Microsoft MD-102: Geräteregistrierung und Azure AD Join — Lernleitfaden

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Teil des Microsoft Endpoint Administrator Associate MD-102 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Die Geräteregistrierung bestimmt die Geräteidentität, die Vertrauensstellung und die Verwaltungsgrenzen in Microsoft Entra ID (ehemals Azure AD) und Intune. Unter Windows gibt es drei primäre Gerätestatus mit unterschiedlichen Anwendungsfällen:

Azure AD Join (AADJ): Das Gerät ist mit Entra ID in der Cloud verbunden (cloud-joined) und wird typischerweise automatisch in Intune registriert. Verwenden Sie AADJ für Cloud-First-Organisationen, Remote-/Hybrid-Arbeit und wenn Sie eine passwortlose Anmeldung (Windows Hello for Business), modernen, gerätebasierten bedingten Zugriff und keine Abhängigkeit von lokalen Ressourcen wünschen. Ideal in Kombination mit den Modi „Benutzergesteuert“ oder „Self-Deploying“ von Windows Autopilot. Erfordert eine entsprechende Lizenzierung (Intune und Entra ID P1 für die automatische Registrierung).
Hybrid Azure AD Join (HAADJ): Das Gerät ist mit dem lokalen Active Directory verbunden und in Entra ID registriert. Verwenden Sie HAADJ, wenn Sie weiterhin Gruppenrichtlinien (Group Policy), ältere Kerberos/NTLM-Authentifizierung oder Abhängigkeiten von der lokalen Domäne benötigen. Für Autopilot HAADJ benötigen Sie den Intune Connector for Active Directory (Offline Domain Join) und eine sorgfältige Netzwerk-/VPN-Planung, um die Domänenanforderungen zu erfüllen.
Workplace Join (Azure AD Registered): Der Benutzer registriert ein persönliches oder nicht in eine Domäne eingebundenes Windows-Gerät bei Entra ID. Das Gerät kann MDM-registriert werden, nimmt aber nicht an der Windows-Anmeldung mit Entra ID teil und verfügt nicht über gerätebasiertes SSO auf Betriebssystemebene. Verwenden Sie diesen Status für BYOD-Szenarien und mit Mobile Application Management (MAM), um Unternehmensdaten zu schützen, ohne eine vollständige Geräteverwaltung zu erzwingen.

Diese Beitrittsstatus bilden die Grundlage für die Haltung des bedingten Zugriffs (Conditional Access Posture), die Compliance-Berichterstattung, SSO und Lebenszyklus-Operationen (Zurücksetzen/Außerbetriebnahme/Löschen). Die Wahl des richtigen Beitrittsstatus bestimmt Ihren Registrierungsworkflow, die Sicherheitskontrollen, die Sie durchsetzen können, und das Endbenutzererlebnis.

Windows Autopilot und die Orchestrierung der Registrierung

Windows Autopilot ersetzt die traditionelle Image-Erstellung durch einen cloud-gesteuerten Bereitstellungsprozess, der während der Out-of-Box Experience (OOBE) Identität, Gerätekonfiguration und Anwendungen anwendet.

Benutzergesteuerter Modus: Der Benutzer meldet sich während der OOBE an, und das Gerät führt AADJ oder HAADJ durch, registriert sich in Intune und wendet Richtlinien/Apps an. Geeignet für Wissensarbeiter und zugewiesene Laptops/Desktops. Unterstützt die Konfiguration des Benutzers als Standardbenutzer oder lokaler Administrator im Bereitstellungsprofil.
Self-Deploying-Modus: Zero-Touch-Bereitstellung für Geräte ohne primäre Benutzer (Kiosks, Digital Signage). Erfordert TPM 2.0 mit Geräte-Attestierung, AADJ und Netzwerkkonnektivität während der OOBE. Keine Benutzerinteraktion; das Gerät registriert sich und wendet die erforderlichen Profile/Apps automatisch an.
Pre-Provisioning (früher White Glove): Ein Techniker oder OEM lädt Apps, Richtlinien und Updates vorab herunter und wendet sie an, bevor das Gerät an den Endbenutzer übergeben wird, der eine kurze Anmeldephase durchläuft. Starten Sie die Technikerphase des Pre-Provisioning während der OOBE (fünfmaliges Drücken der Windows-Taste). Nutzen Sie dies, um große App-Pakete vorab zu laden und die Wartezeit für den Benutzer am ersten Tag zu reduzieren.

