Entra ID Security Gruppe mit Autopilot ConfidentialClient

Der große Vorteil, wenn beim Erstellen der Enrollment Policy für Android Enterprise Dedicated Devices in Intune direkt eine Entra ID Security Gruppe mit dem Owner „Intune Autopilot ConfidentialClient“ angegeben wird (statt eine dynamische Gruppe, die auf Basis einer Abfrage gefüllt wird), liegt in einer sofortigen, konsistenten und beschleunigten Gerätezuweisung während der Geräteanmeldung.​

NAME: Intune Autopilot ConfidentialClient

APP ID: f1346770-5b25-470b-88bd-d5744ab7952c

OBJECT ID: e9ff8267-d43d-40bd-a2ee-f8b210c47615

Vorteile der direkten Entra ID Security Gruppe

• Geräte werden direkt während der Registrierung durch Intune der passenden Security Gruppe zugeordnet, weil Intune die Gruppe aktiv verwaltet und befüllt.​

• Policies und Apps, die auf diese Security Gruppe zugewiesen sind, werden ohne Verzögerung bereitgestellt, was die Time-to-Productivity erheblich reduziert und zu einem besseren Nutzererlebnis führt (insbesondere im Rollout und Kiosk-Szenario).​

• Im Gegensatz zu dynamischen Gruppen, die über Abfragefilter und periodische Abgleiche funktionieren, gibt es keine Verzögerung durch das dynamische Berechnungsintervall von Entra ID, welches manchmal unberechenbare Latenzen bei der Mitgliedschaftsaktualisierung verursachen kann.​

• Die Ownership durch den „Autopilot ConfidentialClient“ oder den Intune Provisioning Client (abhängig vom Tenant) ist zwingende Voraussetzung, da nur diese Service Principals die Gruppe automatisch während des Enrollment-Prozesses befüllen dürfen.​

• Für Enrollment Time Grouping wird explizit eine statische, nicht-dynamische, zugewiesene Gruppe benötigt, da dynamische Gruppen von diesem Mechanismus nicht unterstützt werden.​

Nachteile dynamischer Gruppen im Kontext

• Dynamische Gruppen werden nach festen oder zufälligen Zeitplänen ausgewertet, wodurch es zu erheblichen Verzögerungen bei der Aufnahme neuer Geräte in relevante Gruppen kommen kann.​

• Dies kann dafür sorgen, dass nach Abschluss der Registrierung Apps/Policies erst Minuten oder gar Stunden später verteilt werden, was zu inkonsistenten und für Anwender störenden Situationen führt​

Technische Zusammenfassung

Diese Vorteile gelten, sofern Enrollment Time Grouping gewünscht und die Gruppe explizit mit „Autopilot ConfidentialClient“ oder dem Intune Provisioning Client (AppID wie dokumentiert) als Owner erstellt wurde. Nur dann kann Intune Devices während des Enrollment-Prozesses direkt der Gruppe hinzufügen – eine dynamische Gruppe bietet diese Möglichkeit technisch nicht.​