| Vorarlberger Standardschulinstallation Verfasser: Dietmar Köb, Lukas Franz, Kuno Sandholzer, Martin Schnetzer | © 2021 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Diese Anleitung wurde im Jahr 2021 erstellt und ist in einigen Bereichen nicht mehr vollständig aktuell. Die grundlegenden Inhalte bleiben jedoch weiterhin gültig. Bei Fragen oder Unklarheiten verweisen wir auf die aktuelle **Dokumentation zur Serverlosen Schule**.
## 1 Grundsätzliches ### 1.1 Voraussetzungen: - Tenant der Schule ist fertig eingerichtet - Administratorzugang zu MS-365 ist vorhanden - CNAME – EnterpriseEnrollment und EnterpriseRegistration kontrollieren *Admin-Center: Einstellungen - Domänen - “meineschule.at” - DNS-Einträge ([https://admin.microsoft.com](https://admin.microsoft.com "Microsoft Admin Center"))*  *Endpoint: Geräte - Geräte registrieren – Windows-Registrierung – CNAME-Validierung*  - A3-Lizenzen sind dem Tenant zugeordnet und der Menüpunkt „Endpoint Manager“ oder „Endpunkt-Manager“ ist im „Microsoft 365 admin center“ vorhanden *Admin-Center: Abrechnung – Lizenzen*  *Admin-Center: Alle Admin Center*   WLAN: - temporäres WLAN (mit einfachem Passwort) für die “Rollout” Stunden (für die erste(n) Unterrichtsstunden “Digitale Grundbildung” mit den neuen Geräten) - Daten für das produktive WLAN für die neuen Geräte (SSID + Passwort) ### 1.2 Konzept: ##### **Einsatz von Autopilot:** Vom Lieferanten bekommen wir bei den Windows-Tablets die Seriennummern und die dazu passenden Hardware-Hashes. Mit diesen beiden Werten kann die für den Autopilot-Import notwendige “csv-Datei” befüllt werden. Hinweis: Die “Microsoft Product Key ID” steht auf dem Karton drauf, ist aber für den csv-Import nicht notwendig bzw. nützt da auch nicht wirklich etwas. Sie ist aber eine Alternative, wenn der Hardwarehash nicht zur Verfügung steht, wie das bei den Windows-Notebooks von Lenovo der Fall ist. Dann muss die Autopilot-Registrierung aber von einem autorisierten Händler (z.B. ACP – Felix Huber kennt sich aus) gemacht werden: In diesem Fall werden die Geräte direkt über ein Online-Portal registriert und nach einem Synchronisierungsvorgang in Intune (Windows AutoPilot-Geräte) werden die Laptops aufgelistet. **Windows-Tablets:** Die Registrierung der Geräte erfolgt über einen CSV-Import. Diese csv-Datei enthält diese Felder: - Device Serial Number (Plicht – bekommen wir vom Lieferanten) - Windows Product ID (für den Import über eine CSV-Datei nicht erforderlich) - Hardware Hash (Plicht – bekommen wir vom Lieferanten) - Group Tag: N21LuL, N20SuS, … - Assigned User: Wird bei den Schülergeräten und Lehrergeräten verwendet. Damit ist auch vorab der Benutzer in Intune als Besitzer des Gerätes hinterlegt. ##### **Optionen für die Lehrergeräte:** **Option 1:** Das Lehrergerät ist einer bestimmen Lehrperson zugeordnet. Wird diese Option gewählt, so wird die betreffende Lehrperson in das Feld **Assigned User** eingetragen. Diese ist Besitzer und Administrator des Geräts. **Option 2:** Das Lehrergerät ist ein Poolgerät, welches von mehreren LehrerInnen verwendet wird. Wird diese Option gewählt, so wird ein „**Dummy-User**“, welcher Besitzer des Geräts ist, in das Feld **Assigned User** eingetragen (z.B.:Es werden dadurch zwei unterschiedliche Bereitstellungsprofile erstellt, welche sich nur in einem Punkt unterscheiden: Bei “Option 1” bekommt der Benutzer, der sich als erster am Gerät anmeldet, lokale Administratorrechte, bei “Option 2” nicht (siehe Kap. 4.3 ).
##### **Dynamische Zuordnung zu den entsprechenden Gerätegruppen** Über den jeweiligen Group Tag (Synonyme an anderen „Stellen“: Order ID; Gruppentag) in der CSV-Datei werden die Geräte automatisch den entsprechenden Gerätegruppen („Minimalversion“: N21LuL; N20SuS; N21SuS) zugeordnet („N“ für Notebooks – „T“ für Tablets; „20“ (6. Klassen) bzw. „21“ (5. Klassen) für das Eintrittsjahr). Dafür werden dynamische Gerätegruppen verwendet. Für jeden Gruppentag (also dann auch für jede Gerätegruppe) muss ein eigenes Autopilot-Profil erstellt werden, in welchem dann auch der Gerätename definiert wird – z.B.: - 21L-%SERIAL% (neue Lehrergeräte, die im Herbst 21 registriert wurden) - 20S-%SERIAL% (neue Schülergeräte von SuS, die im Herbst 20 in der 5. Klasse waren, also im SJ 21/22 die „6. Klässler”) - 21S-%SERIAL% (neue Schülergeräte von SuS der 5. Klassen (= im Herbst 2021))Der Gerätename darf nur max. 15 Zeichen lang sein. Viele Seriennummern sind 10 Zeichen lang (deshalb vor der Seriennummer nur 4 oder 5 Zeichen). Ist die Seriennummer zu lang, wird sie beim Erstellen des Gerätenamens abgeschnitten (oftmals aber leider nicht von hinten, sondern von vorne – dann fehlen also die ersten Zeichen der Seriennummern im Gerätenamen und das ist lästig)!
#### 1.2.1 Eigener Administrator für das Mobile Device Management Falls die Verwaltung der Apps und Geräte von einer anderen Person als dem IT-Betreuer gemacht wird, so kann ein eigener Administrator nur für den Endpoint Manager erstellt werden. *“Microsoft 365 admin center”: Benutzer – Aktive Benutzer – Benutzer hinzufügen*  Als Lizenz reicht eine einfache „Office 365 A1-Lizenz für Lehrpersonal“. Bei den Rollen „Admin Center-Zugriff“ auswählen und anschließend „Alle nach Kategorie anzeigen“ anklicken, damit alle Administrator-Optionen angezeigt werden. Im Bereich „Geräte“ findet sich der „Intune-Administrator“.  Mit diesem Zugang kann nun direkt auf [https://intune.microsoft.com](https://intune.microsoft.com) zugegriffen werden. #### 1.2.2 Mehrstufige Authentifizierung ##### 1.2.2.1 AllgemeinesDie missbräuchliche Verwendung des Administratorenkontos birgt sehr große Sicherheitsgefahren. Dadurch ist es erforderlich, Konten der Administratorengruppe mit der mehrstufigen Authentifizierung abzusichern.
##### 1.2.2.2 Konfiguration - Öffne das Admin Centers ([https://admin.microsoft.com](https://admin.microsoft.com/)) - Aktive Benutzer > einen Benutzer öffnen - Mehrstufige Authentifizierung verwalten klicken - Administrator Benutzer auswählen > aktivieren - Informationen zum Aktivieren bestätigen [](https://docs.vobs.at/uploads/images/gallery/2025-11/UDgimage.png) [](https://docs.vobs.at/uploads/images/gallery/2025-11/uafimage.png) ## 2 Die verschiedenen Plattformen ### 2.1 Die allgemeine MS-365-Verwaltungsoberfläche: [https://m365.cloud.microsoft](https://m365.cloud.microsoft) Login als MS365-Administrator:  [](https://docs.vobs.at/uploads/images/gallery/2025-11/ynNimage.png) ### 2.2 Microsoft Intune Admin Center (ehemals Endpoint Manager) Mit den neuem Lizenzmodell (ab Juli 2021) auf Basis von „Microsoft 365 A3“ sind nun auch die Lizenzen für das Gerätemanagement enthalten: „Microsoft Endpoint Manger“, meist nur „Intune“ genannt. Nach dem Login als MS365-Administrator z. B. über [https://m365.cloud.microsoft](https://m365.cloud.microsoft) und dem Klick links unten auf das Symbol „Admin“ kommt man in das „Microsoft 365 admin center“, wählt dort links unten „Alle Anzeigen“ und sieht damit den „neuen“ Menüpunkt „Endpoint Manager“ (= Intune):  Damit gelangen wir zum „normalen“ Microsoft Endpoint Manager (Intune). Es gibt zwei verschiedene Verwaltungs-Plattformen für Intune: - - Intune – Endpoint Manager (voller Funktionsumfang) - Intune für Bildungseinrichtungen (eingeschränkter Funktionsumfang, aber dafür in manchen Bereichen übersichtlicher) Es dürfen beide Versionen ohne Einschränkung benutzt werden und Einstellungen, die bei der einen Version gemacht werden, sind natürlich auch bei der anderen Version gültig, da es sich bei den Versionen ja nur um verschiedene Bedienoberflächen handelt. Wir verwenden meist den „normalen“ Endpoint Manager, wechseln aber ab und zu auch zur Education-Darstellung, weil manche Einstellungen in der Education Variante einfach leichter zu machen sind. Ein Wechsel zwischen den Versionen ist jeweils über „Alle Dienste“ – Intune bzw. Intune for Education möglich. Man kann aber auch im „Microsoft 365 admin center“ links unten über „Alle Admin Center“ zur jeweiligen Version gelangen.  ### 2.3 Microsoft Entra (ehemals Azure Active Directory) Da oder dort kann es auch erforderlich sein, dass wir über das „Azure Active Directory“ Portal auf gewisse Einstellungen zugreifen (z. B. im Bereich „dynamische Gruppen“). [](https://docs.vobs.at/uploads/images/gallery/2025-11/Tgiimage.png) ### 2.4 Wichtige Links zur Verwaltung mit Intune| Microsoft Admin Center | [https://admin.microsoft.com](https://admin.microsoft.com) |
| Microsoft Intune Admin Center | [https://intune.microsoft.com](https://intune.microsoft.com) |
| Microsoft Entra Admin Center | [https://entra.microsoft.com](https://entra.microsoft.com "https://entra.microsoft.com") |
Umso wichtiger ist die Aktivierung der mehrstufigen Authentifizierung für Admin-Konten!
### 3.3 Gerätegruppen erstellen: *> Entra ADmin Center* *Gruppen* – neue dynamische Gerätegruppe: „C\_Autopilot“   Dynamische Gerätegruppe für alle Autopilot registrierten Geräte Gruppenname: C\_AutopilotAnalog zu den On-Premises Installationen vom VOBS verwenden wir auch in Intune für alle Gerätegruppen das Präfix “C\_” und für alle Benutzergruppen “B\_”.
