Die Umstellung von lokal installierten Lösungen Active Directory auf Microsoft Entra ID und Intune schreitet immer schneller voran, und die Einstellung des Supports für Windows 10 hat diesen Übergang für Unternehmen, die große Windows-Geräteflotten verwalten, noch dringlicher gemacht.
Die Bereitstellung von Geräten in der Cloud umfasst mehr als nur die Installation von Windows 11—it . Dazu gehört, die Geräte dem richtigen Identitätsdienst zuzuordnen, den Tanium-Agenten automatisch zu installieren, Richtlinien anzuwenden und sicherzustellen, dass das Gerät vollständig verwaltet wird, bevor es überhaupt einen Endnutzer erreicht. Tanium Provision is built to handle exactly this, and the integration with Entra ID and Intune introduces a set of configuration choices that every team planning a Windows 11 migration needs to understand.
Rob erläutert zwei unterschiedliche Ansätze für die Entra-ID-Registrierung innerhalb von Tanium Provision:
- Erstellen eines Bereitstellungspakets mit dem Windows Configuration Designer
- Verwendung einer Autopilot-Konfigurationsdatei
Jede Methode führt zu unterschiedlichen Ergebnissen hinsichtlich des Zeitpunkts, zu dem das Gerät in Intune angezeigt wird, ob der Tanium-Agent während der Erstellung installiert wird und ob am Ende der Bereitstellung benutzerdefinierte Skripte ausgeführt werden. Dies sind keine geringfügigen Unterschiede; sie wirken sich auf die Amortisationszeit, den betrieblichen Aufwand und den Umgang mit Geräteprofilen in Ihrem gesamten Unternehmen aus.
Rob geht zudem auf die konkreten Abwägungen ein, die Ihre Entwurfsentscheidung leiten sollten, darunter das Ablaufen von Token, Anforderungen an die Struktur von ZIP-Dateien und die Frage, wo Sie nachsehen sollten, wenn etwas schiefgeht.
If your team is evaluating how to modernize device provisioning as part of a Windows 11 rollout, this walkthrough gives you the technical detail you need to make an informed choice. Sehen Sie sich die vollständige Demo im folgenden Video an.
Wichtige Erkenntnisse
- „Provision“ deckt den gesamten Lebenszyklus eines Geräts ab: Tanium Provision übernimmt alle Aufgaben – von der Installation eines Betriebssystems über die Einbindung eines Geräts in Active Directory oder Entra ID bis hin zur automatischen Bereitstellung des Tanium-Agenten, der Anwendung von Richtlinien wie BitLocker sowie der Verwaltung der Außerbetriebnahme von Geräten, einschließlich der Löschung und Datenentfernung.
- Zwei unterstützte Verfahren zur Registrierung bei Entra ID: Tanium Provision unterstützt zwei Methoden zur Registrierung von Windows-Geräten bei Entra ID und Intune: den Windows Configuration Designer (WCD), der ein Bereitstellungspaket (PPKG) generiert, und den Ansatz mit einer Autopilot-Konfigurationsdatei, wobei beide Verfahren unterschiedliche Verhaltensweisen und Vor- und Nachteile aufweisen.
„Der Autopilot-Ansatz installiert den Tanium-Client nicht und führt auch keine benutzerdefinierten Skripte aus, die Sie als Teil Ihres Bundles verwenden können.“Rob Broughall, Domain-Architekt bei Tanium
- Beim WCD-Ansatz wird das Gerät bereits vor der ersten Anmeldung registriert: Das vom Windows Configuration Designer erstellte PPKG enthält ein Token für die Massenregistrierung, das bis zu sechs Monate gültig ist; das Gerät ist bereits in Entra ID und Intune registriert, und der Tanium-Agent ist bereits installiert, bevor sich ein Benutzer zum ersten Mal anmeldet.
