Microsoft Intune-Integration
Intune-Integration mit dem Microsoft Graph API Connector
Microsoft Intune-Integration
Intune-Integration mit dem Microsoft Graph API Connector
Funktionen zur Intune-Integration sind im Microsoft Graph API Connector (früher Entra ID Connector) enthalten.
Mit Microsoft Graph API Connector können Sie Daten aus Microsoft Intune lesen. Ab Version 2025.2 können Sie auch Änderungen/Aktionen in Intune vornehmen. Mit diesen beiden Funktionen bietet es einen klaren Geschäftswert in vier Schlüsselbereichen:
Verbesserte Sichtbarkeit und Kontrolle : Der nahezu Echtzeitzugriff auf Geräte- und Softwaredaten verbessert die IT-Überwachung, die Anlagenverfolgung und die Entscheidungsfindung.
Automatisierung und Effizienz : Automatisierte Änderungen reduzieren die manuelle Arbeit, beschleunigen die Reaktionszeiten und optimieren Prozesse wie Onboarding und Updates.
Verbesserte Sicherheit und Compliance : Die schnelle Erkennung und Behebung von Risiken unterstützt eine stärkere Sicherheitshaltung und die Einhaltung gesetzlicher Standards.
Strategische Integration und Innovation : Die nahtlose Integration mit anderen IT-Systemen ermöglicht eine intelligentere Automatisierung, bessere Governance und unterstützt die Bemühungen zur digitalen Transformation.
Informationen zur grundlegenden Konfiguration Microsoft Graph API Verbindung und -Aufgabe finden Sie in der Dokumentation Microsoft Graph API Connector .
Anweisungen für Kunden finden Sie unter https://docs.efecte.com/customer-instructions/efecte-provisioning-engine-customer-instructions-for-entra-id
Die häufigsten Anwendungsfälle mit Intune sind
- Lesen von Geräten von Intune in CMDB (dies kommt mit der Baseline 2025.1)
- Lesen von Software von Intune in CMDB
Geräte aus Intune lesen
Siehe Microsoft-Dokumentation für ihre API https://learn.microsoft.com/en-us/graph/api/resources/intune-devices-manageddevice?view=graph-rest-1.0
Entra ID Anwendungsberechtigungen
Für den Import von Intune-Geräten benötigt die Anwendung in Entra ID diese Berechtigungen
Anweisungen für Kunden finden Sie unter https://docs.efecte.com/customer-instructions/efecte-provisioning-engine-customer-instructions-for-entra-id
| Berechtigungstyp | Erlaubnis |
| Anwendung |
DeviceManagementManagedDevices.Read.All oder DeviceManagementManagedDevices.ReadWrite.All |
Abfragen für geplante Aufgaben
Es wird nicht empfohlen, mehr als 3 Unterabfragen zu verwenden, da jede Unterabfrage das Abrufen der Daten erheblich erschwert.
Führen Sie nach Möglichkeit einen Leistungstest durch, bevor Sie die Aufgabe in die Produktion überführen.
Entfernen Sie Unterabfragen, die Sie in Attributzuordnungen nicht verwenden.
Wenn Sie Daten aus mehr Unterabfragen abrufen müssen, als für die Leistung akzeptabel ist, erstellen Sie dafür eigene separate Aufgaben und verwenden Sie dann ESM-Funktionen, um die von zwei Aufgaben abgerufenen Daten zu kombinieren.
Abfrage: deviceManagement/managedDevices
Unterabfragen (Beispielmöglichkeiten für Unterabfragen. Für die unten verwendeten Zuordnungen sind keine Unterabfragen erforderlich):
deviceManagement/managedDevices/{id}/windows Pro
Geräteverwaltung/verwalteteGeräte/{id}/Benutzer
Zuordnungen für geplante Aufgaben
Verwenden Sie für den Intune-Zuordnungstyp immer eine generische Vorlage:
Möglicherweise verfügen Sie in Ihrer Umgebung, in die Sie Geräte aus Intune importieren möchten, über unterschiedliche Zielvorlagen und/oder Zielordner für Geräte. Möglicherweise verfügen Sie auch über ein anderes Aufgaben-ID-Zuordnungsfeld und einen anderen Wert für das Statusattribut, wenn ein Gerät aus Intune gelöscht wird.
In diesem Beispiel werden die folgenden Werte verwendet:
Zielvorlage – Gerät
Zielordner – Asset/Server
Task-ID-Zuordnung – Zugehörige Connector-Aufgabe. Wählen Sie das Attribut aus, in dem die Task-ID-Nummer gespeichert werden soll, in diesem Beispiel „Zugehörige Connector-Aufgabe“. Dies kann in Skripten verwendet werden, um zu bestimmen, welche Aufgabe die Datenkarte erstellt/aktualisiert hat. Dieses Attribut wird auch intern für die Funktion „Wert für gelöschte Objekte festlegen“ verwendet.
Wert für gelöschtes Objekt festlegen - aktiviert
Attributname – Status
Attributwert - 07 - Entsorgt
Grundlegender Beispielsatz von Zuordnungen für Intune-Geräte. Möglicherweise möchten Sie aufgrund unterschiedlicher Verwendung von Intune-Attributen und aufgrund unterschiedlicher Anforderungen und Vorlagen unterschiedliche Attribute zuordnen.
Diese Intune-Attribute befinden sich nicht im Dropdown-Menü „Mappings“ (linke Spalte). Sie müssen sie daher hinzufügen, indem Sie auf die Schaltfläche „+ Neues Attribut“ klicken.
Wenn Sie diese Unterabfrage deviceManagement/managedDevices/{id}/windows Pro tectionState festlegen, können Sie beispielsweise auch eine Zuordnung zu diesen Intune-Attributen hinzufügen, die sich auf Devices Windows Pro beziehen:
Oder wenn Sie andere Unterabfragen hinzugefügt haben, zum Beispiel: deviceManagement/managedDevices/{id}/users
Sie können Zuordnungen dafür haben.
Beispiel einer Attributzuordnungstabelle für Intune-Geräte
Dies enthält die am häufigsten verwendeten Attribute im Zusammenhang mit Intune-Geräten, Sie können der Zuordnungstabelle jedoch auch andere Attribute hinzufügen.
| Externes Attribut | Lokales Attribut |
|---|---|
| Ausweis | intune_id |
| Benutzer-ID | intune_userid |
| managedDeviceOwnerType | intune_manageddeviceownertype |
| Einschreibungsdatum/-zeit | intune_enrolleddatetime |
| Datum und Uhrzeit der letzten Synchronisierung | intune_lastsyncdatetime |
| Gefängnisgebrochen | intune_jailbroken |
| deviceHealthAttestationState | intune_devicehealthattestationstate |
| TeilnehmerCarrier | intue_subscribercarrier |
| meid | intune_meid |
| Gesamtspeicherplatz in Bytes | intune_totalstoragespaceinbytes |
| freierSpeicherplatz in Bytes | intune_freestoragespaceinbytes |
| Name des verwalteten Geräts | intune_manageddevicename |
| partnerReportedThreatState | intune_partnerreportedthreatstate |
| AktivierungssperreBypassCode | intune_activationlockbypasscode |
| ComplianceState | intune_compliancestate |
| E-Mail-Adresse | intune_emailaddress |
| istüberwacht | intune_issupervised |
| Betriebssystem | intune_operatingsystem |
| osVersion | intune_osversion |
| Seriennummer | intune_serialnumber |
| Agent | intune_managementagent |
| easAktiviert | intune_easactivated |
| easDeviceId | intune_easdeviceid |
| easActivationDateTime | intune_easactivationdatetime |
| Azure AD registriert | intune_azureadregistered |
| Geräteregistrierungstyp | intune_deviceenrollmenttype |
| Azure AD Geräte-ID | intune_azureaddeviceid |
| Geräteregistrierungsstatus | intune_deviceregistrationstate |
| Gerätekategorie-Anzeigename | intune_devicecategorydisplayname |
| AustauschLetzteErfolgreicheSynchronisierungDatumUhrzeit | intune_exchangeletzteserfolgreichesSynchronisierungsdatumUhrzeit |
| Gerätename | intune_Gerätename |
| Modell | intune_model |
| Austauschzugriffsstatus | intune_exchangeaccessstate |
| Austauschzugriffsstatusgrund | intune_exchangeaccessstatereason |
| ist verschlüsselt | intune_isencrypted |
| Hersteller | intune_hersteller |
| Benutzerprinzipalname | intune_userprincipalname |
| Telefonnummer | intune_phonenumber |
| androidSecurityPatchLevel | intune_androidsecuritypatchlevel |
| Benutzeranzeigename | intune_userdisplayname |
| wiFiMacAddress | intune_wifimacaddress |
| IMEI | intune_imei |
| Geräteaktionsergebnisse | intune_deviceactionresults |
Software aus Intune lesen
Siehe Microsoft-Dokumentation für ihre API https://learn.microsoft.com/en-us/graph/api/intune-devices-detectedapp-list?view=graph-rest-1.0&tabs=http
Entra ID Anwendungsberechtigungen
Für den Import von Intune-Geräten benötigt die Anwendung in Entra ID diese Berechtigungen
Anweisungen für Kunden finden Sie unter https://docs.efecte.com/customer-instructions/efecte-provisioning-engine-customer-instructions-for-entra-id
| Berechtigungstyp | Erlaubnis |
| Anwendung |
DeviceManagementManagedDevices.Read.All oder DeviceManagementManagedDevices.ReadWrite.All |
Abfragen für geplante Aufgaben
Abfrage: deviceManagement/detectedApps
Unterabfragen: deviceManagement/detectedApps/{id}/managedDevices
Zuordnungen für geplante Aufgaben
Verwenden Sie für den Intune-Zuordnungstyp immer eine generische Vorlage:
Zuordnung für Unterabfrage-Geräte-IDs: deviceManagement/detectedApps/{id}/managedDevices.id
auf mehrwertige Zeichenfolgenattributgeräte abgebildet.
Intune-Gerät löschen
„Löschen“ ist eine der unterstützten Aktionen für Intune-Geräte. Mit der Löschaktion können Sie Daten eines verlorenen Geräts löschen. Alle Aktionen finden Sie im Kapitel „Alle unterstützten Aktionen für Intune-Geräte“ auf dieser Seite.
Microsoft-Dokumentation zur Löschaktion: Dokumentation zum Löschen
Ereignisbasierte Aufgabe
Die URL für ereignisbasierte Aufgaben kann leer sein. Die endgültige aufzurufende URL wird durch Kombination der Connector-URL und der Workflow-Knoten-URL erstellt.
Zuordnungen für ereignisbasierte Aufgaben
Header für ereignisbasierte Aufgaben
Es müssen keine zusätzlichen Header festgelegt werden, die Connector-Verwaltung legt dies automatisch fest:
| Inhaltstyp | Anwendung/JSON |
Workflow-Knoten
Wählen Sie diese Orchestration, Datenquelle und Aktivitäten aus:
Wählen Sie die ereignisbasierte Aufgabe aus, die Sie für diese Aktion erstellt haben. Sie können auch eine ereignisbasierte Aufgabe für mehrere Aktionen verwenden.
Aktivität: Generischer REST API Aufruf
Typ: POST
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/wipe
Beispieltext:
{ "keepEnrollmentData": true,
"keepUserData": falsch,
"macOsUnlockCode": "Wert des Mac OS-Entsperrcodes",
"persistEsimDataPlan": true }
Entra ID Anwendungsberechtigungen
Für Intune-Geräteaktionen benötigt die Anwendung in Entra ID diese Berechtigungen
Anweisungen für Kunden finden Sie unter https://docs.efecte.com/customer-instructions/efecte-provisioning-engine-customer-instructions-for-entra-id
| Berechtigungstyp | Erlaubnis |
|---|---|
| Anwendung |
DeviceManagementManagedDevices.ReadWrite.All oder DeviceManagementManagedDevices.PrivilegedOperations.All |
Andere Aktionen für Intune-Geräte
Entra ID Anwendungsberechtigungen
Für Intune-Geräteaktionen benötigt die Anwendung in Entra ID Berechtigungen. Informationen zum Festlegen der richtigen Berechtigungen finden Sie unter: https://docs.efecte.com/customer-instructions/efecte-provisioning-engine-customer-instructions-for-entra-id und https://learn.microsoft.com/en-us/graph/permissions-reference
Ereignisbasierte Aufgabe
Die URL für ereignisbasierte Aufgaben kann leer sein. Die endgültige aufzurufende URL wird durch Kombination der Connector-URL und der Workflow-Knoten-URL erstellt.
Zuordnungen für ereignisbasierte Aufgaben
Header für ereignisbasierte Aufgaben
Es müssen keine zusätzlichen Header festgelegt werden, die Connector-Verwaltung legt dies automatisch fest:
| Inhaltstyp | Anwendung/JSON |
Workflow-Knoten
Wählen Sie im Knoten „Workflow-Orchestrierung“ Folgendes aus: Orchestrierung, Datenquelle und Aktivität:
Wählen Sie die ereignisbasierte Aufgabe aus, die Sie für diese Aktion erstellt haben. Sie können auch eine ereignisbasierte Aufgabe für mehrere Aktionen verwenden.
Alle diese Aktionen verwenden die HTTP-Methode POST, mit Ausnahme von „Gerät aus Intune löschen“, das DELETE verwendet.
Hinweis! Denken Sie bei Aktions-URLs daran, das richtige Attribut für $attributecode_for_deviceid$ entweder direkt von der Datenkarte oder über die Referenz $referencedata:attributecode_for_deviceid$ festzulegen.
Gerätelebenszyklus und Compliance
Wischen
Löschen Sie die Daten vom Gerät (optional behalten Sie die Benutzerdaten bei).
Dokumentation zum Löschen
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/wipe
{ "keepEnrollmentData": true,
"keepUserData": falsch,
"macOsUnlockCode": "Wert des Mac OS-Entsperrcodes",
"persistEsimDataPlan": true }
Ausscheiden
Entfernen Sie Unternehmensdaten und Verwaltungsprofile vom Gerät.
Dokumentation für den Ruhestand
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/retire
Löschen
Löschen Sie einen Gerätedatensatz dauerhaft aus Intune.
Dokumentation zum Löschen
Aktionstyp: LÖSCHEN
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$
Windows-Gerät bereinigen
Führen Sie eine saubere Neuinstallation von Windows durch.
Dokumentation für saubere
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/cleanWindowsDevice
Gerät synchronisieren
Erzwingen Sie, dass sich das Gerät bei Intune anmeldet.
Dokumentation für Sync
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/syncDevice
Sicherheit und Management
Fernsperre
Sperren Sie das Gerät aus der Ferne.
Die Remote-Sperre wird auf Geräten unterstützt, auf denen Folgendes ausgeführt wird:
- Android
- iOS
Dokumentation zur Fernverriegelung
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/remoteLock
Passcode zurücksetzen (nur iOS/ iPad OS)
Setzen Sie den Passcode des Geräts zurück.
Dokumentation des zurückgesetzten Passworts
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/Passwort zurücksetzen
Beispieltext:
{
"Passwort": "Temporär-??-42?!"
}
Verloren-Modus aktivieren/deaktivieren (nur iOS)
Verfolgen Sie verlorene Geräte über den Modus „Verloren“.
Hinweis! Microsoft hat dies noch nicht zur Version 1 seiner Graph- API hinzugefügt. Um diese API aufrufen zu können, benötigen Sie einen Connector mit der Betaversion Microsoft Graph API . Graph-API-URL im Connector: https://graph.microsoft.com/beta/ 
Dokumentation zum Aktivieren des Modus „Verloren“
Dokumentation zum Deaktivieren des Modus „Verloren“
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/enableLostMode
Beispieltext:
{
"footer": "Bitte senden Sie dieses Gerät an CompanyX IT zurück",
"message": "Gerät verloren. Kontaktieren Sie die IT-Abteilung von companyX unter +358999999999.",
"phoneNumber": "+358999999999"
}
Gerät lokalisieren
Holen Sie sich die GPS-Koordinaten eines verlorenen Geräts.
Dokumentation zum Auffinden des Geräts
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/locateDevice
Beispieltext:
{
"deviceTag": "HRDeptTempTag"
}
Jetzt neu starten (nur Windows)
Starten Sie das Gerät aus der Ferne neu.
Dokumentation neu starten
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/restartNow
Herunterfahren (nur Windows)
Fahren Sie das Gerät per Fernzugriff herunter.
Dokumentationsabschaltung
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/shutdown
Rotieren von BitLocker-Schlüsseln
Rotieren Sie die BitLocker-Wiederherstellungsschlüssel aus Sicherheitsgründen.
Dokumentation zum Rotieren von BitLocker-Schlüsseln
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/rotateBitLockerKeys
Konfiguration und Cloud PC
Gerätenamen festlegen
Weisen Sie dem Gerät einen neuen Namen zu.
Dokumentationssatz Gerätename
URL: Geräteverwaltung/verwalteteGeräte/$attributecode_für_Geräte-ID$/setDeviceName
Beispieltext:
{
"Gerätename": "Finance-Laptop-20250123"
}
Weitere Intune-bezogene Beispiele
In diesem Kapitel finden Sie einige Beispiele, wie es zum Abrufen von Intune-Daten verwendet werden kann.
So rufen Sie Intune-Geräte ab
Das folgende Beispiel zeigt, wie Intune-Geräte, der primäre Benutzer des Geräts und der Windows-Schutzstatus des Geräts abgerufen werden.
Wenn Sie Filter in der Microsoft Entra -Abfrage für DeviceManagement/ManagedDevices verwenden möchten, lesen Sie dieses Microsoft-Dokument: https://learn.microsoft.com/en-us/graph/api/resources/intune-devices-manageddevice?view=graph-rest-1.0
Hier ist ein Beispiel für die Filterung, das Ihre Geräte filtert, deren ComplianceState nicht konform ist: deviceManagement/managedDevices?$filter=complianceState eq 'noncompliant'
Attributzuordnung
Hier sind Beispiele zum Lesen von Daten mit Attributzuordnungen mit Intune-Abfragen und -Unterabfragen:
Weitere Intune-Mapping-Beispiele:
Zuordnung aus Unterabfrage
Wenn Sie ein Attribut aus einer Unterabfrage lesen möchten, hat dies ein eigenes Format. Zuerst benötigen Sie die Unterabfrage als Präfix, dann einen Punkt (.) und dann den Attributnamen, den Sie lesen möchten.
Sehen wir uns als Beispiel diese Zuordnung genauer an:
/deviceManagement/managedDevices/{id}/windows Pro tectionState . deviceState
Präfix (dasselbe wie Unterabfrage): /deviceManagement/managedDevices/{id}/windows Pro tectionState
Punkt : .
Suffix als Attributname aus dem Unterabfrage-Ergebnissatz: deviceState
Diese Unterabfragezuordnung liest von allen Geräten, die aus der Hauptabfrage resultieren, das Windows Pro -Objekt und von dort den Wert des DeviceState-Attributs.
Microsoft Graph API Informationen zu diesem Intune-Beispiel
https://learn.microsoft.com/en-us/graph/api/intune-devices-manageddevice-list?view=graph-rest-1.0
So rufen Sie Intune-Anwendungen ab
Das folgende Beispiel zeigt, wie Intune-Anwendungen und Geräte mit diesen Anwendungen abgerufen werden.
Microsoft-Entra-Abfrage: deviceManagement/detectedApps
Unterabfragen: deviceManagement/detectedApps/{id}/managedDevices
Attributzuordnung
Hier sind drei Beispiele für Zuordnungen mit Intune-Abfragen und Unterabfragen:
Anzeigename
Plattform
deviceManagement/detectedApps/{id}/managedDevices.operatingSystem
Microsoft Graph API Informationen zu diesem Intune-Beispiel
https://learn.microsoft.com/en-us/graph/api/resources/intune-devices-detectedapp?view=graph-rest-1.0
Bekannte Einschränkungen
Einschränkungen in 2025.2 und älteren Versionen
Microsoft Intune-Berichts- API https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs wird nicht unterstützt https://learn.microsoft.com/en-us/intune/intune-service/fundamentals/reports-export-graph-available-reports
Aus Leistungsgründen werden mehr als eine Ebene von Unterabfragen nicht unterstützt.
Mehr als eine Unterabfrage wird für Versionen vor 2025.3 nicht unterstützt. Die Unterstützung hierfür wurde der Version 2025.3 hinzugefügt.
Der Connector unterstützt in Versionen vor 2025.3 nicht das Markieren von Intune-Objekten als in Matrix42 Core , Pro oder IGA gelöscht, wenn das Objekt aus Microsoft Intune gelöscht wird. Unterstützung hierfür wurde der Version 2025.3 hinzugefügt.
Einschränkungen im Jahr 2025.3
Microsoft Intune-Berichts- API https://graph.microsoft.com/beta/deviceManagement/reports/exportJobs wird nicht unterstützt https://learn.microsoft.com/en-us/intune/intune-service/fundamentals/reports-export-graph-available-reports
Aus Leistungsgründen werden mehr als eine Ebene von Unterabfragen nicht unterstützt.