Anbindung eines Intune Tenants

Für jeden Intune Tenant, der an den Unified Application Manager angebunden werden soll, wird in diesem Tenant eine eigene App-Registrierung benötigt. Über sie greift der Unified Application Manager per Microsoft Graph auf Intune und Microsoft Entra ID zu.

Diese App-Registrierung ist eigenständig und losgelöst von der App-Registrierung für die Anmeldung. Für die Anmeldung am Unified Application Manager gibt es je Installation genau eine App-Registrierung. Für die Anbindung an Intune gibt es pro Tenant eine eigene App-Registrierung. So können mehrere Tenants, z. B. ein Test- und ein Produktiv-Tenant, an dieselbe Installation angebunden werden. Wie Anmeldung und Intune-Zugriff zusammenspielen, zeigt die Seite Architektur.

Zur Anbindung werden drei Werte benötigt:

„Application (client) ID“
„Directory (tenant) ID“
Client Secret

Erstellung der App-Registrierung

Im ersten Schritt wird über „New registration“ eine neue App registriert.
Es wird ein Name vergeben, zum Beispiel „Unified Application Manager“. Unter „Supported account types“ wird „Single tenant“ gewählt. Es muss keine Redirect URI konfiguriert werden. Die Anlage wird mit „Register“ bestätigt.
Nach der Erstellung können unter „Overview“ die „Application (client) ID“ und die „Directory (tenant) ID“ eingesehen und kopiert werden.

Client Secret erzeugen

Ein Client Secret ist eine sensible Sicherheitsinformation. Es ist nur beim Anlegen im Klartext sichtbar und wird deshalb direkt für die weitere Konfiguration gesichert.

In der App-Registrierung wird in der Übersicht „Add a certificate or secret“ oder im Menü „Certificates & secrets“ geöffnet. Im Reiter „Client secrets“ wird „New client secret“ gewählt.
Bei der Erstellung wird eine Gültigkeitsdauer angegeben (im Portal höchstens 24 Monate), optional auch eine Beschreibung. Nutzen mehrere Installationen dieselbe App-Registrierung, sollte jede Installation ein eigenes Client Secret bekommen.
Der angezeigte Wert („Value“) wird kopiert.

Nach Ablauf des Client Secrets kann der Unified Application Manager nicht mehr auf den Tenant zugreifen. Rechtzeitig vor Ablauf wird deshalb ein neues Client Secret erzeugt und in der Verbindung zum Tenant eingetragen.

Graph-API-Berechtigungen

Für den Zugriff auf Microsoft Graph benötigt die App-Registrierung die folgenden Berechtigungen. Weitere Informationen zu den Berechtigungen gibt es auf der Seite Microsoft Graph permissions reference von Microsoft.

Berechtigung	Typ	Verwendung	Beschrieben unter
DeviceManagementApps.ReadWrite.All	Application	Mit dieser Berechtigung legt der Unified Application Manager Applikationen in Intune an, ändert und löscht sie, einschließlich der Zuweisungen und Kategorien.	Apps, Erstellung von Applikationen anhand einer Setup-Quelle, Import von Configuration Manager Applikationen, Importieren von Intune Applikationen
Group.ReadWrite.All	Application	Mit dieser Berechtigung können Gruppen in Microsoft Entra ID gelesen, angelegt und gelöscht werden. Der Unified Application Manager ermittelt damit die Gruppen für die Zuweisungen einer Applikation und legt sie an, falls sie noch nicht vorhanden sind. Ist in der appsettings.json „DeleteGroups“ aktiviert, werden beim Löschen einer Applikation auch die zugehörigen Gruppen gelöscht.	Konfiguration › Allgemein, Abschnitt „Zuweisungsgruppen“, appsettings.json
AdministrativeUnit.ReadWrite.All	Application	Optional. Diese Berechtigung wird nur benötigt, wenn der Unified Application Manager neu angelegte Gruppen einer Administrative Unit zuweisen soll. Außerdem werden damit die vorhandenen Administrative Units für die Auswahl aufgelistet. Fehlt die Berechtigung, meldet der Unified Application Manager in der Konfiguration, dass die Administrative Units nicht verfügbar sind. Die übrigen Funktionen sind davon nicht betroffen.	Konfiguration › Allgemein, Abschnitt „Zuweisungsgruppen“
DeviceManagementConfiguration.Read.All	Application	Mit dieser Berechtigung werden die in Intune angelegten Zuweisungsfilter gelesen, damit sie bei den Zuweisungen einer Applikation ausgewählt werden können.	Erstellung von Applikationen anhand einer Setup-Quelle, Import von Configuration Manager Applikationen, Importieren von Intune Applikationen
DeviceManagementRBAC.Read.All	Application	Mit dieser Berechtigung listet der Unified Application Manager alle Scope Tags des Intune Tenants auf. Dadurch können Scope Tags bei der Erstellung von Intune-Applikationen und in Applikationsvorlagen ausgewählt werden.	Erstellung von Applikationen anhand einer Setup-Quelle, Import von Configuration Manager Applikationen, Importieren von Intune Applikationen

In der App-Registrierung wird „API permissions“ geöffnet und „Add a permission“ gewählt.
Im Reiter „Microsoft APIs“ wird „Microsoft Graph“ ausgewählt.
Der Zugriff erfolgt im Kontext der App, daher wird „Application permissions“ gewählt.
Die Berechtigungen aus der Tabelle werden über das Suchfeld gesucht und ausgewählt. Sind alle Berechtigungen ausgewählt, werden sie mit „Add permissions“ hinzugefügt.
Abschließend wird über „Grant admin consent“ die Administratorzustimmung erteilt.

Die Berechtigungen werden anschließend unter „Configured permissions“ angezeigt. Für alle Anwendungsberechtigungen muss die Administratorzustimmung erteilt sein.

Die Berechtigung „User.Read“ wird beim Anlegen der App-Registrierung im Portal automatisch hinzugefügt. Der Unified Application Manager verwendet sie nicht, sie kann bestehen bleiben oder entfernt werden.

Anbindung im Unified Application Manager

Zum Abschluss wird der Tenant im Unified Application Manager unter Konfiguration › Verbindungen als Verbindung angelegt. Dabei werden die zuvor ermittelten Werte eingetragen:

„Tenant ID“: die „Directory (tenant) ID“
„Client ID“: die „Application (client) ID“
„Client Secret“: der kopierte Wert des Client Secrets

Werden die Berechtigungen einer bereits angebundenen App-Registrierung geändert, werden die Änderungen erst wirksam, wenn der Unified Application Manager ein neues Token anfordert. Dazu wird auf dem Server im IIS-Manager der Application Pool des Unified Application Managers recycelt. Ohne Recycle werden die Änderungen erst nach Ablauf des aktuellen Tokens wirksam, in der Regel nach 60 bis 90 Minuten.