 Regelsyntax – rechts unten „Bearbeiten“:  Query kommt von: [https://docs.microsoft.com/en-us/mem/autopilot/enrollment-autopilot](https://docs.microsoft.com/en-us/mem/autopilot/enrollment-autopilot) alle Autopilot Geräte sollen automatisch in der Gruppe landen – Query: ``` (device.devicePhysicalIDs -any (_ -contains "[ZTDId]")) ```  *Ok + Speichern > Erstellen*Beim Kopieren des Query-Strings ist Vorsicht geboten (z. B. Typus der Bindestriche und Anführungszeichen beachten. Die Query-Strings sind hier als Text abrufbar: [https://www.vobs.at/fileadmin/user\_upload/itservice/downloads/digitaleendgeraete/query.txt](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/query.txt)
Wenn wir davon ausgehen, dass wir alle Geräte aus der Geräteinitiative per “Autopilot” registrieren, haben wird mit “C\_Autopilot” eine Gerätegruppe in der automatisch alle unsere Geräte landen (wichtig dann z.B. beim Zuweisen von Konfigurationsprofilen, Richtlinien, Apps … über diese Gerätegruppe). **Kontrolle:**  *Eigenschaften > Dynamische Mitgliedschaftsregeln*  weitere neue dynamische Gerätegruppe: „C\_T21LuL“ (bzw. „C\_N21LuL“) Gruppenname: „C\_T21LuL“ bzw. „C\_N21LuL“ bei Windows-Tablets Gruppenbeschreibung z. B.: *alle Lehrer-Windows Tablets die im Schuljahr 21/22 an die Schule geliefert wurden*  Wiederum: - Dynamische Gerätegruppe - Dynamische Abfrage – Regelsyntax: ``` (device.devicePhysicalIds -any _ -eq "[OrderID]:T21LuL") ``` > weitere neue dynamische Gerätegruppe: „C\_T20SuS“ (bzw. „C\_N20SuS“) Gruppenname: „C\_T20SuS“ bzw. „C\_N20SuS“ bei Windows-Tablets Gruppenbeschreibung z. B.: *alle Schülertablets von SuS, die im SJ 20/21 an die Schule gekommen sind* Dynamische Abfrage – Regelsyntax: ``` (device.devicePhysicalIds -any _ -eq "[OrderID]:T20SuS") ``` > weitere neue dynamische Gerätegruppe: „C\_T21SuS“ (bzw. „C\_N21SuS“) Gruppenname: „C\_T21SuS“ bzw. „C\_N21SuS“ bei Windows-Tablets Gruppenbeschreibung z. B.: *alle Schülertablets von SuS, die im SJ 21/22 an die Schule gekommen sind* Dynamische Abfrage – Regelsyntax: ``` (device.devicePhysicalIds -any _ -eq "[OrderID]:T21SuS") ``` ##### **Erstellung von statischen LuL und SuS - Gruppen** **Wichtig:** Mitgliedstyp: Zugewiesen Gruppenname: „C\_SuS“ bzw. „C\_LuL“ Gruppenbeschreibung z. B.: *“alle Schülergeräte der Schule” bzw. “alle Lehrergeräte der Schule”* Unter dem Punkt Mitglieder, werden nun die bereits erstellten Gruppen hinzugefügt (analog in der C\_LuL-Gruppe)  ### 3.4 Autopilot-Profile erstellen: Für jede Gerätegruppe (bzw. für jeden Gruppentag vom CSV-Importfile) legen wir ein eigenes Autopilot-Profil an: *Intune – Geräte – Geräte registrieren – Bereitstellungsprofile:* „Profil erstellen“ – „Windows-PC“  Profilname: „T21LuL\_Autopilot“ bzw. „N21LuL\_Autopilot“  Beschreibung z. B.: Lehrergeräte Schuljahr 2021 2022 **Option 1:** Windows-Willkommensseite – bei LuL: „Benutzergesteuert“  Namen eingeben: 21L-%SERIAL% **Option 2:** Änderung bei “Art des Benutzerkontos” auf **Standard**.Wir machen bei den Lehrergeräten den ersten Benutzer (= MS365-Login) hier zum Administrator (**nur bei Option 1**), damit die LuL die Möglichkeit bekommen, einen privaten Drucker etc. zu Hause zu installieren.
Zuweisungen - Eingeschlossene Gruppen:   > Erstellen Windows-PC: Profilname: „T20SuS\_Autopilot“ bzw. „N20SuS\_Autopilot“ „Profil erstellen“ – „Windows-PC“  Name: T20SuS\_Autopilot Beschreibung: Schülergeräte Eintrittsschuljahr 2020 2021 Windows-Willkommensseite – bei SuS „Benutzergesteuert“  Namen ergeben: 20S-%SERIAL% Eingeschlossene Gruppen: „C\_T20SuS“  > ErstellenDer erste Benutzer (und nur der erste!), welcher sich am Gerät mit seinem Office365 Account anmeldet, wird zum lokalen Administrator des Gerätes gemacht. Dadurch bekommen die SuS überhaupt die Möglichkeit, den lokalen Administrator zu aktivieren und ein persönliches Passwort zu vergeben (oder einen neuen Benutzer „Admin“ anzulegen).
Erstes To-do somit für den Unterrichtsgegenstand „Digitale Grundbildung (nachdem die Geräte verteilt wurden): Gleich nach dem ersten Login sollen die SuS: - sich mit ihrem eigenen MS-365-Account anmelden, damit sie vorab einmal lokale Adminrechte haben - als angemeldeter MS-365-User (hat in diesem Moment noch lokale Adminrechte): - lokalen Administrator aktivieren (oder neuen Benutzer mit Adminrechten anlegen) - persönliches Passwort für diesen Administrator vergeben (und merken/aufschreiben) - abmelden und als lokaler Administrator mit dem gerade vergebenen Passwort anmelden - MS365-Benutzer zum Standardbenutzer auf dem Gerät machen - wieder abmelden und als MS-365-User anmelden (das ist dann der Standarduser mit dem tagtäglich gearbeitet wird) Analog dazu das dritte Autopilot-Profil erstellen: Windows-PC: Profilname: „T21SuS\_Autopilot“ bzw. „N21SuS\_Autopilot“ Name: T21SuS\_Autopilot Beschreibung: Schülergeräte Eintrittsschuljahr 2021 2022 Gerätenamen: 21S-%SERIAL% Eingeschlossene Gruppen: C\_T21SuS Kontrolle:  Bei „Zugewiesen kann es etwas dauern, bis „Ja“ angezeigt wird (Menüpunkt neu aufrufen). ## 4 Richtlinien und Konfigurationen: ### 4.1 Konformitätsrichtlinien *Intune – Geräte - Konformitätsrichtlinien:*  *> Erstellen*  *Plattform: Windows 10 oder höher > Erstellen*  Name: Win10\_Defender > Weiter   *> weiter > Weiter > bei „Zuweisung“: „eingeschlossene Gruppen: „C\_Autopilot“ > Weiter > Erstellen* **Kontrolle:** Konformitätsrichtlinie auswählen > Eigenschaften:  ### 4.2 Konfigurationsprofile *Intune – Geräte - Konfigurationsprofile:* #### 4.2.1 Optional: Änderung beim Profil „Standardrichtlinien für EDU“ Die Konfiguration der Startseite für Microsoft Edge ist in der Anleitung [**02\_Intune4Windows\_optionale-Konfigurationen**](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/02_Intune4Windows_optionale-Konfigurationen.pdf) nachzulesen. Richtlinie ist per Default allen Geräten“ zugewiesen – siehe:  #### 4.2.2 Neues Konfigurationsprofil erstellen: WLAN Damit sich die Geräte nach dem ersten „Internetkontakt“ und dem darauffolgenden Reboot automatisch mit der „richtigen“ und „produktiven“ Wlan-Wolke verbinden, erstellen wir ein eigenes WLan-Profil: *Profil erstellen – rechts oben Plattform auswählen: „Windows 10 oder höher“ – Vorlagen: „WLAN“*  Name für das Profil frei wählbar – z.B.: „*EDU-WORK“*  WLan-Typ: Basis  Zugewiesene Gruppen: Wenn dieses WLan-Profil für alle Geräte aus der Geräteinitiative gelten soll, dann wählen wir die Gruppe „C\_Autopilot“. Sollen beispielsweise für die Schüler und Lehrergeräte unterschiedliche WLan-Profile zugeordnet werden, dann die entsprechenden Gerätegruppen auswählen – wenn dieses WLan-Profil z. B. nur für die Schülergeräte gelten soll, dann sieht das so aus:  > Weiter > Weiter > Erstellen Oder bei der Gruppenauswahl eine der statischen Gruppen (siehe Kap. 4.2 e) Erstellung von statischen LuL und SuS – Gruppen) verwenden:  **Kontrolle:**  Auswählen > Eigenschaften:  #### 4.2.3 OneDrive automatisch bei der Anmeldung einbinden Die Einrichtung dieser Richtlinie bewirkt, dass bei der Anmeldung mit den Azure AD – Zugangsdaten automatisch das OneDrive des Users eingerichtet und eingebunden wird. Vorab muss im Azure Active Directory Admin Center in der Übersicht die Mandanten-ID ermittelt und (in der Zwischenablage) gespeichert werden.  Im Microsoft Endpoint Manager Geräte – Konfigurationsprofile – „+ Profil erstellen“, „Windows 10 und höher“, „Einstellungskatalog (Vorschau)“:  Wir nennen die Richtlinie „OneDrive einbinden“ und wählen dann bei den Konfigurationseinstellungen „+ Einstellungen hinzufügen“. Anschließend suchen wir nach Einstellungen mit „OneDrive“:  Die Suche dauert etwas – nur Geduld. Anschließend klicken wir „OneDrive“ an, und warten wieder. Im unteren Teil des Fensters werden jetzt alle OneDrive-Optionen angezeigt. Folgende davon aktivieren wir:    Im linken Teil des Fensters aktivieren wir dann diese gewählten Einstellungen und fügen die vorab kopierte Tenant ID (= Mandaten-ID) ein:  Abschließend weisen wir die Richtlinie den gewünschten Gruppen zu (Schülergruppen, Lehrergruppen oder alle), vergeben keine Bereichstags und stellen die Richtlinie dann fertig. #### 4.2.4 Standardanmeldedomäne einrichten Während auf den lokalen PCs in der Schule nur der Benutzername eingegeben werden muss, ist es auf den per Microsoft Endpoint Manager verwalteten Geräten notwendig, dass auch die Domäne per @ angehängt wird. Da unsere Geräte aber sowieso nur im Kontext unserer Schule und mit unseren Usern verwendet werden sollen, können wir die Geräte so konfigurieren, dass die Schuldomäne als Voreinstellungen angenommen wird. Dadurch können sich die Benutzer wie im lokalen Netzwerk mit dem Benutzernamen allein anmelden. *Microsoft Endpoint Manager „Geräte“ – „Konfigurationsprofile“ auswählen*  „+ Profil erstellen“ mit folgenden Einstellungen:  Einen sinnvollen nachvollziehbaren Namen verwenden „Schuldomäne als Standard für die Anmeldung“  In den Konfigurationseinstellungen „+ Einstellungen hinzufügen“ auswählen  „Authentifizierung“ markieren (warten – es dauert ein paar Sekunden, bis die anderen Optionen angezeigt werden) und anschließend „Name der bevorzugten AAD-Mandantendomäne“ anklicken…  … und im linken Bereich die gewünschte Anmeldedomäne (ms-muster.at) der Schule eintragen:  Im nächsten Schritt weisen wir die Richtline der gewünschten Gerätegruppe (empfohlen C\_Autopilot) zu.  Diese Einstellung greift erst nach einem Neustart des Clients. Nach dem Neustart steht unter der Anmeldemaske nicht mehr „Anmelden an Firmen- oder Schulkonto“, sondern „Anmelden an: <Domänenname>“. ### 4.3 Antivirus – Voreinstellungen: In der [IKT-Schulverordnung](https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2021_II_382/BGBLA_2021_II_382.pdfsig) wird ein “aktueller Schutz vor Schadsoftware auf digitalen Endgeräten zum Schutz des Schulnetzes” explizit gefordert. Die Einstellungen dazu: *Microsoft Endpoint Manager Admin Center -> Endpunktsicherheit:*  *Endpunktsicherheit -> Antivirus -> Richtlinie erstellen*  Plattform: Windows 10, Windows 11 und Windows Server Profil: Microsoft Defender Antivirus > Erstellen  Unter „Defender“ folgende Einstellungen vornehmen:    Optional können auch noch weitere Einstellungen in anderen Kategorien getroffen werden.Zu restriktive Einstellungen führen dazu, dass z.B. die Powershell-Scripts, die wir über Intune zuweisen, auf den Geräten nicht mehr ausgeführt werden.