Autopilot-Bereitstellungsprofile definieren das OOBE-Erlebnis und das grundlegende Beitrittsverhalten:

Beitrittstyp (Azure AD Join oder Hybrid Azure AD Join)
Benutzerkontotyp (Administrator oder Standard)
OOBE-Anpassungen (Überspringen von Datenschutzeinstellungen, EULA, Region/Sprache und OEM-Vorabbereitstellung)
Vorlagen für Gerätenamen (für AADJ) und Sprach-/Tastaturoptionen

Die Enrollment Status Page (ESP) steuert, ob Benutzer auf den Desktop zugreifen können, bevor die erforderlichen Richtlinien, Sicherheitsbaselines und Apps installiert sind. Konfigurieren Sie die ESP, um:

den Zugriff zu blockieren, bis erforderliche Apps installiert sind oder ein Timeout mit Wiederholungslogik auftritt
alle oder eine kuratierte Liste erforderlicher Win32/LOB/Store-Apps zu verfolgen
die Protokollsammlung bei Fehlern zuzulassen, um die Supportfähigkeit bei Autopilot-Bereitstellungen zu ermöglichen

Gerätegruppen-Tags sind Metadaten in den Autopilot-Gerätedatensätzen, die verwendet werden, um die Mitgliedschaft in dynamischen Azure AD-Gerätegruppen für Profil- und App-Zuweisungen zu steuern. Gängige Muster umfassen dynamische Regeln, die nach devicePhysicalIds für die ZTDID und [OrderID]:<GroupTag> filtern, um das korrekte Bereitstellungsprofil und die richtigen Konfigurationen zuzuweisen, sobald der Hardware-Hash importiert wird.

Plattformübergreifende Registrierung: Apple und Android

Apple-Plattformen

Apple Business Manager (ABM) und Apple School Manager (ASM) lassen sich in Intune integrieren, um die Automated Device Enrollment (ADE) für iOS/iPadOS und macOS bereitzustellen. ADE bietet eine Zero-Touch-Registrierung, Supervision für iOS/iPadOS und den Status „User Approved MDM“ für macOS, wodurch erweiterte Verwaltungsfunktionen freigeschaltet werden (z. B. Genehmigungen für Kernel-/Systemerweiterungen, FileVault-Schlüsseltreuhand mit Bootstrap-Token).
Voraussetzungen: Erstellen und erneuern Sie ein Apple MDM-Push-Zertifikat (.pem) im Apple Push Certificates Portal. Verbinden Sie ABM/ASM mit Intune, indem Sie das ABM/ASM-Servertoken (.p7m) hochladen, das generiert wird, nachdem Sie den öffentlichen Schlüssel von Intune in ABM/ASM hochgeladen haben. Weisen Sie Geräte dem Intune MDM-Server in ABM/ASM zu und konfigurieren Sie Intune-Registrierungsprofile (Bildschirme des Setup-Assistenten, Gerätenamen, Supervision und ob die MDM-Registrierung obligatorisch und nicht entfernbar ist).
Die Integration von Apps and Books (ehemals VPP) über ein Standort-Token ermöglicht die lizenzbasierte App-Bereitstellung ohne Apple-IDs auf betreuten (supervised) Geräten.
Die Registrierung mit dem Apple Configurator unterstützt Geräte, die nicht über ABM/ASM erworben wurden. Er kann iOS/iPadOS-Geräte zu ABM/ASM hinzufügen (iOS 11+ mit einer 30-tägigen vorläufigen Periode) und ermöglicht die macOS-Registrierung über den Configurator mit automatisierten Registrierungsprofilen.

Android-Plattformen (Android Enterprise)

Arbeitsprofil (BYOD): Erstellt einen separaten, verschlüsselten Arbeitscontainer auf persönlichen Geräten und isoliert so Unternehmensdaten. Erfordert das Unternehmensportal (Company Portal) und Managed Google Play. Verwenden Sie dies für Bring-Your-Own-Szenarien mit starker Trennung der Privatsphäre. Conditional Access kann konforme Arbeitsprofile vor dem App-Zugriff verlangen.
Vollständig verwaltet (unternehmenseigen, benutzerzugeordnet): Die Organisation kontrolliert das gesamte Gerät mit Benutzeranmeldung. Verwenden Sie dies für COBO-Szenarien, die eine starke Gerätehaltung (Device Posture), Einschränkungen und eine breite App-Bereitstellung erfordern. Die Registrierung kann per QR-Code, NFC oder Zero-Touch-Registrierung erfolgen.
Dediziert (unternehmenseigen, kein Benutzer): Gesperrte, gemeinsam genutzte oder Kiosk-Geräte, oft für eine oder mehrere Apps. Die Registrierung erfolgt über QR/NFC/Zero-Touch. In den Intune-Geräteeinschränkungen wird das Kiosk-Verhalten unter „Device experience“ (Geräteerfahrung) konfiguriert. Verwenden Sie dies für den Einzelhandel, Geräte in der Fertigung oder gemeinsam genutzte Scanner, bei denen eine private Nutzung nicht gestattet ist.

