Intune-Registrierungsbereitschaft prüfen
Prüfen, ob dieser Benutzer Geräte in Intune registrieren kann
Beschreibung
Überprüft, ob dieser Benutzer bereit ist, ein Gerät in Intune zu registrieren, und meldet Bereit, Bereit mit Warnungen oder Nicht bereit zusammen mit den gefundenen Blockern. Die Prüfung umfasst den Kontostatus, die Intune-Lizenz, das Geräteanmeldelimit, Plattformbeschränkungen und Conditional Access-Richtlinien, die auf die Geräteregistrierung oder -anmeldung abzielen. Es wird nichts geändert. Details zu den Prüfungen finden sich in der Runbook-Dokumentation (docs.realmjoin.com).
Hinweise zur Interpretation
Durchgeführte Prüfungen: Kontostatus, Intune-Lizenz und Dienstplan, MDM-Zuständigkeit des Mandanten, Geräteanmeldelimit, Plattformbeschränkungen, registrierte Authentifizierungsmethoden, Conditional Access-Richtlinien und optional die Mitgliedschaft in der Pilotgruppe.
Conditional Access wird als statisches "What If" gegen den Anmeldevorgang des ausgewählten
EnrollmentPlatform; Entras eigenes What-If-Tool bleibt die maßgebliche Instanz.Anforderungen an konforme Geräte in Richtlinien für „Alle Ressourcen“ blockieren die Registrierung nicht (eine dokumentierte Entra-Ausnahme); nur Richtlinien, die auf Geräteregistrierung oder die Intune-Registrierungs-Apps abzielen, werden als strikte Schranken behandelt.
Nicht statisch ausgewertet: benannte Standorte, Gerätefilter, Anmeldefrequenz und Nutzungsbedingungen.
Abgelaufene oder bereits verwendete Temporary Access Passes werden nicht als nutzbare Methoden gezählt.
Voraussetzungen
Die MDM-Zuständigkeit des Mandanten muss "intune" oder "office365" sein; andere Werte blockieren alle Benutzer.
Was geprüft wird
Der Bereitschaftsbefund kombiniert diese Prüfungen:
Kontostatus (aktiviert, nicht blockiert) und eine dem Benutzer zugewiesene Intune-Lizenz.
Das Geräteanmeldelimit des Mandanten für den Benutzer und die Plattformbeschränkungen der Anmeldekonfiguration.
Conditional Access-Richtlinien, die explizit auf die Geräteregistrierung oder Intune-Registrierung abzielen. Richtlinien, die ein konformes Gerät über Alle Ressourcen werden per Microsoft-Entra-Design ausgenommen und daher nicht als Blocker gezählt.
Plattformbezogene Richtlinien und Anforderungen an nur im Browser verfügbare Client-Apps werden gegen die gewählte Anmeldeplattform ausgewertet; mit Alle Plattformen wird jede Plattform separat ausgewertet und gemeldet.
Das Runbook liest nur; es ändert nichts am Benutzer oder am Mandanten.
Ort
Benutzer → Allgemein → Intune Enrollment Readiness prüfen
Vollständiger Runbook-Name
rjgit-user_general_check-intune-enrollment-readiness
Details
Version
1.0.0
Erforderliche Module
RealmJoin.RunbookHelper (>= 0.8.9) Microsoft.Graph.Authentication (>= 2.39.0)
Planbar
nein
Berechtigungen
Anwendungsberechtigungen
Typ: Microsoft Graph
DeviceManagementServiceConfig.Read.All
Liest /deviceManagement/deviceEnrollmentConfigurations (Grenzwert- und Plattformbeschränkungskonfigurationen, mit erweiterten Zuweisungen), um Ergebnisse zu Anmeldelimit und Plattformbeschränkungen zu bewerten
Group.Read.All
Liest /groups?$filter=displayName eq '...' , um die optionale Pilotgruppe anhand des Namens aufzulösen
GroupMember.Read.All
Liest /groups/{id}/transitiveMembers/microsoft.graph.user, um die Mitgliedschaft in der Pilotgruppe zu prüfen, und /users/{id}/transitiveMemberOf/microsoft.graph.group, um die Gruppenmitgliedschaften des Zielbenutzers für das Conditional Access-include/exclude group scoping aufzulösen
Organization.Read.All
Liest /v1.0/organization/{tenantId}?$select=id,displayName,mobileDeviceManagementAuthority, um die MDM-Zuständigkeit des Mandanten zu bestimmen, eine bedingungslose mandantenweite Prüfung als Anmeldeblocker; die Tenant-ID wird als Schnellpfad aus Get-MgContext entnommen, andernfalls wird auf GET /v1.0/organization?$select=id zurückgegriffen, wenn der Graph-Kontext keine liefert
Policy.Read.All
Liest /identity/conditionalAccess/policies, um aktivierte Richtlinien zu bewerten, die die Intune-Registrierung für den Benutzer blockieren könnten
RoleManagement.Read.Directory
Füllt die roleTemplateId der directoryRole-Objekte, die von /users/{id}/transitiveMemberOf/microsoft.graph.directoryRole zurückgegeben werden, und gegen die das Scoping von Conditional Access includeRoles/excludeRoles abgeglichen wird. User.Read.All autorisiert den Aufruf selbst, lässt die directoryRole-Eigenschaften jedoch null, wodurch jede rollenbezogene Richtlinie stillschweigend so erscheinen würde, als gelte sie nicht
User.Read.All
Liest /users/{id} (accountEnabled, assignedLicenses, usageLocation), um den Zielbenutzer aufzulösen, /subscribedSkus, um zu bestimmen, welche Lizenzen einen Intune-Dienstplan enthalten, /users/{id}/ownedDevices, um registrierte Geräte gegen das Anmeldelimit zu zählen, und /users/{id}/transitiveMemberOf/microsoft.graph.directoryRole, um die Verzeichnisrollen des Benutzers für das includeRoles/excludeRoles-Scoping von Conditional Access aufzulösen
UserAuthenticationMethod.Read.All
Liest /users/{id}/authentication/methods, um festzustellen, ob der Benutzer über eine registrierte Methode verfügt, die die MFA-Zugriffssteuerungen von Conditional Access erfüllen kann
Parameter
Benutzername
User Principal Name des Benutzers, auf den das Runbook angewendet wird. Wird vom Portal aus dem ausgewählten Benutzer gesetzt.
Erforderlich
ja
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
EnrollmentPlatform
Plattform des Geräts, das der Benutzer registrieren möchte. Auf andere Plattformen beschränkte Conditional Access-Richtlinien werden ignoriert; Alle Plattformen prüft jede Plattform und meldet jede einzelne.
Erforderlich
nein
Standardwert
Windows
Typ
Zeichenfolge
Anzeigename im Portal
Zu registrierende Plattform
Portaloptionen
Windows
Windows
iOS / iPadOS
iOS
Android
Android
macOS
macOS
Alle Plattformen
Alle
CheckPilotGroupMembership
Erfordert außerdem, dass der Benutzer in der Pilotgruppe ist. Nichtmitglieder werden als Nicht bereit gemeldet.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Pilotgruppenmitgliedschaft prüfen?
PilotGroupDisplayName
Mitglieder dieser Gruppe zählen als Pilotbenutzer. Die Gruppe wird über ihren Anzeigenamen gesucht.
Erforderlich
nein
Standardwert
Spalte - Alle Benutzer - Pilot (Benutzer)
Typ
Zeichenfolge
Anzeigename im Portal
Name der Pilotgruppe
Zuletzt aktualisiert
War das hilfreich?