Wir werden hier weiter testen (Stand 27.09.22), welche zusätzlichen Einstellungen möglich bzw. sinnvoll sind (und die Scripts auf den Clients trotzdem laufen) und diese Anleitung entsprechend aktualisieren. kein Bereichstag -> weiter Zuweisungen: “Eingeschlossene Gruppen”: Entweder den Punkt “Alle Geräte hinzufügen” wählen oder unsere Gerätegruppe “C-Autopilot” hinzufügen:  > “auswählen” > “Weiter” > “Erstellen” ## 5 Lokales Administratorkonto für Lehrergeräte Da die Lehrergeräte nicht in den Privatbesitz übergehen, richten wir zusätzlich einen lokalen Administrator ein, damit jederzeit ein Vollzugriff auf das Lehrergerät für den IT-Betreuer, MDM-Betreuer oder dgl. gewährleistet ist. Grundsätzlich ist bei aktiver Registrierung und Internetanbindung ein Login auf dem Gerät als MS365-Admin auch möglich, um damit lokale Adminrechte auf dem Gerät zu bekommen. Sollte aber etwas mit der Registrierung oder der Internetanbindung nicht funktioniert, ist es hilfreich, sich lokal als Administrator anmelden zu können. Da der vorab eingerichtete lokale Administrator über den MS Endpoint Manager nicht verwaltet werden kann, erstellen wir einen eigenen Admin-User. Natürlich wäre es möglich, über ein Skript (entweder Batch oder Powershell) den lokalen Administrator mit einem Kennwort zu versehen. Allerdings werden alle Skripts in einem lokal gespeicherten Logfile im Klartext gespeichert und können von jedem User ausgelesen werden – daher der Umweg über einen eigenen Admin-User. Im Endpoint Manager Admin Center auf Geräte – Konfigurationsprofile wechseln und ein neues Profil erstellen: „Windows 10 und höher“, „Vorlagen“ und bei den Vorlagen „Benutzerdefiniert“ auswählen – anschließend auf „Erstellen“.  Mit nachvollziehbarem Namen und entsprechender Beschreibung versehen:  **Bei OMA-URI-Einstellungen folgende zwei Einträge hinzufügen (LocalAdmin ist in diesem Fall der gewünschte Benutzername des neuen Adminkontos):** Name: Lokales Administratorkonto Beschreibung: <kann leer bleiben> OMA-URI: ./Device/Vendor/MSFT/Accounts/Users/LocalAdmin/Password Datentyp: Zeichenfolge Wert: <das gewünschte Kennwort>  **Zweiter Eintrag (mit diesem wird das Konto als Mitglied der Administratorengruppe eingerichtet):** Name: Als Administratorkonto einrichten Beschreibung: <kann leer bleiben> OMA-URI: ./Device/Vendor/MSFT/Accounts/Users/LocalAdmin/LocalUserGroup Datentyp: Ganze Zahl Wert: 2  Bei den Zuweisungen nun noch der Gruppe C\_T21LuL (bzw. C\_N21LuL) oder der statischen Gruppe „C\_LuL“ zuweisen.  Die Anwendbarkeitsregeln bleiben leer. Sobald die Regel erstellt ist, wird sie an die Lehrergeräte ausgeliefert. Weiters müssen wir noch ein Skript erstellen und anwenden lassen, damit die Gültigkeit des Passworts nicht abläuft. **Das Skript ist ein Einzeiler:** ``` wmic USERACCOUNT WHERE "Name='LocalAdmin'" SET PasswordExpires=FALSE ``` Downloadmöglichkeit: [https://www.vobs.at/fileadmin/user\_upload/itservice/downloads/digitaleendgeraete/AdminPWNotExpiring.ps1.zip](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/AdminPWNotExpiring.ps1.zip) Dieses Skript muss als ps1-Datei abgespeichert werden (z.B. AdminPWNotExpiring.ps1) und unter Geräte – Skripts hinzugefügt werden (inkl. „Skript in 64-Bit-Powershell-Host ausführen“!) *Endpoint Manager: „Geräte“ – „Skripts“ - „+Hinzufügen“ – „Windows 10“*   Von der eventuellen Fehlermeldung „-2016281112 (Remedation failed)“, die in der Übersicht bei dieser Konfiguration angezeigt wird, darf man sich dabei nicht irritieren lassen – es funktioniert dennoch. Die Anmeldung auf dem Client erfolgt über den Anmeldenamen „.\\LocalAdmin“ oder „localhost\\LocalAdmin“ (anstelle von „.“ bzw. „localhost“ kann auch der Gerätename verwendet werden) und dem gewählten Kennwort. ## 6 Windows-Autopilot-Registrierung ### 6.1 CSV-Datei für den Import erstellen: Der Übersicht zuliebe kopieren wir die versch. Hardware-Hashes in eine Exceldatei. Zwingend sind die drei Spalten: - Device Serial Number - Windows Product ID (bleibt bei uns leer) - Hardware Hash Wir verwenden zusätzlich diese Spalten (das ist wichtig, sonst funktionieren weder die dynamischen Gruppen noch das ganze damit verknüpfte Konzept): - Group Tag - Assigned User Zum Importieren können wir eine gemeinsame Liste für die SuS- und LuL-Geräte verwenden.  Damit daraus eine CSV-Datei mit dem richtigen Format, dem richtigen Trennzeichen (=Beistrich) und dem richtigen Zeichensatz wird, müssen wir aus Excel einen Export machen und dann die resultierenden CSV-Dateien mit dem Editor (Notepad) final bearbeiten - vorab die fertige Exceldatei im normalen Excelformat noch einmal speichern - Excel – speichern unter „CSV (Trennzeichen getrennt) (\*.csv)“ - Datei mit normalen Windows-Editor (Notepad) öffnen - Strichpunkte durch Beistriche ersetzen - neu abspeichern als – bei Codierung: „UTF-16 LE“Excel „merkt“ sich alle Zellen, in denen irgendwann einmal ein Wert (Zahl oder Text) enthalten war. Solange man in Excel arbeitet, merkt bzw. sieht man davon nichts – beim Export bzw. „speichern unter“ als CSV-Datei werden diese irgendwann einmal befüllt gewesenen Zellen aber ebenfalls mit exportiert.
Die Folge ist eine CSV-Datei die zu viele Spalten oder Zeilen enthält. Ersichtlich ist das aber erst, wenn die CSV-Datei mit dem Editor geöffnet wird. Hier sind dann hinten in bei jedem Datensatz zusätzliche Trennzeichen (Strichpunkte bzw. Beistriche) enthalten – siehe:  Intune quittiert in so einem Fall den Autopilot-Geräteimport per csv-Datei mit dem Fehler:  Abhilfe: In Excel zusätzlich befüllte Zellen (Spalten und/oder Zeilen) nicht nur „inhaltlich“ löschen, sondern die ganzen Spalten/Zeilen markieren und diese dann löschen. Am besten zur Sicherheit vor dem csv-Export einige der leeren Spalten rechts markieren und mit RK „Zellen löschen“ komplett löschen (dasselbe auch mit einigen der leeren Zeilen unterhalb der befüllten Zeilen):  Excelmappe speichern und erst dann den Export machen. ### 6.2 CSV-Dateien in Intune importieren: *Geräte > Geräte registrieren > Windows-Registrierung > unter „Windows AutoPilot Deployment-Programm“: Geräte*  Das kann dauern – ganz oben bei den Benachrichtigungen sieht man, dass etwas im Gange ist:  … nach 3 min:  Vorerst lautet der Profilstatus „Nicht zugewiesen“:  Nach weiteren vier Minuten wechselt der Profilstatus auf „Wird aktualisiert“:  Das ist aber immer noch nicht der Zustand, den wir benötigen – bitte warten, bis bei Profilstatus „Zugewiesen“ steht – nach weiteren 4 min ist es so weit:  Klickt man auf eines der registrierten Geräte, so werden rechts die Details dieser Autopilot-Registrierung angezeigt:  - Der Benutzer ist zugeordnet; das Gerät ist über die Seriennummer registriert (auch im Azure-AD); das PC-Modell (TravelMate P214-53) wurde automatisch erkannt; der Gruppentag ist ersichtlich; Profilstatus ist „zugewiesen“; das zugewiesene Autopilot-Profil lautet „T21LuL\_Autopilot“ - Der Gerätename kommt dann erst mit der tatsächlichen Verbindung des Gerätes mit dem Internet und er anschließenden Konfiguration (bis dato haben wir am Gerät noch nichts gemacht). - Zu diesem Zeitpunkt steht hier die Seriennummer des Gerätes als Gerätename im „Azure-AD“. Der richtige Computername wird erst nach dem Rollout (= Gerät starten, anmelden ...) erstellt und zugeordnet. - Das Gerät hat sich bis jetzt noch nicht mit Intune verbunden (passt – wir haben es ja noch gar nicht gestartet). Weitere Infos zum Generieren der Hardware-Hashes von bereits vorhandenen Geräten: [https://docs.microsoft.com/de-de/mem/autopilot/add-devices](https://docs.microsoft.com/de-de/mem/autopilot/add-devices) ### 6.2.1 Überprüfen der dynamischen Zuweisung Die per Autopilot angemeldeten Geräte starten nur dann wie gewünscht, wenn das Geräteprofil auch erfolgreich zugewiesen wurde. In wenigen Fällen kann diese Zuweisung auch länger dauern – erfahrungsgemäß bis zu zwei Stunden. Nach dem Import der CSV-Dateien kann dies überprüft werden. *Azure Active Directory > Geräte > Alle Geräte > Gerät auswählen*  Wenn die Gruppe C\_Autopilot und C\_T21xxx bzw. C\_N21xxx auftaucht (die Zuordnung wird durch die dynamische Richtlinie durchgeführt), so greift in weiterer Folge auch das entsprechende Geräteprofil bei der Anmeldung. Scheint die Gruppe hier noch nicht auf, so wurde die dynamische Zuordnung noch nicht durchgeführt. Das Geräteprofil für die Einrichtung der Computer kann auch manuell zugeordnet werden: *Microsoft 365 admin center > Geräte > Autopilot > Gerät auswählen und Profil zuordnen*  Ein manuell zugewiesenes Profil wird in weiterer Folge durch eine dynamische Zuordnung überschrieben, sobald diese durch den Endpoint Manager ausgewertet wird. Es ist nicht möglich, dauerhaft anderes ein Autopilot-Profil zuzuordnen! Nach der manuellen Zuordnung muss diese mit dem Microsoft Endpoint Manager noch synchronisiert werden (wobei auch das nach einiger Zeit automatisch durchgeführt wird): *Endpoint Manager > Geräte > Geräte registrieren > Geräte und Synchron.*  ### 6.3 Seite: Registrierungsstatus Wir aktivieren die Seite zum Registrierungsstatus. Damit wird auf den Clients der Bereitstellungsfortschritt angezeigt, wenn ein neues Gerät registriert wird. Die Benutzer sehen den Konfigurationsfortschritt der Registrierung, der Profile und der zugewiesenen Apps auf ihrem Gerät. *Intune > Geräte > Geräte registrieren > Seite „Registrierungsstatus“:*  Eigenschaften – Einstellungen bearbeiten:  Einstellungen:  ### 6.4 Rollout: Geräte erstmals starten: Ist diese Zuweisung vollständig: = alle Geräte vorhanden und bei allen steht bei Profilstatus „Zugewiesen“ … können die Geräte erstmalig gestartet werden. ## 7 Apps- und SoftwareverteilungWir empfehlen, die Softwareverteilung nicht parallel mit der Erstkonfiguration (Registrierung …) durchzuführen.
