Seminar Entra ID Cloud Exit – Geräte und Intune-Abhängigkeiten lösen

Ein Wechsel des Identity Providers übernimmt weder die Geräteverwaltung noch automatisch das bestehende Windows-Benutzerprofil. Das Seminar untersucht daher den gesamten Arbeitsplatz: Anmeldung, Richtlinien, Wiederherstellungsinformationen, Zertifikate, Anwendungen und Fernwartung. Ein vorhandener Entra- oder Intune-Eintrag wird nicht mit dem tatsächlichen Zustand des Endgeräts gleichgesetzt.

Die praktische Migration erfolgt an einem vorbereiteten Windows-Testclient. Als Ziel dient ein zuvor festgelegtes lokales oder domänenbasiertes Betriebsmodell mit eigener Verwaltung. Keycloak kann die Anmeldung an Anwendungen unterstützen, ersetzt jedoch keine Windows-Domäne und keine Endpoint-Verwaltung. Die Bewertung weiterer Betriebssysteme bleibt auf Architektur und Planung begrenzt.

Inhaltsübersicht

1. Gerätezustände und Abhängigkeiten
2. Zielmodell und Verwaltungsfunktionen
3. Pilotclient und Wiederherstellung vorbereiten
4. Gerätebindung und Verwaltung umstellen
5. Profile, Anwendungen und Zugriffe
6. Abnahme und Rolloutplanung

Lernziele

• Gerätebindung und Geräteverwaltung getrennt inventarisieren und bewerten.
• Einen Pilotwechsel mit gesichertem lokalen Zugang und überprüfter Datensicherung vorbereiten.
• Benutzerprofil, Verschlüsselung und Anwendungszugriffe in das Zielmodell überführen.
• Den neuen Arbeitsplatz einschließlich Fernverwaltung und Wiederherstellung abnehmen.

Seminarinhalte

Gerätezustände und Abhängigkeiten

• Entra joined, hybrid joined und registered anhand von Portal und lokalem Gerätestatus unterscheiden.
• Intune-Registrierung, Gerätezertifikate, Windows Hello und Anwendungs-SSO in das Inventar aufnehmen.
• Weitere Plattformen und Spezialgeräte anhand ihrer konkreten Verwaltungs- und Anmeldeanforderungen klassifizieren.

Zielmodell und Verwaltungsfunktionen

• Lokale Verwaltung, bestehende AD-Domäne und eine geeignete alternative Verwaltungsplattform bewerten.
• Softwareverteilung, Patches, Inventar, Verschlüsselung und Fernzugriff als Funktionsmatrix abbilden.
• Verlorene Compliance-Signale und noch benötigte Microsoft-Zugriffe vor der Umstellung klären.

Pilotclient und Wiederherstellung vorbereiten

• Einen unabhängigen lokalen Administratorzugang tatsächlich testen.
• Benutzerdaten, Profilabhängigkeiten, BitLocker-Wiederherstellungsschlüssel und notwendige Zertifikate sichern.
• Sicherung und Rückkehrweg prüfen; im virtuellen Labor die Besonderheiten von TPM und Verschlüsselung beachten.

Gerätebindung und Verwaltung umstellen

• Intune-Maßnahmen wie Retire, Wipe und das Entfernen von Datensätzen anhand ihrer Wirkung auseinanderhalten.
• Einen abgestimmten Entra-Unjoin und den Übergang in das vorbereitete Zielmodell am Pilotclient durchführen.
• Erneute automatische Registrierung bei Hybrid-Geräten, Enrollment-Konfigurationen und Autopilot-Zuordnungen berücksichtigen.

Profile, Anwendungen und Zugriffe

• Benutzerdaten und Profile mit dem für den Pilotfall festgelegten Verfahren überführen.
• Dateifreigaben, VPN, WLAN, Zertifikatsanmeldung, Browser-SSO und Fachanwendungen prüfen.
• Richtlinien und Softwareversorgung im Zielbetrieb nachweisen; fehlende Funktionen als Blockade dokumentieren.

Abnahme und Rolloutplanung

• Neuanmeldung, Neustart, Offline-Verhalten und Fernwartung am umgestellten Gerät testen.
• Einen Wiederherstellungsfall durchspielen und die Rückkehrfähigkeit dokumentieren.
• Rolloutgruppen, Benutzerkommunikation und den Umgang mit Sondergeräten planen.

Praxisprojekt

Ein Windows-Pilotclient wird anhand einer vollständigen Prüfmatrix aus seiner bisherigen Cloud-Bindung in das festgelegte Zielmodell überführt.

1. Gerätestatus, Verwaltungszuordnung und notwendige Anwendungszugriffe dokumentieren.
2. Lokalen Administrationszugang, Wiederherstellungsschlüssel und Datenrücksicherung prüfen.
3. Die abgestimmte Abmeldung aus Verwaltung und Gerätebindung am Testclient durchführen.
4. Das Zielkonto, das Benutzerprofil und die neue Verwaltungsanbindung einrichten.
5. Anmeldung, Anwendungen, Neustart und Wiederherstellung testen und einen Rolloutentscheid begründen.

Arbeitsumgebung

Der Kunde stellt einen lizenzierten Windows-Testclient oder eine geeignete VM, Entra- und gegebenenfalls Intune-Testzugriff sowie eine bereits funktionsfähige Zielverwaltung bereit. Lokale Administratorrechte, getrennte Testkonten und eine geprüfte Rücksicherung sind erforderlich. Die Zielplattform und das Profilverfahren werden vor Beginn festgelegt.