Plattformen einrichten

Diese Einrichtungsanleitung zeigt Schritt für Schritt, wie sich Relution erfolgreich mit Microsoft Entra/Intune verbinden lässt, um bedingten Zugriff für die verwalteten Geräte einzurichten. Vor Beginn sollte sichergestellt werden, dass die Anforderungen → erfüllt sind.

Einrichtung vom bedingten Zugriff mit Relution und Entra ID #

Während der folgenden Einrichtungsschritte wird Relution mit Microsoft Entra ID und Microsoft Intune verbunden, um den Bedingten Zugriff zu aktivieren:

1. Zuerst eine Entra ID-Anwendung erstellen, die den Zugriff des Servers über den Relution Microservice validiert.
2. Der Multi-Tenant-App Relution die Zustimmung erteilen, die Relution benötigt, um den Konformitäts-Status der Geräte an die Entra ID zu melden.
3. Hinzufügen von Relution als Compliance-Partner in Intune.
4. Überprüfen, ob die Einrichtung korrekt ist.

Jeder Schritt ist für den nächsten entscheidend. Alle Schritte sorgfältig nacheinander ausführen und bei Aufforderungen zur Überprüfung sicherstellen, dass die Meldung Überprüfung erfolgreich (beim Synchronisieren Synchronisierung erfolgreich) angezeigt wird.

Navigieren zu “Bedingter Zugriff” #

Sobald Entra ID → korrekt konfiguriert und die Benutzer erfolgreich synchronisiert wurden, lässt sich in den Einstellungen zu Bedingter Zugriff navigieren.

Plattformen aktivieren: Android Enterprise, iOS und macOS #

Der Assistent zum Aktivieren der gewünschten Plattformen wird im Abschnitt Allgemein über Hinzufügen bei Verbindung hinzufügen gestartet.

Assistent (1): Entra ID-Anwendung erstellen #

Dieser Schritt lässt sich auch überspringen, indem die Anwendung wiederverwendet wird, die bei der Entra ID-Einrichtung verwendet wurde. Relution empfiehlt die Nutzung zweier separater Anwendungen, um Berechtigungen und Einsatzzwecke zu trennen.

Eine neue Entra ID-Anwendung erstellen, damit der Relution Microservice den Zugriff auf den Mandanten verifizieren kann. Eine einfache App-Registrierung ist ausreichend – eine vollständige MDM-App ist nicht erforderlich. Die Anwendung muss sich im selben Mandanten befinden wie die konfigurierte Entra ID. Über Entra ID öffnen im Assistenten geht es zu den Entra ID-App-Registrierungen →. Nach der Erstellung der App wird mit Weiter zum nächsten Schritt gewechselt; dort wird die Anwendungs-ID eingetragen.

Assistent (2): Anwendungs-IDs und Clientschlüssel hinterlegen #

Die App benötigt außerdem einen geheimen Client-Schlüssel. Einen solchen Schlüssel erstellen und die Anwendungs-ID (Client) sowie das Client-Geheimnis in die Eingabefelder eintragen. Nach erfolgreicher Überprüfung über Überprüfen mit dem nächsten Schritt fortfahren.

Assistent (3): API verfügbar machen #

Aufgrund technischer Einschränkungen bei der Validierung von Tokens durch Microsoft muss eine API freigegeben und ein benutzerdefinierter Bereich hinzugefügt werden. Über Expose-API öffnen im Assistenten wird die entsprechende Einstellungsseite der Entra-App direkt geöffnet. Auf der Einstellungsseite API freigeben der Entra-App folgende Schritte ausführen:

1. Auf Bereich hinzufügen klicken.
2. Die erforderlichen Informationen eintragen:
   • Name des Bereichs: Relution.Auth
   • Sichtbarkeit: Die Option Nur Administratoren aktivieren
   • Anzeigename und Beschreibung: beliebige Angaben möglich, empfohlen wird beispielsweise: Von Relution zur Identifizierung der Mandanteneigentümerschaft verwendet.
3. Auf Bereich hinzufügen klicken.
4. Der Bereich sollte nun unter Von dieser API definierte Bereiche angezeigt werden.

Oben in der Ansicht API freigeben in Entra wird eine Anwendungs-ID-URI angezeigt. Der passende Wert wird im Assistenten unter Art des Geltungsbereichs ausgewählt: api://<Anwendungs-ID> für eine neu erstellte App (Schritt 1) oder die Relution-Server-URL (https://<Relution-Host>), falls die App aus der Entra ID-Einrichtung wiederverwendet wird. Weicht die Anwendungs-ID-URI davon ab, wird die dritte Option gewählt (im Portal derzeit als Vordefiniert beschriftet) und die Anwendungs-ID-URI im Feld Benutzerdefiniert Geltungsbereich eingetragen.

Assistent (4): Relution als Compliance-Partner in Intune hinzufügen #

In der Einstellung Intune-Partner-Compliance-Verwaltung → muss Relution als Partner für jede Plattform hinzugefügt werden, die synchronisiert werden soll. Die Seite lässt sich über Partnereinstellungen öffnen im Assistenten direkt aufrufen.

1. Auf Compliance-Partner hinzufügen klicken.
2. Die Plattform auswählen, die synchronisiert werden soll (diese Schritte lassen sich für alle Plattformen wiederholen): Android, iOS oder macOS. Windows wird nicht über den Compliance-Partner aktiviert, sondern im Abschnitt Windows-Plattform unterstützen →.
3. Eine Gruppe von Benutzern zuweisen, die synchronisiert werden sollen. Auch Alle Benutzer hinzufügen lässt sich auswählen – dabei jedoch darauf achten, sich später nicht selbst auszusperren.
   • Hinweis: Die Option Gruppen ausschließen hat derzeit keine Wirkung.
4. Nachdem überprüft wurde, dass alles korrekt ausgewählt wurde, auf Erstellen klicken.
5. Relution sollte für diese Plattform nun mit dem Status 🔄 Aktivierung ausstehend angezeigt werden. Der Status kann abweichen, wenn dies nicht die erste Einrichtung ist.

Für Android Enterprise und iOS verteilt Relution die Broker-App Microsoft Authenticator selbst. Für macOS muss die Company Portal App selbst auf die Geräte verteilt werden, z. B. über den Relution Store und eine Richtlinie, siehe Voraussetzungen →.

Assistent (5): Administrator-Zustimmung erteilen #

Der Multi-Tenant-App Relution die erforderliche Admin-Zustimmung erteilen. Dies erlaubt Relution, den Compliance-Status der Entra ID-Geräte zu verwalten. Ein Klick auf Einwilligung öffnen speichert die bisherigen Angaben des Assistenten und öffnet die Zustimmungsseite in einem neuen Tab (möglicherweise wird dieser vom Browser als Pop-up blockiert). Nach erfolgreicher Zustimmung erscheint eine Bestätigungsseite mit der Meldung Success! You can now close this tab. Anschließend lässt sich dieser zusätzliche Tab schließen. Im Assistenten lässt sich die Zustimmung über Überprüfen kontrollieren, bevor es weitergeht. Ist die Zustimmung bereits erteilt, ist Einwilligung öffnen deaktiviert.

Assistent (6): Entra ID-Gruppen synchronisieren #

Als letzter Schritt müssen die Entra ID-Gruppen synchronisiert werden. Im Assistentenschritt Synchronisieren wird zunächst über Überprüfen die Konfiguration geprüft. Erst nach erfolgreicher Prüfung lässt sich Entra ID Gruppen synchronisieren anklicken; bis dahin ist die Schaltfläche gesperrt und ein Hinweis weist auf die fehlende Prüfung hin. Bei der Synchronisation stellt Relution eine korrekte Einrichtung sicher und synchronisiert die Gruppen, die im Assistenten in Schritt 4 in Intune zugewiesen wurden. Abschließend wird der Assistent über Speichern beendet.

In den Einstellungen für Intune Partner Compliance Management → sollte Relution nun als ✅ Aktiv angezeigt werden.

Windows-Plattform unterstützen #

Für Windows-Geräte ist weder der Assistent noch ein Compliance-Partner in Intune erforderlich. Auf der Einstellungsseite Bedingter Zugriff wird im Abschnitt Windows bei Conditional Access für Windows aktivieren auf Aktivieren geklickt. Die Änderung wird sofort übernommen.

Windows-Geräte sollten nun ihren Status erfolgreich synchronisieren.

Verbindung verwalten #

Nach der Einrichtung zeigt die Einstellungsseite Bedingter Zugriff folgende Bereiche:

• Allgemein: Verbindung bearbeiten öffnet den Assistenten erneut, Verbindung löschen entfernt die Verbindung. Über Conditional Access deaktivieren werden keine Konformitätsänderungen mehr an Microsoft gesendet, Conditional Access aktivieren schaltet die Übertragung wieder ein. Über Überprüfen lässt sich die Konfiguration jederzeit prüfen.
• Angaben zum Partner: Entra ID Gruppen synchronisieren startet die Synchronisation manuell, z. B. nach Änderungen an Gruppen oder Plattformen in Intune. Zusätzlich werden Letzter Kontakt, Letzte Synchronisierung und die Plattformen (Android, iOS, macOS) angezeigt, deren Gruppen synchronisiert wurden.
• Geräte, bei denen während der letzten Synchronisierung Probleme aufgetreten sind: Liste der betroffenen Geräte mit Benutzer, Status (z. B. Intune-Lizenz fehlt) und Letzte Fehlermeldung. Nach Behebung der Ursache, z. B. Zuweisung einer Intune-Lizenz, wird die Übertragung über Synchronisieren erneut angestoßen.

Ist die Verbindung fehlerhaft, z. B. wegen fehlender Admin-Zustimmung, ungültiger Anmeldeinformationen (abgelaufenes Client-Geheimnis), fehlendem Bereich Relution.Auth oder ohne in Intune verknüpfte Plattform, zeigt die Seite einen Warnhinweis. Nach Behebung des Problems müssen die Partnerdetails über Entra ID Gruppen synchronisieren erneut synchronisiert werden.

Verwandte Themen #

• Bedingter Zugriff Übersicht → — Anforderungen und Grundlagen zum bedingten Zugriff.
• Microsoft Entra ID verknüpfen → — Verknüpfung von Entra ID und Synchronisierung der Benutzer, Voraussetzung für den bedingten Zugriff.
• OIDC mit Entra → — Anmeldung der Entra-Benutzer an Relution über OpenID Connect.