Überlegungen zu Geräte- und Benutzergruppen

Bevor Sie Computer, mobile Geräte und Benutzer in Windows Intune in Gruppen organisieren, sollten Sie dies sorgfältig planen. Vor der Erstellung von Benutzer- und Gerätegruppen in Windows Intune sollten Sie vor allem folgende Punkte berücksichtigen:

• Eine Gruppe kann entweder Benutzer oder Geräte enthalten, aber nicht beides.
  
  
• Eine Gruppe kann direkte Mitglieder (statische Mitgliedschaft) oder dynamische (auf Abfragen basierende) Mitglieder haben oder beide Mitgliedstypen aufweisen. Beim Erstellen einer dynamischen Mitgliedschaftsabfrage definieren Sie die Kriterien für die Abfrage, die von Windows Intune ausgeführt wird, um eine Liste der Gruppenmitglieder abzurufen. Der Gruppe werden nach jeder Änderung automatisch Mitglieder hinzugefügt, sofern sie die Kriterien erfüllen. Sie können auch Gruppen erstellen, die statische Mitglieder aufweisen. Diese Gruppen definieren Sie manuell durch explizites Hinzufügen von Mitgliedern.
  
  
• Sie können eine Gruppe erstellen, die keine Mitglieder oder Abfragekriterien enthält.
  
  
• Sie können den Namen, die Beschreibung und den Mitgliedschaftstyp einer Gruppe bearbeiten.
  
  
• Bereitstellung der Software dauert länger als erwartet. Es kann bis zu eine Stunde vor neu bereitgestellter Software Gruppen zur Verfügung steht dauern.
  
  

Hinweis

Die Active Directory-Domänendienste (AD DS) sind für die Erstellung von Benutzer- oder Gerätegruppen, die Benutzer oder Computer enthalten, nicht erforderlich. Bei Gerätegruppen, die auch mobile Geräte umfassen sollen, muss Ihre Umgebung jedoch für die Unterstützung mobiler Geräte konfiguriert werden, und die Geräte müssen ermittelt und dem Windows Intune-Inventar hinzugefügt werden. Wenn Ihre Umgebung nicht für mobile Geräte konfiguriert ist, werden sie nicht im Windows Intune-Inventar angezeigt und sind nicht zum Hinzufügen zu Gerätegruppen verfügbar. Wenn die AD DS nicht in Ihrer Umgebung konfiguriert sind, können Sie Benutzer und Sicherheitsgruppen im Windows Intune-Kontenportal manuell hinzufügen.

Folgende Aspekte sollten im Zusammenhang mit Beziehungen über- und untergeordneter Windows Intune-Gruppen bedacht werden:

• Das übergeordnete Element einer Gruppe kann nicht geändert werden.
  
  
• Durch die Mitgliedschaft einer übergeordneten Gruppe definiert sich die mögliche Mitgliedschaft der untergeordneten Gruppe. Mitglieder müssen zu einer übergeordneten Gruppe gehören, damit sie einer untergeordneten Gruppe hinzugefügt werden können.
  
  Durch diese Verbesserung im Vergleich zu vorherigen Versionen von Windows Intune wird das Ermitteln von Gruppenmitgliedschaften und Bereichen mit möglicherweise problematischen Richtlinieneinstellungen erleichtert.
  
  
• Gruppenmitgliedschaften sind rekursiv. Das bedeutet: Wenn Sie Kriterien für eine Benutzer- oder Gerätegruppe angeben, die auf einer dynamischen Mitgliedschaftsabfrage basiert (z. B. eine Mitgliedschaft in einer spezifischen AD DS-Sicherheitsgruppe oder ein spezifischer Manager in AD DS), werden alle direkten und indirekten Benutzer Mitglieder dieser Gruppe. Beispiel:
  
  
  • Benutzer A ist Mitglied der Sicherheitsgruppe X in AD DS
    
    
  • Die Sicherheitsgruppe X ist Mitglied der Sicherheitsgruppe Y in AD DS
    
    
  Wenn Sie eine Gruppe basierend auf einer Mitgliedschaftsabfrage in Windows Intune erstellen, die alle Mitglieder der Sicherheitsgruppe Y umfasst, wird Benutzer A zum Mitglied dieser Gruppe.
  
  
• Der Status aller untergeordneten Gruppen wird auf den Status der übergeordneten Gruppe übertragen.
  
  
• Beim Löschen einer übergeordneten Gruppe werden alle untergeordneten Gruppen gelöscht.
  
  
• Sie können Softwareanwendungen, Updates und Richtlinien für mehrere Gruppen – auch eine Mischung aus Geräte- und Benutzergruppen – bereitstellen und dabei eine übergeordnete Gruppe einbeziehen und untergeordnete Gruppen ausschließen.
  
  
• Sie können bestimmte Gruppenmitglieder hinzufügen oder ausschließen.
  
  
• Sie können bestimmte Benutzer oder bestimmte Geräte einer untergeordneten Gruppe hinzufügen, auch wenn sie kein Mitglied der übergeordneten Gruppe sind. In diesem Fall wird das neue Gruppenmitglied allen übergeordneten Gruppen hinzugefügt, um die Gruppenkonsistenz zu wahren.
  
  Wenn Sie jedoch versuchen, ein Mitglied zu einer untergeordneten Gruppe hinzuzufügen, das explizit aus der übergeordneten Gruppe ausgeschlossen wurde, schlägt der Versuch, dieses Mitglied hinzuzufügen, fehl.
  
  
• Wie in vorherigen Versionen von Windows Intune kann ein Mitglied zu mehreren Gruppen gehören. Dadurch haben Sie die Flexibilität, Gruppenhierarchien zu erstellen, die Ihren Anforderungen an die Bereitstellung von Softwareanwendungen, -updates und -richtlinien entsprechen.
  
  

In der folgenden Tabelle werden die Mitgliedschaftskriterien aufgeführt, die Sie für dynamische Abfragen oder statische Listen definieren können. Sie können diese Kriterien für die dynamische Mitgliedschaftsabfrage und die statische Mitgliedschaft auch als Ausschlusskriterien für Zielgruppen verwenden:

Andere Ressourcen