Unterstützung und Verwaltung mehrerer Benutzer

Die Mehrbenutzerfunktion hat umfangreiche Änderungen an der künftigen Verwaltung ihrer Geräte durch Administratoren erfahren. Durch die Verwendung der neuen Modern-Stack-Architektur kann Workspace ONE Geräte mit mehreren Benutzern verwalten. Wer bei Windows Desktop angemeldet ist, wird zum registrierten Benutzer des Geräts. Wir verfolgen dann den registrierten Benutzer für jeden, der sich anmeldet. Es ist sehr wichtig, dass die Geräteressourcen dem Gerät zugewiesen sind.

„Mehrbenutzer“ ist jetzt die Standardregistrierungsmethode für durch Workspace ONE verwaltete Windows-Geräte. Ab UEM 2406 und Intelligent Hub 2404 sind alle Geräte standardmäßig multiuser-fähig. Diese Änderung führt zu neuen Anwendungsfällen wie Schichtarbeit und der Möglichkeit, Geräte ohne Enterprise-Wipe neu zuzuweisen. Es gibt keine zusätzlichen Befehlszeilenschalter oder -argumente, die übergeben werden müssen, um die Mehrbenutzerfunktion zu aktivieren.

Registrierung

Es gibt fünf Arten von Registrierungsoptionen. Einige haben zusätzliche Anforderungen.

Out-of-Box-Registrierung: Mit Autopilot registrierte Geräte werden unterstützt. Intelligent Hub muss jedoch installiert sein, um die Mehrbenutzerfunktion zu aktivieren. Stellen Sie in den Systemeinstellungen > Geräte & Benutzer > Microsoft > Windows sicher, dass die Option Intelligent Hub veröffentlichen ausgewählt ist.
Registrierung über die Befehlszeile: Für den Mehrbenutzermodus sind alle Geräte standardmäßig für mehrere Benutzer aktiviert, ohne dass ein zusätzlicher Befehlszeilenschalter erforderlich wäre.
Agenten-Registrierung: Agentenbasierte Registrierung wird unterstützt. Zum Aktivieren von Mehrbenutzern während der Agenten-Registrierung ist keine zusätzliche Konfiguration erforderlich.
Registrierung mit Dropship-Provisioning (Online und Offline): Unterstützt den Mehrbenutzermodus, ohne dass eine zusätzliche Konfiguration erforderlich wäre.
Staging von Registrierungs-Flows: Standard-Einzelbenutzer-Staging wird unterstützt, ohne dass eine zusätzliche Konfiguration erforderlich wäre. Erweitertes Einzelbenutzer- oder Mehrbenutzer-Staging wird nicht unterstützt. Um Ihre Staging-Benutzereinstellungen zu überprüfen, navigieren Sie zu: Benutzerdetails > Erweitert > Staging.

Anmerkung: Jetzt kann jeder Benutzer Staging-Benutzer werden. Administratoren müssen einen Benutzer nicht mehr als dedizierten Staging-Benutzer vorkonfigurieren. Wenn die gemeinsamen Ressourcen im Gerätekontext erstellt werden und die Zuweisungen für alle Benutzer des Geräts konfiguriert sind, werden die Ressourcen nicht neu installiert.

In Version 2506 wurde eine Funktion hinzugefügt, die es dem Administrator ermöglicht, den Typ des Benutzermodus auszuwählen, der für eine neue Registrierung verwendet werden soll. Die Standardeinstellung für den Benutzermodus ist auf „Mehrere Benutzer“ festgelegt, aber Sie können jetzt bei Bedarf die Einzelbenutzerregistrierung von hier aus auswählen. Dies kann auch pro Organisationsgruppe (OG) konfiguriert werden. Sie finden dies in der Konsole unter: System > Geräte & Benutzer > Microsoft > Windows > Intelligent Hub-Einstellungen > Standardbenutzermodus für die Registrierung.

Weitere Registrierungsinformationen finden Sie auf TechZone unter: [Workspace ONE UEM Windows-Multiuser](https://techzone.omnissa.com/resource/workspace-one-uem-windows-Multi User#device-enrollment).

Gemeinschaftsgeräteeinstellungen

Standardmäßig werden Benutzer zur Eingabe ihrer Organisationsgruppe (OG) aufgefordert. Wird diese Einstellung nicht geändert, wird der Benutzer aufgefordert, die Organisationsgruppen-ID einzugeben. Es wird empfohlen, diese Einstellung in Feste Organisationsgruppe oder Benutzergruppen-Organisationsgruppe zu ändern, damit die Benutzerzuweisung im Hintergrund erfolgt. Für eine feste Organisationsgruppe verbleibt das Gerät dann in der aktuellen Organisationsgruppe, während die Benutzergruppenorganisation das Gerät in die konfigurierte Organisationsgruppe verschiebt. Der Gruppenzuweisungsmodus befindet sich unter Systemeinstellungen > Geräte und Benutzer > Allgemein > Gemeinschaftsgerät. Von hier aus lässt sich steuern, wie ein Gerät der richtigen Organisationsgruppe zugeordnet wird.

Konsolenansicht

Geräte zeigen ihren aktuellen Benutzermodus (Mehrere Benutzer, Einzelbenutzer) in mehreren Bereichen innerhalb der Konsole an.

Mehrbenutzermodus: Der registrierte Benutzer des Geräts wird basierend auf dem aktuell angemeldeten Windows-Benutzer aktualisiert.
Einzelbenutzermodus: Der registrierte Benutzer ist immer der Benutzer, der auf dem Gerät registriert ist . Der registrierte Benutzer wird nicht aktualisiert, wenn ein anderer Benutzer sich an Windows anmeldet.

Seite „Geräteliste & Details“

In der benutzerdefinierten Ansicht Geräteliste wird die Spalte „Benutzermodus“ mit dem aktuellen Modus angezeigt wird. In der Ansicht Gerätedetails wird im Bereich „Geräteinformationen“ auch der aktuelle Benutzermodus angezeigt.

Filter

Auf der Seite „Gerätelistenansicht“ wurden Filter zur Unterstützung mehrerer administrativer Szenarien hinzugefügt:

Einzelbenutzer (veraltet): Geräte, die aufgrund einer alten Intelligent Hub-Version, die mehrere Benutzer nicht unterstützt, als Einzelbenutzergerät registriert wurden.
Mehrbenutzer: Geräte, die in den Mehrbenutzermodus registriert oder migriert wurden.
Mehrbenutzerfähig: Geräte, die derzeit als Einzelbenutzer (veraltet) registriert sind, aber für die Migration verfügbar sind. Diese Geräte erfüllen die Anforderung, zu Mehrbenutzer zu migrieren, einschließlich der korrekten Intelligent Hub-Version. Verwenden Sie diesen Filter, wenn Sie vorhandene Einzelbenutzergeräte (veraltet) zu Mehrbenutzergeräten migrieren.
Einzelbenutzer: Mehrbenutzergeräte, bei denen die Funktion zur Neuzuweisung von Benutzern derzeit pausiert ist. Der Registrierungsbenutzer wird auf diesen Geräten nicht aktualisiert, wenn ein neuer Benutzer sich an Windows anmeldet. Die erneute Zuweisung des Benutzers kann sowohl auf der Gerätelistenansicht als auch auf der Seite „Gerätedetails“ pausiert (oder fortgesetzt werden).

Verzeichnisdiensteunterstützung

Multi-User hat Unterstützung für die folgenden Verzeichnistypkonfigurationen eingeführt:

Active-Directory-LDAP wird unterstützt
Lotus-Domino-LDAP wird NICHT unterstützt
Novell-e-Directory-LDAP wird NICHT unterstützt
Andere LDAP-Dateien wird unterstützt
Omnissa-Identitätsdienste werden unterstützt
Nicht vorhanden wird unterstützt

Attribute für den eindeutigen Bezeichner

Um zu ermitteln, wer aktuell angemeldet ist, und um diesen Benutzer mit einem Benutzerobjekt in der UEM-Konsole abzugleichen, müssen die für den Abgleich verwendeten Attribute eingerichtet werden. In den Windows-Intelligent Hub-Einstellungen sollten Administratoren das entsprechende Paar aus den möglichen UEM-Benutzerattributen und den vier Attributen auswählen, die Intelligent Hub vom Gerät abrufen kann. Für die meisten Anwendungsfälle wird empfohlen, UPN/UPN zu verwenden. Wählen Sie unter Attribute für den eindeutigen Bezeichner das UEM-Benutzerattribut aus, das mit dem gewünschten Client-Benutzerattribut übereinstimmt (siehe unten).

UEM-Benutzerattribute	Clientbenutzerattribute
Objektbezeichner	Objekt-GUID (erfordert sichtbaren Domain-Controller)
Benutzername	Derselbe Kontoname
Empfohlen: Benutzerprinzipalname	Benutzerprinzipalname
EmployeeID	Benutzer-SID
E-Mail-Adresse
Benutzerdefiniertes Attribut 1-5

Standardmäßig ist der eindeutige Bezeichner auf Objektbezeichner/Objekt-GUID festgelegt. Wir empfehlen dringend, dies je nach den Anforderungen Ihrer Umgebung zu ändern. Beachten Sie, dass die Objekt-GUID eine aktive Verbindung mit dem Domänencontroller erfordert, um die GUID auf dem Gerät abzurufen. Zur Konfiguration navigieren Sie zu Einstellungen > Geräteeinstellungen > Geräte & Benutzer > Microsoft > Windows > Intelligent Hub-Einstellungen.

Migration

Ab 2406 sind alle neu registrierten Windows-Desktop-Geräte standardmäßig multiuserfähig. Vorhandene registrierte Windows-Desktop-Geräte bleiben als Single-User-Geräte (veraltet) erhalten. Administratoren müssen ihre zuvor registrierten Geräte zu Mehrbenutzer migrieren. Der Grund hierfür ist, dass Administratoren ihre Ressourcenzuweisungen vor der Aktivierung von Mehrbenutzer validieren können. Dadurch wird sichergestellt, dass bei einem Update des Registrierungsbenutzers nach der Migration keine Ressourcen versehentlich entfernt werden.

Beispiel: Ein Gerät wurde von einem Mitglied des IT-Teams über das Befehlszeilen-Staging registriert. Während dieser Einrichtung hat das Teammitglied sich am Gerät angemeldet, um eine zusätzliche Konfiguration abzuschließen, und das Gerät versehentlich für sich selbst registriert. Das Gerät wird dann an den eigentlichen Endbenutzer übergeben. Bei der Migration auf „Mehrere Benutzer“ wird der Registrierungsbenutzer dieses Geräts zum tatsächlichen Endbenutzer geändert. Wenn die Ressourcenzuweisungen nicht dem tatsächlichen Endbenutzer zugewiesen sind, werden sie bei der Migration entfernt. Weitere Informationen zur ordnungsgemäßen Konfiguration gemeinsamer Ressourcen für die Verwendung in einem Mehrbenutzerszenario finden Sie im Abschnitt „Ressourcenzuweisungen“.

Auf Mehrbenutzer migrieren

Die Migration von Geräten, die zuvor registriert wurden, kann auf verschiedene Arten erfolgen:

Gerätelistenansicht: Wählen Sie in der Gerätelistenansicht über das Kontrollkästchen ein oder mehrere Geräte aus und wählen Sie „In den Mehrbenutzermodus wechseln“ aus. Um zu ermitteln, welche Geräte migriert werden können, nutzen Sie im Abschnitt „Filter“ der Seite „Gerätelistenansicht“ den Filter „Mehrfachbenutzerfähig“. Dieser Filter listet alle migrierbaren Geräte auf (derzeit erfüllt Einzelbenutzer die Mindestanforderungen von Intelligent Hub zur Unterstützung mehrerer Benutzer). Den Administratoren wird dann der folgende Akzeptanzbildschirm angezeigt. Klicken Sie auf „Fortfahren“.

Anmerkung: Die Gerätelistenansicht ist auf die Auswahl von 100 Geräten gleichzeitig beschränkt. Um mehr als 100 Geräte gleichzeitig zu migrieren, wird empfohlen, die API-Methode zu nutzen.  
Migration über API: Die Migration kann mittels des folgenden POST-URL ausgelöst werden: https://%APISERVERUL%/api/mdm/devices/action/ mit folgendem Textkörper:

{ "action_name": "MIGRATE_TO_Multi User", "filter": { "organization_group_uuid": "999362E5-7D35-487B-A74F-7C0A377BB521", "device_uuids": [ "338234E5-F1DE-46CF-AE1C-DFFD919CFE32", "40D18DF3-0B04-4648-A26A-E5D24F2CD4D9" ] } }

Wichtig Bitte stellen Sie sicher, dass Sie Version 3 des API auswählen. Dem API-Header müssen diese Daten wie in diesem Beispiel hinzugefügt werden: "Accept", "application/json; version=3"

Die folgenden Aktionen sind verfügbar:

MIGRATE_TO_MULTIUSER – Für die Migration von Geräten von mehranwenderfähigen zu Mehrbenutzergeräten
CHANGE_TO_SINGLEUSER – Zum Umwandeln eines Mehrbenutzergeräts zu einem Einzelbenutzergerät
CHANGE_TO_MULTIUSER – Zum Umwandeln eines Einzelbenutzergeräts in ein Mehrbenutzergerät

Endbenutzererfahrung beim Benutzerwechsel:

Multi-User wurde so entwickelt, dass es für den Endanwender so nahtlos wie möglich ist. Um das Gerät einem neuen Benutzer zuzuweisen, melden Sie sich einfach von Windows ab und mit einem anderen Unternehmensbenutzer an.

