> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/de/ugd-management/user-and-group-settings/additional-settings.md).
# Verfügbare RealmJoin-Richtlinien
Referenz der verfügbaren RealmJoin-Client-Einstellungen und -Richtlinien, konfigurierbar pro Benutzer oder Gruppe.
Der folgende Artikel zeigt Ihnen eine Liste möglicher RealmJoin-Client-Einstellungen/-Richtlinien. Diese können pro [Benutzer oder Gruppe](/de/ugd-management/user-group-device-management.md).
Jede Einstellung besteht aus einem **Schlüssel** und einem **Wert**:
* Der Schlüssel ist ein durch Punkte getrennter Pfad (zum Beispiel `Integration.Notification`). RealmJoin fügt den Wert in die Clientkonfiguration an diesem Pfad ein, auf Basis der [tenantweiten Standardwerte](/de/ugd-management/user-and-group-settings.md#tenant-default-values).
* Der Wert muss gültiges JSON sein — einschließlich einfacher Werte wie `true` oder `"release"` (in Anführungszeichen, ohne Klammern).
{% hint style="info" %}
Ein Wert von `undefined` **entfernt** den Schlüssel aus der wirksamen Konfiguration. Verwenden Sie dies, um einen Wert zu entfernen, den ein breiterer Geltungsbereich (tenantweite Clientkonfiguration oder "RealmJoin - All Users") gesetzt hat, anstatt ihn mit einem anderen Wert zu überschreiben.
{% endhint %}
{% hint style="info" %}
Die Schlüssel `Allow.*`, `Restrict.*` und `SoftwarePackageOverrides.*` werden vom RealmJoin-Backend ausgewertet und aus der Konfiguration entfernt, bevor sie an ein Gerät gesendet wird — sie erreichen den Client nie.
{% endhint %}
### Benutzern den Zugriff auf RealmJoin LAPS für ihre Geräte erlauben
Benutzer können über das RealmJoin-Portal auf verschiedene LAPS-Typen für Geräte zugreifen, die ihnen gehören.
**Schlüssel**
Allow\.SelfLAPS
**Wert**
```
true | false
```
oder pro Kontotyp
```
{
"EmergencyAccount": true,
"SupportAccount": true,
"PrivilegedAccount": true
}
```
Siehe [Local Admin Password Solution (LAPS)](/de/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md#enable-self-service) für die vollständige Self-Service-Beschreibung.
{% hint style="info" %}
`Allow.*` Einstellungen folgen nicht der üblichen Priorität „der engere Geltungsbereich gewinnt“. Alle dem Benutzer und seinen Gruppen zugewiesenen Werte werden kombiniert, und ein explizites `false` setzt sich immer gegen jedes `true`.
{% endhint %}
{% hint style="warning" %}
`Allow.*` und `Restrict.*` werden anhand der Entra ID-Gruppenmitgliedschaften des Benutzers aufgelöst **Entra ID-Gruppenmitgliedschaften**. Die Zuweisung zur integrierten Gruppe "RealmJoin - All Users" hat keine Wirkung — verwenden Sie eine echte Entra ID-Gruppe oder weisen Sie sie direkt dem Benutzer zu.
{% endhint %}
### Benutzern den Zugriff auf Intune LAPS für ihre Geräte erlauben
Benutzer können das LAPS-Passwort ihrer Geräte anzeigen und ändern.
**Schlüssel**
Allow\.SelfLAPSIntune
**Wert**
```
true | false
```
oder genauer:
```
{
"CanReadPassword": true,
"CanRotatePassword": false
}
```
Ab **Portal v2026.29**, kann der Zugriff eingeschränkt werden **pro Plattform** (Windows/macOS). Eine plattformspezifische Eigenschaft überschreibt die generischen `CanReadPassword`/`CanRotatePassword` für die passende Geräteplattform:
```
{
"CanReadPasswordWindows": true,
"CanRotatePasswordWindows": true,
"CanReadPasswordMacOS": true,
"CanRotatePasswordMacOS": false
}
```
Ein einfacher Stringwert wirkt nur für die passende Plattform wie `true` :
```
"windows"|"macos"
```
Der Zugriff wird nur dem primären Benutzer des Geräts oder dem registrierten Besitzer gewährt. Wie bei `Allow.SelfLAPS`, werden alle zugewiesenen Werte kombiniert und ein explizites `false` gewinnt gegen jedes `true`.
### BranchCache für RJ-Pakete konfigurieren
Diese Einstellung ändert den BranchCache-Modus für **neue** Clients.