**Grund**: eventuelle Überlastung des Netzwerkes (Internet). Praxiserfahrungen dazu mit vielen synchronen Registrierungen fehlen uns leider. Wenn der (einmalig durchzuführende) Registrierungsprozess fehlschlägt (z. B. „timeout“ wegen Netzwerküberlastung), muss das jeweilige Geräte u. U. zurückgesetzt werden und das kann dauern. Den Registrierungsprozess also abwarten und erst anschließend die Softwareverteilung „scharf“ stellen: Die jeweils abschließende Zuweisung zu den Gerätegruppen (z.B. „C-Autopilot“) somit erst nach dem erfolgreichen Registrierungsprozess durchführen. Sind die Programme einmal auf den Geräten installiert, kann bei den jeweiligen Apps die Gerätegruppenzuordnung wieder rausgenommen werden - die bereits installierten Apps und Programme bleiben auf den Geräten erhalten. Vor einer weiteren Registrierungsaktion mit einer ganzen Klasse würden wir aus derzeitiger Sicht diese Vorgangsweise empfehlen: Also vor der „Rollout-Stunde“ die Gerätegruppenzuordnung (z.B. zu „C-Autopilot“) bei den Apps und Progs rausnehmen und erst nach Abschluss des Registrierungsprozesses wieder implementieren. ### 7.1 Office-Suite: Das Office Pro Plus – Programmpaket heißt jetzt nur noch „Microsoft 365-Apps für Windows 10“ bzw. nur noch „Microsoft 365 Apps“. Die Office Suite kann direkt über Intune den Geräten zugeordnet werden. Es braucht dazu weder einen Vorab-Einkauf im Store noch die Bereitstellung eines MSI-Paketes. [https://docs.microsoft.com/en-us/mem/intune/apps/apps-add-office365](https://docs.microsoft.com/en-us/mem/intune/apps/apps-add-office365) *Apps > Windows > Hinzufügen > bei App-Typ unter der Kategorie „Microsoft 365-Apps“ „Windows 10“ auswählen:*  Bei „Informationen zur App-Suite“ „weiter“ > App-Suite konfigurieren  Wichtig: Gewünschte Zielsprache auswählen Zuweisungen: Im Normalfall wird die Office-Suite auf allen Geräten erforderlich sein. Deshalb wählen wir als Gerätegruppe „C-Autopilot“ bei „Required“ (= Programm wird auf allen Geräten der ausgewählten Gruppe(n) automatisch installiert)  > Erstellen ### 7.2 MSI-Pakete Leider funktionieren nicht alle MSI-Pakete (z.B. nicht alle vom VOBS für die Softwareverteilung über die Gruppenrichtlinien zur Verfügung gestellten) über diese Installationsvariante. In solchen Fällen muss nach funktionierenden msi-Paketen Ausschau gehalten werden oder eine der zusätzlichen Verteilungsmöglichkeiten in Intune verwendet werden**.** *Apps – Windows – hinzufügen – „Branchenspezifische App“ auswählen*     App Paketdatei auswählen > MSI-Paket auswählen > Herausgeber und evtl. Logo einfügen > erforderliche Gruppe zuweisen.  Im Anschluss muss so lange gewartet werden, bis das MSI Paket vollständig hochgeladen ist, davor darf die Seite nicht gewechselt bzw. aktualisiert werden. ## 8 Unter Umständen auftretende Fehler und deren Lösung ### 8.1 MS Edge Synchronisierung nicht möglich Bei MS Edge kann die Synchronisierung vom Benutzer nicht aktiviert werden:  **Lösung:** *Im Azure Active Directory Admin Portal > Azure Active Directory > Geräte > Enterprise State Roaming* ***>** Alle*  **Zweite Lösung (globaler Admin-Zugang muss bekannt sein):** [https://blog.andreas-schreiner.de/2020/03/18/microsoft-edge-account-sync-fehler-sync-isnt-available-for-this-account/](https://blog.andreas-schreiner.de/2020/03/18/microsoft-edge-account-sync-fehler-sync-isnt-available-for-this-account/) # Windows Devices - 2 - Intune optionale Konfigurationen| Vorarlberger Standardschulinstallation Verfasser: Dietmar Köb, Lukas Franz, Kuno Sandholzer, Martin Schnetzer | © 2021 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Diese Anleitung wurde im Jahr 2021 erstellt und ist in einigen Bereichen nicht mehr vollständig aktuell. Die grundlegenden Inhalte bleiben jedoch weiterhin gültig. Bei Fragen oder Unklarheiten verweisen wir auf die aktuelle **Dokumentation zur Serverlosen Schule**.
## 1 Windows Updates einrichten ### 1.1 Allgemeines Für einen sicheren Betrieb sind aktuelle Systeme erforderlich. Diese können über vorgegebene Richtlinien konfiguriert werde. ### 1.2 Konfiguration - Öffnen des Endpoint Managers ([https://intune.microsoft.com](https://intune.microsoft.com)) Geräte Updateringe für Windows 10 und höher. - Profil erstellen mit dem Namen: Windows Updates für Schülergeräte - Standardmäßig kann alles so eingestellt bleiben – evtl. die Nutzungszeit des Gerätes, wenn nötig ändern. - Der Gruppe C\_SuS zurordnen Analog dazu kann auch ein Update-Profil für die Lehrer-Geräte konfiguriert werden (Gruppe: C\_LuL).  ## 2 Gesichtserkennung (Windows Hello for Business) einrichten ### 2.1 Allgemeines Die Windows-SurfaceGo2-Tablets bzw. die eingebauten Kameras unterstützen die Anmeldung am Gerät (anstatt der Eingabe von Benutzername und Passwort) per Gesichtserkennung. Um diese komfortable Loginvariante mit Gesichtserkennung überhaupt nutzen zu können, muss auf den Geräten „Windows Hello for Business“ über Intune aktiviert werden.Wird die Gesichtserkennung in Intune aktiviert, muss verbindlich auch ein PIN (min. 6 Zahlen – und nur Zahlen) vergeben werden. Zusätzlich muss für die PIN-Einrichtung **einmalig** ein Handy (TAN per SMS oder Authenticator-App installieren) zur Verfügung stehen.
Die Einrichtung der Gesichtserkennung kann übersprungen werden (und später nach der erfolgreichen Anmeldung nachgeholt werden).
PIN und eingerichtete Gesichtserkennung gelten nur für den angemeldeten Benutzer und nur für dieses eine Gerät, auf dem es eingerichtet wird.
Grundsätzlich kann „Windows Hello for Business“ in Intune auf mehrere Arten / an mehreren Stellen konfiguriert werden – z. B.: #### 2.1.1 Gleich bei der Geräteregistrierung (also beim Rollout / beim ersten Login):  Standardeinstellung sieht dort so aus:  Wir belassen hier die Standardeinstellung bzw. stellen beim Punkt „Windows Hello for Business konfigurieren“ deaktiviert ein. Damit werden die „Windows Hello for Business“-Einstellungen nicht von Intune gesteuert. Bestehende Windows Hello for Business-Einstellungen auf Windows-Geräten werden nicht geändert. Warum ist das **unsere Empfehlung**: Wird das hier aktiviert, **muss** 1\. Windows Hello for Business (bei uns Gesichtserkennung und PIN-Einrichtung mit Handy) gleich bei der Registrierung (beim zweiten Login auf dem Gerät) mit eingerichtet werden.Diese Aufforderung bei der Anmeldung kann übersprungen werden:
    … **aber**: Diese Aufforderung zur Einrichtung erscheint bei jedem Login ☹. 2\. „Windows Hello for Business“ **auf allen Geräten und von allen Benutzern** eingerichtet werden Das wollen wir so nicht, weil einerseits die Einrichtung und Verwendung von „Windows Hello for Business“ nicht auf allen Geräten (z. B. Lehrergeräte, die von verschiedenen Benutzern verwendet werden) verbindlich gefordert werden soll und andererseits während des Rollout-Prozesses viele andere Dinge zu erledigen sind. Mit dieser Einstellung alleine ist jedoch „Windows Hello for Business“ (eine Variante davon ist die „Gesichtserkennung“ als Anmeldeoption) auf allen Geräten deaktiviert und kann selbst vom lokalen Administrator auf den Geräten nicht aktiviert werden. ### 2.2 Wunschkonfiguration Unser Wunschkonfiguration wäre: Die „Windows Hello for Business“ – Aufforderung zur ersten Einrichtung soll während des Anmeldevorganges nie erscheinen. Es soll aber jedem User vorbehalten und möglich sein, die Gesichtserkennung nach der Anmeldung mit dem Kennwort jederzeit nachträglich einzurichten. #### 2.2.1 Wunschkonfiguration umsetzen 1. **„Windows Hello for Business“ über ein Konfigurationsprofil aktivieren** *„Geräte“ -> „Konfigurationsprofile -> „+Profil erstellen“*   > keine Anwendbarkeitsregeln > „Erstellen“ Damit wird „Windows Hello for Business“ nur für die Schüler-Gerätegruppe aktiviert.**Wichtiger Hinweis**: Diese Einstellung bitte erst nach dem großen Rollout (= Geräte an die SuS verteilen, Erstregistrierung durchführen, alle Win-Updates machen ….) „scharf“ stellen (= erst dann eine Gerätegruppe (siehe oben „C\_SUS“) dieser Richtlinie zuordnen). Ansonsten kann es passieren, dass während der Anmeldung die Aufforderung zum Einrichten der Gesichtserkennung und des PINs erfolgt, weil die Registryeinträge (siehe unten) noch nicht vorhanden sind bzw. noch nicht greifen. Die „Einrichtungs-Aufforderung“ kann zwar übersprungen werden (siehe oben), stört aber während des Rollouts.
Damit die Aufforderung zur Einrichtung der Gesichtserkennung nicht bei jedem Login erscheint, müssen wir auch noch einen Registryeintrag setzen: 1. **„Registryeintrag“:** Folgende zwei Registryeinträge sind dazu notwendig: "**HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\PassportForWork" /v Enabled /t REG\_DWORD /d 1 /f "HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\PassportForWork" /v DisablePostLogonProvisioning /t REG\_DWORD /d 1 /f** Das kann z. B. über ein Powershellscript gemacht werden - Inhalt des Powershellscripts: ``` $Path = "HKLM:\SOFTWARE\Policies\Microsoft\PassportForWork" If (!(Test-Path $Path)) { New-Item -Path $Path } Set-ItemProperty -Path $Path -Name 'DisablePostLogonProvisioning' -Type "DWORD" -Value "1" -FORCE Set-ItemProperty -Path $Path -Name "Enabled" -Type 'DWORD' -Value "1" -FORCE ``` Diese drei Befehlszeilen in eine Textdatei kopieren und z. B. als „No\_HelloEinrichtung\_bei\_Logon.ps1“ abspeichern. … oder hier herunterladen: [No\_HelloEinrichtung\_bei\_Logon.ps1](https://vobs2-my.sharepoint.com/:u:/g/personal/sandholzer_vobs_at/EVapA0zoA0RNuzml1jvcZOkBE-zTwyGNZsleqME7zvXj0g?e=s3mssr) .. und das dann in Intune implementieren: *„Geräte“ > „Windows“ > „PowerShell-Skripts“ > „+Hinzufügen“:*     *> „Hinzufügen“* Die Zuordnung zur Gerätegruppe kann und soll hier sehr wohl sofort gemacht werden (also schon bevor die Richtlinie oben scharf geschaltet wird). ### 2.3 Gesichtserkennung auf dem Gerät einrichten Auf dem Gerät im Suchfeld links unten „Anmeldeoptionen“ eigegeben:   Die Kamera erscheint und richtet Gesichtsmerkmale ein … Zusätzlich muss verbindlich eine PIN eingerichtet werden (min. 6 Zahlen – und nur Zahlen):          erledigt:  ## 3 Microsoft Edge Konfiguration ### 3.1 Allgemeines Die Startseite kann nicht über die Standardrichtlinie für EDU konfiguriert werden, sondern muss zusätzlich mit einem Konfigurationsprofil eingerichtet werden. ### 3.2 Konfiguration - Startseite Öffnen des Endpoint Managers ([https://endpoint.microsoft.com](https://endpoint.microsoft.com)) *> Geräte > Konfigurationsprofile > Profil erstellen*   Name: MS Edge Startseite Beschreibung: Konfiguration der Startseite und Schaltfläche Startseite auf Symbolleiste  **Fünf Konfigurationen für Microsoft Edge:**  - Aktion, die beim Start ausgeführt werden soll - Aktivieren und Neuen Tab öffnen  - URL für die neue Tabseite konfigurieren - Aktivieren und gewünschte Seite angeben „[https://www.vobs.at](https://www.vobs.at)“  - Die Standardwebsites der obersten Ebene auf der neuen Tabseite ausblenden - Aktivieren  - Schaltfläche „Startseite“ auf Symbolleiste anzeigen - Aktivieren  - Neue Tabseite als Startseite festlegen - Aktivieren Zuweisung der Gruppe C\_Autopilot  ### 3.3 Konfiguration – Favoriten Erstellen eines neuen Geräte-Konfigurationsprofil  Name des Konfigurationsprofils: MS Edge Favoriten – Administratives Template Beschreibung: Favoriten mit Liste bereitstellen Nach dem „Erstellen“ klicken - Microsoft Edge in der Liste auswählen. Danach die „Favoriten“ im Suchfeld suchen.  Im Feld „Favoriten konfigurieren“ wird nun folgender Eintrag hinzugefügt. Beispiel: Fügt einen Ordner in der Favoritenleiste ein Hier werden die Seiten und der Name der Verknüpfung definiert. ``` [ { "toplevel_name": "Schul-Favoriten" }, { "url": "https://www.webseite1.at", "name": "Seite 1" }, { "url": "https://www.webseite2.at", "name": " Seite 2" }, { "url": "https://www.webseite3.at/", "name": " Seite 3" }, { "url": "https://www.webseite4.at/", "name": " Seite 4" }, { "url": "https://www.webseite5.at/", "name": " Seite 5" }, ] ``` Im Anschluss wird noch die Favoritenleiste aktiviert  Im letzten Schritt fügen wir wiederum die entsprechende Gruppe hinzu. Z.B. C\_Autopilot  Zum Schluss alles nochmals Überprüfen und erstellen.  ## 4 AnhangDie Kapitel Proaktive Korrekturen (Wartungen) und McAffee Remover sind veraltet und wurden hier entfernt! Zum Thema Wartungen sind Anleitungen im BEreich der Serverlosen SChule zu finden!