Auf Domänengeräten (Active Directory, Hybrid Join oder AAD) wird die Neuzuweisung des Benutzers im Hintergrund durchgeführt. Um zu bestätigen, dass die erneute Zuweisung erfolgreich war, wird dem Endbenutzer nach der Anmeldung die folgende Windows-Benachrichtigung angezeigt. Diese Benachrichtigung wird nach dem Wechsel des Benutzers nur einmal angezeigt.

Auf arbeitsgruppenverbundenen Geräten kann Workspace ONE nicht die erforderlichen Attribute suchen, die für die unbeaufsichtigte erneute Zuweisung des Geräts erforderlich sind. Auf diesen Geräten fordert Intelligent Hub den Endbenutzer auf, sich mit seinen Unternehmensanmeldedaten zu authentifizieren. Nachdem er seine Anmeldedaten erfolgreich eingegeben hat, wird dem Benutzer die Benachrichtigung angezeigt, dass der Benutzer jetzt mit Workspace ONE verbunden ist und das Gerät ordnungsgemäß neu zugewiesen wurde.

Fehlgeschlagene erneute Benutzerzuweisung: Wenn ein neuer Benutzer sich an einem Domänencomputer anmeldet, versucht Workspace ONE im Hintergrund, das Gerät auszuchecken. Wenn der erste Versuch fehlschlägt, wartet Workspace zwei Minuten, bevor es erneut versucht wird. Dies wird dreimal wiederholt. Falls Workspace ONE das Gerät nicht unbeaufsichtigt auschecken konnte, fordert Intelligent Hub den Benutzer auf, seine Anmeldedaten einzugeben. Nach der Eingabe der Anmeldedaten wird das Gerät erneut zugewiesen.
Abmelden vs. Benutzer wechseln: Um die Benutzer-Neuzuweisung durchzuführen, muss der aktuelle Benutzer sich aus Windows abmelden. Der Vorgang eines Benutzerwechsels wird nicht unterstützt. Es wird empfohlen, ein CSP oder ein GPO zu verwenden, um die Benutzerumschaltung auf Geräten zu blockieren, deren Benutzer häufig wechseln. Weitere Informationen zu CSP finden Sie bei Microsoft unter: https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-cspwindowslogon

Zuweisung	Benutzer A	Benutzer B
Systemkontextanwendung – Gerät zugewiesen	Anwendung bleibt auf dem Gerät	Anwendung bleibt auf dem Gerät
Systemkontextanwendung – Benutzer A zugewiesen	Anwendung bleibt auf dem Gerät	Anwendung wird entfernt
Systemkontextanwendung – Benutzer B zugewiesen	Anwendung wird entfernt	Anwendung bleibt auf dem Gerät
Systemkontextanwendung – Benutzer A und Benutzer B zugewiesen	Anwendung bleibt auf dem Gerät	Anwendung bleibt auf dem Gerät
Benutzerkontextanwendung – Benutzer A zugewiesen	Anwendung bleibt auf dem Gerät	Anwendung bleibt auf dem Gerät
Benutzerkontextanwendung – Benutzer B zugewiesen	Anwendung bleibt auf dem Gerät	Anwendung bleibt auf dem Gerät
Benutzerkontextanwendung – Benutzer A und Benutzer B zugewiesen	Anwendung bleibt auf dem Gerät	Anwendung bleibt auf dem Gerät

Profilkontext

Der Profilkontext funktioniert in den Konfigurationen auf Geräteebene ähnlich. Sie werden mit Hilfe von Geräteprofilen installiert und wirken sich auf alle Benutzer auf einem Gerät aus. Beispiele hierfür sind die Verschlüsselung des Geräts und/oder allgemeine DLP-Einstellungen. Benutzerprofile werden dann verwendet, um benutzerspezifische Ressourcen wie Identitätszertifikate oder Anpassungen zu installieren.