**Schlüssel**\
BranchCache.Mode
**Wert**
```
"Distributed"|"Undefined"
```
### DomainConnect für Legacy-Domänen konfigurieren
Die folgenden Einstellungen konfigurieren DomainConnect für Legacy-Domänen.
**Schlüssel**\
DomainConnect.CredentialName
**Wert**
```
"RealmJoin (domain)"
```
**Schlüssel**\
DomainConnect.Domain
**Wert**
```
"domain.contoso.net"
```
**Schlüssel**\
DomainConnect.NetBIOS
**Wert**
```
"contoso"
```
### RealmJoin-Release-Kanal konfigurieren
Diese Einstellung ändert mit dem nächsten Update des RealmJoin-Clients den Kanal des Benutzers / der Benutzergruppe.
**Schlüssel**\
Environment.Channel
**Wert**
```
"release" | "beta" | "canary"
```
{% hint style="info" %}
Diese Einstellung wird auf gemeinsam genutzten VDI-Clients ignoriert — sie bleiben immer auf dem Kanal ihres Images.
{% endhint %}
### RealmJoin ESP konfigurieren
Legt fest, ob nach der ersten Installation des RealmJoin-Agenten standardmäßig neu gestartet wird.
**Schlüssel**
FirstRun.AfterSuccessAction
**Wert**
```
"none" | "logoff" | "restart"
```
Legt fest, ob das RJ ESP angezeigt wird.
Wenn der Bereitstellungsbildschirm für sekundäre Benutzer deaktiviert werden muss, muss die Systemvariable *$env:RjDisableSecondaryInitialDeployment = 1* vor der ersten SU-Anmeldung gesetzt sein.
**Schlüssel**
FirstRun.DisableDeploymentScreen
**Wert**
```
"true" | "false"
```
Bereitstellungsbildschirm auf eingeschränktem oder sicherem Desktop anzeigen.
**Schlüssel**
FirstRun.EnableSecureDesktop
**Wert**
```
"true" | "false"
```
### Downgrade von Paketen erlauben
Ermöglicht das Downgrade bereits installierter Anwendungen per Auto-Upgrade, wenn die Versionsnummer geändert wird. Gilt für alle Pakete, die Benutzern zugewiesen sind, die die Richtlinie über Gruppen- oder Benutzereinstellungen erhalten.
**Schlüssel**
SoftwarePackaging.AutoUpgradeCanDowngrade
**Wert**
```
"true" | "false"
```
### Globale Überschreibung des Verhaltens von Softwarepaketen
Diese Einstellungen sind in erster Linie für Deployment/DEM-Benutzer auf gemeinsam genutzten Geräten gedacht. Sie werden auf **alle** Softwarepakete angewendet, die dem empfangenden Benutzer zugewiesen sind.
Erzwingt das Flag für die Hintergrundinstallation bei jedem Paket.
**Schlüssel**
SoftwarePackageOverrides.AllowBackgroundInstall
**Wert**
```
true | false
```
Ignoriert den Phasenteil der [Einschränkungen für Hauptanwendung / Benutzeranteil](/de/anwendungsverwaltung/packages/package-settings.md) (Logon, Manual, Initial, Normal) jedes Pakets.
**Schlüssel**
SoftwarePackageOverrides.IgnorePhaseRestrictions
**Wert**
```
true
```
Ignoriert den primären/sekundären Benutzeranteil dieser Einschränkungen jedes Pakets.
**Schlüssel**
SoftwarePackageOverrides.IgnoreUserRestrictions
**Wert**
```
true
```
{% hint style="info" %}
`IgnorePhaseRestrictions` und `IgnoreUserRestrictions` wirken nur, wenn sie auf `true`; `false` gesetzt werden; das ist dasselbe, wie sie gar nicht zu setzen. Einschränkungen können auf diese Weise nur aufgehoben, nie hinzugefügt werden.
Wenn der primäre Benutzer des Geräts ein Deployment-(DEM-)Benutzer ist, gelten diese Überschreibungen auch für die Pakete, die sekundäre Benutzer von diesem Deployment-Benutzer erben.
{% endhint %}
### AnyDesk-Funktion
Diese Einstellung aktiviert oder deaktiviert die [AnyDesk-Funktion](/de/realmjoin-agent/realmjoin-client/anydesk-integration.md).