Für Android Zero-Touch (Google) und Knox Mobile Enrollment (Samsung) weisen Sie das Intune-Registrierungsprofil bei der Beschaffung zu, um eine nahtlose Out-of-Box-Experience zu gewährleisten.

Automatische Intune-Registrierung, Massenbereitstellung und Einschränkungen

Die automatische Intune-Registrierung wird in Microsoft Entra ID unter Mobilität (MDM und MAM) für Microsoft Intune konfiguriert:

MDM-Benutzerbereich: Steuert, welche Benutzergeräte automatisch bei Intune registriert werden, wenn eine AADJ- oder Azure AD-Registrierung stattfindet. Auf Alle oder eine bereichsbezogene Gruppe setzen, um eine reibungslose Registrierung für in die Cloud eingebundene und registrierte Geräte zu gewährleisten. Erfordert zugewiesene Intune- und Entra ID P1-Lizenzen für die Benutzer.
MAM-Benutzerbereich: Zielt auf Benutzer für den App-Schutz (MAM) ohne Geräteregistrierung für unterstützte Plattformen ab. Unter Windows zielte dies historisch auf Windows Information Protection (WIP) MAM-we-Szenarien ab. Verwenden Sie MAM, wenn Sie Datenschutz und bedingten Zugriff (Conditional Access) auf nicht verwalteten/BYOD-Geräten benötigen, ohne ein vollständiges MDM zu erzwingen.

Die Massenregistrierung mithilfe von Bereitstellungspaketen (Windows Configuration Designer, WCD) ist praktisch für Labor-, Kiosk- oder Air-Gap-Szenarien, in denen Autopilot nicht verfügbar ist:

Erstellen Sie mit WCD ein Bereitstellungspaket (.ppkg), das die Geräteidentität und -verwaltung konfiguriert (z. B. Registrierung mit einem Azure AD-Massenregistrierungstoken, Einrichten lokaler Konten, WLAN-Profile und Richtlinien-Baselines).
Wenden Sie das .ppkg während der OOBE (USB/SD) oder zur Laufzeit an. Die Massenregistrierung führt häufig zu Geräten ohne primären Benutzer (geteilt) und schränkt benutzeraffinitätsabhängige Funktionen wie benutzerbezogene App-Installationen ein. Bevorzugen Sie Autopilot, wenn Hardware-Hashes und Internetzugang verfügbar sind; verwenden Sie .ppkg, wenn Sie offline oder in großem Umfang ohne OEM/Azure-Vorregistrierung bereitstellen müssen.

Einschränkungen für die Geräteregistrierung setzen Governance am Rande der Registrierung (Enrollment Edge) durch:

Plattformeinschränkungen: Global oder pro Gruppe Plattformen (Windows, macOS, iOS/iPadOS, Android) und Registrierungsmethoden zulassen oder blockieren (z. B. Android-Geräteadministrator blockieren, um Android Enterprise zu erzwingen).
Betriebssystemversions-Gates: Definieren Sie minimale/maximale Betriebssystemversionen, um veraltete oder nicht unterstützte Betriebssystemregistrierungen zu blockieren.
Einschränkungen für persönliche Geräte: Blockieren Sie persönliche Geräte nach Plattform, um Unternehmenseigentum zu fordern (z. B. ADE auf iOS/iPadOS oder unternehmenseigene Modi von Android Enterprise erzwingen). Kombinieren Sie dies mit Unternehmenskennungen (IMEI/Seriennummer), um den Besitz bei der Registrierung automatisch zu kennzeichnen.
Geräteanzahl-Einschränkungen: Begrenzen Sie die Anzahl der Geräte pro Benutzer, um eine unkontrollierte Ausbreitung (Sprawl) zu verhindern. Erstellen Sie gruppenbezogene Einschränkungen für Ausnahmen (z. B. IT-Mitarbeiter) und stellen Sie eine Prioritätsreihenfolge sicher, damit spezifische Einschränkungen die Standardeinstellung überschreiben.

Überprüfen Sie die Zuweisungsrangfolge und testen Sie sowohl unternehmenseigene als auch BYOD-Abläufe. Registrierungseinschränkungen, der Bereich für die automatische Registrierung und Autopilot-Zuweisungen sollten aufeinander abgestimmt sein, damit Benutzer den beabsichtigten Besitzpfad (unternehmen- vs. persönlich), den korrekten Beitrittsstatus und das richtige App-/Richtlinienset bei der ersten Anmeldung erhalten.

Praktisches Problemszenario

Adobe plant eine globale Umstellung auf Windows 11 mit einer Mischung aus unternehmenseigenen Laptops für Mitarbeiter, Android-Kiosks in Briefing-Centern und BYOD für Auftragnehmer. Sie müssen die Ausfallzeiten für Benutzer minimieren, die Datentrennung auf persönlichen Geräten durchsetzen und eine Zero-Touch-Bereitstellung für Apple-Hardware in Designstudios ermöglichen.

