SHD Connect - Microsoft Intune-Adapter

Mit dem Microsoft Intune-Adapter ist es möglich, Geräte und Nutzer von Microsoft Intune nach i-doit zu importieren.

Zur Nutzung des Adapters benötigen Sie eine entsprechende Lizenz, welche Sie über den Marketplace von synetics oder direkt von SHD erhalten können.

Inhalt

1 Basiseinstellungen
2 Konfiguration des Mappings
3 Import
- 3.1 Welche Daten werden importiert?
- 3.2 Standardzuweisung
4 Einrichtung in Microsoft Intune

Basiseinstellungen

Neben den allgemeinen Basiseinstellungen können Sie für den Intune-Adapter folgende Einstellungen vornehmen:

Basis-Einstellungen des Microsoft Intune-Adapters

API URL: Die Basis-URL zur Microsoft Graph API einschließlich der API-Version, ohne abschließenden “/”.
Access-Token: Der Access-Token zur Authentifizierung an der Microsoft Graph API. Hinweise zur Erstellung des Access-Tokens finden Sie im unteren Bereich dieser Anleitung.
Import Modus: Auswahl, welcher Elementtyp importiert werden soll. Folgende Möglichkeiten stehen dabei zur Verfügung:
- Geräte
- Nutzer
Import Limit: Maximale Anzahl der Objekte, welche importiert werden.
Standard Ziel-Kategorien nicht befüllen: Wenn aktiviert, wird das hinterlegte Standard-Mapping ignoriert und nur die im folgenden Abschnitt zugewiesenen Werte befüllt.

Konfiguration des Mappings

Zum Bearbeiten der Konfiguration wechseln Sie bitte mit einem Klick auf den Knopf “Editieren” in den Bearbeitungsmodus.

Die Konfiguration des Objekttyp-Mappers und des Objekt-Matchings sind unter folgendem Link beschrieben: https://smdocu.atlassian.net/wiki/x/AQDli

Import

Neben dem automatischen, zeitgesteuerten Import haben Sie zusätzlich die Möglichkeit, einen Import manuell zu starten.

Start eines manuellen Imports

Mit einem Klick auf den Knopf “Import starten” werden die jeweiligen Daten nach i-doit importiert.

Durch Klicken auf den Knopf “Bisherige Importe anzeigen” können Sie sich eine Übersicht der bereits durchgeführten Importe anzeigen lassen.

Welche Daten werden importiert?

Folgende Daten können grundsätzlich importiert werden:

Geräte
- mit allgemeinen Werten
- mit Hostadress-Daten
- mit Seriennummer (falls vorhanden)
- optional: mit vorhandenen Anschlüssen und deren MAC-Adresse
Nutzer
- mit allgemeinen Werten

Standardzuweisung

Ohne dass ein Mapping vorgenommen wird werden bereits folgende Standardwerte befüllt.

Für Geräte:

Quell-Wert	Ziel-Kategorie	Ziel-Wert

Quell-Wert	Ziel-Kategorie	Ziel-Wert
deviceName	Allgemein	Bezeichnung
manufacturer	Modell	Hersteller
model	Modell	Modell
serialNumber	Modell	Seriennummer
operatingSystem	Betriebssystem	Bezeichnung
osVersion	Betriebssystem	Version
emailAddress	Personen	E-Mail Adresse
phoneNumber	Personen	Telefonnummer
ethernetMacAddress	Netzwerk-Anschluss	MAC-Adresse
physicalMemoryInBytes	Speicher	Kapazität

Für Nutzer:

Quell-Wert	Ziel-Kategorie	Ziel-Wert

Quell-Wert	Ziel-Kategorie	Ziel-Wert
displayName	Allgemein	Bezeichnung
givenName	Personen	Nachname
surname	Personen	Vorname
mail	Personen	E-Mail Adresse
mobilePhone	Personen	Telefonnummer
jobTitle	Personen	Dienstbezeichnung

Einrichtung in Microsoft Intune

Voraussetzungen

Zur Nutzung der Schnittstelle muss zunächst eine Anwendung für i-doit in Microsoft Intune angelegt werden.

In dieser Anwendung können später die Zugangsdaten und Berechtigungen zur Nutzung von Microsoft Graph, der API von Intune, konfiguriert werden.

Folgende Voraussetzungen sind dafür nötig:

Ein Microsoft Entra ID Mandant. Wenn Sie keinen Mandanten haben, können Sie ein kostenloses Microsoft Azure Konto anlegen.
Ein Konto, das mindestens über die Rolle Cloud-Anwendungsadministrator verfügt.
Mindestens ein Gerät oder Nutzer in Microsoft Intune, dessen Daten importiert werden können.
Weitere Hinweise zur Einrichtung finden Sie hier: https://learn.microsoft.com/de-de/graph/auth/?view=graph-rest-1.0

Auflistung aller Geräte in Microsoft Intune

Registrieren einer neuen Anwendung

Damit Ihre App die Identitäts- und Zugriffsverwaltungsfunktionen von Microsoft Entra ID verwenden kann, müssen Sie sie zuerst registrieren. Anschließend führt der Microsoft Identity Platform die IAM-Funktionen für die registrierten Anwendungen aus.