**Schlüssel**\
Integration.AnyDesk
**Wert**
```json
{
"Enabled": true | false,
"BootstrapperUrl": "https://.../.../AnyDesk.exe",
"CustomClientSuffix": "myorg",
"Ui": {
"TrayMenuTextEnglish": "Remotesitzung starten"
}
}
```
* **Aktiviert:** Schaltet die AnyDesk-Integration ein oder aus.
* **BootstrapperUrl:** Downloadort des AnyDesk-Clients, der von der Integration verwendet wird.
* **CustomClientSuffix:** Suffix Ihres benutzerdefinierten AnyDesk-Clients. Es wird verwendet, um den `anydesk:` Link zu erstellen, den das RealmJoin-Portal beim Starten einer Sitzung öffnet. Lassen Sie ihn weg, wenn Sie den generischen Client verwenden.
* **Ui.TrayMenuTextEnglish:** Beschriftung des Eintrags im RealmJoin-Tray-Menü. Standardmäßig `"Remotesitzung starten"`.
### ExecutionMonitor-Funktion
Diese Einstellung aktiviert oder deaktiviert die ExecutionMonitor-Funktion.
**Schlüssel**\
Integration.ExecutionMonitor
**Wert**
```json
{
"Enabled": true | false,
"UpdateInterval": "08:00"
}
```
### Notifier-Funktion
Diese Einstellung aktiviert oder deaktiviert die [Notifier-Funktion](/de/realmjoin-agent/realmjoin-client/showing-notifications.md) und sie aktiviert oder deaktiviert auch die Editor-Benutzeroberfläche.
**Schlüssel**\
Integration.Notification
**Wert**
```json
{
"Enabled": true | false,
"SourceUrl": "URL_PROVIDED_BY_GK",
"FallbackCulture": "en",
"CheckInterval": "00:01"
}
```
* **Aktiviert:** Schaltet den Notifier ein oder aus.
* **SourceUrl:** Speicherort der Benachrichtigungsdefinitionen. Dieser Wert wird von RealmJoin erstellt, wenn die Funktion für Ihren Tenant aktiviert ist — ändern Sie ihn nicht.
* **FallbackCulture:** Sprache, die verwendet wird, wenn eine Benachrichtigung keinen Inhalt für die Sprache des Benutzers hat. Standardmäßig `"en"`.
* **CheckInterval:** Wie oft der Client nach neuen Benachrichtigungen sucht ([HH:mm](https://learn.microsoft.com/en-us/dotnet/standard/base-types/standard-timespan-format-strings)). Standardmäßig `"00:01"`.
### LocalAdminManagement-Funktionen
Dieser Abschnitt zeigt Ihnen alle notwendigen Einstellungen für die LocalAdminManagement-Funktionen. Weitere Details zu dieser Funktion finden Sie im [Artikel zur Local Admin Password Solution](/de/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md).
**Schlüssel**\
LocalAdminManagement.Inactive
**Wert**
```
false
```
**Schlüssel**\
LocalAdminManagement.CheckInterval
**Wert**
```
"00:05"
```
**Schlüssel**\
LocalAdminManagement.EmergencyAccount
**Wert**
```json
{
"MaxStaleness": "00:45",
"NamePattern": "ADM-{HEX:4}",
"DisplayName": "Lokales Notfallkonto",
"PasswordCharSet": "1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz",
"PasswordLength": 14
}
```
**Schlüssel**\
LocalAdminManagement.SupportAccount
**Wert**
```json
{
"MaxStaleness": "00:45",
"NamePattern": "ADM-{HEX:4}",
"DisplayName": "Lokaler Support-Administrator",
"PasswordCharSet": "1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz",
"PasswordLength": 14,
"OnDemand": true | false
}
```
**Schlüssel**\
LocalAdminManagement.PrivilegedAccount
**Wert**
```json
{
"NamePattern": "Privilegierter-Benutzer-{COUNT:1}",
"DisplayName": "Privilegierter Benutzer",
"PasswordRenewals": ["DayAfterCreate", "Monthly", "Thursday"],
"PasswordPreset": 3,
"PasswordLength": 3
}
```
{% hint style="info" %}
Alle drei Kontotypen teilen sich dieselben gemeinsamen Eigenschaften (`NamePattern`, `DisplayName`, `PasswordCharSet`, `PasswordLength`, `PasswordPreset`, `MaxStaleness`). `OnDemand` und `Expiration` sind spezifisch für das Support-Konto, `Expiration` und `PasswordRenewals` für das privilegierte Konto. Ein Kontotyp, der überhaupt nicht konfiguriert ist, bleibt inaktiv. Der [LAPS-Artikel](/de/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md) beschreibt jede Eigenschaft, die Standardwerte und die Passwort-Presets im Detail.
