So automatisieren Sie die Zuweisung von Intune-Konfigurationsprofilen anhand von Gerätelabels über die Graph API

Die Einarbeitung von Geräten und die Zuweisung von Benutzergruppen sind zwei gängige Aufgaben, die MSPs und Teams der Unternehmens-IT gerne automatisieren, um ihre Arbeitsabläufe zu verbessern. In größerem Maßstab erfolgt das üblicherweise über RMM oder Intune-Konfigurationsprofile, die Gerätelabels über die Graph API nutzen. In unserem Leitfaden erfahren Sie, wie Sie starten.

Sie möchten das Ganze lieber visuell nachvollziehen? Dann sehen Sie sich unser Video an: So automatisieren Sie die Zuweisung von Intune-Konfigurationsprofilen anhand von Gerätelabels über die Graph API.

Schritt für Schritt: Zuweisung von Intune-Konfigurationsprofilen über die Graph API

Nutzen Sie die Tabelle, um die gewünschten Schritte auszuwählen und direkt dorthin zu springen.

📌 Voraussetzungen:

• Microsoft Intune-Lizenzen
• Microsoft Entra ID Premium (für dynamische Gruppen und Intune-Richtlinien)
• Registrierte Anwendung mit Graph-API-Berechtigungen:
  • ReadWrite.All (für Richtlinien aus dem Einstellungskatalog)
  • ReadWrite.All (für Standard-Konfigurationsprofile)
  • Read.All (erforderlich zum Lesen der Intune-Gerätekategorien)
  • ReadWrite.All (zur Verwaltung von Zuweisungsgruppen)
• PowerShell 7+ mit dem Modul Microsoft.Graph
• Optional: lokaler Registry-Zugriff für das Tagging
• Optional: NinjaOne oder eine RMM-Plattform für Endpunkt-Metadaten und Skriptausführung

💡 Tipp: Im Abschnitt Worauf Sie achten sollten finden Sie Hinweise zum Umgang mit möglichen Risiken.

Schritt 1: Lokale Gerätelabels über die Registry setzen (optional)

In diesem Beispiel wird auf jedem Gerät ein einfacher Registry-Schlüssel mit Werten wie Label=Finance und AssignedProfile=None angelegt.

1. Öffnen Sie über die Suche 🔎 das Terminal → PowerShell → Als Administrator ausführen.
2. Versehen Sie die Endpunkte mit Metadaten zu Rolle oder Umgebung:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "Label" -Value "Finance"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "AssignedProfile" -Value "None"

Dieser Schritt lässt sich mit Intune oder begleitend dazu während einer Umstellung nutzen. Er legt auf jedem Gerät einen einfachen Registry-Schlüssel an, der gleichzeitig als Metadatenquelle dient.

Zur Überprüfung können Sie reg query HKLM\SOFTWARE\Org\DeviceLabels in der Eingabeaufforderung oder in PowerShell ausführen. Diese Labels können per externer Skriptlogik steuern, welches Intune-Profil zugewiesen werden soll.

Schritt 2: Mit Microsoft Graph verbinden und Geräte nach Label abfragen

Diese Skripte taggen Geräte anhand eines Labels (z. B. DeviceCategory -eq „Finance“) oder über Erweiterungsattribute wie die Erweiterungseigenschaften in Entra ID.

1. Öffnen Sie über die Suche 🔎 das Terminal → PowerShell → Als Administrator ausführen.
2. Stellen Sie die Verbindung zu Graph her:

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All", „Group.ReadWrite.All“

3. Fragen Sie anschließend die Geräte nach Kategorie ab:

$devices = Get-MgManagedDevice | Where-Object { $_.DeviceCategory -eq "Finance" }

Wenn Sie Erweiterungsattribute verwenden, passen Sie die Abfrage entsprechend an. Intune und Entra ID eignen sich am besten für die Adressierung registrierter Geräte.

⚠️ Technischer Hinweis: Achten Sie darauf, dass Ihre Automatisierung den ManagedDevice-Endpunkt anspricht und nicht den Standard-Geräteendpunkt von Entra ID. Intune-spezifische Attribute wie DeviceCategory existieren auf Standard-Entra-ID-Objekten nicht. Eine Abfrage am falschen Endpunkt liefert ein leeres Ergebnis.

Schritt 3: Konfigurationsprofile erstellen oder finden und nach Gruppe zuweisen

Als Nächstes gilt es sicherzustellen, dass für das Label eine Zielgruppe existiert (z. B. „Finance Devices“).

1. Öffnen Sie über die Suche 🔎 das Terminal → PowerShell → Als Administrator ausführen.
2. Führen Sie Get-MgDeviceManagementDeviceConfiguration aus, um die vorhandenen Konfigurationsprofile aufzulisten.
3. Suchen oder erstellen Sie anschließend eine Zuweisungsgruppe für das Ziellabel:

$group = Get-MgGroup | Where-Object { $_.DisplayName -eq "Finance Devices" }

Oder legen Sie eine neue Gruppe an:

$group = New-MgGroup -DisplayName "Finance Devices" -MailEnabled:$false `

-MailNickname "FinanceGroup" -SecurityEnabled:$true

4. Sobald die Gruppe existiert, können Sie ihr Geräte hinzufügen und ein Konfigurationsprofil zuweisen.

• • Geräte hinzufügen:

Add-MgGroupMember -GroupId $group.Id -DirectoryObjectId $device.Id

• • Konfigurationsprofil zuweisen:

New-MgDeviceManagementDeviceConfigurationAssignment `

-DeviceConfigurationId $configProfile.Id `

-Target @{groupId = $group.Id}

🧠 Strukturelle Anforderung: Beim Zuweisen eines Konfigurationsprofils über die Graph API benötigt das System einen expliziten strukturellen @odata.type-Wrapper. Das Skript muss das Ziel ausdrücklich als #microsoft.graph.groupAssignmentTarget definieren und die Gruppen-ID innerhalb dieser spezifischen Payload-Struktur übergeben, statt sie direkt auf das Profilobjekt anzuwenden.