# Windows Devices - 3 - Intune Rollout und Erstregistrierung| Vorarlberger Standardschulinstallation Verfasser: Dietmar Köb, Lukas Franz, Kuno Sandholzer und Martin Schnetzer | © 2021 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Bitte den Rolloutvorgang vorab mit einzelnen Geräten durchtesten!
## 2 Formalitäten Die im Kapitel „Windows-Autopilot-Registrierung“ erstellte Exceldatei für die Autopilotregistrierung eignet sich sehr gut als Grundlage (Anpassungen vermutlich nötig) für einen Serienbrief mit dem jede(r) Schüler\*in vier oder fünf ausgedruckte Klebeetiketten („Pickerl“) bekommt um ihre / seine Gerätschaften entsprechend zu kennzeichnen. Bei den Windows-Tablets wären das: - Karton - das Gerät an sich - die Tastatur - das Netzteil (Ladegerät) - der Stift In der Exceldatei ist vorab schon definiert, welche(r) Schüler\*in welches Gerät (Seriennummer) bekommt (Spalte „Assingned User“ = „Primärer Benutzer“ in Intune). Für den Ausdruck der Klebeetiketten über einen Laserdrucker (auch farbig möglich) haben sich z. B. diese Etiketten bewährt: [Avery Zweckform L6009-20](https://www.avery-zweckform.com/produkt/typenschild-etiketten-l6009-20) Eine dazu passende Wordvorlage (für den Serienbrief) kann hier heruntergeladen werden: [https://www.vobs.at/fileadmin/user\_upload/itservice/downloads/digitaleendgeraete/Serienbrief4Ettiketten.zip](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/Serienbrief4Ettiketten.zip) Ob jetzt das Suchen der richtigen, originalverpackten Schachteln die SuS selbst machen (am Anfang der „Rollout-Doppelstunde“) oder die Schule schon vorab eines der Pickerl außen auf die richtigen Kartons geklebt hat, kann natürlich jede Schule selbst entscheiden. Voraussetzungen in der Klasse / im EDV-Raum: - die Geräte werden meist mit leeren Akkus geliefert (Mehrfachsteckdosen vorbereiten) - genügend Platz für jede(n) einzelne(n) Schüler\*in (Gerät auspacken, Tastatur …) - temporäre WLAN-Wolke für den Erstkontakt vorbereiten (mit einfachem Passwort – kann auch im „grünen“ Netz sein - nach der Rollout-Stunde wieder deaktivieren) ## 3 Erster Start der Geräte Geräte bitte vorher nicht einschalten bzw. nach dem Startbildschirm (= Auswahl der Region) nicht weiter machen … Falls bei einem Gerät „versehentlich“ schon ein Benutzer eingerichtet wurde, muss das Gerät zurückgesetzt werden: - **Variante 1:** Beim „Loginbildschirm“ mit gedrückter Shifttaste einen Neustart einleiten: „Problembehandlung“ – „Diesen PC zurücksetzen“ – „Alles entfernen“ – „Lokale Neuinstallation“ – „Laufwerk vollständig bereinigen“ – „zurücksetzen“ - **Variante 2** (= mit Benutzerlogin): In das Suchfeld neben dem Startknopf „zurücksetzen“ eingeben – „Diesen PC zurücksetzen“ – „Los geht’s“ – „Alles entfernen“ – „Lokale Neuinstallation“ – „weiter“ – „zurücksetzen“ Voraussetzungen: - Erstkonfiguration von Intune erfolgt - Autopilot-Registrierung erledigt – bei allen Geräten steht bei Profilstatus in Intune (Windows Autopilot – Geräte): „Zugewiesen“ - MS-365-Benutzernamen und Kennwörter für die SuS Geräte hängen am Strom – einschalten. Die Regionsauswahl erscheint – „Österreich“ auswählen + „ja“; Tastaturlayout (Deutsch) bestätigen – kein zweites Tastaturlayout (also „Überspringen“) Verbindung mit unserem temporären WLAN (das sollte noch nicht das produktive WLan „EDU-WORK“ sein) herstellen (= verbinden und „Netzwerksicherheitsschlüssel“ eingeben) Wenn alles ok ist, sollte dann der Registrierungsprozess starten – diverse Meldungen erscheinen:     **...** bis dann der Loginbildschirm erscheint: Der User der hier beim ersten Login eingegeben wird, hat lokale Administratorrechte!
  Neustart und dann sollte der „normale Loginbildschirm“ erscheinen (mit vorgegebener Domäne):  ## 4 ToDos nach dem ersten Login: ### 4.1 Lokalen Administrator aktivieren; MS365-User zum „Normalbenutzer“ machen Wie schon oben geschrieben: Der erste „Loginuser“ hat lokale Administratorrechte. Bei uns ist das das normale MS365-Benutzerkonto der SuS. Es ist jedoch nicht empfehlenswert, dass die tägliche Arbeit mit einem Benutzer mit administrativen Rechten gemacht wird! Deshalb aktivieren wir den lokalen „Administrator“, vergeben ihm ein Kennwort (das ist ein persönliches Kennwort des Schülers – merken bzw. notieren!), melden uns als lokaler Administrator an und löschen den MS365-Benutzer aus der Gruppe der „lokalen Administratoren“ heraus. Gearbeitet wird dann mit dem MS365-Benutzer! RK auf Startknopf – Computerverwaltung:  Kennwort für den Administrator – RK auf „Administrator“:  Als MS365-User abmelden und als Administrator anmelden: Anmeldename: > **.\\Administrator >** Kennwort … Wieder RK auf Startknopf – Computerverwaltung: Doppelklick auf die Gruppe „Administratoren“:  MS365-User aus dieser Gruppe rauslöschen:  Als Administrator abmelden und wieder als MS365-User anmelden. ### 4.2 Kontrollen und Einstellungen für den MS365-User Stichworte: - Onedrive-Anmeldung: - passt Standardspeicherort Onedrive - Synchronisierung testen - Im Browser bei Onedrive öffnen (Anmeldung sollte nicht notwendig sein) und nachschauen, dass alles (Desktop, Eigene Dateien, …) online gespeichert wird … - EDGE-Synchronisierung aktivieren - Systemsteuerung: - ev. überflüssige Programme deinstallieren - Computernamen kontrollieren - … # Windows Devices - 4 - Intune Zurücksetzungsmöglichkeiten| Vorarlberger Standardschulinstallation Verfasser: Kuno Sandholzer | © 2021 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
| **Situation** | **Methode** |
| Der Schüler verlässt unsere Schule. | Abkoppeln oder Entfernen Danach das Gerät aus den Autopilot-Profilen entfernen! |
| Der Schüler hat das Gerät verloren oder es wurde gestohlen. | Zurücksetzen (ohne oberes Häkchen, mit unterem Häkchen) |
| Das Gerät oder ein Programm funktioniert nicht wunschgemäß, möglicherweise ein Fehler bei einer Programminstallation. | Zurücksetzen (mit oberem Häkchen) |
| Das Gerät wird in unserer Schule von einem anderen Schüler verwendet werden. | Autopilot-Zurücksetzung |
| Ich möchte vorinstallierte Software vom Gerät entfernen, es hat sich bisher noch kein Schüler angemeldet. Windows wird dabei in der aktuellsten Version installiert. | Sauberer Start (ohne Häkchen) |
| Ich möchte vorinstallierte Software vom Gerät entfernen, ein Schüler hat das Gerät bereits verwendet. Windows wird dabei in der aktuellsten Version installiert. | Sauberer Start (mit Häkchen) |
| Ich habe den Eindruck, dass ein Schüler Schadsoftware auf dem Computer hat. | Windows Defender-Sicherheitsinformationen aktualisieren, danach Schnellüberprüfung und/oder vollständige Überprüfung |
| Ich möchte einem Problem an einem Gerät auf den Grund gehen, habe ausreichend Zeit und bin neugierig | Diagnosedaten sammeln |
**Abkoppeln** wird verwendet, wenn ein Schüler die Schule verlässt. Die Bindung des Geräts zum Azure AD und zum Endpoint Manager wird beim nächsten Check-In des Geräts beendet.
Beim Abkoppeln wird das Gerät aus dem Microsoft Endpoint Manager entfernt und vom MDM losgelöst. Vor dem Abkoppeln muss ein lokaler Administrator auf dem Gerät vorhanden sein – ansonsten ist keine administrative Anmeldung auf dem Gerät mehr möglich! Das Gerät bleibt im Endpoint Manager aufgelistet, bis es das nächste Mal eincheckt. Es erhält dann den Abkoppel-Befehl und wird aus dem Azure AD entfernt. Ist ein beliebiger Benutzer am Gerät angemeldet, erhält er (nach einer Weile) die Information, dass sein Zugriff auf die Schulressourcen beendet wurde. Verlässt der Schüler/das Gerät die Schule, so muss das entsprechende Gerät auch aus der Registrierung der Autopilot-Geräte entfernt werden (Microsoft Endpoint Manager – Geräte – Geräte registrieren – Windows-Registrierung – Schaltfläche „Geräte“. Wie üblich in Azure AD – Zeit lassen, es dauert ein paar Minuten.**Wird das nicht gemacht, meldet sich das Gerät beim nächsten Zurücksetzen wieder im Azure AD der Schule an.**
Mit der Zeit verschwindet das Gerät dann auch aus den anderen Bereichen, dies kann von Hand beschleunigt werden, in dem das entsprechende Gerät händisch aus dem Gerätebereich das Azure Admin Centers und aus dem Gerätebereich des Azure Active Directory gelöscht wird. Letzteres funktioniert bei einem Autopilot-Gerät nur, wenn das Gerät, wie im oberen Absatz beschrieben, auch aus der Registrierung der Autopilot-Geräte entfernt wurde. **Was passiert:** - Per Endpoint Manager verteilte Apps werden gelöscht. - Einstellungen und Policies der Schule werden nicht mehr weiter angewendet. - WLAN-Profile werden entfernt. - Benutzerprofile der Schule werden entfernt. Es kann nur noch mit einem lokal eingerichteten Benutzer gearbeitet werden. - Die Verbindung zum Azure AD der Schule wird getrennt. ## 3 Zurücksetzen**Zurücksetzen (ohne oberes Häkchen)** wird verwendet, wenn das Gerät den Besitzer wechselt, verloren oder gestohlen wurde. Alle Daten werden unwiederbringlich gelöscht, sofern die erste Option nicht ausgewählt wurde. **Zurücksetzen (mit oberem Häkchen)** wird verwendet, wenn das Gerät vom gleichen Besitzer weiterverwendet werden soll, aber eine komplette Zurücksetzung sinnvoll erscheint. Alle Apps und Richtlinien werden gelöscht, nur die Zuordnung zum Benutzer und seine Daten bleiben erhalten.