- Die Autopilot-Registrierung erfolgt bei der ersten Anmeldung: Beim Autopilot-Ansatz ist das Gerät erst dann in Entra ID oder Intune vorhanden, wenn der Benutzer bei der ersten Anmeldung seine Anmeldedaten eingibt; Der Tanium-Client muss anschließend über Intune bereitgestellt werden, und benutzerdefinierte Skripte werden im Rahmen des Build-Vorgangs nicht ausgeführt.
- Token-Verwaltung vs. keine Ablaufzeit: Das WCD-Bereitstellungspaket läuft nach sechs Monaten ab und muss neu generiert und erneut in das Bundle hochgeladen werden; die Autopilot-JSON-Datei enthält weder ein Token noch Anmeldedaten und läuft nicht ab, sollte jedoch dennoch verantwortungsbewusst behandelt werden.
„Ich muss zugeben, dass in den Gesprächen, die ich mit Kunden und Interessenten genau zu diesem Thema geführt habe, der Ansatz des Windows Configuration Designers in der Regel gut ankommt, da er tatsächlich als Vereinfachung angesehen wird, weil man nicht darauf angewiesen ist, dass das Gerät vom Endbenutzer registriert wird.“ Dies führt zu einer zusätzlichen Komplexität, die durch den WCD-Token beseitigt wird.”Rob Broughall, Domain-Architekt bei Tanium
- Die Wahl des Ansatzes hängt vom jeweiligen Anwendungsfall ab: Der WCD-Ansatz eignet sich gut für virtuelle Geräte und Szenarien wie Kassenterminals im Einzelhandel, bei denen es wichtig ist, dass das Gerät vor der ersten Anmeldung vollständig registriert und verwaltet ist; der Autopilot-Ansatz ist möglicherweise besser für internetbasierte Bereitstellungen oder Unternehmensgeräte geeignet, bei denen der Schritt der Benutzeranmeldung akzeptabel ist.
„Wenn Sie den Begriff ‚Time-to-Value‘ dahingehend verstehen, wie lange es vom Beginn des Prozesses bis zu dem Zeitpunkt dauert, an dem der Endnutzer über ein einsatzbereites Gerät verfügt, dann ist dies wahrscheinlich ein wirklich starkes Argument für den Einsatz des Configuration-Designer-Token-Ansatzes.“Rob Broughall, Domain-Architekt bei Tanium
- Behebung häufiger Konfigurationsfehler: Zu den wichtigsten Punkten, auf die Sie achten sollten, gehören eine falsche ZIP-Dateistruktur beim Verpacken benutzerdefinierter Skripte (Provision erwartet Dateien im Stammverzeichnis der ZIP-Datei, nicht in einem Unterordner), das direkte Hochladen der Autopilot-JSON-Datei in das Bundle, anstatt diese zu komprimieren, sowie die Überprüfung des Provision-PE-Protokolls im Tanium-Client-Protokollverzeichnis auf PPKG-Importfehler und Beendigungscodes.
Weitere Ressourcen
- Tanium Connector für Microsoft Intune: Integriert von Intune verwaltete mobile Geräte in Tanium und ermöglicht so eine einheitliche Übersicht und einheitliche Maßnahmen.
- Tanium Connector für Microsoft Entra ID-: Ermöglicht bedingten Zugriff nach dem Zero-Trust-Prinzip mithilfe von Endpunktdaten in Echtzeit von Tanium.
- Erstellung von Images und Bereitstellung von Windows- und Linux-Endgeräten mit dem Tanium Provision-: Erfahren Sie, wie Unternehmen Tanium Provision nutzen können, um die Betriebssystembereitstellung und die Image-Erstellung für Endgeräte in ihrer gesamten Umgebung zu automatisieren.
- So integrieren Sie Tanium in Microsoft Intune (Tanium Tech Talks #145): Sehen Sie sich an, wie Tim Mintner, Produktmanager bei Tanium, demonstriert, wie der Tanium Connector für Microsoft Intune mobile Geräte und andere Nicht-Client-Endpunkte als native Objekte in die Tanium-Konsole integriert.
