Microsoft MD-102: Co-Management und hybride Umgebungen — Lernleitfaden

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Teil des Microsoft Endpoint Administrator Associate MD-102 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Co-Management und hybride Umgebungen ermöglichen es Ihnen, Configuration Manager (ConfigMgr) mit Microsoft Intune zu kombinieren, um die Windows-Verwaltung in Ihrem eigenen Tempo zu modernisieren. Co-Management ermöglicht einen schrittweisen Übergang pro Workload, während der Hybrid Azure AD Join eine einheitliche Geräteidentität sowohl im lokalen Active Directory als auch in Azure AD schafft. Azure AD Connect synchronisiert Identitäten und Geräte, und Cloud-Attach-Funktionen wie das Cloud Management Gateway (CMG) und Tenant Attach erweitern ConfigMgr in die Cloud und das Intune Admin Center für die internetbasierte Verwaltung und eine einheitliche Konsole. Die Planung muss Voraussetzungen, Identität, Synchronisierung, die Rangfolge von Richtlinien zwischen Gruppenrichtlinien und Intune MDM sowie den gestaffelten Wechsel von Workloads berücksichtigen, um Konflikte zu vermeiden.

Co-Management-Architektur und Registrierung

Co-Management integriert den ConfigMgr-Client mit Intune MDM unter Windows 10/11. Es erfordert ConfigMgr Current Branch (1710+; verwenden Sie eine unterstützte aktuelle Version), ein Intune-Abonnement, bei dem die MDM-Autorität auf Microsoft Intune festgelegt ist, einen Azure AD-Mandanten, der mit Ihrer ConfigMgr-Site verknüpft ist, und Windows 10 Version 1709 oder höher oder Windows 11. Geräte sollten entweder hybrid in Azure AD eingebunden (Hybrid Azure AD Join) oder in Azure AD eingebunden (Azure AD Join) sein, damit der ConfigMgr-Client Azure AD-Token abrufen kann.

Der Registrierungsablauf für bestehende ConfigMgr-Clients verwendet den Co-Management-Assistenten in der ConfigMgr-Konsole, um die Site mit Ihrem Azure AD-Mandanten zu verbinden und die automatische MDM-Registrierung für eine Zielsammlung zu konfigurieren. Der Client empfängt eine Richtlinie mit den Mandanteninformationen, verwendet seine Azure AD-Geräteidentität, um ein MDM-Registrierungstoken anzufordern, und registriert sich ohne Benutzerinteraktion bei Intune. Diese automatische Registrierung unterstützt Geräte mit oder ohne Benutzeraffinität; der Endbenutzer muss die Registrierung nicht auslösen. Stellen Sie sicher, dass:

Azure AD Connect Geräteobjekte und Benutzeridentitäten entsprechend synchronisiert.
Die automatische MDM-Registrierung in den Azure AD-Mobilitätseinstellungen konfiguriert und Intune-Lizenzen zugewiesen sind.
Das Gerät mindestens einmal eine Sichtverbindung zu Domänencontrollern hat, um den Hybrid Azure AD Join abzuschließen, oder es über die Bereitstellung in Azure AD eingebunden ist.

Nach der Registrierung verfügt das Gerät über zwei Verwaltungskanäle: den ConfigMgr-Client und den Intune MDM-Kanal. Sie steuern, welche Funktionsbereiche (Workloads) von welchem Dienst verwaltet werden. Verwenden Sie Pilotsammlungen zur Validierung, bevor Sie alle Geräte umstellen. Behalten Sie ein klares Modell für den Konfigurationsbesitz bei, um eine doppelte Durchsetzung zu vermeiden.

CMG und Tenant Attach sind komplementär, aber unabhängig voneinander. CMG bietet internetbasierte Client-Konnektivität für ConfigMgr, während Tenant Attach Metadaten von ConfigMgr-Geräten in die Cloud hochlädt und Echtzeitaktionen im Intune Admin Center verfügbar macht. Beide sind Teil einer Cloud-Attach-Strategie, die die Abhängigkeit von der Erreichbarkeit des lokalen Netzwerks reduziert.

