ausschlussgrund und Gruppenmitgliedschaft
* **mfa-secure-users-group-sync-report.xlsx** - dieselben Daten als formatiertes Excel-Arbeitsbuch: ein Deckblatt „Info“ mit den gewählten Parametern und Ergebnisanzahlen, ein Arbeitsblatt „Changes“ (hinzugefügte Benutzer grün hervorgehoben, entfernte rot) und ein Arbeitsblatt „All Users“
In großen Mandanten können die rohen CSV-Dateien das Größenlimit für E-Mail-Anhänge überschreiten (Graph lehnt E-Mails bei insgesamt ungefähr 4 MB ab). Wenn die CSV-Dateien ein Budget von 2,5 MB überschreiten, wird die E-Mail nur mit angehängtem Excel-Arbeitsbuch gesendet (das die vollständigen Daten in komprimierter Form enthält) und mit einem Hinweis, der die Auslassung erklärt; ein fehlgeschlagener Versand in voller Größe wird ebenfalls automatisch nur mit dem Arbeitsbuch erneut versucht. Der Upload per Download-Link enthält immer alle Dateien, unabhängig von der Größe.
#### E-Mail-Branding
Die Bericht-E-Mail berücksichtigt die optionalen `RJReport.Branding.*` Mandanteneinstellungen:
* **Kopf- und Fußzeilenbild** – öffentliche HTTPS-URLs, PNG/JPEG/GIF, max. 200 KB jeweils
* **Fußzeilenlink** – Ziel des Fußzeilenbildes
* **Akzent- und Textfarbe** – 6-stellige Hex-Werte, z. B. `#0052cc`
Wenn diese Einstellungen nicht konfiguriert sind, werden die Standardgrafiken und -farben von RealmJoin verwendet. Ein Bild, das nicht heruntergeladen oder validiert werden kann, oder ein ungültiger Farbwert verhindert niemals die Bericht-E-Mail – stattdessen wird der entsprechende Standardwert verwendet.
Einrichtungsanweisungen und Bildanforderungen: [E-Mail-Branding](https://docs.realmjoin.com/automation/runbooks/runbook-report-settings#email-branding-optional).
### Hinweise und Einschränkungen
* Der Registrierungsbericht erfordert eine **Entra ID P1 or P2** Lizenz.
* PIM-berechtigte Rollenzuweisungen (Administratorenausschluss) erfordern eine **Entra ID P2** Lizenz — ohne sie werden nur aktive Rollenzuweisungen ausgeschlossen.
* Der Bericht enthält keine **deaktivierten** oder weich gelöschten Benutzer — solche Konten werden beim nächsten Lauf aus der Gruppe entfernt.
* Die Berichtdaten können hinter jüngsten Registrierungsänderungen zurückbleiben; es kann einen Synchronisierungszyklus dauern, bis eine neu registrierte Methode berücksichtigt wird.
* Das Runbook verarbeitet große Mandanten (20k+ Benutzer) über seitenweise Berichtabrufe und gebündelte Gruppenschreibvorgänge mit automatischen Wiederholungen bei Drosselung.
### Planung
Die Synchronisierung ist idempotent — ein einziger wiederkehrender Zeitplan (z. B. täglich) hält die Gruppe auf dem neuesten Stand, und erneute Läufe nach Teilfehlern heilen sich selbst. Empfehlung: einmal ausführen mit **Testlauf (WhatIf)** aktiviert und die Job-Ausgabe prüfen, bevor das Runbook im Live-Modus geplant wird.
