# Geräte in Entra ID Devices in Entra ID

Geräteidentitäten, Registrierungstypen, PRT, dsregcmd, Compliance, LAPS, BitLocker, Enterprise State Roaming und PowerShell-Referenz. Device identities, registration types, PRT, dsregcmd, compliance, LAPS, BitLocker, Enterprise State Roaming, and PowerShell reference.

Registrierungstypen Registration types

Entra Registered, Entra Joined und Hybrid Entra Joined decken BYOD-, Cloud- und On-Premises-Szenarien ab.Entra Registered, Entra Joined, and Hybrid Entra Joined cover BYOD, cloud, and on-premises scenarios.

Compliance & PRT Compliance & PRT

Intune-Compliance-Richtlinien und der Primary Refresh Token steuern den Conditional-Access-Zugriff.Intune compliance policies and the Primary Refresh Token control Conditional Access.

BitLocker / LAPS BitLocker / LAPS

BitLocker-Schlüssel und lokale Administrator-Passwörter werden über Entra ID und Intune verwaltet.BitLocker keys and local administrator passwords are managed through Entra ID and Intune.

Gerätebereinigung Device cleanup

Veraltete Geräteobjekte erhöhen den Tenant-Overhead und sollten regelmäßig bereinigt werden.Stale device objects increase tenant overhead and should be cleaned up regularly.

## Geräteidentitäten in Microsoft Entra ID Device identities in Microsoft Entra ID

Geräteidentitäten in Microsoft Entra ID sind ein zentrales Element der Zero-Trust-Strategie. Ein Gerät, das in Entra ID registriert oder eingebunden ist, erhält eine eigene Geräteobjekt-ID und kann als Signal in Conditional-Access-Richtlinien verwendet werden. Device identities in Microsoft Entra ID are a central element of the Zero Trust strategy. A device that is registered or joined to Entra ID receives its own device object ID and can be used as a signal in Conditional Access policies.

Das Gerätemanagement umfasst drei Kernbereiche: den Join-Typ, den Gerätezustand und die Compliance-Bewertung durch Intune. Alle drei Faktoren zusammen bestimmen, ob ein Benutzer Zugriff auf Unternehmensressourcen erhalten kann. Device management covers three core areas: the join type, the device state, and the compliance evaluation by Intune. All three factors together determine whether a user can access corporate resources.

ℹ️ Lizenzhinweis ℹ️ Licensing note

Geräte-Registrierung und Entra Join sind in allen Entra ID Tiers enthalten. Für Intune-basierte Compliance-Richtlinien ist Microsoft Intune erforderlich. Entra ID P1 wird für Gerätebedingungen in Conditional Access benötigt. Device registration and Entra Join are included in all Entra ID tiers. Intune-based compliance policies require Microsoft Intune. Entra ID P1 is required for device conditions in Conditional Access.

Attribut Attribute | Werte Values | Bedeutung Meaning
--- | --- | ---
accountEnabled accountEnabled | true / false true / false | Deaktivierte Geräte können keinen PRT erneuern und erhalten keine neuen Tokens.Disabled devices cannot renew their PRT and do not receive new tokens.
trustType trustType | AzureAd / ServerAd / Workplace AzureAd / ServerAd / Workplace | Joined / Hybrid Joined / Registered Joined / Hybrid Joined / Registered
isCompliant isCompliant | true / false / null true / false / null | Durch Intune gesetzt; Bedingung für require compliant device in CA.Set by Intune; condition for require compliant device in CA.
approximateLastSignInDateTime approximateLastSignInDateTime | Timestamp Timestamp | Letzter bekannter Anmeldezeitpunkt; wichtig für Stale-Device-Cleanup.Last known sign-in timestamp; important for stale device cleanup.
extensionAttributes extensionAttributes | 1–15 custom attributes 1–15 custom attributes | Benutzerdefinierte Attribute für CA Device Filter oder Inventur.Custom attributes for CA device filters or inventory.

## Registrierungstypen (Join-Typen)Registration types (join types)

Microsoft Entra ID unterstützt drei Gerätebindungstypen, die sich in Registrierungsweg, Eigentümerschaft und resultierenden Fähigkeiten unterscheiden. Microsoft Entra ID supports three device binding types that differ in registration path, ownership, and resulting capabilities.