Melden Sie sich beim Microsoft Entra Admin Center an
Wenn Sie Zugriff auf mehrere Mandanten haben, verwenden Sie das Symbol Einstellungen im oberen Menü, um über das Menü Verzeichnisse + Abonnements zu dem Mandanten zu wechseln, bei dem Sie die Anwendung registrieren möchten.
Navigieren Sie zu Identität > Anwendungen > App-Registrierungen, und wählen Sie Neue Registrierung aus.
Geben Sie einen Anzeigenamen für Ihre Anwendung ein.

Registrierung einer neuen Anwendung

Geben Sie im Abschnitt Unterstützte Kontotypen an, wer die Anwendung verwenden kann.
Geben Sie für Umleitungs-URI (optional) nichts ein.
Wählen Sie Registrieren aus, um die Registrierung der Anwendung abzuschließen.

Weitere Hinweise zur Einrichtung finden Sie hier: https://learn.microsoft.com/de-de/graph/auth-register-app-v2?view=graph-rest-1.0

Wenn die Registrierung abgeschlossen ist, wird die neue Anwendung im Microsoft Entra Admin Center in der Übersicht der App-Registrierung angezeigt.

Auf dieser Seite finden Sie alle wichtigen Werte zur Nutzung der Anwendung über die Microsoft Graph API:

Anwendungs-ID (Client), die Ihre Anwendung für alle Mandanten eindeutig identifiziert.
Objekt-ID, die Ihre Anwendung in Ihrem Mandanten eindeutig identifiziert.
Verzeichnis-ID (Mandant), welches Ihren Mandaten identifiziert.

Übersicht zu neu registrierten Anwendung

Anschließend können Sie bei Bedarf Plattformeinstellungen konfigurieren.

Hinzufügen eines geheimen Schlüssels

Anmeldeinformationen werden von vertraulichen Anwendungen verwendet, die auf eine Web-API zugreifen. Neben einem geheimen Schlüssel können Sie auch Zertifikate oder verbundene Anmeldeinformationen verwenden.

Zur Konfiguration gegen Sie wie folgt vor:

Wählen Sie Zertifikate & Geheimnisse > Geheime Clientschlüssel > Neuer geheimer Clientschlüssel aus.
Fügen Sie eine Beschreibung für Ihren geheimen Schlüssel hinzu.
Wählen Sie aus, wie lange der geheime Schlüssel gültige sein soll.

Konfiguration eines geheimen Schlüssels

Klicken Sie auf Hinzufügen.
Wichtig: Notieren Sie sich den Wert des Geheimnisses und die geheime ID zur weiteren Verwendung. Diese Werte werden nie wieder angezeigt , nachdem Sie diese Seite verlassen haben.

Anzeige des Wertes und der geheimen ID nach Anlegen des geheimen Schlüssels

Zugriff ohne Benutzer einrichten

Microsoft Graph nutzt Anwendungsberechtigungen für Anwendungen, welche Microsoft Graph mit ihrer eigenen Identität aufrufen.

Um die API-Berechtigungen zu konfigurieren klicken Sie auf den Knopf API-Berechtigungen anzeigen oder auf den Menüeintrag im linken Menü.

API-Berechtigungen anzeigen und konfigurieren

Wählen Sie auf der Seite API-Berechtigungen der Anwendung Berechtigung hinzufügen aus.
Wählen Sie Microsoft Graph aus, und wählen Sie Anwendungsberechtigungen aus.

Anlegen von Berechtigungen für Microsoft Graph

Wählen Sie im Dialogfeld Berechtigungen auswählen die Berechtigungen aus, die für die Anwendung konfiguriert werden sollen.
Für den Import von Geräten und Nutzern sind folgende Berechtigungen nötig:
- DeviceManagementManagedDevices.Read.All
- Users.Read.All

Suchen und Hinzufügen von Berechtigungen

Administratoren können die Berechtigungen, die Ihre Anwendung benötigt, am Microsoft Entra Center erteilen.
Klicken Sie zum Erteilen der Zustimmung auf den Link Administratorenzustimmung für “YouCompany” erteilen.

Zustimmung eines Administrators erteilen

Access-Token anfordern

Zur Kommunikation mit der Microsoft Graph API wird im letzten Schritt noch ein Access-Token benötigt.

Zur Anforderung des Tokens von der Microsoft Berechtigungsplattform tragen Sie die Tendant-ID, Client-ID und den Wert des geheimen Schlüssels in den folgenden Aufruf ein:

curl --location --request POST 'https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'client_id=535fb089-xxxx-xxxx-xxxx-4f1264799865' \
--data-urlencode 'scope=https://graph.microsoft.com/.default' \
--data-urlencode 'client_secret=qWgdYA....L1qKv5bPX' \
--data-urlencode 'grant_type=client_credentials'

Als Antwort erhalten Sie nun den Access-Token

{
  "token_type": "Bearer",
  "expires_in": 3300,
  "ext_expires_in":3300,
  "access_token": "cxKsds83mfv3..."
}

Dieser Access-Token wird nun in die Konfiguration des SHD Connect Intune-Adapters eingetragen.