Intune Basics: Tenant Setup, Licensing & Global Admin Basics

Willkommen zum ersten Modul des Intune A-Z Mastercourses. Bevor wir uns in die Tiefen von Autopilot, Win32-Apps oder Conditional Access stürzen, müssen die Fundamente stehen. Ein falsch konfigurierter Tenant führt später zu Inkonsistenzen, Berechtigungsproblemen und Sicherheitslücken.

In diesem Artikel behandeln wir den „Day 0“ Setup: Vom Tenant-Start über die Lizenzierung bis hin zur optimalen Administrationsstruktur.

1. Der Microsoft Intune Tenant: Was ist das eigentlich?

Microsoft Intune ist ein cloudbasierter Dienst, der Teil der Microsoft 365 (M365) Familie ist. Technisch gesehen ist Intune ein MDM-Service (Mobile Device Management) und ein MAM-Service (Mobile Application Management). Er interagiert eng mit Microsoft Entra ID (früher Azure AD), um Identitäten und Geräte zu verknüpfen.

Die Architektur im Überblick

Control Plane: Das Intune Admin Center (MEM), über das wir Policies definieren.
Management Plane: Die Kommunikation zwischen Intune und dem Endgerät (via HTTPS/Push-Notifications).
Identity Plane: Entra ID, die prüft, wer das Gerät nutzt und ob das Gerät vertrauenswürdig ist.

2. Licensing & Subscription: Das Kleingedruckte

Intune ist kein kostenloses Tool. Die Lizenzierung ist oft komplex, da sie in M365-Bundles versteckt ist. Damit ein Gerät vollständig verwaltet werden kann, benötigt der zugewiesene Benutzer eine gültige Lizenz.

Gängige Lizenzmodelle

Lizenz	Intune enthalten?	Besonderheiten
Microsoft 365 Business Premium	Ja	Ideal für KMUs (bis 300 User). Inklusive Defender for Business.
Microsoft 365 E3 / E5	Ja	Enterprise Standard. E5 bietet erweitertes Security & Compliance.
Enterprise Mobility + Security (EMS) E3/E5	Ja	Fokus auf Identität und Management, ohne Office-Apps.
Intune Plan 1 / Plan 2	Ja	Standalone-Lizenzen für spezifische Anforderungen.

Pro-Tipp: Achtet darauf, dass Lizenzen vor dem Enrollment zugewiesen werden. Ein Gerät, das ohne Lizenz registriert wird, landet im „Grace Period“ Status und empfängt nach einiger Zeit keine neuen Policies mehr.

3. Global Admin vs. Intune Administrator

Ein häufiger Fehler in neuen Umgebungen ist der „Global Admin Overkill“. Jeder Administrator nutzt den Global Admin Account für alles. Das verstößt gegen das Principle of Least Privilege (PoLP).

Rollen-Hierarchie

Global Administrator: Voller Zugriff auf den gesamten Tenant. Nur für initiale Setups und Notfälle.
Intune Administrator: Vollständige Kontrolle über Intune, kann aber keine globalen Entra ID Einstellungen (wie Domain-Hinzufügungen) ändern.
Custom RBAC Roles: Über das Intune Admin Center können eigene Rollen definiert werden (z.B. „Helpdesk – Nur Passwörter zurücksetzen & Remotewipe“).

Best Practice: Privileged Identity Management (PIM)

In E5-Umgebungen sollten Admins keine permanenten Rechte haben. Stattdessen nutzen sie PIM, um Rechte für z.B. 4 Stunden „aktivierbar“ zu machen (Just-in-Time Access).

4. Tenant Setup: Die ersten Schritte (Step-by-Step)

Schritt 1: MDM Authority festlegen

Früher musste man die MDM-Authority manuell von „Other“ auf „Microsoft Intune“ setzen. Heute geschieht dies meist automatisch bei der Erstellung des Tenants. Prüfen könnt ihr dies im Intune Portal unter Tenant Administration > Tenant status.

Schritt 2: Domänen-Verifizierung

Ein Tenant ohne eigene Domain (z.B. firma.onmicrosoft.com) ist unprofessionell und erschwert die E-Mail-Kommunikation.
Verknüpft eure öffentliche Domain in Entra ID:

Navigiert zu Entra ID > Overview > Domain Names.
Klickt auf Add custom domain.
Gebt eure Domain ein (z.B. kaffeeundcode.de).
Bestätigt den Besitz via TXT-Record in eurem DNS-Panel.

Schritt 3: MDM-User-Scope konfigurieren

Damit User ihre Geräte überhaupt registrieren dürfen, muss der Enrollment-Scope definiert werden.
Pfad: Entra ID > Mobility (MDM and MAM).

MDM User scope: Setzt diesen auf All (oder eine spezifische Gruppe), damit User ihre Geräte in Intune registrieren können.
MAM User scope: Setzt diesen auf None, wenn ihr kein „BYOD“ (Bring Your Own Device) ohne Geräteverwaltung wollt. Wenn beides auf „All“ steht, kann es zu Konflikten kommen (User-driven Enrollment vs. App-Protection Policies).

5. Automatisierung & Graph API (Vorschau)

Für Profis ist das GUI-Portal nur der Anfang. Fast alles in Intune kann über die Microsoft Graph API gesteuert werden. Ein einfacher Check des Tenant-Status via PowerShell sieht so aus:

# Installiere das Microsoft Graph SDK
Install-Module Microsoft.Graph -Scope CurrentUser

# Verbinde mit dem Tenant
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"

# Liste alle registrierten Geräte aus
Get-MgDeviceManagementManagedDevice | Select-Object DeviceName, OperatingSystem, ComplianceState

JSON-Struktur eines Intune-Objekts (Beispiel)

Wenn ihr via API arbeitet, erhaltet ihr Daten im JSON-Format. Ein Gerät sieht vereinfacht so aus:

{
  "id": "a1b2c3d4-e5f6-7g8h-9i0j",
  "deviceName": "DESKTOP-MT123",
  "operatingSystem": "Windows",
  "osVersion": "10.0.19045",
  "complianceState": "compliant",
  "userPrincipalName": "mattia@kaffeeundcode.de"
}

Zusammenfassung & Checkliste

[ ] Lizenzierung geprüft (M365 Business Premium / E3 / E5).
[ ] Custom Domain in Entra ID verifiziert.
[ ] MDM User Scope auf „All“ oder spezifische Gruppe gesetzt.
[ ] Administrative Rollen gemäß PoLP verteilt (keine dauerhaften Global Admins).
[ ] Microsoft Graph SDK installiert für zukünftige Automatisierungen.

Im nächsten Artikel schauen wir uns Entra ID (Azure AD) Grundlagen an und klären, wie Identitäten die Basis für jedes Intune-Deployment bilden.