Zum Inhalt springen
Romy
Teste Romy

1Intune-Einrichtung (RBAC)

Für wen

Für Ihren Intune-Admin. Für die Ersteinrichtung braucht er die Rolle Intune-Administrator, danach reicht „Romy App Installer“.

Warum

Hier bestimmen Sie, wer Romy verteilen darf und auf welche Geräte sie kommt. Die Skripte der Intune-Einrichtung erledigen das ohne Secret.

  1. 4Intune-Admin

    Gruppen, Bereichsmarke und Rolle anlegen

    Die Rolle „Romy App Installer“ legt fest, was das Admin-Konto darf, nämlich 5 Rechte. Die Gruppe „Romy Pilot Devices“ legt fest, auf welchen Geräten. Sie legen beides selbst an, Romy schreibt dabei nichts in Ihren Mandanten.

    So geht es

    1. Die Intune-Einrichtung des aktuellen Releases herunterladen und entpacken.
    2. Einmal Install-Module Microsoft.Graph.Authentication -Scope CurrentUser ausführen.
    3. 1-gruppen-und-rolle.ps1 -Geraete PC-01 -Admins it@firma.de ausführen, zuerst mit -WhatIf und dann ohne.
    Dauer
    10 Minuten
    Prüfen
    Intune → Mandantenverwaltung → Rollen → „Romy App Installer“. Sie sehen 5 Rechte, den Bereich „Romy Pilot Devices“ und die Marke ROMY.
    Rückgängig
    Rollenzuweisung, Rolle und Bereichsmarke ROMY löschen. In Entra ID die beiden Gruppen löschen.
    romy-intune-einrichtung-26.10.4.zipRomy 26.10.4 „Arber“ · stabil · 15.10.2026 · 18,1 KB
    Microsoft Intune admin centervereinfacht dargestellt
    Mandantenverwaltung › Rollen › Romy App Installer
    RechteMobile apps: Read · Create · Update · Assign
    Managed devices: Read
    ZuweisungMitglieder: Romy Intune Admins
    Bereich (Gruppen)Romy Pilot Devices
    BereichsmarkeROMY

    Was das Skript bei der Anmeldung braucht. Delegiert heißt, es gilt nur, was Ihr Konto ohnehin darf

    • Group.ReadWrite.All

      Pflicht
      Art
      delegiert
      Wofür
      Gruppen „Romy Pilot Devices“ und „Romy Intune Admins“ anlegen und füllen

    • Device.Read.All

      Pflicht
      Art
      delegiert
      Wofür
      Die Geräte finden, die Sie mit -Geraete nennen

    • User.Read.All

      Pflicht
      Art
      delegiert
      Wofür
      Die Admin-Konten finden, die Sie mit -Admins nennen

    • DeviceManagementRBAC.ReadWrite.All

      Pflicht
      Art
      delegiert
      Wofür
      Bereichsmarke ROMY, Rolle „Romy App Installer“ und ihre Zuweisung anlegen

    Was die Rolle „Romy App Installer“ erlaubt, und nur das

    • Microsoft.Intune_MobileApps_Read

      Pflicht
      Art
      Intune-Rolle
      Wofür
      Die Romy-App in Intune sehen

    • Microsoft.Intune_MobileApps_Create

      Pflicht
      Art
      Intune-Rolle
      Wofür
      Die Win32-App beim ersten Mal anlegen

    • Microsoft.Intune_MobileApps_Update

      Pflicht
      Art
      Intune-Rolle
      Wofür
      Inhalt ersetzen, also auf ein neues Release aktualisieren

    • Microsoft.Intune_MobileApps_Assign

      Pflicht
      Art
      Intune-Rolle
      Wofür
      „Erforderlich“ an „Romy Pilot Devices“ zuweisen

    • Microsoft.Intune_ManagedDevices_Read

      Pflicht
      Art
      Intune-Rolle
      Wofür
      Installationsstand je Gerät prüfen

    Weiter mit Schritt 5, Romy App für Windows verteilen

  2. 10Intune-AdminoptionalZugriffsstufe 4

    Über Intune handeln, mit einem Dienstkonto

    Für Aktionen, die Intune selbst ausführt, etwa einen Neustart aus der Ferne. Die Rolle „Romy Geräteaktionen“ erlaubt nur Lesen und Neustart und nur in der Pilotgruppe.

    So geht es

    1. 4-dienstkonto-rolle.ps1 -Dienstkonto romy@firma.de ausführen.
    2. Das Dienstkonto meldet sich einmal bei „Romy Dienstkonto“ an.
    Dauer
    10 Minuten
    Prüfen
    Intune → Rollen → „Romy Geräteaktionen“. Sie sehen 2 Rechte und als Bereich die Pilotgruppe.
    Rückgängig
    Die Rollenzuweisung löschen oder das Dienstkonto sperren.

    Berechtigungen in diesem Schritt

    • Microsoft.Intune_ManagedDevices_Read

      optional
      Art
      Intune-Rolle
      Wofür
      Geräte der Pilotgruppe sehen

    • Microsoft.Intune_RemoteTasks_RebootNow

      optional
      Art
      Intune-Rolle
      Wofür
      Ein Gerät der Pilotgruppe neu starten, sonst nichts

    • DeviceManagementManagedDevices.PrivilegedOperations.All

      optional
      Art
      delegiert
      Wofür
      Die App „Romy Dienstkonto“ darf nie mehr, als die Rolle des Dienstkontos erlaubt: Neustart, nur in der Pilotgruppe

    • offline_access

      optional
      Art
      delegiert
      Wofür
      Angemeldet bleiben, ohne jedes Mal neu zu fragen

    Weiter mit Schritt 11, Ein neues Release einspielen