Implementieren Sie Azure AD Join mit benutzergesteuertem Autopilot für Mitarbeiter-Laptops

Warum: AADJ bietet modernes SSO, gerätebasierten bedingten Zugriff (Conditional Access) und eine nahtlose Intune-Registrierung. Der benutzergesteuerte Autopilot reduziert den IT-Aufwand, richtet Benutzer als Standardkonten ein und wendet Sicherheits-Baselines sowie erforderliche Apps während der OOBE mit erzwungener ESP an.

Verwenden Sie Autopilot-Vorabbereitstellung (Pre-Provisioning) für Regionen mit langsamen Verbindungen

Warum: Die Vorabbereitstellung lädt große Win32-Apps und Updates vorab, sodass Mitarbeiter schnell einen produktiven Desktop erreichen. Die ESP blockiert, bis der Sicherheitsstack vorhanden ist, und die Protokollsammlung bei Fehlern beschleunigt die Fehlerbehebung.

Konfigurieren Sie den selbst-bereitstellenden Autopilot-Modus für Windows-Kiosks

Warum: Der selbst-bereitstellende Modus registriert und konfiguriert Geräte ohne Benutzerinteraktion, ideal für Lobbys und digitale Beschilderung (Signage). Die TPM-Bestätigung (Attestation) gewährleistet die Gerätevertrauenswürdigkeit; die „Device experience“ in Intune richtet einen Einzel-App- oder Multi-App-Kiosk ein.

Setzen Sie den Intune MDM-Benutzerbereich auf „Alle“ und den MAM-Benutzerbereich auf eine Gruppe für BYOD-Auftragnehmer

Warum: Die automatische Registrierung beseitigt Reibungspunkte für Mitarbeiter. Der MAM-Bereich ermöglicht App-Schutz ohne Registrierung für Auftragnehmer, schützt Unternehmensdaten in Microsoft 365-Apps und respektiert dabei die Privatsphäre.

Registrierungseinschränkungen durchsetzen

Warum: Blockieren Sie persönliche Windows- und Android-Registrierungen für Mitarbeiter, um Unternehmenseigentum sicherzustellen. Fordern Sie Android Enterprise (blockieren Sie den Geräteadministrator), legen Sie minimale Betriebssystemversionen fest (Windows 11/Android 11/iOS 15+) und begrenzen Sie die Geräte pro Benutzer, um unkontrolliertes Wachstum zu verhindern.

Integrieren Sie Apple Business Manager mit Intune und stellen Sie ADE bereit

Warum: ABM mit ADE ermöglicht eine Zero-Touch-Registrierung für iOS/iPadOS/macOS, die Betreuung (Supervision) für iOS/iPadOS und benutzergenehmigtes MDM (User Approved MDM) für macOS. Konfigurieren Sie die Bildschirme des Setup-Assistenten, um Eingabeaufforderungen zu reduzieren, und verteilen Sie Design-Apps über die Apps and Books-Lizenzierung ohne Apple-IDs.

Konfigurieren Sie Android Enterprise-Registrierungen: vollständig verwaltet für COBO und dediziert für Kiosks

Warum: Vollständig verwaltete Geräte geben der IT die volle Kontrolle und ermöglichen die Durchsetzung von Compliance für Firmentelefone. Der dedizierte Modus sichert gemeinsam genutzte Android-Beschilderungen/Tablets; Kiosk-Einschränkungen werden unter „Device experience“ angewendet.

Verwenden Sie Zero-touch/Knox Mobile Enrollment für die Android-Beschaffung

Warum: Weisen Sie Intune-Registrierungsprofile bereits beim Kauf zu, sodass sich die Geräte beim ersten Start ohne IT-Eingriff registrieren. Dies gewährleistet eine konsistente Haltung (Posture) und schnelle Skalierbarkeit.

Wenden Sie dynamische Gerätegruppen mithilfe von Autopilot-Gerätegruppentags an

Warum: Gruppentags leiten die Hardware zum Zeitpunkt des Imports zu den richtigen Bereitstellungsprofilen und App-Sätzen weiter, wodurch die Zuweisungslogik über Geschäftsbereiche und Regionen hinweg wartbar bleibt.

Halten Sie Bereitstellungspakete für Sonderfälle (Edge Cases) bereit

Warum: Wo Standorte per Air-Gap getrennt sind oder eine OEM-Registrierung unmöglich ist, ermöglicht ein WCD .ppkg die Offline-Registrierung und Basiskonfiguration. Es ergänzt Autopilot, anstatt es zu ersetzen, und erhält so ein konsistentes Verwaltungsmodell in Intune.

Alle Domänen · Gerätekonfigurationsprofile und Richtlinien →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →