Bereitstellen von Domänenbeitrittskonfigurationen für den Windows-Desktop

Der Windows-Domänenbeitritt ermöglicht Ihren Benutzern, mit Active Directory-Anmeldedaten oder lokalen Geräteanmeldedaten eine Remoteverbindung mit einer Arbeitsdomäne herzustellen. Verwenden Sie Workspace ONE UEM, um Ihre Domänenbeitrittskonfigurationen für lokale, Arbeitsgruppen- und hybride Domänenbeitritte für Ihre Windows-Geräte (Windows Desktop) bereitzustellen.

Integration mit Microsoft Autopilot (hybrider Domänenbeitritt)

Wenn Sie Benutzer in der Cloud und lokal verwalten, können Sie Workspace ONE UEM verwenden, um Ihre hybriden Domänenbeitrittskonfigurationen für Windows-Geräte mithilfe von Windows Autopilot + OOBE (Out of Box Experience) zuzuweisen.

Verwenden eines Windows Autopilot-Profils für OOBE-Registrierungen

Mit Windows Autopilot können Sie ein Profil konfigurieren, das den Domänenbeitrittstyp für Geräte angibt, die den OOBE-Prozess durchlaufen. Sie müssen ein Autopilot-Profil mit der hybriden Domänenbeitrittseinstellung in Azure konfigurieren und zuweisen. Die diesem Profil zugewiesenen Geräte durchlaufen den OOBE-Prozess und sind hybrid und in Azure AD eingebunden.

Wichtig: Wenn Sie kein Autopilot-Profil mit der hybriden Beitrittsspezifikation in Azure zuweisen, durchlaufen Ihre Windows-Geräte OOBE und sind in Azure AD eingebunden. Sobald Geräte in Azure AD eingebunden sind, können Sie keinen hybriden Domänenbeitritt initiieren, ohne die Geräte vollständig zurückzusetzen.

Einzelheiten zu Autopilot finden Sie in den Themen in Microsoft | Docs, Konfigurieren von Autopilot-Profilen.

• Wenn Ihre Benutzer einen VPN-Client eines Drittanbieters für den Zugriff auf Ressourcen verwenden (z. B. Benutzer, die von zu Hause aus arbeiten), setzen Sie die Autopilot-Profil-Option AD-Konnektivitätsprüfung überspringen (Vorschau) auf Ja.
• Wenn Ihre Benutzer keinen VPN-Client eines Drittanbieters für den Zugriff auf Ressourcen verwenden (z. B. Benutzer, die im Unternehmensnetzwerk arbeiten), setzen Sie die Autopilot-Profil-Option AD-Konnektivitätsprüfung überspringen (Vorschau) auf Nein.

Anforderungen für die Bereitstellung der Domänenbeitrittskonfiguration

Stellen Sie vor der Bereitstellung der Domänenbeitrittskonfiguration sicher, dass die folgenden Anforderungen erfüllt sind:

• Automatische Windows-Registrierung: Konfigurieren Sie die automatische Registrierung in Azure mit Workspace ONE UEM als MDM-System (Mobile Device Management, Mobilgeräteverwaltung).
• Workspace ONE UEM: Statusverfolgungsseite für OOBE deaktivieren.
  1. Navigieren Sie in Workspace ONE UEM zu Gruppen und Einstellungen > Alle Einstellungen > Geräte und Benutzer > Allgemein > Registrierung.
  2. Wählen Sie die Registerkarte Optionale Eingabeaufforderung aus.
  3. Wechseln Sie zum Abschnitt Windows und deaktivieren Sie Statusverfolgungsseite für OOBE aktivieren.
• Microsoft-Abonnement: Verwenden Sie eines der Microsoft-Abonnements, die die Lizenzierung von Windows-Autopilot unterstützen. Auf den Artikel in Microsoft Docs | mit der Überschrift Windows-Autopilot-Lizenzierungsanforderungen zugreifen.
• Windows-Autopilot-Profil: Konfigurieren Sie dieses Profil in Azure, sodass Ihren Windows-Geräten die Einstellung für den hybriden Domänenbeitritt zugewiesen wird. Einzelheiten finden Sie in den Themen in Microsoft | Docs, Konfigurieren von Autopilot-Profilen.
• Geräteregistrierung mit dem Autopilot-Profil: Einzelheiten zur Einrichtung von Autopilot-Geräten finden Sie in Microsoft Docs | unter dem Titel Manuelles Registrieren von Geräten bei Windows Autopilot.
• AirWatch Cloud Connector (ACC): Verwenden Sie ACC, um den Domänenbeitritt für das lokale Active Directory in Workspace ONE UEM zu aktivieren.
• Active-Directory-Benutzer and -Computer (ADUC): Sie benötigen das als ADUC bezeichnete MMC-Snap-In, um den lokalen Domänenbeitritt über Workspace ONE UEM zu konfigurieren.
• Bestätigen Sie, dass die automatische Windows-Registrierung mit Azure in Workspace ONE UEM konfiguriert ist.
• Bestätigen Sie, dass das Autopilot-Profil in Azure konfiguriert und zugewiesen ist, damit Geräte Azure AD beitreten, wenn hybrid, in Azure AD eingebunden aktiviert ist.
• Bestätigen Sie, dass Sie Ihre Windows-Geräte in Azure registriert und das entsprechende Autopilot-Profil für den hybriden Beitritt zugewiesen haben.
• Bestätigen Sie, dass Domänen und Organisationseinheiten in Active Directory vorhanden sind.
• Bestätigen Sie, dass Sie Verzeichnisdienste in der Workspace ONE UEM Console konfiguriert haben, wenn Sie Active Directory verwenden.
• Bestätigen Sie, dass Sie in Workspace ONE UEM Console eine Domänenbeitrittskonfiguration konfiguriert und zugewiesen haben.

Reihenfolge der Aufgaben

1. Richten Sie in Azure Ihre Autopilot-Geräte gemäß den Angaben in Microsoft | Docs ein. Derzeit umfasst dieser Prozess die folgenden Schritte.

   1. Registrieren der Autopilot-Geräte.
   2. Erstellen einer Gerätegruppe.
   3. Erstellen und Zuweisen eines Autopilot-Bereitstellungsprofils.

2. Konfigurieren Sie den lokalen Domänenbeitritt in ADUC, ACC und Workspace ONE UEM.

   1. Konfigurieren Sie in ADUC ein Benutzerkonto mit Delegierungsberechtigungen für Windows Server, erstellen Sie eine benutzerdefinierte Delegierungsaufgabe und konfigurieren Sie die Berechtigungen.
   2. Aktualisieren Sie in ACC den AirWatch Cloud Connector-Dienst, um sich mit dem in ADUC erstellten Benutzerkonto anzumelden, und fügen Sie dem ACC-Ordner Schreibberechtigungen hinzu.
   3. Erstellen Sie in Workspace ONE UEM eine Domänenbeitrittskonfiguration für das lokale Active Directory.
   4. Geben Sie in Workspace ONE UEM die Informationen zur Organisationseinheit an, indem Sie einzelne oder mehrere Zuweisungen für die Domänenbeitrittskonfiguration erstellen.

Konfigurieren der Autopilot-Geräte

Konfigurieren Sie in Azure Ihre Autopilot-Geräte gemäß der Microsoft-Dokumentation. Derzeit umfasst dieser Prozess die folgenden Schritte.

1. Erstellen einer Gerätegruppe.
2. Registrieren der Autopilot-Geräte.
3. Erstellen und Zuweisen eines Autopilot-Bereitstellungsprofils.

Konfigurieren des lokalen Domänenbeitritts

In den folgenden Schritten wird beschrieben, wie Sie eine Domänenbeitrittskonfiguration in Workspace ONE UEM konfigurieren und zuweisen. Mit diesen Schritten kann ein Gerät bei der Registrierung bei Workspace ONE einer lokalen Domäne beitreten. Wenn Geräte in Verbindung mit dem Autopilot-Profil für einen hybriden Beitritt konfiguriert sind, durchlaufen sie den OOBE-Prozess, um Azure AD als hybrid, in Azure AD eingebunden beizutreten. Wenn Sie alle Anforderungen und Voraussetzungen für den hybriden Domänenbeitritt erfüllt haben, haben Sie damit auch alle Anforderungen für den lokalen Domänenbeitritt erfüllt, sodass Sie mit der Einrichtung des lokalen Domänenbeitritts weitermachen können. Beginnen Sie bei Schritt eins: ADUC konfigurieren im Abschnitt On-Premises-Domänenbeitritt.

Zusätzliche Anforderungen für den On-Premises-Domänenbeitritt

Wenn Sie Active Directory zum Verwalten von Benutzern verwenden, können Sie mit Workspace ONE UEM Ihre lokalen Domänenbeitrittskonfigurationen zuweisen. Bestätigen Sie, dass die folgenden Anforderungen erfüllt wurden, bevor Sie beginnen:

• AirWatch Cloud Connector (ACC): Verwenden Sie ACC, um den Domänenbeitritt für das lokale Active Directory zu konfigurieren.
• Active-Directory-Benutzer und -Computer (ADUC): Sie benötigen das MMC-Snap-In namens ADUC, um den On-Premises-Domänenbeitritt zu konfigurieren. Dieses Snap-In ist Teil der Remoteserver-Verwaltungstools (RSAT). Siehe Microsoft | Docs für die neueste Dokumentation zu Windows-Server.
• Sie haben Domänen und Organisationseinheiten in Ihrer Domäne in Azure festgelegt.
• Sie haben Verzeichnisdienste in der Workspace ONE UEM Console konfiguriert, wenn Sie Active Directory verwenden.

Reihenfolge der Aufgaben

1. Konfigurieren Sie in ADUC ein Benutzerkonto mit Delegierungsberechtigungen für Windows Server, erstellen Sie eine benutzerdefinierte Delegierungsaufgabe und konfigurieren Sie die Berechtigungen.
2. Aktualisieren Sie in ACC die Anmeldung mit dem in ADUC erstellten Benutzerkonto und fügen Sie Schreibberechtigungen hinzu. Stellen Sie sicher, dass der Benutzer auch über lokale Administratorberechtigungen auf dem ACC-Server verfügt, um den Dienst erfolgreich starten zu können.
3. Erstellen Sie in Workspace ONE UEM eine Domänenbeitrittskonfiguration für das lokale Active Directory.
4. Geben Sie in Workspace ONE UEM die Informationen zur Organisationseinheit an, indem Sie einzelne oder mehrere Zuweisungen für die Domänenbeitrittskonfiguration erstellen.

Konfigurieren der Active Directory Users and Computers (ADUC)

Wählen Sie in ADUC den Benutzer mit Delegierungsberechtigungen für Windows Server aus, erstellen Sie eine benutzerdefinierte Delegierungsaufgabe, und konfigurieren Sie die Berechtigungen.

1. Klicken Sie mit der rechten Maustaste auf den Container oder Ordner, in dem Sie Geräte hinzufügen möchten, und wählen Sie Objektverwaltung zuweisen. Diese Auswahl zeigt den Assistenten zum Zuweisen der Objektverwaltung an.

2. Wählen Sie Weiter im Assistenten zum Zuweisen der Objektverwaltung.

3. Wählen Sie im Fenster Benutzer oder Gruppen den Benutzer mit den Delegierungsberechtigungen für Windows Server in der Liste aus, und wählen Sie Hinzufügen und dann Weiter. Wenn dieses Benutzerkonto kein Mitglied der GruppeDomänenadministrator ist, erhöhen Sie den Standardwert für die Erstellung des Computerkontos (ms-ds-machine-account-quota) vom Standardwert 10, um Fehler nach dem Hinzufügen von 10 Geräten zur Domäne zu vermeiden.

4. Wählen Sie im Fenster Zuzuweisende Aufgaben die Option Benutzerdefinierte Aufgaben zum Zuweisen erstellen und dann Weiter.

5. Wählen Sie im Fenster Active Directory-Objekttyp die Optionen Nur die folgenden Objekte im Order:, Computerobjekte und Ausgewählte Objekte in diesem Ordner erstellen aus und wählen Sie dann Weiter.

6. Wählen Sie im Fenster Berechtigungen die Optionen Allgemein, Erstellen/Löschen spezieller untergeordneter Objekte, Schreiben und Alle untergeordneten Objekte erstellen aus und gehen Sie dann auf Weiter.

Konfigurieren von AirWatch Cloud Connector (ACC)

Aktualisieren Sie die Anmeldung und fügen Sie dem Benutzer, der in ADUC bearbeitet wurde, Schreibberechtigungen für ACC hinzu, um eine benutzerdefinierte Aufgabe zu delegieren.

1. Ändern Sie die Einstellung unter Anmelden als für den ACC auf den Benutzer, dem die Delegierungsberechtigungen für Windows Server zugewiesen wurden.
   Hinweis: Stellen Sie sicher, dass der Benutzer auf dem ACC-Server über lokale Administratorberechtigungen verfügt, um den Dienst erfolgreich starten zu können.
2. Geben Sie dem Benutzer im ACC-Bereich Erweiterte Sicherheitseinstellungen SCHREIB-Berechtigungen für den ACC-Ordner in <Drive>:\Omnissa\AirWatch\CloudConnector.

Erstellen eines lokalen Domänenbeitritts

Stellen Sie eine Domänenbeitrittskonfiguration in Workspace ONE UEM für registrierte Windows-Geräte bereit, die Active Directory-Anmeldedaten für den Zugriff auf Ressourcen verwenden.

1. Navigieren Sie in der Workspace ONE UEM Console zu Gruppen und Einstellungen > Konfigurationen und wählen Sie Domänenbeitritt aus der Liste aus.
2. Wählen Sie Hinzufügen.
3. Geben Sie einen aussagekräftigen Eintrag in das Feld Name ein, damit Sie den Domänenbeitritt erkennen können. Beispiel: Wenn Ihre Benutzer und Computer in Active Directory ein geografisches Muster befolgen, können Sie Acme - South America eingeben. Dieser Eintrag muss nicht mit Einstellungen in Active Directory übereinstimmen, aber die Verwendung ähnlicher Muster auf beiden Systemen kann bei der Organisation Ihrer Geräte in Ihrer Domäne hilfreich sein.
4. Wählen Sie Lokales Active Directory für den Domänenbeitrittstyp aus.
5. Sehen Sie sich den Domänennamen an. Die Konfigurationsseite für den Domänenbeitritt gibt den Namen des Servers an, der auf der Seite Verzeichnisdienste konfiguriert ist. Die Konfiguration der Workspace ONE UEM-Verzeichnisdienste lässt einen Server für Verzeichnisdienste zu, sodass dieses Feld automatisch ausgefüllt wird. Navigieren Sie zu den Einstellungen für Verzeichnisdienste in Gruppen und Einstellungen > Alle Einstellungen > System > Enterprise Integration > Verzeichnisdienste.
   Hinweis: Wenn Sie den Eintrag Server auf der Seite Verzeichnisdienste ändern möchten, müssen Sie das Menüelement DNS SRV auf Deaktivieren ändern.
6. Wählen Sie den domänenfreundlichen Namen. Die Konfigurationsseite für den Domänenbeitritt bietet Ihnen eine Liste der verfügbaren freundlichen Namen, die der Domänenliste für Ihren Verzeichnisdienstserver auf der Seite Verzeichnisdienste hinzugefügt werden. Navigieren Sie zu den Verzeichnisdiensten in Gruppen und Einstellungen > Alle Einstellungen > System > Enterprise Integration > Verzeichnisdienste.
7. Geben Sie das bevorzugte Format für den Maschinennamens in das Feld Format des Maschinennamens ein. Verwenden Sie ein unterstütztes Format für Ihren Maschinennamen. Der Tooltip gibt die akzeptierten Formate an. Workspace ONE UEM verwendet maximal 15 Zeichen im Format %SERIAL% oder %RAND:[#]%.
8. Speichern Sie die Konfiguration des Domänenbeitritts, um sie später zuzuweisen, oder wählen Sie jetzt Speichern und zuweisen.

Zuweisen einer Konfiguration für den Domänenbeitritt

Nachfolgend finden Sie die Schritte zum Zuweisen Ihrer Domänenbeitrittskonfiguration:

Wichtig: Das Zuweisen mehrerer Domänenbeitrittskonfigurationen zu einem einzelnen Gerät wird nicht unterstützt. Dies umfasst Konfigurationen, die über direkte Zuweisung (wie in diesem Abschnitt beschrieben) bereitgestellt werden, sowie solche, die über Freestyle-Workflows bereitgestellt werden. Das Anwenden mehrerer Domänenbeitrittskonfigurationen kann zu Konflikten und unvorhersehbaren Verhaltensweisen auf dem Gerät führen. Um eine ordnungsgemäße Funktionalität sicherzustellen, sollte jedes Gerät zu jeder Zeit nur eine aktive Domänenbeitrittskonfiguration aufweisen.

1. Navigieren Sie in Workspace ONE UEM Console zu einer Zuweisungsseite, indem Sie unter Gruppen und Einstellungen > Konfigurationen aus der Listenansicht für den Domänenbeitritt Zuweisen auswählen und dann Domänenbeitritt wählen. Dieses Konfigurationsfenster wird angezeigt, wenn Sie Speichern und zuweisen für die Konfiguration des Domänenbeitritts auswählen.

2. Wählen Sie die Domänenbeitrittskonfiguration aus, wenn sie nicht bereits ausgefüllt ist.

3. Fügen Sie einen Zuweisungsname hinzu, der für Sie einen Sinn hat und Ihnen bei der Identifizierung der Zuweisung hilft. Der Eintrag muss nicht mit einer Einstellung in Active Directory übereinstimmen.

4. Suchen Sie nach Organisationseinheiten, die in ihren Geräteeinstellungen konfiguriert sind, und wählen Sie nur eine Organisationseinheit aus.

5. Suchen und wählen Sie Smartgroups aus, die in Workspace ONE UEM konfiguriert sind. Sie können eine Smartgroup lediglich einer Organisationseinheit zuweisen. Wenn Sie versuchen, eine Smartgroup auszuwählen, der bereits einer Organisationseinheit zugewiesen ist, zeigt die Konsole eine Fehlermeldung mit Informationen an, sodass Sie eine Fehlerbehebung durchführen und entscheiden können, welche Smartgroups mit Ihrem aktuellen Bereitstellungsszenario verwendet werden sollen.

6. Erstellen und speichern Sie Ihre Zuweisung.

Anmerkung: In Versionen von Workspace ONE UEM vor 2506 wurde die Offline-Domänenbeitrittskonfiguration nur während der Geräteregistrierung angewendet. Ab Workspace ONE UEM 2506 und aktivierter moderner Architektur wurde diese Einschränkung entfernt. Die Konfiguration des Offline-Domänenbeitritts kann jetzt zu jedem Zeitpunkt im Gerätelebenszyklus angewendet werden und bietet so in Bereitstellungsszenarien mehr Flexibilität. Dies gilt nicht für Arbeitsgruppenszenarien.

Konflikt zwischen Computern in Active Directory (AD) und OU/Smartgroups

Die Konfigurationszuweisung für den Domänenbeitritt wird durch die Smartgroup-Mitgliedschaft bestimmt. Die Hierarchie der übergeordneten und untergeordneten Organisationsgruppe (OG) hat keinen Einfluss auf die Konfigurationszuweisung, es sei denn, das Gerät qualifiziert sich sowohl in der übergeordneten als auch in der untergeordneten Organisationsgruppe für Smartgroups.

Wenn ein Gerät sich für Konfigurationen des Offline-Domänenbeitritts qualifiziert, die sowohl auf der übergeordneten als auch auf der untergeordneten OG-Ebene zugewiesen wurden, hat die Konfiguration der untergeordneten OG (spezifischere oder „geschlossene“ OG) Vorrang und wird auf das Gerät angewendet.

Wenn ein Gerät mehrere Konfigurationen für den Offline-Domänenbeitritt erhält, wird die Konfliktlösung basierend auf Domänennamen und Typ bestimmt.

• Wenn alle Konfigurationen denselben Domänennamen und Typ aufweisen, wird die Organisationseinheit (OU) als optional behandelt. Das System fährt mit dem Domänenbeitritt fort und behandelt die OU bei Bedarf als leer.
• Wenn der Domänenname oder -typ abweicht, kann der Domänenbeitritt nicht fortgesetzt werden.

🔹 Szenario 1: Gleiche Domäne, unterschiedliche OU

Das Gerät ist für SG1 und SG2 qualifiziert.

Ergebnis
Domänenname und -typ stimmen überein; die Organisationseinheit unterscheidet sich. Die OU wird als leer behandelt und der Domänenbeitritt wird fortgesetzt.

Effektive Konfiguration:

Szenario 2: Identische Konfigurationen

Das Gerät ist für SG1 und SG2 qualifiziert.

Ergebnis
Alle Felder stimmen genau überein. Der Domänenbeitritt erfolgt mit Hilfe der angegebenen Organisationseinheit.

Effektive Konfiguration:

Szenario 3: Verschiedene Domänen

Das Gerät ist für SG1 und SG2 qualifiziert.

Ergebnis
Domänennamen unterscheiden sich. Ein Gerät kann nicht mehreren Domänen beitreten. Der Domänenbeitritt wird nicht verarbeitet.

Effektive Konfiguration:
Kein Domänenbeitritt möglich

Das Gerät empfängt sowohl Domänenbeitritts- als auch Arbeitsgruppenkonfigurationen

Wenn demselben Gerät sowohl eine Domänenbeitritts- als auch eine Arbeitsgruppenkonfiguration zugewiesen sind, priorisiert das System die Domänenbeitrittskonfiguration und wendet diese an. Die Arbeitsgruppenkonfiguration wird in diesem Fall ignoriert.

Zuweisen einer Konfiguration für den Domänenbeitritt

Vor der Anwendung der Konfiguration des Offline-Domänenbeitritts führt Workspace ONE Intelligent Hub eine Prüfung durch, um festzustellen, ob das Gerät bereits einer Active-Directory(AD)- oder einer Entra-ID-Domäne beigetreten ist.

• Wenn das Gerät der Domäne nicht beigetreten ist, wird die Konfiguration angewendet.
• Ist das Gerät der Domäne bereits beigetreten, so wird die Konfiguration ausgelassen.

Um den Domänenbeitritt als Teil eines umfassenderen Workflows einzubeziehen, vermeiden Sie die Zuweisung der Konfiguration direkt zu einem Unternehmensgerät (Arbeitsgerät) außerhalb dieses Workflows.

Anmerkung: Für Geräte, die nicht mit Windows-Autopilot konfiguriert sind, ist ein manueller Neustart erforderlich, nachdem die Konfiguration für den Offline-Domänenbeitritt angewendet wurde.

Problembehandlung

Um Probleme mit dem Offline-Domänenbeitrittsprozess zu untersuchen, können Sie Protokolle direkt vom Gerät erfassen und überprüfen und relevante Systemkomponenten analysieren.

Schritte zur Fehlerbehebung Erfassen Sie Protokolle von Workspace ONE Intelligent Hub aus den folgenden Pfaden:

• C:\ProgramData\AirWatch\UnifiedAgent\Logs\DomainJoin-%TIMESTAMP%.log
• C:\ProgramData\AirWatch\UnifiedAgent\Logs\DSM-%TIMESTAMP%.log
• C:\ProgramData\AirWatch\UnifiedAgent\Logs\TaskScheduler-%TIMESTAMP%.log

Überprüfen von Workflowprotokolleinträgen, wenn die Domänenbeitrittskonfiguration über den Freestyle-Workflow zugewiesen wurde Suchen Sie in den Workflowprotokollen nach dem folgenden Schlüsselsatz, um die Ereignisverarbeitung zu bestätigen: „Hub-Cache-Ereignis Domänenbeitritt empfangen“

Erfassen einer Fiddler-Trace Eine Fiddler-Trace kann dabei helfen, Kommunikationsprobleme oder Fehler in den API-Aufrufen zwischen Workspace ONE Komponenten und dem Gerät zu identifizieren.

Registrierungseinstellungen überprüfen Überprüfen Sie den folgenden Registrierungspfad auf Workspace ONE-domänenbeitrittsbezogene Konfigurationen: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\AIRWATCH

Diese Artefakte bieten eine detaillierte Ansicht darüber, was während des Domänenbeitrittsversuchs passiert ist und helfen bei der Isolierung der Hauptursachen im Falle eines Fehlers.