{% endhint %}
### AppCatalog-Funktion
Diese Einstellung steuert den nativen Zugriff mit einem Klick auf den [App-Katalog](/de/realmjoin-agent/client-menu/self-service-portal.md#app-catalog-tab) über das RealmJoin-Tray-Menü und das Windows-Startmenü.
**Schlüssel**\
AppCatalog
**Wert**
```json
{
"Enabled": true | false,
"HidePackages": true | false,
"CreateStartMenuShortcut": true | false,
"Ui": {
"DisplayName": "App-Katalog"
}
}
```
* **Aktiviert:** Fügt einen **App-Katalog** Eintrag zum RealmJoin-Tray-Menü hinzu, der die App-Catalog-Seite des Geräts in Microsoft Edge im App-Modus öffnet.
* **HidePackages:** Blendet die einzelnen Softwarepakete aus dem klassischen Tray-Untermenü "Installieren"/"Aktualisieren" aus, was nützlich ist, sobald Benutzer stattdessen zum App-Katalog geführt werden.
* **CreateStartMenuShortcut:** Erfordert `Enabled: true`. Erstellt eine benutzerspezifische Startmenü-Verknüpfung ("App-Katalog"), die dieselbe Seite öffnet, sodass sie über die Startsuche gefunden oder an die Taskleiste angeheftet werden kann.
* **Ui.DisplayName:** Beschriftung des App-Catalog-Eintrags im RealmJoin-Tray-Menü. Derselbe Text wird auch für die von `CreateStartMenuShortcut`erstellte Startmenü-Verknüpfung verwendet. Standardmäßig `"App-Katalog"`.
### Edge-Protokollabfrage für den App-Katalog
Der App-Katalog läuft in einem Microsoft-Edge-App-Fenster, und jeder Installationslink darin ist eine `realmjoin:` URL. Solange das `realmjoin` -Protokoll für den Portal-Origin nicht erlaubt ist, zeigt der erste Klick Edge-Dialog für externe Protokolle ("Diese Website versucht, … zu öffnen"). Das Protokoll wird mit der Edge-Richtlinie [`AutoLaunchProtocolsFromOrigins`](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-policies#autolaunchprotocolsfromorigins). Entweder fügt Ihr Tenant einen `realmjoin` Eintrag zu dem Wert hinzu, den er bereits verwaltet, oder der RealmJoin-Agent schreibt den Eintrag in den Registrierungs-Hive des Benutzers.
**Schlüssel**\
Policies.EdgeAllowRealmJoinProtocol
**Wert**
```
true | false
```
{% hint style="danger" %}
**Wählen Sie einen Weg, niemals beide.** Entweder verwaltet Ihr Tenant `AutoLaunchProtocolsFromOrigins` es selbst, oder RealmJoin erledigt es mit dieser Einstellung. Die Richtlinie hat pro Gerät nur einen Besitzer, und zwei Besitzer überschreiben einander.
{% endhint %}
#### Wie Edge die Richtlinie auswertet
Die Richtlinie ist ein einzelner JSON-Wert pro Registry-Hive unter `SOFTWARE\Policies\Microsoft\Edge\AutoLaunchProtocolsFromOrigins` in `HKLM` oder `HKCU`. Sie kann nicht aus mehreren Quellen zusammengesetzt werden:
* **Computer schlägt Benutzer insgesamt.** Edge verwendet den Computerwert anstelle des Benutzerwerts; die beiden Listen werden nie zusammengeführt. Ein Computerwert deaktiviert stillschweigend alles, was pro Benutzer gesetzt wurde.
* **Intune** wendet die Einstellung als ADMX-gestützte Richtlinie an (Einstellungskatalog: *Microsoft Edge > Allow specific sites to launch external protocols*). Der MDM-Client schreibt den gesamten Wert bei jeder Synchronisierung neu, sodass alles, was von einer anderen Partei hinzugefügt wurde, nach dem nächsten Check-in verschwunden ist.
* **Zwei Intune-Profile** die diese Einstellung konfigurieren, stehen miteinander in Konflikt. Das Ergebnis auf dem Gerät ist nicht deterministisch.