Join-Typ Join type | Geräte-OS Device OS | Eigentümer Owner | Registrierungsweg Registration path | SSO on-prem SSO on-prem
--- | --- | --- | --- | ---
Microsoft Entra Registered | Windows, macOS, iOS, Android Windows, macOS, iOS, Android | Benutzer (BYOD)User (BYOD) | Einstellungen → Konten → Konto hinzufügen; Company Portal Settings → Accounts → Add account; Company Portal | Nein No
Microsoft Entra Joined | Windows 10/11 Windows 10/11 | Organisation (Cloud-only)Organization (cloud-only) | OOBE, Windows Autopilot, Massenregistrierung OOBE, Windows Autopilot, bulk enrollment | Mit PHS/PTA/SSSO With PHS/PTA/SSSO
Hybrid Entra Joined | Windows 7–11, Server Windows 7–11, Server | Organisation (Hybrid)Organization (hybrid) | SCP in AD, Entra Connect, automatische Registrierung per GPO SCP in AD, Entra Connect, automatic registration via GPO | Ja (Kerberos)Yes (Kerberos)

### Entra Registered – BYOD-Szenario Entra Registered – BYOD scenario

Bei Entra Registered bleibt das Gerät im privaten oder unternehmensfremden Besitz. Der Benutzer fügt ein Arbeitskonto hinzu. Entra ID erhält dadurch ein Geräteobjekt mit dem Join-Typ `Registered`. Das Gerät kann für MAM ohne vollständige MDM-Enrollment genutzt werden. With Entra Registered the device remains privately owned. The user adds a work or school account. Entra ID receives a device object with join type `Registered`. The device can be used for MAM without full MDM enrollment.

⚠️ Einschränkungen⚠️ Limitations

Entra Registered Geräte erhalten keinen Primary Refresh Token (PRT) und sind daher für starke Gerätebedingungen in CA (z. B. compliant device) meist nicht geeignet. Entra Registered devices do not receive a Primary Refresh Token (PRT) and are therefore usually not suitable for strong device conditions in CA (e.g., compliant device).

### Hybrid Entra Joined – Service Connection Point Hybrid Entra Joined – Service Connection Point

Für Hybrid Join muss ein SCP im Active Directory konfiguriert sein. Entra Connect konfiguriert den SCP automatisch oder er kann manuell gesetzt werden. Der SCP verweist die Clients auf den Tenant, bei dem die Registrierung stattfindet. For Hybrid Join a Service Connection Point (SCP) must be configured in Active Directory. Entra Connect configures the SCP automatically, or it can be set manually. The SCP directs clients to the tenant where registration takes place.

## Geräte-Registrierungsprozess Device registration process

Der Registrierungsprozess variiert je nach Join-Typ. Für moderne Cloud-Umgebungen ist Windows Autopilot der empfohlene Weg; für Hybrid-Umgebungen übernimmt Entra Connect die Gerätesynchronisation. The registration process varies by join type. For modern cloud environments Windows Autopilot is the recommended path; for hybrid environments Entra Connect handles device synchronization.

Methode Method | Szenario Scenario | Voraussetzungen Prerequisites
--- | --- | ---
Windows Autopilot Windows Autopilot | Cloud-Only Deployment, Zero-Touch Cloud-only deployment, zero-touch | Intune, Geräte-Hash in Autopilot hinterlegt Intune, device hash registered in Autopilot
OOBE (Out-of-Box Experience)OOBE (Out-of-Box Experience) | Entra Join beim ersten Start Entra Join at first boot | Entra ID-Anmeldung im Setup-Assistenten Entra ID login in setup wizard
Bulk Enrollment Bulk Enrollment | Massenregistrierung ohne Benutzerinteraktion Mass enrollment without user interaction | Provisioning Package (PPKG), Windows Configuration Designer Provisioning package (PPKG), Windows Configuration Designer
Entra Connect (Hybrid)Entra Connect (Hybrid) | Automatische Hybrid-Registrierung Automatic Hybrid registration | SCP in AD, Entra Connect 1.1.819+, GPO-Zuweisung SCP in AD, Entra Connect 1.1.819+, GPO assignment
Manuelle Registrierung Manual registration | BYOD / Entra Registered BYOD / Entra Registered | Einstellungen → Konten → Zugriff auf Arbeits- oder Schulkonto Settings → Accounts → Access work or school

### Geräteregistrierungseinstellungen im Admin Center Device registration settings in Admin Center

Im Entra-Admin-Center unter Geräte → Einstellungen steuern Sie, wer Geräte einbinden darf, welche MFA-Anforderungen dabei gelten und ob das Geräteschreibback aktiv ist. In the Entra admin center under Devices → Settings you control who can join devices, what MFA requirements apply, and whether device writeback is active.

Einstellung Setting | Optionen Options | Empfehlung Recommendation
--- | --- | ---
Benutzer dürfen Geräte einbinden Users may join devices | All, Selected, None All, Selected, None | Selected: Gerät-Enrollment-Gruppe Selected: device enrollment group
MFA für Enrollment erforderlich Require MFA for enrollment | Yes / No Yes / No | Yes empfohlen Yes recommended
Maximale Geräte pro Benutzer Maximum devices per user | 5, 10, 20, Unbegrenzt Unlimited | Begrenzen auf sinnvolle Zahl Limit to a sensible number

## Primärer Aktualisierungstoken (PRT)Primary Refresh Token (PRT)

Der PRT ist das zentrale SSO-Artefakt für Windows-Geräte. Er wird beim Login an einem Entra Joined oder Hybrid Joined Gerät ausgestellt und ermöglicht lautloses Token-Renewal für alle Cloud-Apps, ohne erneute Benutzerinteraktion. The PRT is the central SSO artifact for Windows devices. It is issued at login on an Entra Joined or Hybrid Joined device and enables silent token renewal for all cloud apps without additional user interaction.

Eigenschaft Property | Detail Detail
--- | ---
Gültigkeitsdauer Lifetime | 14 Tage, rollierend 14 days, rolling
Speicherort Storage | CloudAP-Plugin im LSA-Prozess (TPM-geschützt wenn vorhanden)CloudAP plugin in the LSA process (TPM-protected if available)
Enthält Contains | Geräteansprüche, Benutzerclaims, Nonce Device claims, user claims, nonce
Conditional Access Conditional Access | Geräteclaims im PRT werden von CA ausgewertet Device claims in the PRT are evaluated by CA
Diagnose Diagnostics | `dsregcmd /status` – Felder AzureAdPrt, AzureAdPrtUpdateTime Fields AzureAdPrt, AzureAdPrtUpdateTime

ℹ️ PRT und Windows Hello for Business ℹ️ PRT and Windows Hello for Business

Windows Hello for Business (WHfB) ersetzt Passwörter durch PIN oder Biometrie, die durch TPM-Hardware geschützt sind. WHfB gilt als phishing-resistente MFA-Methode und erfüllt die Authentication Strength Phishing-resistant MFA in Conditional Access. Bei Entra Joined Geräten wird der PRT nach WHfB-Anmeldung gerätekredentialisiert. Windows Hello for Business (WHfB) replaces passwords with a PIN or biometrics protected by TPM hardware. WHfB qualifies as a phishing-resistant MFA method and satisfies the Phishing-resistant MFA authentication strength in Conditional Access. On Entra Joined devices the PRT is device-credentialized after WHfB login.

## Gerätediagnose mit dsregcmd Device diagnostics with dsregcmd

Das Windows-Tool `dsregcmd` liefert detaillierte Informationen über den Gerätestatus, Join-Typ, PRT und WHfB-Zustand direkt auf dem Endgerät. The Windows tool `dsregcmd` provides detailed information about device state, join type, PRT, and WHfB status directly on the endpoint.

cmd / PowerShell

    # Vollständigen Gerätestatus anzeigen
    dsregcmd /status

    # Nur relevante Felder ausgeben (PowerShell)
    dsregcmd /status | Select-String -Pattern "AzureAdJoined|DomainJoined|IsCompliant|AzureAdPrt|TenantId|DeviceId"

    # Geräteregistrierung erneut auslösen (als SYSTEM)
    dsregcmd /debug /join

    # Gerät aus Entra ID austragen
    dsregcmd /leave

Feld Field | Erwarteter Wert bei Entra Joined Expected value for Entra Joined
--- | ---
AzureAdJoined AzureAdJoined | YES YES
DomainJoined DomainJoined | NO (cloud-only)NO (cloud-only)
AzureAdPrt AzureAdPrt | YES YES
OnPremTgt OnPremTgt | YES (wenn Seamless SSO konfiguriert)YES (if Seamless SSO configured)
WamDefaultSet WamDefaultSet | YES YES
WorkplaceJoined WorkplaceJoined | NO (BYOD-Geräte: YES)NO (BYOD devices: YES)
IsCompliant IsCompliant | YES (wenn Intune-Compliance erfüllt)YES (when Intune compliance satisfied)

## Gerätezustand und Compliance Device state and compliance

Jedes Geräteobjekt in Entra ID hat einen Zustand, der beeinflusst, ob Token ausgestellt werden. Ergänzend bestimmt die Intune-Compliance, ob ein Gerät als konform gilt. Every device object in Entra ID has a state that influences whether tokens are issued. Additionally Intune compliance determines whether a device is considered compliant.