Zurücksetzen, alle Benutzerprofile, MDM Policies und Einstellungen werden gelöscht. Windows wird auf Werkseinstellungen zurückgesetzt.  Zurücksetzen, aber Registrierungsstatus und zugeordnetes Benutzerkonto beibehalten 🡪 Gerät wird auf Werkseinstellungen zurückgesetzt, Windows neu installiert, aber das zugeordnete Benutzerkonto bleibt erhalten 🡪 ideal, um Schülergeräte in einen definierten Zustand zurückzuversetzen Bis die Aktion auf dem Gerät ankommt und umgesetzt wird, vergehen ein paar Minuten (in Tests bis zu 10 Minuten, kann aber scheinbar auch mehr sein).  Wird das untere Häkchen gesetzt, kann der Zurücksetzungsvorgang nicht durch Ausstecken oder Abschalten des Geräts abgebrochen werden. Sobald das Gerät wieder Strom hat, wird das Zurücksetzen fortgesetzt. Das kann jedoch Windows unter Umständen in einem undefinierten Zustand zurücklassen. Zurücksetzen entspricht dem manuellen Zurücksetzen über die Einstellungen direkt am Gerät. **Was passiert:** - Gerät wird auf Werkszustand (inkl. allenfalls vorinstallierter Programme) zurückgesetzt, je nach Häkchen mit oder ohne Beibehaltung der Benutzerkonten. Wurde auf diesem Gerät einmal ein „Sauberer Start“ (siehe 8.) durchgeführt, so fehlen die ab Werk installierten Programme weiterhin. - Nach dem Zurücksetzen wird das Gerät wieder ins Azure AD der Schule eingebunden. - Benutzerdaten, die nicht innerhalb des Profils (OneDrive) gespeichert wurden sowie privat installierte Apps werden gelöscht. - Daten im Profil (OneDrive) bleiben erhalten. Daten, die noch nicht ins OneDrive synchronisiert wurden, bleiben scheinbar auch auf der Festplatte erhalten (nicht getestet). ## 4 Entfernen**Entfernen** wird verwendet, wenn ein Schüler die Schule verlässt. Die Bindung des Geräts zum Azure AD und zum Endpoint Manager wird sofort beendet.
 Grundsätzlich funktioniert „Entfernen“ ähnlich wie „Abkoppeln“, aber man kann sich nicht darauf verlassen, ob über den Endpoint Manager bereitgestellte Apps und Einstellungen gelöscht oder zurückgesetzt werden oder nicht. Kann sein, kann aber auch nicht sein. Beim Abkoppeln werden diese Apps definitiv entfernt. „Entfernen“ löscht das Gerät sofort aus dem Azure Active Directory, ohne auf den nächsten Check-In des Geräts zu warten. Auch hier muss das Autopilot-Profil entfernt werden, damit sich das Gerät nicht beim nächsten Zurücksetzen wieder im Azure AD der Schule zurückmeldet. Auch beim „Entfernen“ muss ein lokaler Administrator auf dem Gerät eingerichtet sein! Ist ein beliebiger Benutzer am Gerät angemeldet, erhält er (nach einer Weile) die Information, dass sein Zugriff auf die Schulressourcen beendet wurde. ## 5 Synchronisieren**Synchronisieren** wird verwendet, um Einstellungen, Konfigurationen, Richtlinien oder Apps möglichst schnell auf Geräte zu übertragen.
 Einstellungen, Konfigurationen, Apps usw. werden „irgendwann“ auf die Geräte übertragen – meistens eh recht zeitnah, aber es braucht Geduld. Mit der Option „Synchronisieren“ werden diese Vorgänge beschleunigt, allerdings nur, wenn das Gerät online und erreichbar ist. ## 6 Neu starten**Neu starten** wird verwendet, wenn ein Problem auf einen fehlenden Neustart zurückgeführt werden könnte und dieser Neustart aus der Ferne ausgelöst werden soll.
 Startet das Gerät neu, wenn es eingeschaltet und über das Internet erreichbar ist. Wie üblich, dauert das etwas, bis der Befehl beim Gerät ankommt. Ein angemeldeter Benutzer erhält die Information, dass er in Kürze abgemeldet wird, da der Geräteadministrator einen Neustart geplant hat. ## 7 Diagnosedaten sammeln**Diagnosedaten sammeln** wird ausgeführt, wenn zur Problemanalyse möglichst viele Informationen des Geräts aus der Ferne gesammelt werden sollen.
 Dieser Befehl sammelt umfangreiche Daten vom angegebenen Gerät. Es werden dabei keine benutzerbezogenen Daten erfasst, sondern ausschließlich technische Informationen (Zertifikate, installierte Programme, Netzwerkeinstellungen, diverse Konfigurationen, …) ## 8 Sauberer Start**Sauberer Start** wird verwendet, um mitgelieferte, vorinstallierte Software (Bloatware) zu entfernen und auf dem Gerät gleichzeitig auf die aktuellste Windows-Version zu installieren.
Damit werden alle Apps deinstalliert. Im Anschluss werden die Apps über die Richtlinie wieder installiert. Hat man die lokalen Benutzerdaten im Verdacht ein Problem zu verursachen, so können diese ebenfalls entfernt werden. Setzt man das Häkchen, bleiben sie erhalten. Wird dieses Häkchen aktiviert, so wird nach der Neueinrichtung die Anmeldung des bisherigen Benutzers angeboten. Danach erscheint die Meldung, dass die Eingabe einer PIN zur Anmeldung notwendig sei. Dieses Fenster kann jedoch einfach geschlossen werden bzw. mit „Später erledigen“ quittiert werden. Danach kann sich der Benutzer wie gewohnt mit dem Kennwort am Gerät anmelden. Die Ursache für die Aufforderung zur PIN-Eingabe ist uns noch nicht bekannt. ## 9 Autopilot-Zurücksetzung**Autopilot-Zurücksetzung** wird verwendet, um ein Gerät eines Schülers in einen definierten Zustand zu versetzen. Das Gerät soll zukünftig von einem anderen Schüler der Schule verwendet werden.
 Per Autopilot-Zurücksetzung werden alle per Endpoint Manager ausgespielten Programme, Einstellungen und Benutzerprofile gelöscht. Die Regionseinstellungen, Anbindung ans Azure AD sowie die WLAN-Einstellungen bleiben erhalten. ## 10 SchnellüberprüfungEine **Schnellüberprüfung** wird bei Verdacht auf Schadsoftware durchgeführt.
Die Registry und die Windows-Startordner werden auf bekannte Schadsoftware überprüft. ## 11 Vollständige ÜberprüfungEine **vollständige Überprüfung** wird bei Verdacht auf Schadsoftware durchgeführt.
Die vollständige Überprüfung untersucht den kompletten Massenspeicher auf bekannte Schadsoftware. Dieser Vorgang kann mehrere Stunden in Anspruch nehmen. ## 12 Windows Defender-Sicherheitsinformationen aktualisierenDieser Vorgang wird durchgeführt, um eine Aktualisierung der Windows Defender – Updates auf dem Gerät zu erzwingen.
Das Gerät wird angewiesen, die Windows Defender-Sicherheitsinformationen auf den aktuellen Stand zu bringen. ## 13 Quellen: - [https://karstenkleinschmidt.de/2020/09/09/intune-what-is-retire-wipe-delete-fresh-start-autopilot-reset/](https://karstenkleinschmidt.de/2020/09/09/intune-what-is-retire-wipe-delete-fresh-start-autopilot-reset/) - [https://www.petervanderwoude.nl/post/factory-reset-fresh-start-autopilot-reset-so-many-options/](https://www.petervanderwoude.nl/post/factory-reset-fresh-start-autopilot-reset-so-many-options/) - [https://call4cloud.nl/2021/04/to-retire-or-not-to-wipe/](https://call4cloud.nl/2021/04/to-retire-or-not-to-wipe/) - [https://docs.microsoft.com/en-us/mem/intune/remote-actions/devices-wipe](https://docs.microsoft.com/en-us/mem/intune/remote-actions/devices-wipe) - [https://docs.microsoft.com/de-de/mem/intune/remote-actions/collect-diagnostics](https://docs.microsoft.com/de-de/mem/intune/remote-actions/collect-diagnostics) # Windows Devices - 5 - Intune Jährliche ToDos| Vorarlberger Standardschulinstallation Verfasser: Martin Schnetzer | © 2022 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Der erste Benutzer (und nur der erste!), welcher sich am Gerät mit seinem Office365 Account anmeldet, wird zum lokalen Administrator des Gerätes gemacht. Dadurch bekommen die SuS überhaupt die Möglichkeit, den lokalen Administrator zu aktivieren und ein persönliches Passwort zu vergeben (oder einen neuen Benutzer „Admin“ anzulegen).
### 1.2 Lehrergeräte Die Lehrergeräte-Hashes werden mit den bestehenden GroupTag T21LuL importiert und benötigen nicht jährlich eine eigene Gerätegruppe, da die Geräte die Schule nicht verlassen. ### 1.2 Hinzufügen zur Gruppe c\_SuS Die erstellte dynamische Schüler-Gruppe wird nun zu der statischen Gruppen c\_SuS hinzugefügt. ### 1.4 Hardware – Hash importieren Der Hardware – Hash wird im Endpoint Manager im Punkt Geräte 🡪 Geräte registrieren 🡪 Windows-Registrierung 🡪 Geräte importiert. Darauf ist zu achten, dass der Group-Tag (siehe weiter unten) an der richtigen Stelle steht.  **Screenshot einer Import-Datei:**  Beim Exportieren der Datei darauf achten, dass die Strichpunkte mit Kommas ersetzt werden und das Format auf UTF-16 LE geändert wird. Beides kann im Editor gemacht werden.*Die CSV-Datei darf am Ende keine zusätzlichen Zeilen bzw. Kommas/Strichpunkte etc. enthalten.*
# Windows Devices - 6 - Geräteausgabe| Vorarlberger Standardschulinstallation Verfasser: Dietmar Köb, Martin Schnetzer | © 2021 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Diese Doku bezieht sich auf den Gerätetyp „Windows Surface Go2“.
In unserem ursprünglichen Konzept verwenden wir für den Autopilot-Import fünf Spalten:
 Microsoft hat in diesem Bereich Änderungen vorgenommen, was dazu führt, dass der letzten Spalte „Assigned User“ keine essenzielle Bedeutung mehr zukommt. Wir lassen diese Spalte deshalb weg, was zu einer Vereinfachung beim Erstellen der csv-Datei für den Autopilot-Import führt. Die finale csv-Datei für besagten Autopilot-Import in Intune darf also **nur mehr 4 Spalten** haben. Optional (wenn bei einer Schule die Benutzerlogindaten in Kombination mit den Vor- und Nachnamen der SuS vorhanden sind), kann diese fünfte Spalte sehr wohl verwendet werden. Wenn sie verwendet wird, muss sie aber auch komplett befüllt werden. Für die SuS-Geräte beachten: Wird diese fünfte Spalte nicht verwendet, wäre es gut, wenn der Benutzer, der sich als Erster beim Gerät anmeldet auch der „Besitzer“ des Gerätes ist (dieser Benutzer wird dann in Intune als Besitzer eingetragen).Die Schulen sollten drei Lieferscheine bekommen haben.