Workloads, Umstellungsstrategie und Richtliniendomänen

Workloads stellen Verwaltungsdomänen dar, die von ConfigMgr oder Intune gesteuert werden können. Sie können jeden Workload einstellen auf:

ConfigMgr: ConfigMgr ist der Eigentümer und setzt Richtlinien durch.
Pilot Intune: Eine definierte Pilotsammlung wird von Intune verwaltet; die anderen verbleiben bei ConfigMgr.
Intune: Alle co-verwalteten Geräte werden für diesen Workload von Intune verwaltet.

Wichtige Workloads und Anleitungen:

Konformitätsrichtlinien: Stellen Sie diesen Workload frühzeitig auf Intune um, damit die Gerätekonformität in Intune bewertet und mit dem bedingten Zugriff von Azure AD verwendet werden kann. Definieren Sie Konformitätseinstellungen (z. B. PIN, Verschlüsselung, Betriebssystemversion) und Korrekturmaßnahmen über Intune. Konfigurieren Sie keine überlappenden Konformitätsbaselines in ConfigMgr für dieselben Bedingungen.
Gerätekonfiguration: Dies umfasst MDM-Profile wie Geräteeinschränkungen, VPN, WLAN, Zertifikate und ADMX-gestützte Einstellungen. Wenn Sie auf Intune umstellen, entfernen oder deaktivieren Sie überlappende ConfigMgr-Konfigurationsbaselines für Pilotgeräte, um ständige Änderungen (Churn) zu vermeiden. Verwenden Sie den Einstellungskatalog oder Vorlagen in Intune und bevorzugen Sie Endpunktsicherheits-Profile für Sicherheitskontrollen.
Endpunktschutz: Koordiniert Windows Defender Antivirus, Firewall, SmartScreen und BitLocker. Verwenden Sie Intune-Endpunktsicherheitsrichtlinien, wenn der Workload bei Intune liegt. Wenn ConfigMgr zuvor Endpoint Protection oder die BitLocker-Verwaltung bereitgestellt hat, ziehen Sie diese Richtlinien für Pilotgeräte zurück und stellen Sie sicher, dass es pro Kontrolle eine einzige Autorität gibt.
Client-Apps (Win32) und Microsoft 365 Apps: Wenn Sie die Bereitstellung von Win32-Apps nach Intune verlagern, stellen Sie sicher, dass die Intune-Verwaltungserweiterung vorhanden ist, und verwenden Sie App-Anforderungen und -Abhängigkeiten, um die Reihenfolge zu steuern. Vermeiden Sie die doppelte Zielzuweisung derselben App sowohl von ConfigMgr als auch von Intune. Verwalten Sie bei Microsoft 365 Apps die Installation und Update-Konfiguration von einer einzigen Autorität aus, um Kanalkonflikte zu vermeiden.
Softwareupdates und Windows Update-Richtlinien: Wenn Softwareupdates bei ConfigMgr verbleiben, scannt der Client weiterhin gegen WSUS/SUP und kann CMG im Internet verwenden. Wenn Sie auf Intune umstellen, konfigurieren Sie die Richtlinien für Windows Update for Business (WUfB) in Intune und deaktivieren Sie ConfigMgr-Softwareupdates für diese Geräte. Mischen Sie keine ConfigMgr-Updates mit WUfB auf demselben Gerät.
Ressourcenzugriff: VPN-, WLAN- und E-Mail-Profile sollten von einem System verwaltet werden. Intune wird in der Regel für die Cloud-First-, identitätsbasierte Bereitstellung von Ressourcenprofilen bevorzugt.

Stellen Sie schrittweise um. Beginnen Sie mit Konformität, dann Gerätekonfiguration oder Endpunktschutz, dann Apps und Updates. Verwenden Sie Pilotsammlungen und erstellen Sie Berichte über Abweichungen und Konflikte, bevor Sie auf „Alle“ umstellen.