CA-Bedingung CA condition | Anforderung Requirement | Typischer Einsatz Typical use
--- | --- | ---
Require compliant device Require compliant device | Intune + Compliance Policy Intune + Compliance Policy | Stärkstes Gerätesignal; kombiniert MDM und Compliance Strongest device signal; combines MDM and compliance
Require Hybrid Entra Joined Require Hybrid Entra Joined | Active Directory + Entra Connect Active Directory + Entra Connect | Umgebungen mit dominanter AD-Landschaft Environments with dominant AD landscape
Device Filter (trustType, extensionAttribute)Device Filter (trustType, extensionAttribute) | Entra ID Device-Attribute Entra ID device attributes | Kiosk-Geräte, Piloten, spezielle Geräteserien Kiosk devices, pilots, specific device series

### Intune Compliance-Richtlinien Intune compliance policies

Compliance-Richtlinien werden in Microsoft Intune definiert und prüfen Geräteeigenschaften wie OS-Version, Verschlüsselung, PIN-Anforderungen oder Jailbreak-Status. Das Ergebnis wird an Entra ID zurückgemeldet und ist als CA-Bedingung nutzbar. Compliance policies are defined in Microsoft Intune and check device properties such as OS version, encryption, PIN requirements, or jailbreak status. The result is reported back to Entra ID and is usable as a CA condition.

Plattform Platform | Typische Einstellungen Typical settings
--- | ---
Windows 10/11 Windows 10/11 | Mindest-OS-Build, BitLocker, Secure Boot, TPM, Defender-Status, Firewall Minimum OS build, BitLocker, Secure Boot, TPM, Defender status, firewall
iOS / iPadOS iOS / iPadOS | iOS-Version, Jailbreak, Passcode, E-Mail-Profil iOS version, jailbreak, passcode, email profile
Android Android | Android-Version, Root, SafetyNet/Play Integrity, Verschlüsselung Android version, root, SafetyNet/Play Integrity, encryption
macOS macOS | macOS-Version, Firewall, Passcode, FileVault macOS version, firewall, passcode, FileVault

⚠️ Compliance-Bewertungsverzögerung⚠️ Compliance evaluation delay

Nach dem Enrollment oder einer Richtlinienänderung kann die Compliance-Bewertung 10–30 Minuten dauern, bis sie an Entra ID übertragen wurde. After enrollment or a policy change, compliance evaluation can take 10–30 minutes to propagate to Entra ID.

## Lokale Administratoren (LAPS)Local administrators (LAPS)

Microsoft Entra Local Administrator Password Solution (LAPS) rotiert automatisch das lokale Administrator-Passwort auf Windows-Endgeräten. Die Passwörter werden verschlüsselt in Entra ID gespeichert und können über das Portal oder die Graph API abgerufen werden. Microsoft Entra Local Administrator Password Solution (LAPS) automatically rotates the local administrator password on Windows endpoints. Passwords are stored encrypted in Entra ID and can be retrieved via the portal or Graph API.

Eigenschaft Property | Detail Detail
--- | ---
Unterstützte OS Supported OS | Windows 10 21H2+, Windows 11 21H2+, Windows Server 2019+Windows 10 21H2+, Windows 11 21H2+, Windows Server 2019+
Konfiguration Configuration | Intune-Richtlinie oder CSP-Policy (Windows LAPS CSP)Intune policy or CSP policy (Windows LAPS CSP)
Speicherort Storage | Verschlüsselt in Entra ID (nicht in AD für Cloud-only)Encrypted in Entra ID (not in AD for cloud-only)
Rotation Rotation | Nach Ablauf des Rotation-Intervalls oder manuell per Portal After rotation interval expiry or manually via portal
Erforderliche Berechtigung Required permission | DeviceLocalCredentials.Read.All (Graph API)DeviceLocalCredentials.Read.All (Graph API)

PowerShell

    # Entra LAPS - Passwort eines Geräts abrufen
    # Retrieve Entra LAPS password for a device
    Connect-MgGraph -Scopes "DeviceLocalCredentials.Read.All"

    # Geräte-Anmeldedaten auflisten
    Get-MgDeviceLocalCredential -DeviceId "<deviceObjectId>" |
        Select-Object Id, RefreshDateTime