#### Weg 1: Ihr Tenant verwaltet Edge-Richtlinien
Fügen Sie das `realmjoin` Protokoll zu dem **einem** vorhandenen Profil hinzu, das `AutoLaunchProtocolsFromOrigins`setzt, in welchem Geltungsbereich (Gerät oder Benutzer) dieses Profil liegt, neben den Protokollen, die Sie bereits zulassen:
```json
[
{ "protocol": "realmjoin", "allowed_origins": ["realmjoin.com"] },
{ "protocol": "msteams", "allowed_origins": ["teams.microsoft.com", "teams.cloud.microsoft"] }
]
```
Erstellen Sie dafür kein zweites Profil und setzen Sie nicht `Policies.EdgeAllowRealmJoinProtocol`.
#### Weg 2: Ihr Tenant verwaltet diese Richtlinie nicht
Setzen Sie `Policies.EdgeAllowRealmJoinProtocol` auf `true`. Nur der JSON-Wert `true` aktiviert dies. Jedes Mal, wenn der Agent seine Konfiguration anwendet, wertet der RealmJoin-Dienst (der als SYSTEM läuft) die Richtlinie für den Benutzer aus, als den die Tray-Instanz läuft:
* **Es existiert ein Computerwert** (zum Beispiel ein Intune-Profil im Gerätebereich oder eine GPO): Es wird nichts geschrieben, weil ein Benutzerwert ohnehin ignoriert würde. Das Agentenprotokoll gibt an, ob der Computerwert das Portal bereits zulässt.
* **Der Benutzerwert wird von MDM verwaltet**: Es wird nichts geschrieben.
* **Andernfalls** führt der Agent den Portal-Host in `HKCU`. Andere Protokolle und Origins, die bereits in diesem Wert enthalten sind, bleiben erhalten. Wenn der `realmjoin` Eintrag bereits einen Origin enthält, der das Portal abdeckt (zum Beispiel `realmjoin.com`), wird nichts geschrieben.
Ohne das Opt-in, also wenn der Schlüssel auf `false`Policies `gesetzt, entfernt oder gar keine Einstellung vorhanden ist, entfernt der Agent seine eigenen Einträge wieder aus dem Wert des Benutzers. Deinstallieren des Agents bewirkt dasselbe.` Keiner der beiden Wege ist erforderlich. Ohne die Richtlinie funktioniert der App-Katalog trotzdem: Edge fragt einmal pro Benutzer nach, und der Benutzer kann „Immer erlauben“ ankreuzen, sofern Ihre Edge-Richtlinien dieses Kontrollkästchen nicht ausblenden.
{% hint style="info" %}
Den
{% endhint %}
#### Eintrag korrekt schreiben `realmjoin` Edge verwendet nur den
* ersten **Eintrag, dessen** Protokoll `mit dem URL-Schema übereinstimmt, wobei die Groß-/Kleinschreibung mit dem kleingeschriebenen Schema verglichen wird. Ein zweiter` Eintrag wird ignoriert, ebenso einer mit der Schreibweise `realmjoin` Eintrag wird ignoriert, ebenso einer mit der Schreibweise `RealmJoin`. Geben Sie alle erlaubten Origins in einen `realmjoin` Eintrag ein.
* Origins folgen dem Format des [URL-Blocklist-Filters von Edge](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-browser-policies/urlblocklist). Der nackte Host `realmjoin.com` deckt auch `portal.realmjoin.com`, während `.realmjoin.com` (mit führendem Punkt) nur den exakten Host trifft `realmjoin.com` und daher **nicht** das Portal.
{% hint style="info" %}
Um das Ergebnis auf einem Gerät zu prüfen, öffnen Sie `edge://policy` in Edge. Dort werden der wirksame Wert, sein Geltungsbereich (Computer oder Benutzer) und ob er erfolgreich geparst wurde, angezeigt.
{% endhint %}
### Weblinks für das RealmJoin-Tray
Die folgende Einstellung erzeugt einen Weblink im Tray.
**Schlüssel**\
Weblinks
**Wert**
```json
[
{
"Name": "Mein Azure-Konto",
"Ziel": "https://account.activedirectory.windowsazure.com/r/#/profile",
"Plattform": "beliebig"
},
{
"Name": "Outlook-Webzugriff",
"Ziel": "https://outlook.office365.com/owa/?realm=contoso.onmicrosoft.com",
"Plattform": "beliebig"
}
]
```
### Zugriffsbeschränkungen
{% hint style="info" %}
Derzeit nur [RealmJoin LAPS](/de/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md) wird unterstützt. Der Zugriff auf von Intune verwaltetes Windows LAPS wird durch die benutzerdefinierten Rollenberechtigungen gesteuert `CanSeeDeviceIntuneManagedLapsStatus` und `CanRotateIntuneManagedDeviceLocalCredentials` und wird von dieser Einstellung nicht beeinflusst.