Auf dem dritten Lieferschein sollten nur die Seriennummern der zusätzlichen Klassengeräte vom Land aufscheinen (Anzahl = Anzahl teilnehmender Klassen im letzten Schuljahr). Diese Geräte sollten nicht den SuS zugewiesen werden. Um das zu verhindern, bitte vorab diese Seriennummern als Klassengeräte zuordnen. In weiterer Folge (muss aber vom OEAD noch umgesetzt werden) sollte es dann möglich sein, in der App bei den Zuordnungskategorien diese Geräte als „Landes-Lehrergeräte“ zu definieren. Dasselbe gilt für die von der BD Vlbg. bereits vorab gelieferten fünf Geräte (sofern diese Seriennummern in der App überhaupt aufgelistet werden).In der App ([App Digitales Lernen](https://app.digitaleslernen.gv.at/login)) fehlen bei den Seriennummern die führenden Nullen (es gibt auch SNs mit zwei führenden Nullen). Das kann natürlich zu Problemen beim Autopilot-Import (über eine csv-Datei bei der diese führenden Nullen fehlen) führen.
Im Folgenden haben wir versucht, eine Vorgangsweise zu dokumentieren, bei der über eine Exceldatei (bzw. eine pro Schuljahr) mit ein paar Formeln und mit den vorhandenen Daten aus der App alle notwendigen Daten in der richtigen Form (z.B. Seriennummern mit führenden Nullen als Text) generiert werden können. Diese Exceldatei verwenden wir sowohl für die Erstellung der csv-Datei (für den Autopilot-Import) als auch als Datengrundlage für das Drucken der Etiketten per Word-Serienbrief. Damit eine Zuordnung der SuS in der App der Geräteinitiative und das Autopilot-Konzept funktionieren, müssen zuerst folgende Schritte durchgeführt werden: Vorbereitung der zwei Exceldateien für die zwei Schuljahre: - SJ2021-22\_Geräteverwaltung.xlsx - SJ2022-23\_Geräteverwaltung.xlsx*Vorlage der Exceldatei kann* [*hier*](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/SJ2021-22_Geraeteverwaltung_Vorlage.xlsx) *heruntergeladen werden.*
## 2 Datenexport aus der App Anmelden in der App ([App Digitales Lernen](https://app.digitaleslernen.gv.at/login)) - Reiter **Klassen und Schüler/innen**: Alle Schüler/innen und Erziehungsberechtigte als Liste ausdrucken (Sinnvoller Dateiname von Vorteil). Das muss für jede Klasse wiederholt werden. [](https://docs.vobs.at/uploads/images/gallery/2025-11/ef9image.png) [](https://docs.vobs.at/uploads/images/gallery/2025-11/uJJimage.png) - Reiter **Geräteverwaltung**: Zuerst müssen die Klassengeräte manuell zugewiesen werden. Die zusätzlichen Landes-Klassengeräte (siehe Lieferschein) müssen dem OeAD gemeldet werden. Diese werden in der App vom OeAD als Landes-Klassengerät ausgewiesen. Auf Exportieren klicken > man erhält eine Excel-Datei mit allen Geräten, welche dem Jahrgang zugewiesen wurden. Filter verwenden > nicht zugewiesen [](https://docs.vobs.at/uploads/images/gallery/2025-11/9Mlimage.png) ## 3 Daten in Excel importieren Es wird nun die Datei SJ2021-22\_Geräteverwaltung.xlsx (bzw. SJ2022-23\_Geräteverwaltung.xlsx) geöffnet. Einige Zellen sind mit einem Blattschutz versehen, damit die Inhalte nicht versehentlich gelöscht werden. Die Daten aus den entsprechenden Exportdateien werden nun wie folgt in die einzelnen Tabellenblätter kopiert. Schüler\*innen, welche nicht an der Initiative teilnehmen (keine Zahlungsreferenz) müssen unbedingt vor dem Kopieren aus den Listen gelöscht werden. **Tabellenblatt: Export alle SuS**  In dieses Blatt werden die Daten aus den Klassenlisten in die Spalten A bis L (gelb markiert) hineinkopiert. In die Spalte N wird die Klasse (manuell) eingetragen. Die maximale Anzahl von SchülerInnen beträgt 249. Nach dem Hineinkopieren wird die Spalte M **Vorname und Nachname** automatisch ausgefüllt. Nun müssen die benötigten Group Tags (**Spalte U**) hinzugefügt werden (z.B. T20SuS, T21SuS bzw. T22SuS).*Vertiefende Informationen in der Anleitung* [*Intune4Windows-Erstinstallation*](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/01_Intune4Windows_Erstinstallation.pdf) *bzw.* [*Intune4Window-jährliche ToDos*](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/05_Intune4Windows_jaehrliche-ToDos.pdf)*.*
Die restlichen Spalten werden nun nach und nach ergänzt. **Tabellenblatt: Export alle Geräte**  In dieses Tabellenblatt werden die zuvor exportierten Geräteinformationen übertragen. Es kann der gesamte Inhalt kopiert werden. **Tabellenblatt: Gerätezuweisungen**  Hier werden die Daten aus den vorigen zwei Tabellenblättern automatisch übernommen. Der Inhalt dieses Tabellenblattes wird in eine neue Excel Tabelle kopiert und mit sinnvollem Namen gespeichert (z.B. Geräteupload\_202122.xlsx). Nach dem Speichern wird nun die Zuordnung in der App (online) durchgeführt. Dazu auf den Reiter Geräteverwaltung klicken > Zuweisungen importieren und die gerade erstellte Datei importieren. [](https://docs.vobs.at/uploads/images/gallery/2025-11/BEWimage.png) Nun sind die Geräte im Schuljahr 2021-22 den SchülerInnen zugeordnet. Als nächstes müssen die Klassengeräte zugewiesen werden. In der Geräteverwaltung werden die drei Klassengeräte vom Bund den jeweiligen Klassen zugewiesen. Mit Stand vom 04.10.2022 ist es noch nicht möglich, das zusätzliche 4. Landesgerät als „Landes-Klassengerät“ hinzuzufügen – siehe Hinweis Nr. 3 im Kapitel „[Vorbemerkungen](#_Vorbemerkungen)“. [](https://docs.vobs.at/uploads/images/gallery/2025-11/yq1image.png) ## 4 Autopilot Damit die Hardware-Hashes die richtigen Group Tags bekommen, müssen nun diese Daten auch in die Exceldatei kopiert werden. Dietmar Köb schickt jeder Schule eine Excel-Tabelle mit den Hardware-Hashes. In dieser Tabelle werden die Spalten „**Device Serial Number“**, „**Windows Product ID“** und „**Hardware Hash“** markiert und kopiert. Diese werden in das **Tabellenblatt Hardware-Hashes\_orginal** eingefügt. Dabei ist darauf zu achten, dass nur die drei entsprechenden Spalten kopiert werden und die Zellen „Textfelder“ sind (bei der Seriennummer soll die führende „0“ mit dabei sein).  Jetzt sind (hoffentlich) alle Spalten richtig befüllt. Im **Tabellenblatt Export alle SuS** werden nun die Werte der **Spalten R bis U** markiert (nicht die Spaltenüberschriften) und in das **Tabellenblatt Autopilot upload** **als Werte** (= vor dem Einfügen Rechtsklick und bei den Einfügeoptionen „Werte einfügen“ oder „Als Text einfügen“ wählen) eingefügt.  🡪  Dieser Zwischenschritt ist notwendig, damit die richtigen Werte und keine Formeln exportiert werden. Dieses Tabellenblatt wird als CSV-Datei (Trennzeichen-getrennt) gespeichert.  Als letzter Schritt: Nach dem Schließen der Datei muss diese im Editor bearbeitet werden. Dabei werden die Strichpunkte durch Beistriche ersetzt (Bearbeiten > Ersetzen). Im letzten Schritt muss noch die Codierung geändert werden > Datei > Speichern unter > Codierung UTF16-LE Ersetzen und Speichern:  🡪 ***Unbedingt am Ende der CSV-Datei kontrollieren, dass keine zusätzlichen Beistriche und Leerzeilen vorhanden sind!***
*Die fertige Datei kann nun im Endpoint Manager (*[*https://endpoint.microsoft.com*](https://endpoint.microsoft.com)*) importiert werden.*
## 5 Etikettendruck Für den Ausdruck der Klebeetiketten über einen Laserdrucker (auch farbig möglich) haben sich z. B. diese Etiketten bewährt (nur eine Empfehlung – es können selbstverständlich auch andere Etiketten verwendet werden): **AveryZweckform L6009-20***Eine dazu passende Wordvorlage (für den Serienbrief – angepasst an die hier verwendete Exceldatei) kann* [*hier*](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/Serienbrief4Ettiketten.zip) *heruntergeladen werden:* [https://www.vobs.at/fileadmin/user\_upload/itservice/downloads/digitaleendgeraete/Serienbrief4Ettiketten.zip](https://www.vobs.at/fileadmin/user_upload/itservice/downloads/digitaleendgeraete/Serienbrief4Ettiketten.zip)
# Windows Devices - 7 - Windows Tablet Neuinstallation und Hash auslesen| Vorarlberger Standardschulinstallation Verfasser: Lukas Franz, Martin Schnetzer | © 2023 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Das Surface Gerät startet nun vom Stick und es wird eine frische Installation ausgeführt. Durch eine Neuinstallation werden alle vorher vorinstallierten Programme gelöscht!
Der Rollout kann nun wie gewohnt durchgeführt werden. ## 4 Auslesen des Hardware Hashes Damit der Hardwarehash ausgelesen werden kann, wird das Tool auf einen USB-Stick entpackt. Das Tool kann [**hier**](https://download.vobs.at/wp-content/uploads/RBService/RB_Hashtool/VOBS_Hardwarehash.zip "VOBS Hardware Hash Tool") heruntergeladen werden.  - - Im Anschluss wird der Stick am betreffenden Windows-PC eingesteckt und im Setup-Modus FN+SHIFT+F10 gedrückt. - Auf den Stick wechseln oder Windows+E (öffnet einen Explorer) und die Datei ausführen. - Nun muss nur der Gruppentag und der AssignedUser eingeben werden und auf Hash Auslesen und Exportieren klicken.  Wurde der Hash exportiert, so muss dieser nun in [https://intune.microsoft.com](https://intune.microsoft.com) unter Geräte importiert werden. # Windows Devices - 8 - Offboarding am Schuljahresende| Vorarlberger Standardschulinstallation Verfasser: Martin Schnetzer | © 2026 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Unterstützung und Infos zum organisatorischen Ablauf des Offboardings finden sich unter der Schaltfläche ganz rechts.