    # Passwort-Details inkl. Klartext-Passwort
    Get-MgDeviceLocalCredential -DeviceId "<deviceObjectId>" `
        -LocalCredentialDetailsId "<credentialId>" -Property "credentials" |
        Select-Object -ExpandProperty Credentials

## BitLocker-Schlüsselverwaltung BitLocker key management

Bei Entra Joined und Hybrid Joined Geräten mit Windows 10/11 kann der BitLocker-Wiederherstellungsschlüssel automatisch in Entra ID hinterlegt werden. Administratoren können über das Portal oder die API auf den Schlüssel zugreifen. For Entra Joined and Hybrid Joined devices running Windows 10/11 the BitLocker recovery key can be automatically backed up to Entra ID. Administrators can access the key through the portal or API.

PowerShell

    # BitLocker-Wiederherstellungsschlüssel für ein Gerät abrufen
    Connect-MgGraph -Scopes "BitlockerKey.ReadBasic.All","BitlockerKey.Read.All"

    $deviceId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
    Get-MgInformationProtectionBitlockerRecoveryKey -Filter "deviceId eq '$deviceId'" |
        Select-Object Id, CreatedDateTime, DeviceId, VolumeType

    # Detailschlüssel mit Geheimnis abrufen (erfordert BitlockerKey.Read.All)
    Get-MgInformationProtectionBitlockerRecoveryKey `
        -BitlockerRecoveryKeyId "<keyId>" -Property "key"

Graph-Endpunkt Graph endpoint | Beschreibung Description
--- | ---
GET /informationProtection/bitlocker/recoveryKeys GET /informationProtection/bitlocker/recoveryKeys | Alle Schlüssel auflisten List all keys
GET /informationProtection/bitlocker/recoveryKeys/{id}?$select=key GET /informationProtection/bitlocker/recoveryKeys/{id}?$select=key | Einzelnen Schlüssel mit Klartext abrufen Retrieve single key with cleartext

## Enterprise State Roaming Enterprise State Roaming

Enterprise State Roaming (ESR) synchronisiert Windows-Einstellungen und App-Daten zwischen Geräten eines Benutzers über Entra ID. Die Daten werden verschlüsselt in Azure gespeichert und bleiben unter der Kontrolle des Unternehmens. Enterprise State Roaming (ESR) synchronizes Windows settings and app data between a user's devices via Entra ID. Data is stored encrypted in Azure and remains under corporate control.

Aspekt Aspect | Detail Detail
--- | ---
Lizenz License | Entra ID P1 oder P2 Entra ID P1 oder P2
Unterstützte OS Supported OS | Windows 10+, Windows 11 Windows 10+, Windows 11
Synchronisierte Daten Synced data | Windows-Design, Spracheinstellungen, Browser-Favoriten (Edge Legacy), App-Einstellungen Windows theme, language settings, browser favorites (Edge Legacy), app settings
Konfiguration Configuration | Entra Admin Center → Geräte → Enterprise State Roaming Entra Admin Center → Devices → Enterprise State Roaming
Datenspeicherort Data location | Azure-Region des Tenants (DSGVO-konform für EU)Tenant's Azure region (GDPR-compliant for EU)

ℹ️ ESR vs. Microsoft 365 Settings Sync ℹ️ ESR vs. Microsoft 365 Settings Sync

Für moderne Windows-11-Geräte empfiehlt Microsoft die Windows Backup-Funktion über ein Microsoft-Konto oder OneDrive for Business statt ESR. ESR ist speziell für Enterprise-Szenarien mit Daten-Hoheit-Anforderungen relevant. For modern Windows 11 devices Microsoft recommends the Windows Backup feature via Microsoft account or OneDrive for Business instead of ESR. ESR is specifically relevant for enterprise scenarios with data sovereignty requirements.

## Gerätebereinigung (Stale Devices)Device cleanup (stale devices)

Veraltete Geräteobjekte in Entra ID erhöhen den Tenant-Overhead und können Sicherheitsfragen aufwerfen. Regelmäßige Bereinigung auf Basis des `approximateLastSignInDateTime`-Attributs ist empfehlenswert. Stale device objects in Entra ID increase tenant overhead and can raise security questions. Regular cleanup based on the `approximateLastSignInDateTime` attribute is recommended.