💡 Hinweis: Zusätzlich können Sie dynamische Mitgliedschaften verwenden, wenn Ihr Label in einem per Gruppenregel abfragbaren Attribut gespeichert ist (z. B. in einem Erweiterungsattribut). Andernfalls automatisieren Sie das Tagging über Ihr RMM.

Schritt 4: Den Workflow automatisieren (Label → Gruppe → Profil)

In diesem Schritt geht es darum, die Verwaltung vollständig zu automatisieren, sobald Label-Quellen und Zielprofile sauber identifiziert und abgefragt wurden. Hier ein Beispielskript auf Basis der zuvor genutzten Labels und Profile:

$label = “Finance”

$devices = Get-MgDevice | Where-Object { $_.DeviceCategory -eq $label }foreach ($device in $devices) {

$group = Get-MgGroup | Where-Object { $_.DisplayName -eq “$label Devices” }if (-not $group) {

$group = New-MgGroup -DisplayName “$label Devices” -MailEnabled:$false `

-MailNickname “$labelGroup” -SecurityEnabled:$true}Add-MgGroupMember -GroupId $group.Id -DirectoryObjectId $device.IdNew-MgDeviceManagementDeviceConfigurationAssignment `

-DeviceConfigurationId $configProfile.Id `

-Target @{groupId = $group.Id}}

In verwalteten Umgebungen und Unternehmensumgebungen muss dieses Skript regelmäßig laufen, damit neue Endpunkte erfasst und einsortiert werden.

Schritt 5: Zuweisungsstatus zu Audit-Zwecken in der Registry speichern

Zum Abschluss aktualisieren Sie die Registry, um nachzuhalten, welches Profil angewendet wurde. Das folgende Skript können Sie über PowerShell ausführen:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "AssignedProfile" -Value "Finance_Profile"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceLabels" -Name "LastSynced" -Value (Get-Date).ToString(„u“)

So entsteht ein lokaler Audit-Trail für Support-Teams. Diese Daten lassen sich auch über ein RMM einsammeln oder für eine zentrale Berichterstattung als CSV exportieren.

💡 Hinweis: Dieses Skript kann ohne Bestätigung oder Rückmeldung durchlaufen oder fehlschlagen. Prüfen Sie die entsprechenden Registry-Schlüssel oder Systemeinstellungen, um zu kontrollieren, ob die Änderungen erfolgreich übernommen wurden.

⚠️ Worauf Sie bei der Automatisierung von Intune-Profilzuweisungen achten sollten

Nachfolgend finden Sie häufige Risiken, ihre möglichen Folgen und praktische Wege, um Probleme rückgängig zu machen oder zu vermeiden.

Einige der anfänglichen Schwierigkeiten bei der automatisierten Profilzuweisung über Intune treten bei Umstellungen auf. Deshalb empfiehlt es sich, mit der nötigen Sorgfaltspflicht zu prüfen, dass Labels und Gruppierungen weder kollidieren noch doppelt vorliegen.

In großen Umgebungen müssen die Skripte zudem unter Umständen zeitversetzt laufen, sofern Sie sie nicht über ein RMM ausführen, das für diese Größenordnung ausgelegt ist.

Intune-Workflows mit NinjaOne erweitern

Viele Intune-Workflows lassen sich mit Automatisierungsrichtlinien, Berichterstattung sowie dem skalierbaren und zugleich granularen IT-Management von NinjaOne RMM® anreichern.

• Bereitstellen von Skripten, die Geräte in der Registry taggen
• Auslösen externer Graph-Skripte über Automatisierungsrichtlinien
• Berichterstattung zu Geräte-Metadaten (Label, Rolle, Standort) als Grundlage für Zuweisungen
• Taggen von Geräten ohne passende Konfigurationsprofile zur Behebung
• Alarmierungen, wenn Geräte von den erwarteten Intune-Richtlinienzuweisungen abweichen

Mit NinjaOne können MSPs die Governance ihrer Intune-Richtlinien verschlanken und dabei Skalierbarkeit und Berichterstattung über mehrere Kunden hinweg beibehalten.

Best Practices für die automatisierte Profilzuweisung in Intune

Die automatisierte Zuweisung von Intune-Konfigurationsprofilen per Graph API ist ein wirksamer Weg, um Richtlinien durchzusetzen und die Einarbeitung von Geräten im gesamten Netzwerk zu verschlanken.

Wächst Ihr Unternehmen jedoch weiter, sollten Sie Intune und die Graph API mit einem RMM wie NinjaOne kombinieren, das Automatisierung und Behebung in großem Maßstab bietet. Dieser proaktive Ansatz schafft ein vollständiges Rahmenwerk für ein automatisiertes, auditfähiges und skalierbares Endpunkt-Management.
Verwandte Themen:

• So registrieren Sie Azure-Geräte in Intune
• Microsoft Azure: Vor- & Nachteile von Active Directory
• So stellen Sie Anwendungen über das Microsoft Intune Admin Center bereit
• So fügen Sie ein Firmengerät zur Intune-Geräteverwaltung hinzu
• So fügen Sie ein BYOD-Gerät zur Intune-Geräteverwaltung hinzu