Anbindung eines MECM-Standorts

Für die MECM Migration liest der Unified Application Manager Applikationen aus einem oder mehreren MECM-Standorten aus und übernimmt sie nach Intune. Eine Configuration Manager Konsole wird dafür nicht benötigt. Der Zugriff erfolgt über den SMS Provider des jeweiligen Standorts.

Der Zugriff erfolgt mit der Identität des Application Pools. Ist dort ein Service-Account hinterlegt, wird dieser in MECM berechtigt. Andernfalls greift der Unified Application Manager mit dem Computerkonto des Servers zu (DOMÄNE\SERVERNAME$).

Das Konto benötigt in MECM folgende Berechtigungen:

„Application“: „Read“
„Collection“: „Read“, „Read Resource“
„Site“: „Read“

Zusätzlich benötigt das Konto Lesezugriff auf die Freigaben, in denen die Quelldateien der Applikationen liegen, da der Unified Application Manager daraus die .intunewin-Dateien erstellt.

Sicherheitsrolle importieren

Die Berechtigungen werden am einfachsten über eine eigene Sicherheitsrolle vergeben. Dazu wird der folgende Inhalt als XML-Datei gespeichert:

<SMS_Roles>
  <SMS_Role CopiedFromID="SMS0001R" RoleName="Unified Application Manager" RoleDescription="Unified Application Manager Role">
    <Operations>
      <Operation GrantedOperations="4097" ObjectTypeID="1" />
      <Operation GrantedOperations="1" ObjectTypeID="6" />
      <Operation GrantedOperations="1" ObjectTypeID="31" />
    </Operations>
  </SMS_Role>
</SMS_Roles>

In der Configuration Manager Konsole wird die Datei unter „Administration“ › „Security“ › „Security Roles“ über „Import Security Role“ importiert. Die Rolle „Unified Application Manager“ wird anschließend in der Liste der Sicherheitsrollen angezeigt.

Administrativen Benutzer anlegen

Unter „Administration“ › „Security“ › „Administrative Users“ wird über „Add User or Group“ ein neuer administrativer Benutzer angelegt.

Über „Browse…“ wird das Konto ausgewählt.

Ausgewählt wird der Service-Account oder, ohne Service-Account, das Computerkonto des Servers, auf dem der Unified Application Manager installiert ist. Damit Computerkonten gefunden werden, wird unter „Object Types…“ zusätzlich „Computers“ aktiviert. Im Beispiel wird das Computerkonto verwendet.

Unter „Assigned security roles“ wird über „Add…“ die Rolle „Unified Application Manager“ ausgewählt.

Unter „Assigned security scopes and collections“ wird „All instances of the objects that are related to the assigned security roles“ ausgewählt und mit „OK“ bestätigt.

Der administrative Benutzer wird anschließend unter „Administrative Users“ angezeigt.

Abschließend wird der MECM-Standort im Unified Application Manager unter Konfiguration › Verbindungen angelegt.