PowerShell

    Connect-MgGraph -Scopes "Device.Read.All","Device.ReadWrite.All"

    # Geräte suchen, die seit mehr als 90 Tagen nicht angemeldet waren
    $cutoff = (Get-Date).AddDays(-90).ToString("yyyy-MM-ddTHH:mm:ssZ")
    $stale = Get-MgDevice -Filter "approximateLastSignInDateTime le $cutoff" -All |
        Select-Object DisplayName, DeviceId, ApproximateLastSignInDateTime, TrustType, IsCompliant

    $stale | Sort-Object ApproximateLastSignInDateTime | Format-Table -AutoSize

    # Gerät deaktivieren (nicht sofort löschen)
    Update-MgDevice -DeviceId "<objectId>" -AdditionalProperties @{ accountEnabled = $false }

    # Nach Karenzzeit löschen
    Remove-MgDevice -DeviceId "<objectId>"

✅ Empfehlung✅ Recommendation

Deaktivieren Sie Geräte zunächst für 30 Tage, bevor Sie sie endgültig löschen. So können Sie bei Fehlannahmen die Registrierung wiederherstellen, ohne das Gerät neu einbinden zu müssen. First disable devices for 30 days before deleting them permanently. This allows you to restore registration on wrong assumptions without re-joining the device.

## PowerShell & Graph API Referenz PowerShell & Graph API reference

Das Microsoft Graph PowerShell SDK (Modul `Microsoft.Graph.Identity.DirectoryManagement`) enthält die wichtigsten Cmdlets für das Gerätemanagement. The Microsoft Graph PowerShell SDK (module `Microsoft.Graph.Identity.DirectoryManagement`) contains the most important cmdlets for device management.

Cmdlet Cmdlet | Beschreibung Description | Wichtige Parameter Key parameters
--- | --- | ---
Get-MgDevice Get-MgDevice | Geräteobjekte lesen Read device objects | -Filter, -All, -Property-Filter, -All, -Property
Update-MgDevice Update-MgDevice | Geräteobjekt aktualisieren Update device object | -DeviceId, -AdditionalProperties-DeviceId, -AdditionalProperties
Remove-MgDevice Remove-MgDevice | Gerät löschen Delete device | -DeviceId-DeviceId
Get-MgDeviceRegisteredOwner Get-MgDeviceRegisteredOwner | Registrierte Eigentümer lesen Read registered owners | -DeviceId-DeviceId
Get-MgDeviceRegisteredUser Get-MgDeviceRegisteredUser | Registrierte Benutzer lesen Read registered users | -DeviceId-DeviceId
Get-MgUserRegisteredDevice Get-MgUserRegisteredDevice | Geräte eines Benutzers lesen Read devices of a user | -UserId-UserId
Get-MgInformationProtectionBitlockerRecoveryKey Get-MgInformationProtectionBitlockerRecoveryKey | BitLocker-Key abrufen Retrieve BitLocker key | -Filter, -BitlockerRecoveryKeyId-Filter, -BitlockerRecoveryKeyId
Get-MgDeviceLocalCredential Get-MgDeviceLocalCredential | LAPS-Passwort abrufen Retrieve LAPS password | -DeviceId-DeviceId

### Graph-API-Endpunkte Graph API endpoints

HTTP

    # Alle Geräte auflisten
    GET https://graph.microsoft.com/v1.0/devices

    # Geräteobjekt abrufen
    GET https://graph.microsoft.com/v1.0/devices/{id}

    # Nur Entra Joined Geräte
    GET https://graph.microsoft.com/v1.0/devices?$filter=trustType eq 'AzureAd'

    # Deaktivierte Geräte
    GET https://graph.microsoft.com/v1.0/devices?$filter=accountEnabled eq false

    # Gerät deaktivieren
    PATCH https://graph.microsoft.com/v1.0/devices/{id}
    Content-Type: application/json
    { "accountEnabled": false }

    # Gerät löschen
    DELETE https://graph.microsoft.com/v1.0/devices/{id}

    # BitLocker-Schlüssel
    GET https://graph.microsoft.com/v1.0/informationProtection/bitlocker/recoveryKeys
    GET https://graph.microsoft.com/v1.0/informationProtection/bitlocker/recoveryKeys/{keyId}?$select=key

    # LAPS-Anmeldedaten
    GET https://graph.microsoft.com/v1.0/devices/{id}/localCredentials

## Verwandte Seiten Related pages

- Conditional Access Conditional Access
- Microsoft Intune Microsoft Intune
- MFA MFA
- Entra Connect & Sync Entra Connect & Sync
- Monitoring & Audit Monitoring & Audit