### Speicherort
Organization → Security → Sync MFA Secure Users To Group (Scheduled)
**Voller Runbook-Name**
rjgit-org\_security\_sync-MFA-secure-users-to-group\_scheduled
### Details
| Eigenschaft | Wert |
| -------------------- | ------------------------------------------------------------------------------------------------------------------ |
| Version | 1.5.0 |
| Erforderliche Module | RealmJoin.RunbookHelper (>= 0.8.10)
Microsoft.Graph.Authentication (>= 2.41.2)
Az.Accounts (>= 5.5.2)
|
| Planbar | ja |
### Berechtigungen
#### Anwendungsberechtigungen
* **Typ**: Microsoft Graph
* AuditLog.Read.All
* *Liest userRegistrationDetails, um die registrierten MFA-Methoden jedes Benutzers auszuwerten*
* Group.Read.All
* *Liest die Ziel- und Ausschlussgruppen sowie ihre transitiven Benutzer-Mitglieder*
* RoleManagement.Read.Directory
* *Liest Rollenzuweisungen und Berechtigungspläne, um Admin-Benutzer auszuschließen, wenn ExcludeAdmins aktiviert ist*
* GroupMember.ReadWrite.All
* *Fügt Benutzer in der Zielgruppe über gebündelte /groups/{id}/members/$ref-Aufrufe hinzu und entfernt sie*
* User.Read.All
* *Löst Principals von Administratorrollen und Einträge in ExcludeUserIds in Benutzerobjekte auf*
* Organization.Read.All
* *Liest /organization, um den Mandantennamen auf dem Berichtdeckblatt und in der E-Mail zu verwenden*
* Mail.Send *(optional — Funktion: E-Mail-Bericht)*
* *Sendet die Bericht-E-Mail über Send-RjReportEmail, wenn die E-Mail-Berichterstellung aktiviert ist*
### Parameter
#### TargetGroupId
Gruppe, deren Mitglieder von diesem Runbook verwaltet werden. Mitglieder, die sich nicht mehr qualifizieren, werden entfernt.
| Eigenschaft | Wert |
| --------------------- | ------------ |
| Erforderlich | wahr |
| Standardwert | |
| Typ | Zeichenfolge |
| Anzeigename im Portal | Zielgruppe |
#### IncludePasskeys
Passkeys und FIDO2-Sicherheitsschlüssel, die gegen Phishing resistent sind, zählen als sicher.
| Eigenschaft | Wert |
| --------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | Wahr |
| Typ | Boolesch |
| Anzeigename im Portal | Zählen Passkeys und FIDO2-Schlüssel als sicher? |
#### IncludePlatformCredentials
Windows Hello for Business und Plattformanmeldeinformationen für macOS zählen als sicher.
| Eigenschaft | Wert |
| --------------------- | ------------------------------------------------ |
| Erforderlich | falsch |
| Standardwert | Wahr |
| Typ | Boolesch |
| Anzeigename im Portal | Zählen Plattformanmeldeinformationen als sicher? |
#### IncludeMicrosoftAuthenticator
Die Microsoft Authenticator-App mit Push- oder kennwortloser Anmeldung zählt als sicher.
| Eigenschaft | Wert |
| --------------------- | ----------------------------------------- |
| Erforderlich | falsch |
| Standardwert | Wahr |
| Typ | Boolesch |
| Anzeigename im Portal | Zählt Microsoft Authenticator als sicher? |
#### IncludeSoftwareOtp
Zeitbasierte Einmalcodes aus Authenticator-Apps zählen als sicher.
| Eigenschaft | Wert |
| --------------------- | ------------------------------ |
| Erforderlich | falsch |
| Standardwert | Falsch |
| Typ | Boolesch |
| Anzeigename im Portal | Zählt Software-OTP als sicher? |
#### IncludeHardwareOtp
Hardware-Einmalpasswort-Token zählen als sicher.
| Eigenschaft | Wert |
| --------------------- | ------------------------------------- |
| Erforderlich | falsch |
| Standardwert | Falsch |
| Typ | Boolesch |
| Anzeigename im Portal | Zählen Hardware-OTP-Token als sicher? |
#### IncludeCertificateBasedAuth
Die Anmeldung mit einem Zertifikat, z. B. von einer Smartcard, zählt als sicher.
| Eigenschaft | Wert |
| --------------------- | ------------------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | Wahr |
| Typ | Boolesch |
| Anzeigename im Portal | Zählt zertifikatsbasierte Authentifizierung als sicher? |
#### SecureOnly
Strikter Modus: Benutzer, die außerdem eine Telefon-, E-Mail- oder Sicherheitsfragenmethode registriert haben, qualifizieren sich niemals, auch nicht mit einer sicheren Methode.
| Eigenschaft | Wert |
| --------------------- | --------------- |
| Erforderlich | falsch |
| Standardwert | Falsch |
| Typ | Boolesch |
| Anzeigename im Portal | Strikter Modus? |
#### SecureMethodsOverride
Benutzerdefinierte Liste von Methodennamen, die als sicher zählen, durch Kommas getrennt. Wenn gesetzt, werden die einzelnen Methodenschalter ignoriert. In der Runbook-Anpassung voreingestellt; die Methodennamen sind in der Runbook-Dokumentation aufgeführt.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Anzeigename im Portal | Benutzerdefinierte sichere Methoden |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### UnsecureMethodsOverride
Benutzerdefinierte Liste von Methodennamen, die im strikten Modus als unsicher zählen, durch Kommas getrennt. In der Runbook-Anpassung voreingestellt.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Anzeigename im Portal | Benutzerdefinierte unsichere Methoden |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### ExcludeAdmins
Benutzer mit einer Entra ID-Verzeichnisrolle, aktiv oder berechtigt, qualifizieren sich nie und werden aus der Gruppe entfernt. Nützlich, wenn die Gruppe Self-Service Password Reset steuert.
| Eigenschaft | Wert |
| --------------------- | ----------------------------- |
| Erforderlich | falsch |
| Standardwert | Wahr |
| Typ | Boolesch |
| Anzeigename im Portal | Administratoren ausschließen? |
#### ExcludeGroupId
Mitglieder dieser Gruppe, z. B. Break-Glass- oder Dienstkonten, qualifizieren sich nie und werden aus der Zielgruppe entfernt. Leer lassen, wenn keine.
| Eigenschaft | Wert |
| --------------------- | ---------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Anzeigename im Portal | Ausschlussgruppe |
#### ExcludeUserIds
Benutzer, die sich nie qualifizieren und aus der Zielgruppe entfernt werden. Es können mehrere ausgewählt werden.
| Eigenschaft | Wert |
| --------------------- | ------------------------ |
| Erforderlich | falsch |
| Standardwert | @() |
| Typ | String\[] |
| Anzeigename im Portal | Ausgeschlossene Benutzer |
#### WhatIfMode
Protokolliert nur, welche Benutzer hinzugefügt oder entfernt würden, ohne die Gruppe zu ändern.
| Eigenschaft | Wert |
| --------------------- | --------- |
| Erforderlich | falsch |
| Standardwert | Falsch |
| Typ | Boolesch |
| Anzeigename im Portal | Testlauf? |
#### SendEmail
Den Bericht nach dem Lauf per E-Mail senden.
| Eigenschaft | Wert |
| --------------------- | -------------------------- |
| Erforderlich | falsch |
| Standardwert | Falsch |
| Typ | Boolesch |
| Anzeigename im Portal | Bericht per E-Mail senden? |
**Portaloptionen**
| Portaloption | Wert |
| ---------------------------------- | ------ |
| Ja - den Bericht per E-Mail senden | wahr |
| Nein - keine E-Mail senden | falsch |
#### EmailTo
Senden Sie den Bericht an diese Adressen. Trennen Sie mehrere durch Kommas; jeder Empfänger erhält eine separate E-Mail.
| Eigenschaft | Wert |
| --------------------- | --------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Anzeigename im Portal | Empfänger-E-Mail-Adresse(n) |
#### EmailFrom
Absenderadresse der Bericht-E-Mail. Wird aus der Mandanteneinstellung RJReport.EmailSender übernommen.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### BrandingHeaderImageUrl
Kopfzeilenbild der Bericht-E-Mail (HTTPS-URL, PNG/JPEG/GIF, max. 200 KB). Wird aus der Mandanteneinstellung RJReport.Branding.HeaderImageUrl übernommen; wenn leer, wird der standardmäßige RealmJoin-Kopfbereich verwendet.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### BrandingFooterImageUrl
Fußzeilenbild der Bericht-E-Mail (HTTPS-URL, PNG/JPEG/GIF, max. 200 KB). Wird aus der Mandanteneinstellung RJReport.Branding.FooterImageUrl übernommen; wenn leer, wird die standardmäßige RealmJoin-Fußzeile verwendet.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### BrandingFooterLink
Link hinter dem Fußzeilenbild der Bericht-E-Mail. Wird aus der Mandanteneinstellung RJReport.Branding.FooterLink übernommen; wenn leer, wird realmjoin.com verwendet.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### BrandingAccentColor
Akzentfarbe der Bericht-E-Mail als 6-stelliger Hexwert. Wird aus der Mandanteneinstellung RJReport.Branding.AccentColor übernommen; wenn leer oder ungültig, wird der standardmäßige RealmJoin-Wert verwendet.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### BrandingTextColor
Textfarbe der Bericht-E-Mail als 6-stelliger Hexwert. Wird aus der Mandanteneinstellung RJReport.Branding.TextColor übernommen; wenn leer oder ungültig, wird der standardmäßige RealmJoin-Wert verwendet.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### ReportFileFormat
Liefern Sie den Bericht als CSV, als Excel-Arbeitsmappe oder beides.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | CSV & XLSX |
| Typ | Zeichenfolge |
| Anzeigename im Portal | Berichtsdateiformat |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
**Portaloptionen**
| Portaloption | Wert |
| ------------ | ---------- |
| CSV & XLSX | CSV & XLSX |
| Nur CSV | Nur CSV |
| Nur XLSX | Nur XLSX |
#### CreateDownloadLink
Lädt den Bericht außerdem hoch und gibt einen Downloadlink zurück, der nach einigen Tagen abläuft.
| Eigenschaft | Wert |
| --------------------- | ----------------------------- |
| Erforderlich | falsch |
| Standardwert | Falsch |
| Typ | Boolesch |
| Anzeigename im Portal | Einen Downloadlink erstellen? |
**Portaloptionen**
| Portaloption | Wert |
| --------------------------------------------------------- | ------ |
| Ja - Bericht hochladen und einen Downloadlink zurückgeben | wahr |
| Nein - keinen Downloadlink erstellen | falsch |
#### ContainerName
Speichercontainer, in den die Berichtsdateien hochgeladen werden. Pro Runbook festlegen.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | sync-mfa-secure-users-to-group |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### ResourceGroupName
Ressourcengruppe des Storage Account für Bericht-Uploads. Aus der Tenant-Einstellung RJReport.StorageAccount.ResourceGroup übernommen.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### StorageAccountName
Storage Account für Bericht-Uploads. Aus der Tenant-Einstellung RJReport.StorageAccount.StorageAccountName übernommen.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | |
| Typ | Zeichenfolge |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
#### LinkExpiryDays
Anzahl der Tage, die ein Downloadlink gültig bleibt. Aus der Tenant-Einstellung RJReport.StorageAccount.LinkExpiryDays übernommen.
| Eigenschaft | Wert |
| ---------------------- | ----------------------------------------------- |
| Erforderlich | falsch |
| Standardwert | 6 |
| Typ | Int32 |
| Im Portal ausgeblendet | ja (vorkonfiguriert über die Runbook-Anpassung) |
[Zurück zur Übersicht der Runbook-Referenz](/de/automatisierung/runbooks/runbook-references.md)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.realmjoin.com/de/automatisierung/runbooks/runbook-references/org/security/sync-mfa-secure-users-to-group_scheduled.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.