Hybrid Azure AD Join und Azure AD Connect

Hybrid Azure AD Join erstellt eine einzelne Geräteidentität, die sowohl im lokalen AD als auch in Azure AD repräsentiert wird. Dies ist erforderlich für nahtloses SSO, gerätebasierte Richtlinien für bedingten Zugriff (Conditional Access) für domain-verbundene Computer und für die Co-Management-Registrierung unter Verwendung von Geräteanmeldeinformationen. Voraussetzungen sind unter anderem:

Eine lokale AD-Gesamtstruktur und ein Azure AD-Mandant.
Azure AD Connect, konfiguriert zur Synchronisierung von Geräteobjekten und den erforderlichen Geräteregistrierungseinstellungen.
Netzwerk-Egress zu den Azure AD-Geräteregistrierungsendpunkten und eine direkte Verbindung (line-of-sight) zu einem Domänencontroller während der erstmaligen Registrierung für Windows 10/11.
Korrekte Konfiguration von UPN und DNS-Suffix, damit sich Geräte bei Azure AD authentifizieren können.

Azure AD Connect ist die Synchronisierungs-Engine zwischen dem lokalen AD und Azure AD. Wichtige Überlegungen zur Konfiguration:

Umfang und Filterung: Verwenden Sie OU- oder attributbasierte Filterung, um Benutzer, Gruppen und Geräte einzubeziehen, die in Azure AD vorhanden sein müssen. Halten Sie den Umfang minimal und klar definiert.
Anmeldemethode:
- Kennworthash-Synchronisierung (PHS): Hashes werden in regelmäßigen Abständen synchronisiert. Azure AD validiert Anmeldungen anhand des synchronisierten Hashes. Dies ist die widerstandsfähigste Option mit der geringsten Komplexität; sie unterstützt nahtloses Single Sign-On und bietet ein Cloud-Authentifizierungs-Fallback, falls die lokale Infrastruktur nicht verfügbar ist.
- Pass-Through-Authentifizierung (PTA): Ein schlanker Agent, der auf einem oder mehreren Servern installiert ist, validiert Kennwörter in Echtzeit direkt mit dem lokalen AD. Verwenden Sie PTA, wenn Richtlinien das Speichern von Kennworthashes in der Cloud verbieten oder wenn Sie lokale Anmelderichtlinien durchsetzen müssen. Stellen Sie mehrere Agents für Hochverfügbarkeit bereit.
- Verbund (AD FS): Nur verwenden, wenn Sie erweiterte Anspruchsregeln oder Smartcard-/Drittanbieter-MFA-Szenarien benötigen, die von PHS/PTA nicht unterstützt werden. Dies führt zu mehr Komplexität und Abhängigkeiten.
Geräteregistrierung: Aktivieren Sie in Azure AD Connect den Assistenten für Geräteoptionen, um den Hybrid Azure AD Join für Ihre Gesamtstruktur zu konfigurieren. Stellen Sie sicher, dass der Dienstverbindungspunkt (Service Connection Point, SCP) im AD gesetzt ist, damit Geräte den Azure AD-Mandanten erkennen. Für Windows 10/11 sind keine Voraussetzungen für ältere Betriebssysteme (Down-Level) erforderlich.
Staging und HA: Ziehen Sie den Staging-Modus für Backup-Server in Betracht und verwenden Sie Export/Import für die Konfiguration. Überwachen Sie den Zustand der Synchronisierung über Azure AD Connect Health.

Ein korrekt konfigurierter Hybrid Join stellt sicher, dass Geräte Azure AD-Gerätetoken erhalten können, was die automatische Registrierung für das Co-Management und die Durchsetzung cloudbasierter Richtlinien ermöglicht.