Zuweisungsgruppen

Workspace ONE nutzt Zuweisungsgruppen, um Geräten Ressourcen zuzuweisen. Wenn ein Benutzer über keine Zuweisung zu einer Ressource verfügt, wird diese Ressource deinstalliert. Es ist wichtig, dass alle Benutzer auf einer gemeinsam genutzten Workstation gemeinsamen Ressourcen zugewiesen werden. Beispiel: Eine Anwendung, die von allen Benutzern verwendet wird. Überprüfen Sie für alle erforderlichen Ressourcen die verwendeten Zuweisungsgruppen. Wenn Sie Benutzergruppen nutzen, stellen Sie sicher, dass alle Benutzer einbezogen werden, oder, wenn Sie Smartgroups verwenden, prüfen Sie, ob die Benutzergruppen Teil der Kriterien sind und ob Benutzerausschlüsse gelten.

Workflows

Workflows mit allen enthaltenen Ressourcen werden auf Mehrbenutzergeräten vollständig unterstützt. Das Verhalten zugewiesener Workflows unterscheidet sich von Profilen oder Anwendungen. Workflows werden bei jedem Benutzerwechsel neu ausgeführt und neu bewertet. Dadurch wird sichergestellt, dass Benutzerkontextressourcen auf den aktuellen Registrierungsbenutzer angewendet werden. Bereits auf dem Gerät installierte Anwendungen und Profile werden nicht neu installiert, da die UEM-Erkennung vorher den Installationsstatus überprüft.

Zertifikate

Benutzer- und Gerätezertifikate können auf einem Mehrbenutzergerät verwendet werden. Zugewiesene Gerätezertifikate sind für alle Benutzer verfügbar, während Benutzerzertifikate nur für den aktuellen Registrierungsbenutzer verfügbar sind. Wenn ein Benutzer sich am Gerät zum ersten Mal anmeldet, wird/werden das/die Benutzerzertifikat(e) angefordert und für den Registrierungsbenutzer installiert. Wenn der Benutzer sich am Gerät erneut anmeldet, ist das Zertifikat bereits installiert und es wird keine neue Anforderung an die Zertifizierungsstelle generiert.

Verhindern der Neuzuweisung von Windows-Benutzern

In der UEM Console gibt es zwei Möglichkeiten, Benutzer-Neuzuweisungen zu verhindern oder zu blockieren.

Check-out-Einschränkungen: Wenn es erforderlich ist, eine bestimmte Gruppe daran zu hindern, Geräte in ihr Benutzerkonto auszuchecken, ist die folgende Konfiguration verfügbar:

Alle Mitglieder der Benutzergruppe(n), die im Abschnitt „Windows-Restriktionen für das Auschecken mehrerer Benutzer“ hinzugefügt wird/werden, können den Registrierungsbenutzer auf einem Gerät nicht ändern. Diese Einstellung kann pro OG konfiguriert werden und wird an alle untergeordneten OGs vererbt– sofern in keiner untergeordneten OG die Option „Überschreiben“ ausgewählt ist.

Beispiel: Benutzer A ist am Gerät angemeldet und ein Helpdesk-Mitarbeiter meldet sich am Gerät an. Das Gerät sollte Benutzer A zugewiesen bleiben. In diesem Fall kann das Konto des Helpdesk-Mitarbeiters einer Benutzergruppe hinzugefügt und in den Checkout-Einschränkungen konfiguriert werden. Der Helpdesk-Mitarbeiter ändert den Registrierungsbenutzer auf keinem Gerät in dieser OG mehr.
Benutzerkonten, die für die Checkout-Restriktionen konfiguriert sind, können zwar weiterhin Geräte registrieren, aber sie können den Benutzer auf einem bereits registrierten Gerät nicht ändern. Dies gilt nicht für Staging-Flows – ein Staging-Flow-Gerät kann nicht zu einem Benutzer in der Auscheck-Einschränkungsgruppe geändert werden.

Wechsel vom Mehrbenutzermodus zum Einzelbenutzermodus: Wenn die erneute Zuweisung des Benutzers vorübergehend oder dauerhaft angehalten/gestoppt werden muss, können ein oder mehrere Geräte in der Konsole ausgewählt werden, um vom Mehrbenutzermodus in den Einzelbenutzermodus zu wechseln. Wenn das Gerät sich im Einzelbenutzermodus befindet, ändert der Registrierungsbenutzer sich nicht zu neu angemeldeten Benutzern. Dies kann auch für Einzelbenutzergeräte verwendet werden, wenn diese in der Zukunft ohne erneute Registrierung des Geräts möglicherweise für die Verwendung von Mehrbenutzerfunktionen aktiviert werden. Nachdem das Gerät wieder in den Mehrbenutzermodus gewechselt ist, ändert jede Benutzeränderung den Registrierungsbenutzer des Geräts. Nächstes, Pausieren und Fortsetzen über API.

War diese Seite hilfreich?