Die Vorgehensweise beim Offboarding von Windows Geräten ist grundsätzlich folgende: - Benutzer eruieren, die ausschulen und über "User-Liste markieren" eintragen (VOBS Tools) - Geräte aus Intune löschen (VOBS Tools) ### 2.1 Liste mit ausschulenden Benutzern Im ersten Schritt muss eine Liste der ausscheidenden Schüler:innen erstellt werden. Dabei ist es für das Offboarding-Tool gleichgültig, ob die Namen oder die Benutzernamen verwendet werden. Im Bereich "HARDWARE & SOFTWARE" wird das Geräte-Inventar ausgewählt: [](https://docs.vobs.at/uploads/images/gallery/2026-06/image.png) Im Geräteinventar scheinen alle Geräte auf, die in der Intune-Verwaltung vorhanden sind - auch inaktive. Über die Schaltfläche "User-Liste markieren" öffnet sich ein Fenster, in welches die Usernamen eingefügt werden können. [](https://docs.vobs.at/uploads/images/gallery/2026-06/Togimage.png) Über die Schaltfläche "Markieren" werden die entsprechenden Geräte gesucht und markiert. Werden Schüler nicht gefunden, so wird dies rechts unten angezeigt. Werden alle Schüler gefunden, erscheint dieses Fenster nicht. [](https://docs.vobs.at/uploads/images/gallery/2026-06/Jm3image.png) Ein Klick auf die Schaltfläche "MARKIERT" beschränkt die Anzeige auf die markierten User und Geräte. [](https://docs.vobs.at/uploads/images/gallery/2026-06/VoMimage.png) ### 2.2 Geräte aus Intune löschen Der Dialog "Sollen (xx) Geräte unwiderruflich gelöscht werden?" wird mit "Ja, weg damit" bestätigt. [](https://docs.vobs.at/uploads/images/gallery/2026-06/9Ryimage.png) Mit der Bestätigung "Ja, weg damit" werden die Autopilotprofile und die Geräte gelöscht. Im Tenant kann das mehrere Minuten dauern, bis die Geräte gelöscht sind. Auf dem Gerät erscheint die Meldung, dass das Unternehmensprofil entfernt wird. Nach einem Neustart kann der Computer nur noch mit dem lokalen Administrator angemeldet werden. Ist dies nicht möglich, so muss das Gerät neu installiert werden. Am Ender erhält man eine CSV-Datei in der die Geräte und die User aufgelistet sind. # Windows Devices - Garantie- und Reparaturmeldung| Vorarlberger Standardschulinstallation Verfasser: Dietmar Köb | © 2022 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Bei Defekten von Schülergeräten ist „eigentlich“ die Schule außen vor – das Ganze müssen dann die Erziehungsberichtigten in Eigenregie abwickeln.
### 4.3 Detailinformationen eingeben:  ### 3.5 Zusammenfassung wird angezeigt: [](https://docs.vobs.at/uploads/images/gallery/2025-11/c492d4e6-4d37-45ad-a18f-e03e3f1735db.jpg) > absenden  ### 3.6 Informationen zum Garantiefall werden angezeigt:  ## 4 Weiterer Ablauf: Laut Information eine Supportmitarbeiters von [Mobiletouch Austria](https://www.mobiletouch.at/) bekommen die Erziehungsberechtigten bzw. die Schule (bei Klassengeräten) in weiterer Folge automatisch einen passenden, leeren Karton zugeschickt, mit welchem das defekte Gerät (per DPD) eigeschickt werden kann. # Webfilter und Kinder-/Jugendschutzsoftware - Windows-Tablets aus der Geräteinitiative absichern - Empfehlung für Eltern/Erziehungsberechtigte| Vorarlberger Standardschulinstallation Verfasser: Dietmar Köb | © 2022 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Das Original dieser Seite befindet sich im Regal Netzwerk&Security > Webfilter | Jugendschutz
| Vorarlberger Standardschulinstallation Verfasser: Dietmar Köb | © 2025 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Das Original dieser verlinkten Seite befindet sich im Regal: Serverlose Schule und Geräteinitiative > Serverlose Schule
# Einbinden des IT-Betreuers in das Bildungsportal| Vorarlberger Standardschulinstallation Verfasser: Kuno Sandholzer | © 2026 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Der folgende Schritt ist von der Direktion (oder von einem Bildungsportal-Admin) an **jeder** Schule für den jeweiligen IT-Betreuer der Schule durchzuführen.
Im Bereich "Delegierte Aufgaben" sucht man (im Suchfeld rechts oben) nach dem Namen des IT-Betreuers und ändert dort die Delegierte Aufgabe auf "Systemadministrator": **Schritt 1:** "Keine" anklicken [](https://docs.vobs.at/uploads/images/gallery/2026-06/A5Zimage.png) **Schritt 2:** "Systemadministrator" auswählen und "Änderungen speichern" [](https://docs.vobs.at/uploads/images/gallery/2026-06/1mdimage.png) **Ergebnis:** [](https://docs.vobs.at/uploads/images/gallery/2026-06/UfZimage.png) Bei der nächsten Anmeldung im Bildungsportal sieht der IT-Betreuer nun diese Schule zusätzlich aufgelistet, inklusive Zugriff auf Schüler- und Klassendaten, Mitarbeiter/innen sowie die Einstellungen zu ID Push. Letztere sind für die Verwendung des CCCS notwendig.In der Übersicht bleibt der IT-Betreuer in der Rolle Lehrer. Durch die delegierte Aufgabe hat er nun aber Zugriff auf weitere Elemente im Bildungsportal, die für die Verwaltung von Schüler- und Lehreraccounts sowie zur Verwaltung der Geräteinitiative notwendig sind.
## 4 Freischaltung von ID Push Damit der IT-Betreuer in seiner neuen Rolle als Systemadministrator das Feld "ID Push" auch zu sehen bekommt, muss dieses Feature vom Direktor oder von einem Bildungsportal-Admin aktiviert werden. Dazu muss im Bereich "Organisation" der Punkt "Features" ausgewählt werden: [](https://docs.vobs.at/uploads/images/gallery/2026-06/3mcimage.png) Anschließend kann ganz unten ID Push aktiviert werden: [](https://docs.vobs.at/uploads/images/gallery/2026-06/Fsximage.png) # Vorbereitung des lokalen AD für den CCCS| Vorarlberger Standardschulinstallation Verfasser: Kuno Sandholzer | © 2026 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Sollte das Feld "PLZ" im Active Directory bereits mit anderen Daten befüllt sein (z. B. mit der PLZ), so muss das Feld im lokalen AD vorab geleert werden. Schüleruser mit belegtem Feld "PLZ" werden vom Programm ignoriert und nicht angezeigt.
## 2 Wie erhalte ich das Programm? Das Programm steht im Downloadbereich des VOBS zur Verfügung: [https://download.vobs.at/?wpdmpro=prepare-ad-users](https://download.vobs.at/?wpdmpro=prepare-ad-users) Sollte eine neuere Version des Programms zur Verfügung stehen, so weist das Programm unmittelbar nach dem Start darauf hin und bietet ein Update an. Die Durchführung eines allenfalls vorhandenen Updates wird dringend empfohlen. ## 3 Verwendung des Programms Vor dem Start des Programms sollte die aktuelle Schülerliste als CSV entsprechend der Anleitung [https://bildungsministerium.atlassian.net/wiki/external/MTA3MzE2MWM4ODdlNGNlYmJlYmU3MDlkMGExZmI4ZTA](https://bildungsministerium.atlassian.net/wiki/external/MTA3MzE2MWM4ODdlNGNlYmJlYmU3MDlkMGExZmI4ZTA) heruntergeladen werden. Das Programm kann sowohl die Schülerinnenliste als auch die IP-Push-Userliste verarbeiten. Wichtig ist, dass die CSV-Datei die Schülernamen (Vorname, Nachname) sowie die eindeutige Kennung bPK-BF enthält.**Stand 13.04.2026:** Die aktuelle Schülerliste kann mit der normalen Lehrerrolle im Bildungsportal noch nicht mit der notwendigen bPK-BF heruntergeladen werden. Mit der Rolle des **Systemadministrators** kann eine Benutzerliste über ID Push heruntergeladen werden, die verwendet werden kann. Für Benutzer mit der Rolle des **Direktors** bzw. des **Bildungsportal-Administrators** ist die bPK-BF in der normalen Schülerliste verfügbar.
Das Programm PrepareADUsers.exe sollte nach dem Download auf dem Domaincontroller (*Vorarlberger Standardinstallation: DCSchule*) installiert werden. Der verwendete Benutzer muss Schreibrechte im Active Directory besitzen (Domänen-Administrator). Nach der Installation erscheint ein Alias des Programms auf dem Desktop: [](https://docs.vobs.at/uploads/images/gallery/2026-04/b06image.png) Ein Doppelklick startet das Programm: [](https://docs.vobs.at/uploads/images/gallery/2026-03/bU6image.png) Im Auswahlfeld "Start-OU" werden alle im lokalen Active Directory gefundenen OUs angeführt. Hier wird angegeben, welche OU (inklusive der untergeordneten OUs) verwendet werden soll, um nach passenden Einträgen im Active Directory zu suchen. Hier sollte die niedrigstmögliche OU angegeben werden, um alle Schüler:innenkonten zu erreichen, aber keine unnötigen Konten einzuschließen. *Vorarlberger Standardinstallation: OU=Schueler\_individuell, OU=Benutzer, OU=Schule, DC=schule, DC=aps* ### 3.1 Benutzer importieren und automatisch zuordnen Mit der Schaltfläche "Usernamen (CSV) importieren" wird die vom Bildungsportal heruntergeladene Datei ausgewählt. Diese sollte dazu natürlich vorab auf den Domaincontroller kopiert worden sein: [](https://docs.vobs.at/uploads/images/gallery/2026-03/ZPXimage.png) Umgehend nach dem Import gleicht das Programm die Namen aus der CSV-Datei mit den Namen im Active Directory ab. Dazu werden die Vornamen und die Nachnamen verglichen. [](https://docs.vobs.at/uploads/images/gallery/2026-03/AUhimage.png) - grüne Zeile: Vorname und Nachname stimmen genau überein - gelbe Zeile: Vorname und Nachname stimmen großteils überein, das Programm vermutet eine Übereinstimmung. Gelbe Zeilen sollten jedenfalls nochmal kontrolliert werden - weiße Zeile: zu einem Namen in der CSV-Datei wurde keine passende Übereinstimmung im Active Directory gefunden. Diese Konten müssen manuell zugeordnet werden. In diesem Beispiel sind davon drei Schüler:innen betroffen. Benutzer, die in der CSV-Datei enthalten sind und im AD bereits einen Eintrag im Feld "PLZ" haben, werden in der Liste nicht mehr angeführt. ### 3.2 Benutzer manuell zuordnen Bei allen Zeilen kann durch einen Doppelklick die Zuordnung geändert werden. Bei weiß markierten Zeilen ist diese manuelle Zuordnung notwendig: [](https://docs.vobs.at/uploads/images/gallery/2026-03/2Geimage.png) Über die Eingabezeile können die angezeigten Suchtreffer eingegrenzt werden. Es werden ausschließlich noch nicht zugeordnete Benutzerkonten innerhalb oder unterhalb der angegebenen OU angezeigt. Mittels der Schaltfläche "Übernehmen" werden die Daten zugeordnet. Die Zeile wird nach der manuellen Zuordnung grün hinterlegt, die Anzahl der nicht zugeordneten Datensätze wird aktualisiert. ### 3.3 Zuordnung löschen Ist eine Zuordnung nicht korrekt, so kann sie ausgewählt und mit der Schaltfläche "Zuordnung löschen" entfernt werden. Danach ist eine manuelle Zuordnung notwendig. ### 3.4 Daten an AD übertragen Sind alle Zuordnungen erledigt, so können die Daten an das Active Directory mit der Schaltfläche "Daten an AD übertragen" übertragen werden. Dabei wird die bPK-BF in das Feld "PLZ" geschrieben und in weiterer Folge in das Azure Active Directory synchronisiert. Vorher: [](https://docs.vobs.at/uploads/images/gallery/2026-04/MKtimage.png) Nachher: [](https://docs.vobs.at/uploads/images/gallery/2026-04/BiRimage.png) ## 4 Bugreports Da der Autor des Programms nur Zugriff auf die Daten von zwei Schulen hatte, waren die Testmöglichkeiten eingeschränkt. Das ist auch der Grund für die noch niedrige Versionsnummer. Es ist sehr ratsam, bei einer virtuellen Maschine vor der Ausführung des Programms ein Backup des Domaincontrollers durchzuführen und bei einer virtualisierten Umgebung eventuell einen Snapshot davor zu erstellen. Grundsätzlich ändert das Programm nichts am Active Directory, bevor nicht bewusst die Schaltfläche "Daten an AD übertragen" betätigt wird. Das Programm bietet noch Spielraum für Verbesserungen und hat vermutlich noch die eine oder andere Schwachstelle.Vorschläge zur Programmverbesserung und Fehlerberichte (gerne auch mit Screenshots, Settings- und Logfile) bitte an