Richtlinienrangfolge: Group Policy vs. Intune MDM

Wenn Gruppenrichtlinienobjekte (GPOs) und Intune MDM-Richtlinien auf dieselbe Einstellung abzielen, variiert die standardmäßige Rangfolge je nach Einstellung und Implementierung. Im Allgemeinen haben traditionelle GPOs bei sich überschneidenden, registrierungsbasierten Einstellungen Vorrang, da sie von der Gruppenrichtlinien-Engine in Aktualisierungsintervallen angewendet werden. Um die moderne Verwaltung zu unterstützen, wurde mit Windows 10 Version 1709 und höher die Richtlinie ControlPolicyConflict eingeführt, um MDM für unterstützte Policy CSP-Bereiche zu bevorzugen.

Wichtige Vorgehensweisen zur Verwaltung der Rangfolge und zur Vermeidung von Konflikten:

Legen Sie die Zuständigkeit pro Einstellung fest. Konfigurieren Sie nicht dieselbe Einstellung sowohl in GPO als auch in Intune. Migrieren Sie blockweise und nehmen Sie GPOs außer Betrieb, sobald äquivalente MDM-Richtlinien vorhanden sind.
Verwenden Sie die Steuerung „MDM gewinnt über GPO“, sofern verfügbar. Stellen Sie die Policy CSP-Einstellung ControlPolicyConflict (MDMWinsOverGP) über Intune bereit, um Windows anzuweisen, MDM Policy CSP gegenüber GPO für unterstützte Kategorien zu bevorzugen. Viele ADMX-gestützte Einstellungen, die über administrative Vorlagen in Intune bereitgestellt werden, berücksichtigen diese Steuerung, aber nicht alle.
Bevorzugen Sie Endpunktsicherheitsrichtlinien in Intune für Defender, Firewall und BitLocker, da diese unterstützte CSPs mit klarer Konfliktbehandlung und Berichterstattung verwenden.
Validieren Sie mit Diagnosetools. Verwenden Sie den integrierten MDM-Diagnosebericht (ms-settings:workplace, dann Exportieren) und GPResult/Resultant Set of Policy, um Überschneidungen zu identifizieren. Überprüfen Sie den Bericht pro Einstellung in Intune und die Konformitätsbaselines von ConfigMgr/GPO, um Konflikte zu erkennen.
Führen Sie die Migration schrittweise durch. Beginnen Sie mit der Verschiebung der Gerätekonfiguration, die eine 1:1-CSP-Zuordnung hat, aktivieren Sie „MDM gewinnt über GPO“ für diese Kategorien, überprüfen Sie das Ergebnis und heben Sie dann die Verknüpfung der entsprechenden GPOs auf oder deaktivieren Sie sie.

Stellen Sie bei co-verwalteten Geräten außerdem sicher, dass Konfigurationsbaselines von ConfigMgr oder Endpoint Protection-Einstellungen nicht dieselben Steuerelemente wie Intune-Richtlinien duplizieren. Eine einzige autoritative Quelle pro Steuerelement vermeidet unvorhersehbare Ergebnisse.

Cloud-Anbindung: CMG und Mandantenanfügung

Das Cloud Management Gateway (CMG) ermöglicht es ConfigMgr, internetbasierte Clients ohne VPN zu verwalten. CMG wird in Azure als PaaS-Dienst ausgeführt (vorzugsweise auf Virtual Machine Scale Sets) und leitet die Client-Kommunikation über den CMG-Verbindungspunkt als Proxy an Ihren lokalen Standort weiter. Zu den Funktionen gehören Client-Richtlinien, Hardware-/Softwareinventur, App-Bereitstellungen, Skripte, CMPivot und Softwareupdates, wenn Clients für die internetbasierte Verwaltung konfiguriert sind. Wichtige Anforderungen und Designaspekte:

Azure-Abonnement und Ressourcengruppe, wobei der ConfigMgr-Standort mit Ihrem Azure AD-Mandanten verknüpft ist.
Zertifikate und Authentifizierung: Verwenden Sie die Azure AD-Authentifizierung für Clients, wenn Ihre Geräte hybrid/Azure AD-eingebunden sind und Ihr Standort Enhanced HTTP verwendet. PKI-Client-Authentifizierungszertifikate werden weiterhin unterstützt, erhöhen aber die Komplexität.
Lokale Rollen: Stellen Sie einen CMG-Verbindungspunkt bereit und stellen Sie sicher, dass der Dienstverbindungspunkt für die Cloud-Konnektivität online ist.
Kosten und Kapazität: Dimensionieren Sie Instanzen für die erwarteten gleichzeitigen Verbindungen und den Inhaltsdurchsatz; überwachen Sie die Nutzung, um die Kosten zu optimieren.
Inhalte: Verwenden Sie CMG für Richtlinien- und Update-Scans. Kombinieren Sie für die Inhaltsverteilung CMG mit Cloud-Verteilungspunkten oder aktivieren Sie Inhalte über CMG, sofern Ihre Standortversion dies unterstützt.

Die Mandantenanfügung macht das Geräteinventar und die Aktionen von ConfigMgr im Microsoft Intune Admin Center sichtbar, ohne dass eine Co-Verwaltung erforderlich ist. Wenn Sie „In das Microsoft Endpoint Manager Admin Center hochladen“ aktivieren, erscheinen die Geräte im Intune-Portal unter „Geräte“ mit ConfigMgr als Verwaltungsautorität. Sie können Aktionen durchführen wie:

CMPivot-Abfragen und Skripte ausführen
Daten ähnlich dem Resource Explorer und die Geräte-Zeitachse anzeigen
Verfügbare Anwendungen aus ConfigMgr installieren
Client-Aktionen initiieren (basierend auf Version und Berechtigungen)

Die Mandantenanfügung integriert Azure AD/Intune RBAC mit ConfigMgr RBAC. Für Internet-Clients erfordern Echtzeit-Aktionen ein CMG; für Intranet-Clients laufen die Aktionen über lokale Verwaltungspunkte. Die Mandantenanfügung ergänzt die Co-Verwaltung, indem sie eine einheitliche Cloud-Konsole bereitstellt und Helpdesk-Aufgaben ermöglicht, ohne Zugriff auf die ConfigMgr-Konsole gewähren zu müssen.

Praktisches Problemszenario

Contoso, Ltd. verfügt über 5.000 Windows 10/11-Geräte, die über mehrere Standorte hinweg mit Configuration Manager verwaltet werden. Die Remote-Arbeit hat zugenommen, und viele Geräte stellen nur selten eine Verbindung zum VPN her. Contoso möchte den bedingten Zugriff (Conditional Access) auf der Grundlage der Gerätekonformität durchsetzen, Sicherheitskontrollen in die Cloud verlagern und internetbasierte Geräte verwalten, ohne auf VPN angewiesen zu sein, und dabei eine Big-Bang-Migration vermeiden.

Identitäts- und Gerätegrundlage schaffen

Aktivieren Sie den hybriden Azure AD-Beitritt (Hybrid Azure AD Join) über Azure AD Connect für alle in die Domäne eingebundenen Geräte und überprüfen Sie die Geräteobjekte in Azure AD. Wählen Sie die Kennworthashsynchronisierung (Password Hash Synchronization) für eine robuste, wartungsarme Anmeldung und aktivieren Sie Seamless SSO.
Warum: Der hybride Beitritt stellt die Azure AD-Geräteidentität und die Token bereit, die für die automatische Registrierung bei der Co-Verwaltung und für Conditional Access benötigt werden. PHS vereinfacht den Betrieb und bietet einen Cloud-Fallback.

Co-Verwaltung mit gestaffelter Registrierung konfigurieren

Führen Sie in ConfigMgr den Assistenten für die Co-Verwaltung aus, um den Standort mit dem Azure AD-Mandanten zu verbinden und eine Pilotsammlung für die automatische MDM-Registrierung in Intune als Ziel festzulegen.
Warum: Die Co-Verwaltung fügt den Intune MDM-Kanal ohne Neuinstallation des Betriebssystems (Reimaging) oder Benutzerinteraktion hinzu, sodass Contoso die Workloads schrittweise verlagern kann.