{% endhint %}
Weisen Sie diese Einstellung den Gruppen der **Gerätebesitzer** die Sie schützen möchten zu. Dadurch wird eingeschränkt, welche Administratoren [LAPS](/de/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md) auf den Geräten dieser Benutzer verwenden dürfen.
Die Einstellung kann auch zugewiesen werden an **Gerätegruppen**. Dazu ist das Tenant-Feature *Restrict.LAPS von Gerätegruppen anwenden*. Die Funktion ist für alle Tenants aktiviert, die ab Portal-Version 2026.40 onboarded wurden. Wenden Sie sich für bestehende Tenants an den RealmJoin-Support, um sie zu aktivieren. Wenn sie aktiviert ist, werden die Regeln aus den Gruppen des Gerätebesitzers und den Gruppen des Geräts selbst zusammengeführt.
{% hint style="warning" %}
Bevor Sie die Funktion für einen bestehenden Tenant aktivieren, prüfen Sie Ihre Gerätegruppen auf vorhandene `Restrict.LAPS` Einstellungen. Bisher hatten diese Einstellungen keine Wirkung. Sobald die Funktion aktiviert ist, werden sie angewendet und können einigen Administratoren den LAPS-Zugriff entziehen.
{% endhint %}
**Schlüssel**\
Restrict.LAPS
Wert
```json
{
"Admin": [
"11-cf35-49dd-a862-123123",
"11-2ec2-47ee-8cb8-123123"
],
"Supporter": [
"23-cf35-49dd-a862-231"
],
"Deny": []
}
```
Jede Eigenschaft enthält die Objekt-IDs von Entra ID Groups. Es gibt je eine Liste pro RealmJoin-Rolle:
```
"Admin" | "Auditor" | "Supporter" | "AdvancedSupporter" | "RunbookRunner" |
"SoftwareAgent" | "SoftwareRequester" | "OrganicRequester" | "NotificationAgent" | "Deny"
```
{% hint style="warning" %}
Die Listen sind einschließend: Sobald mindestens eine Liste gefüllt ist, dürfen nur Administratoren, die die passende RealmJoin-Rolle innehaben **und** und Mitglied einer der für diese Rolle aufgeführten Gruppen sind, LAPS auf diesen Geräten verwenden. Alle anderen werden abgewiesen.
Die Mitgliedschaft in einer unter `Deny` verweigert den Zugriff immer, unabhängig von den anderen Listen. Globale Administratoren werden niemals eingeschränkt.
{% endhint %}
Jede Rolle wird mit ihrer eigenen Liste abgeglichen. Ein Administrator erhält nur den LAPS-Zugriff der Rollen, deren Liste eine seiner Gruppen enthält. Zum Beispiel erhält ein Administrator, der sowohl Admin als auch Supporter ist, aber nur Mitglied einer Gruppe ist, die unter `Supporter`, erhält auf diesen Geräten Supporter-Zugriff, nicht Admin-Zugriff.
{% hint style="info" %}
Vor Portal-Version 2026.40 reichte es aus, für irgendeine Rolle aufgeführt zu sein, um den Zugriff der höchsten Rolle des Administrators zu erhalten.
{% endhint %}
Benutzerdefinierte Rollen mit einer der LAPS-Berechtigungen (`CanUseDeviceLapsAsAdvancedSupporter`, `CanSeeDeviceLapsAsAuditor`, `CanUseDeviceLapsAsSupporter`) werden mit der Liste der entsprechenden Rolle abgeglichen: `AdvancedSupporter`, `Auditor` oder `Supporter`. Siehe [Wer auf LAPS-Konten zugreifen kann](/de/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md#who-can-access-laps-accounts).
### Verschiedene Schalter
Dieser Abschnitt zeigt Ihnen vier Richtlinien für RealmJoin.
**Schlüssel**\
Policies.DisableNetworkLocationWizard
**Wert**
```
true | false
```
**Schlüssel**\
Policies.RequireSecurityFeatures.BitlockerEnabled
**Wert**
```
true | false
```
**Schlüssel**\
Policies.SetCurrentUserAdministrator
**Wert**
```
true | false
```
**Schlüssel**\
Policies.SetTimeserver
**Wert**
```
["time.windows.com", "time.apple.com", "pool.ntp.org"]
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.realmjoin.com/de/ugd-management/user-and-group-settings/additional-settings.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.