Berechtigungen

Übersicht

Diese Seite beschreibt das Berechtigungs- und Zugriffsmodell für diesen Agenten. Der Agent verwendet Nur-Lese-Zugriff auf Microsoft Intune- und Microsoft Entra ID-Daten über die Microsoft Graph-API. Er ist darauf ausgelegt, bei der Fehlerbehebung von gerätebezogenen Problemen wie Registrierungsfehlern, App-Bereitstellungsfehlern oder Compliance-Unstimmigkeiten zu helfen, ohne Konfigurationen zu ändern.

---

Funktionsweise

Der Agent verbindet sich sicher mit Ihrem Mandanten über Microsoft Graph-API-Endpunkte, um Intune-Gerätedaten, Konfigurationsprofile, Richtlinienzuweisungen und Diagnoseprotokolle zu sammeln. Er analysiert diese Informationen, um mögliche Ursachen für Probleme bei der Geräteverwaltung oder -registrierung zu identifizieren und gibt Empfehlungen zur Behebung.

Alle Interaktionen folgen diesen Grundsätzen:

• Nur-Lese-Zugriff: Der Agent ändert, erstellt oder löscht keine Gerätekonfigurationen oder Richtlinien.

• Prinzip der geringsten Privilegien: Es werden nur die Berechtigungen gewährt, die zum Lesen von Intune-Gerätedaten erforderlich sind.

• Transparenz: Der gesamte Datenzugriff erfolgt über dokumentierte Graph-API-Endpunkte und kann innerhalb von Microsoft Entra geprüft werden.

---

Erforderliche Entra ID-Rollen

Weisen Sie dem Administratorkonto, das den Agenten installiert und ausführt, die folgenden Rollen zu:

Rolle	Beschreibung
Intune-Leser	Bietet Nur-Lese-Zugriff auf Intune-Geräteinformationen, Konfigurationen und Compliance-Daten.
Verzeichnis-Leser	Gewährt Nur-Lese-Zugriff auf Entra ID-Benutzer- und Gerätebeziehungen.
Sicherheits-Leser	Ermöglicht den Zugriff auf Geräte-Compliance- und Sicherheitswarnungsdaten zu Diagnosezwecken.

Diese Rollen stehen im Einklang mit dem Prinzip der geringsten Privilegien. Passen Sie die Rollenzuweisungen entsprechend den Governance-Anforderungen Ihrer Organisation an.

---

Transparenz beim Datenzugriff

Die folgende Tabelle gibt einen Überblick über die vom Agenten abgerufenen Daten und deren Zweck.

Datentyp	Zugriffsebene	Zweck
Gerätebestand und -status	Nur-Lese	Um Hardware-, Betriebssystem- und Registrierungsinformationen für die Fehlerbehebung abzurufen.
Konfigurations- und Compliance-Richtlinien	Nur-Lese	Um angewendete Richtlinien zu analysieren und Fehlkonfigurationen zu identifizieren.
App-Bereitstellungs- und Installationsdaten	Nur-Lese	Um App-Zuweisungen, Bereitstellungsstatus und Fehlerdetails zu überprüfen.
Diagnoseprotokolle und Fehlercodes	Nur-Lese	Um Fehlerereignisse zu korrelieren und die Ursachen zu identifizieren.
Benutzer- und Gruppen-Zuweisungen	Nur-Lese	Um Gerätebeziehungen abzubilden und die Richtlinienzausrichtung zu bewerten.

Datenverarbeitung:

• Der Agent ändert nicht

• löscht oder exportiert Kundendaten außerhalb der Mandantengrenze. Microsoft Graph-API Alle Zugriffe sind auf das

• unter Verwendung delegierter oder Anwendungsberechtigungen begrenzt. Alle Aktivitäten werden in Microsoft Entra-Prüfprotokollen

---

für Transparenz und Nachvollziehbarkeit aufgezeichnet.

Agentenverwendung

Wenn Sie den Agenten ausführen, geben Sie die erforderlichen Eingaben an, um die Fehlerbehebung effektiv durchzuführen.	Beschreibung	Eingabetyp
Beispiel	Erforderlich	Geräte-ID oder Gerätename
"Problembehebung Gerät ABC123"	Optional	Problembeschreibung
"Problembehebung Gerät ABC123"	"App lässt sich nicht installieren"	Fehlercode oder Meldung
"Problembehebung Gerät ABC123"	"0x87D1041C"	Zeitpunkt des Auftretens des Problems

"2025-01-15T09:00Z"

• Geräte-ID oder Gerätename

• Beispielfragen

• "Warum lässt sich das Gerät DESKTOP-XYZ nicht registrieren?"

• "Analysiere Compliance-Probleme für den Laptop von john.doe"

"Warum schlägt die App-Bereitstellung auf dem Gerät DEV456 fehl?"

---

Stellen Sie sicher, dass das Administratorkonto, das den Agenten ausführt, vor der Verwendung alle erforderlichen Rollen zugewiesen hat.

• Sicherheits- und Compliance-Überlegungen

• Die gesamte Kommunikation mit Microsoft Graph ist mithilfe von HTTPS verschlüsselt und durch Microsoft-Identitätsdienste gesichert. Der Agent hält sich an Microsofts Zero Trust und Prinzipien der geringsten Privilegien.

• Zugriffe können jederzeit über Entra ID-Rollenzuweisungen oder Anwendungszustimmungsverwaltung.

---

Nächste Schritte

• Überprüfen Sie, ob das Administratorkonto alle erforderlichen Rollen zugewiesen hat.

• Überprüfen Sie Intune-Geräte-Compliance- und Registrierungsdaten, um vor der Fehlerbehebung eine ordnungsgemäße Sichtbarkeit sicherzustellen.