Den Workload „Konformitätsrichtlinien“ auf Intune umstellen (Pilot → Alle)

Erstellen Sie Intune-Konformitätsrichtlinien, die die Baselines von Contoso widerspiegeln (Verschlüsselung, Defender, Betriebssystemversionen), und aktivieren Sie Richtlinien für den bedingten Zugriff (Conditional Access), die konforme Geräte für Microsoft 365 erfordern.
Warum: Intune ist die Konformitätsautorität, die sich in Azure AD Conditional Access integriert; die Umstellung dieses Workloads ermöglicht eine sichere Zugriffskontrolle.

Endpunktsicherheit über Intune bereitstellen; überlappende ConfigMgr EP außer Betrieb nehmen

Erstellen Sie in Intune Richtlinien für die Endpunktsicherheit für Defender Antivirus, Firewall und BitLocker und verschieben Sie den Workload „Endpoint Protection“ für den Piloten nach Intune. Deaktivieren Sie die entsprechenden ConfigMgr-Antischadsoftware- und BitLocker-Einstellungen für die Pilotsammlung.
Warum: Die Intune-Endpunktsicherheit verwendet CSPs, die für die moderne Verwaltung optimiert sind, und bietet ein klares Reporting sowie eine Abstimmung mit CA (Conditional Access).

Gerätekonfiguration mit Konfliktkontrolle zu Intune migrieren

Erstellen Sie Profile im Einstellungskatalog (Settings Catalog) für Geräteeinschränkungen, WLAN und Zertifikate. Stellen Sie die Steuerungsrichtlinie MDMWinsOverGP bereit, wo dies unterstützt wird, validieren Sie sie bei Piloten und heben Sie dann die Verknüpfung der entsprechenden GPOs auf.
Warum: Dies gewährleistet einen sauberen Übergang der Zuständigkeit und vermeidet Richtlinienkonflikte (Policy Churn) durch überlappende GPOs und MDM.

Cloud Management Gateway implementieren

Stellen Sie CMG mit Azure AD-Authentifizierung und Enhanced HTTP bereit und fügen Sie einen CMG-Verbindungspunkt hinzu. Überprüfen Sie, ob internetbasierte Clients Richtlinien, Inventardaten und Softwareupdates erhalten.
Warum: CMG ermöglicht die Verwaltung und Aktualisierung durch ConfigMgr über das Internet für Geräte, die kein VPN verwenden, und gewährleistet so die Kontinuität während der Migration.

Mandantenanfügung für einen einheitlichen Betrieb aktivieren

Konfigurieren Sie „In das Microsoft Endpoint Manager Admin Center hochladen“, um ConfigMgr-Geräte im Intune-Portal anzuzeigen. Weisen Sie dem Helpdesk-Personal entsprechende Intune-Rollen zu, um CMPivot auszuführen und Apps zu installieren.
Warum: Die Mandantenanfügung konsolidiert die täglichen Aktionen in einer Webkonsole, reduziert die Abhängigkeit von der vollständigen ConfigMgr-Konsole und verbessert die Remote-Fehlerbehebung.

Workloads erweitern und veraltete Kontrollen außer Betrieb nehmen

Verschieben Sie die Workloads „Gerätekonfiguration“ und „Client-Apps“ phasenweise nach Intune. Evaluieren Sie für Windows Update einen Wechsel zu Windows Update for Business oder behalten Sie Softwareupdates in ConfigMgr bei, wo CMG ausreicht. Nehmen Sie überlappende GPOs und ConfigMgr-Baselines außer Betrieb, sobald die Zuständigkeit übergeht.
Warum: Ein phasenweiser Ansatz reduziert das Risiko, hält die Geräte durchgehend sicher und steht im Einklang mit den Cloud-First-Zielen von Contoso, während die notwendigen lokalen Funktionen während des Übergangs erhalten bleiben.

← Identität · Alle Domänen · Windows-Lebenszyklus und Update-Verwaltung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →